该综述论文系统梳理了深度学习领域中长期被忽视的「可用性」威胁——延迟攻击（latency attack，亦称能耗-延迟攻击）。作者指出，对抗机器学习研究以往几乎集中在完整性（误分类、后门等），而可用性攻击通过在推理阶段额外增加计算量、能耗或响应时间，造成截止时间错过、吞吐量崩塌或资源耗尽，且在很多情况下模型的最终预测结果仍然保持正常，因而极难被常规准确率监控发现。受影响场景包括车载控制器、交互式在线服务以及电池供电的传感器节点。 论文把分散在三条技术脉络上的文献统一起来：其一是感知流水线，包括针对自动驾驶检测与跟踪的物理世界攻击；其二是输入自适应神经推理，如 sponge examples 与动态网络/早退网络；其三是自回归与智能体系统，包括针对大语言模型、视觉语言模型、混合专家模型以及可调用工具的智能体的输出长度型、冗长图像型与推理拒绝服务型攻击。 在组织方式上，作者刻意不按攻击的数学形式分类，而是按被利用的计算瓶颈分类，从而把「是什么让计算变贵」与「攻击者如何触发它」这两件事区分开来；同时将投递通道（输入、提示词或检索内容、通信消息、数据投毒、权重篡改）作为正交属性单独刻画。作者观察到大量攻击共享同一底层机制——中间工作量放大（intermediate-work amplification），据此提出「工作预算（work-budget）」这一防御抽象，并明确区分两类控制：限制进入昂贵阶段的计算量，与限制从昂贵阶段流出的结果量。 论文进一步分析模型层面的成本上升何时会演化为系统层面的可用性失败，指出这取决于关键路径占比、系统松弛度、既有资源上限、负载累积效应、资源共享方式以及回退策略，而不能仅由放大倍数推断。主要贡献包括：威胁模型分类法、汇总后的定量对比、按控制机制组织的防御综述，以及标准化评测、物理可实现性与全系统可用性等开放问题。配套资源站点已公开。
💡 推荐理由: 蓝队长期只监测准确率与完整性，延迟/能耗型攻击可在预测正确的前提下击穿 SLO。该综述提供了统一的威胁建模视角与工作预算防御抽象，可直接用于 LLM 服务、Agent 工具链与车载/边缘推理的可用性防护设计。
🎯 建议动作: 研究跟进：将工作预算抽象与威胁模型分类法纳入内部 LLM/Agent 与边缘推理的可用性威胁评估清单，并参考配套资源站点整理评测与防御基线。