Colapsar la aceleración de los LLM: un ataque al speculative decoding

¿Qué es esto?

Mistletoe es un ataque a nivel de mecanismo contra el speculative decoding, la técnica de aceleración de inferencia que sustenta la mayoría de las pilas de serving de LLM rápidas. Se publicó en arXiv el 13 de mayo de 2026 (revisado el 18 de mayo) por un equipo de investigadores, y apunta a algo inusual: no a la respuesta del modelo, sino a la velocidad con que se produce esa respuesta. El ataque deja la salida visible prácticamente sin cambios mientras drena en silencio las ganancias de rendimiento que el speculative decoding se supone que aporta. Dicho de otro modo, el modelo sigue diciendo lo correcto: solo cuesta mucho más cómputo decirlo.

El speculative decoding empareja un pequeño modelo drafter rápido con el gran modelo objetivo. El drafter propone varios tokens candidatos a la vez, y el objetivo los verifica en un único paso paralelo, aceptando aquellos con los que está de acuerdo. Toda la aceleración depende de un único número: la longitud media aceptada, es decir, cuántos tokens propuestos sobreviven a cada verificación. Mistletoe ataca directamente ese número.

Cómo funciona

El artículo sitúa la superficie de ataque en la brecha entre el drafter y el objetivo. El drafter se entrena para aproximar la distribución del objetivo, pero esa aproximación nunca es perfecta. Ese solapamiento imperfecto suele ser solo un detalle de rendimiento; Mistletoe lo convierte en una palanca. La idea es que pequeñas perturbaciones de entrada pueden dirigir la generación hacia regiones donde el drafter y el objetivo discrepan, de modo que casi ningún token propuesto se acepta, mientras la distribución de salida del objetivo apenas se mueve.

Mistletoe optimiza conjuntamente dos objetivos que, de otro modo, entrarían en conflicto. Un objetivo de degradación reduce el acuerdo drafter–objetivo, encogiendo la longitud aceptada. Un objetivo de preservación semántica restringe cuánto puede desviarse la distribución de salida del objetivo, manteniendo la respuesta con apariencia normal. Para evitar que el primero destruya el segundo, los autores añaden una proyección en el espacio nulo: el gradiente de degradación se proyecta fuera de la dirección local de preservación semántica, suprimiendo la aceptación sin cambio semántico apreciable. En los sistemas de speculative decoding evaluados, el efecto reportado es una caída sustancial de la longitud media aceptada, un colapso de la aceleración y una reducción del rendimiento en tokens, con la calidad de salida y la perplejidad preservadas. Describimos el mecanismo a nivel conceptual; el preprint contiene los detalles de optimización y las mediciones.

Por qué importa

El speculative decoding no es una optimización de nicho. Los drafters basados en modelo —la familia que incluye enfoques ampliamente desplegados como EAGLE y Medusa— son estándar en el serving de alto rendimiento, porque pueden multiplicar los tokens por segundo con hardware constante. Un atacante capaz de colapsar esa aceleración a voluntad convierte una función de ahorro de costes en una función de amplificación de costes. En un endpoint compartido multiinquilino, solicitudes forjadas que caen cada una en una generación lenta token a token elevan la latencia y el gasto de cómputo para todos los que están en la máquina, sin activar jamás un filtro de calidad o de seguridad, porque las propias respuestas parecen correctas.

Esa discreción es el verdadero punto. La mayoría del trabajo sobre robustez de los LLM vigila la salida: si el modelo rechazó, si filtró, si la respuesta cambió. Un ataque que mantiene la salida correcta mientras destruye la eficiencia se desliza por debajo de toda esa categoría de supervisión. Reencuadra el speculative decoding como una superficie de ataque de disponibilidad y coste, y no como un simple mando de velocidad: un recordatorio de que los mecanismos de rendimiento heredan su propio modelo de amenaza.

Defensas

Para los equipos que operan su propia inferencia, las conclusiones son operativas más que un parche único.

• Vigile la longitud aceptada, no solo la salida. La señal más clara de este ataque es una caída repentina, correlacionada con la entrada, de la longitud media aceptada y de la aceleración. Instrumente los ratios de aceptación por solicitud y por inquilino y alerte ante anomalías; los paneles de calidad de salida no mostrarán nada.
• Facture y limite según el cómputo real, no el número de tokens. Facture y limite el ritmo según los pasos de verificación o el coste en tiempo real, para que una solicitud que colapsa el speculative decoding se restrinja como la solicitud costosa que realmente es, en lugar de parecer barata en un contador de tokens.
• Aísle a los inquilinos en la capa de serving. Mantener el tráfico no confiable fuera de los lotes de speculative decoding compartidos limita el radio de impacto de un adversario que degrada el rendimiento de sus coinquilinos.
• Prepare un repliegue deliberado. Trate «desactivar el speculative decoding para esta solicitud/inquilino» como un modo de degradación controlado que usted elige, para que un atacante no pueda forzarlo globalmente degradando la aceptación de todos.
• Incorpore la aceleración a su modelo de amenaza. Al adoptar un nuevo drafter o esquema especulativo, pregúntese qué gana un adversario al minimizar la aceptación, y mida el rendimiento en el peor caso (no solo el promedio) sobre entradas adversas antes de confiar en la aceleración para dimensionar la capacidad.

Estado

Elemento	Valor
Tipo	Investigación adversaria — ataque de disponibilidad/eficiencia sobre el speculative decoding
Modelo de amenaza	Atacante que envía entradas forjadas a una pila de serving que usa speculative decoding basado en modelo
Efecto	Colapsa la longitud media aceptada y la aceleración; reduce el rendimiento; calidad de salida y perplejidad preservadas
Método	Objetivos conjuntos de degradación + preservación semántica con proyección en el espacio nulo
Impacto	Inflación de latencia y coste de cómputo, sobre todo en endpoints compartidos; sin corrupción de la salida
Publicado	13 de mayo de 2026 (arXiv:2605.14005), revisado el 18 de mayo de 2026
Estado	Preprint académico; no es una vulnerabilidad de producto ni un CVE

Fechas clave: 13 de mayo de 2026 — envío del preprint Mistletoe (arXiv:2605.14005); 18 de mayo de 2026 — revisión v2. El trabajo se inscribe en una línea creciente sobre superficies de ataque del speculative decoding, incluidos los canales laterales temporales vía speculative decoding (arXiv:2411.01076). Los resultados y el método son los declarados en el preprint.