Energie-uitputting als cyberdeceptie: de rekening bij de aanvaller leggen

Cyberdeceptie verhoogt traditioneel de tijd en moeite die een aanvaller moet investeren. Bij LLM-aanvallers komt daar een meetbare, fysieke dimensie bij: rekenenergie. Een autonome taalmodel-aanvaller verbruikt tijdens het verkennen van een doelwit continu GPU-energie, en een verdedigende LLM die misleidende responsen genereert, kan die rekening bewust omhoog duwen.

De paper van Mihal, Alamleh en Cantelli-Forti meet deze uitwisseling voor het eerst aan twee kanten. Over 330 sessies, acht modelparen, twee aanvallerprofielen en drie counter-injectieniveaus draaien beide zijden op identieke GPU's met energiemeting boven het idle-niveau.

De asymmetrie die tokens verhullen

Het centrale resultaat is een divergentie tussen tokens en joules. In tokens blijven aanvaller en verdediger dicht bij elkaar, de tokenratio blijft binnen ongeveer een factor twee. In joules loopt de verhouding uiteen tot een factor acht: de aanvaller verbruikt tot acht keer meer energie dan de verdediger.

De verklaring ligt in de twee fasen van een LLM: prefill (het lezen van input, batched en efficiënt) en decode (het genereren van output, duurder per token). De verdediger leest kort en beslist vaak; de aanvaller leest veel en genereert lang. Daardoor kan een tokenratio van ruwweg één op één een energie-asymmetrie van acht op één verbergen. Wie alleen tokens telt, ziet de rekening niet.

Concreet ligt de energieverhouding met een 95%-interval boven één in 41 van de 48 configuraties onder de strikte toerekening, en in alle 48 wanneer de diagnostische aanroepen van de aanvaller worden meegerekend. De sterkste gevallen, zoals Qwen3 30B met een redenerende aanvaller, halen een ratio van 7 tot 8,4.

Counter-injectie: de verdediging die alleen tegen deze vijand bestaat

Counter-injectie is een tegenmaatregel die uitsluitend zin heeft tegen een taalmodel-aanvaller. De decoy plant een payload in de shell-output die een menselijke operator zou overslaan maar die een agent wel moet lezen. Het effect is meetbaar maar bescheiden: de aanvallertokens stijgen met ongeveer negen procent per injectieniveau, zonder dat er een detecteerbare verandering in energieverbruik optreedt. De interval sluit een verandering van enkele procenten per niveau niet uit, maar toont geen kostenverschil aan.

De auteurs lezen hieruit dat de injectie vooral de prefill-fase belast, het lezen is de batched, efficiënte fase. Counter-injectie is daarmee een goedkoop drukmiddel op de aanvaller, maar geen energiewapen op zichzelf.

Thinking-modus keert de rekening om

De meest verrassende bevinding is de rol van de thinking-modus. Wanneer die aan beide zijden tegelijk aanstaat, vermenigvuldigt het energieverbruik van de verdediger zich met een factor acht tot zeventien, tegen twee tot elf voor de aanvaller. Voor één modelpaar, Qwen3.5 9B, keert de verhouding daardoor om: van 2,3 tot 4,7 in het voordeel van de verdediger naar 0,64 tot 0,72 in het voordeel van de aanvaller.

De oorzaak is structureel: de verdediger neemt per sessie 27 beslissingen en redeneert bij elk tot zijn tokenbudget, terwijl de aanvaller maar 25 commando's uitvoert. Een replicatie acht dagen later liet bovendien zien dat dit omkeerpunt niet eens stabiel is: onder dezelfde instellingen verschoof de verhouding naar 0,84 tot 1,07, zonder dat de oorzaak kon worden geïdentificeerd, vermoedelijk door een zelfstandige update van de inferentie-runtime.

Epistemische classificatie

Claim	Type	Bewijssterkte
De energieverhouding ligt boven één in 41 van 48 configuraties (48 van 48 inclusief diagnostische aanroepen)	Empirisch ondersteund	330 sessies, identieke GPU's, energiemeting boven idle
Tokenratio's verhullen de energie-asymmetrie	Empirisch ondersteund	Tokenratio binnen factor twee, jouleratio tot factor acht
Counter-injectie verhoogt aanvallertokens met ongeveer negen procent per niveau	Empirisch ondersteund	p kleiner dan 10 tot de macht -6
Thinking-modus keert de rekening om voor één modelpaar	Empirisch ondersteund, maar instabiel	Replicatie verschoof het omkeerpunt zonder geïdentificeerde oorzaak
De voorgestelde SCADA-architectuur werkt end-to-end	Niet aangetoond	Een ontwerp, geen implementatie of meting

Wat de paper niet test

De beperkingen zijn in drie groepen samengevat. Ten eerste is de energie van de aanvaller een laboratoriumgrootheid: beide GPU's zijn van de onderzoekers, de meetgrens is de GPU, en de CPU-zijde-energie van microVM, relay en emulators wordt aan geen van beide zijden geteld. De aftrek van het idle-vermogen draagt een onzekerheid van ongeveer één watt per sample die de intervallen niet propageren.

Ten tweede zijn configuratiekeuzes gedeclareerd in plaats van gecorrigeerd. De thinking-modus werd aan beide zijden tegelijk geschakeld, waardoor het ontwerp een redenerende verdediger niet kan scheiden van een redenerende aanvaller. De sessies staan vast op 25 commando's, dus de meting is kosten bij gelijk commandoverloop, niet bij gelijke verblijfsduur.

Ten derde is het elektriciteitsnet-honeynet een ontwerp, geen gedeployd systeem. De missiewaarde rust op één illustratief scenario met gedeclareerde belasting en een als bereik gedragen voorkómen fractie. Het is daarmee een break-even-uitspraak onder gedeclareerde aannames, geen meting.

Wat te doen

Voor organisaties met vitale infrastructuur of OT-omgevingen is de kernles dat de rekening van een LLM-aanval asymmetrisch is en dat die asymmetrie te sturen valt. Een generatieve decoy die de aanvaller laat lezen en genereren, verhoogt diens kosten zonder dat de verdediger evenredig meebetaalt, mits de thinking-modus bewust wordt beheerst. Dat laatste is de subtielste les: een verdediger die overal redeneert, betaalt meer dan de aanvaller.

De bredere relevantie ligt in NIS2: organisaties die essentiële of belangrijke entiteiten zijn, moeten risico's van hun netwerk- en informatiesystemen beheersen. Een LLM-aanvaller op een OT-omgeving is zo'n risico, en deceptie op basis van gemeten energiekosten is een verdedigingslaag die in een risicoanalyse een plaats verdient, naast de klassieke isolatie- en detectiemaatregelen.

Zie ook

• MAS-Guard: 71-86% minder aanvalssucces met gelaagde agent-guardrails
• Vier plekken waar de vertrouwensgrens van agents lekt
• Van TCP/IP naar MCP: wat internetgeschiedenis ons leert over agentprotocollen

Bronnen

• Make the Adversary Spend More Energy (arXiv:2610.27739), Mihal, Alamleh, Cantelli-Forti, 16 oktober 2026