如果你在生产环境跑多租户的 LLM 推理、还上了 RAG 和缓存复用，这条侧信道攻击值得认真看一眼。 背景是当下提速的标配做法：长上下文、多租户场景里，服务引擎越来越依赖 RAG（检索增强生成）配合非前缀 KV cache 融合——把不同请求之间可以复用的 KV 缓存块拼接、融合起来，省掉重复计算。这套机制提升了吞吐，但这篇论文指出，它同时打开了一个此前被忽视的攻击面。 为什么是新的攻击面？因为已有的 KV 缓存侧信道攻击有个硬前提：要求严格的线性前缀对齐。可真实的 RAG 查询里，每个用户都带着各自独特的私有前缀，前缀对不齐，老攻击就失效了。作者绕过这个限制，盯上了按 chunk 感知来调度内存这一层：用来对齐、融合那些不相邻内存块的确定性微架构机制，会无意中泄露一段连续的时序签名，作者称之为 Step-Wave。这是个物理层面的可观测信号——不靠读取内容，靠掐时间。 基于这个观察，他们构造了 SpliceLeak，并称它是首个针对非前缀 KV cache 融合的端到端侧信道攻击。攻击分两步：第一步是结构指纹，先把隐藏的私有 prompt 的确切长度测出来；第二步是操纵边界碰撞（boundary collisions），逐 token 地把确切的语义内容还原出来。也就是说，它不止能推断有多长，还宣称能逐字提取是什么。 验证放在了生产级框架上——vLLM 集成 LMCache，这两者都是真实部署中常见的组合，不是玩具实验，这让威胁更具现实意义。 要诚实标注的保留：摘要止于 demonstrate，没有给出关键的量化结果——逐 token 提取的准确率、还原一条私有 prompt 需要多少次探测、在多大并发或噪声下还成立，这些都没看到；攻击的前置条件（攻击者需要怎样的同驻或共享缓存权限）也未在摘要交代。但方向上的提示很清楚：缓存复用带来的性能红利，可能要用新的隔离与防侧信道代价来对冲，做多租户推理服务的团队该把这类风险纳入威胁模型。