投机解码像让“小助手”先写几句，再交给大模型一次核验；猜得准，就能少跑几趟大模型。Speedbumps 发现，攻击者只需在自己可控的文档或网页内容后附上一段精心设计的文字，就能让两者频繁意见不合。系统不断丢弃草稿、重新计算，答案不必变长，每个词的生成成本也会升高。
作者把这种手法称为投机拒绝攻击，并设计了两种 Speedbump 后缀，专门压低草稿接受率——也就是通过大模型核验的草稿比例。论文称，在三个任务、七类投机解码方法的贪心生成实验中，Speedbump-P 令加速收益下降 12.2% 至 36.8%；最强案例是摘要任务中的 EAGLE-3，大模型生成每个词所需的前向计算次数增至 3.2 倍。采用随机采样时，部分受攻击系统甚至比不用投机解码更慢。
这揭示了一种性能型攻击：攻击者不求让模型答错，而是给加速通道铺“减速带”。不过论文也发现，攻击会损害输出质量；若加入约束来维持质量，大部分减速效果也会随之消失，隐蔽性与攻击强度仍难兼得。