AI推理模型"过度思考"漏洞或引发拒绝服务攻击风险

大语言模型（LLM）逐步具备分步推理能力，使AI能够处理更复杂的任务。然而，最新研究表明，这种推理能力同时带来了一个关键安全漏洞——攻击者可借此让AI系统陷入"过度思考"，从而大幅拖慢其运行速度。

早期大语言模型会直接响应用户请求，而当前最先进的模型会在给出答案之前，生成一段内部"独白"，将问题拆解成多个步骤进行推理。这一机制使AI在编程和数学等领域能够胜任越来越复杂的任务。

然而，此前的研究已发现，这类模型容易产生冗长的推理过程，且推理内容对提升准确率几乎没有帮助，这种现象被称为"过度思考"。本周，在首尔举行的2026年国际机器学习大会上，来自浙江大学和阿里巴巴的研究人员发表研究成果，证明可以通过向模型输入逻辑上相互矛盾的提示词，人为诱发"过度思考"，进而对商业AI模型实施拒绝服务攻击。

研究团队开发了一种进化算法，专门用于破坏提示词的逻辑结构，使模型在尝试推理本质上无解的问题时陷入循环。由于更长的输出意味着更高的成本和更大的服务器负载，研究人员指出，若此类攻击大规模发起，将严重影响正常用户的使用体验。该攻击方法已在多个主流AI公司的推理模型上得到验证，包括DeepSeek-R1、阿里巴巴的Qwen3-Thinking、OpenAI的GPT-o3以及谷歌的Gemini 2.5 Flash，在标准数学基准测试中，部分模型的输出长度最高达到正常响应的26倍。

浙江大学硕士生曹威在给IEEE Spectrum的邮件中写道："在多个数据集和推理模型上，我们的方法都能大幅增加输出长度。研究结果表明，过度思考并非个别模型的孤立现象，而是现代推理模型普遍存在的共性漏洞。"

该团队的研究思路源于此前另一组研究人员的发现——当问题缺少关键前提时，推理模型容易陷入过度思考。例如，询问某人每天步行十英里，但不说明共走了多少天，总共走了多远。面对这类无解问题，模型往往不会识别出问题本身有误，而是反复进行无效推理，却始终无法给出答案。

在此基础上，研究团队从三个数学基准数据集中提取了940道题目，利用大语言模型将其逻辑结构拆解为若干前提和一个最终问题。随后，遗传算法通过多种"变异"操作打乱这些结构，包括在不同题目间互换前提、增加额外前提、删除已有前提，以及在两组前提之间互换最终问题。

每轮变异后，题目会被评分，评分标准包括：诱导目标模型输出的词数，以及触发"过度思考"语言标志词（如"但是""等等""也许""或者"等）的频率。得分最高的题目被保留，其余题目继续参与变异，整个过程共迭代五轮。曹威特别指出，该方法无需访问模型内部参数，仅通过向目标模型发送查询即可生成恶意提示词，因此同样适用于攻击闭源商业服务。

研究结果显示，该方法能够稳定地使所有被测推理模型的输出长度数倍于原始问题。其中，DeepSeek-R1在MATH数据集（一个以高中数学竞赛题目为主的基准集）上表现最为突出，最长输出达到未修改问题最长响应的26.1倍。尽管研究重点在于数学题目，但研究人员也在编程、科学推理和对话任务上进行了测试，同样观察到输出长度的显著增加。

这一方法面临的挑战在于，生成恶意提示词需要对推理模型进行多次查询，成本较高，曹威也坦承这在一定程度上限制了攻击的性价比。不过，研究团队进一步验证，使用更小、更廉价的模型生成恶意提示词，同样能诱导目标模型产生数倍于正常长度的输出。这种跨模型迁移能力，大幅提升了攻击的可行性。

不过，曹威强调，该研究的目的并非开发一种实用的拒绝服务攻击手段。模型提供商的定价策略、速率限制、上下文窗口大小以及现有防御机制，都会影响此类攻击的实际效果。研究的真正意图，是揭示这些模型在面对逻辑不一致提示词时的脆弱性，促使服务提供商着手解决这一问题。

"我们的目标不是证明可以以极低成本发动大规模攻击，而是要表明这一攻击面客观存在，"他写道，"我们的研究结果表明，这一漏洞是一个真实存在的安全隐患。"

Q&A

Q1：什么是AI推理模型的"过度思考"漏洞？

A：推理模型在处理逻辑矛盾或缺失关键前提的问题时，无法识别问题本身有误，而是反复进行无效推理，导致输出内容极度冗长。研究人员通过遗传算法构造逻辑混乱的提示词，可人为诱发这一现象，使模型输出长度最高达到正常响应的26倍，从而增加服务器负载，影响正常用户体验。

Q2：哪些AI模型受到这种"过度思考"攻击的影响？

A：研究团队测试了多个主流推理模型，均受到不同程度的影响，包括DeepSeek-R1、阿里巴巴的Qwen3-Thinking、OpenAI的GPT-o3以及谷歌的Gemini 2.5 Flash。其中DeepSeek-R1在数学基准测试中受影响最为显著，输出长度最高达正常响应的26.1倍。

Q3：这种攻击方式需要访问模型内部结构吗？

A：不需要。该攻击方法仅通过向目标模型发送查询来生成恶意提示词，无需获取模型内部参数。这意味着即便是闭源的商业AI服务也同样面临风险。此外，研究还证明，使用小型廉价模型生成的恶意提示词，同样能有效攻击大型推理模型，进一步提升了攻击的可行性。