跳转至

大模型推理模型DoS攻击——浙大阿里HGA方法

Ch01.1598 大模型推理模型DoS攻击——浙大阿里HGA方法

📊 Level ⭐⭐⭐⭐ | 7.6KB | entities/hga-reasoning-model-dos-zheda-alibaba-2026.md

大模型推理模型DoS攻击——浙大阿里HGA方法

浙江大学联合阿里巴巴安全团队提出了一种针对大语言推理模型的新型 DoS 风格资源耗尽攻击方法——HGA（Hierarchical Genetic Algorithm）。该方法在严格黑盒条件下，利用推理模型的「过度思考」特性，诱导模型生成极长推理链，实现 26.1 倍的 token 增长放大。该论文已被 ICML 2026 接收。

摘要

大语言推理模型（LRM）在数学求解、代码生成、科学分析等场景广泛应用，但其「在回答前先生成长思考链」的行为模式引入了一个新的攻击面：攻击者不一定让模型输出有害内容，而是通过精心构造的逻辑断裂问题让模型「想太多」，从而消耗服务端计算资源。HGA 方法通过层次化遗传算法在黑盒条件下自动搜索能够触发过度思考的输入，在 MATH 数据集上实现最高 26.1 倍 token 增长。

核心要点

  • 过度思考脆弱性：当输入问题存在缺失条件、逻辑矛盾或结构错位时，推理模型不会快速拒答，而是陷入反复推理、自我修正的「过度思考」状态
  • HGA 方法：层次化遗传算法，在严格黑盒条件下自动扰动问题逻辑结构，无需模型权重或梯度信息
  • 26.1 倍放大：在 MATH 数据集上实现最高 26.1 倍的 token 增长
  • 跨模型迁移性：使用小型代理模型生成的攻击样本对大型商业 LRM 保持有效性
  • ICML 2026 接收：已被国际顶级机器学习会议接收

深度分析

推理模型的「过度思考」本质

与普通大语言模型不同，推理模型（如 DeepSeek-R1、Qwen3-Thinking、GPT-o3）在输出最终答案前会生成一个「思考链」（chain-of-thought）。这个设计在正常场景下有效提升了数学和逻辑推理能力，但也引入了一个结构性脆弱点：当问题中的前提、条件和最终问题之间出现错位时，模型往往不会判断「题目不可解」，而是尝试不断修补逻辑链。

修补过程表现为：重复检查题意→反复提出假设→自我否定前一步推理→多轮重新计算→在矛盾条件之间来回切换。最终输出大量「看似认真但实际无效」的推理文本。这种行为不仅是效率问题，更被 HGA 团队论证为一个安全问题——因为 LLM 推理服务的成本与输出 token 数、推理时间和能耗高度相关。

HGA 的四步攻击框架

第一步：问题结构化表示。 将普通推理题拆解为前提集合和最终问题两部分。使原始问题从不可控文本变为可操作的结构化对象，算法可单独交换前提、删除条件、插入无关前提或重组不同题目之间的条件。

第二步：适应度函数设计。 复合适应度函数包含两个维度：输出长度（token 数）和「过度思考标记」（如 "but""wait""maybe""perhaps""alternatively" 等反映犹豫、转折和重新思考的词汇）。组合信号引导算法找到真正触发模型反复推理的输入，而非仅产生啰嗦但无结构的文本。

第三步：层次化遗传操作。 设计两类主要操作——交叉（问题级和前提级交叉，制造跨上下文的条件混杂）和变异（删除关键条件使问题不完整，或插入无关条件使问题更混乱）。操作的核心目标是系统性扰动模型所依赖的推理链，而非保持人类意义上的题目合理性。

第四步：黑盒进化搜索。 攻击者无需知道模型参数、结构或梯度，只需向模型提交文本输入并观察输出结果。每轮进化中将当前种群的候选输入提交给目标推理模型，根据适应度分数保留高适应度个体，通过选择、交叉和变异生成下一代输入。

实验发现的关键数据

  • 在 SVAMP、GSM8K 和 MATH 三大数据集上，HGA 显著超越所有基线（Base、MIP）
  • MATH 数据集上最长达 26.1 倍 token 增长
  • GPT-o3 基于 HGA 的攻击引发了高达 6562 个 token 的响应长度，是 MIP 方法最大响应长度的 7.2 倍
  • 所有模型在所有数据集中相较于 Base 在平均输出长度上至少有 2 倍的增长
  • 使用小型代理模型生成的攻击样本仍对大型商业 LRM 保持较高有效性——说明过度思考行为是多个模型共享的脆弱点，而非单一模型特有的漏洞

安全影响与防御启示

HGA 揭示了一个重要的 AI 安全新维度：推理效率本身也是一种攻击面。传统 DoS 攻击关注网络层/应用层资源耗尽，而 HGA 展示了一种针对 LLM 推理计算资源的攻击路径。这对推理服务的成本控制和安全设计有重要启示：

  1. 推理 API 需要输出长度上限：不能无限信任模型的「思考能力」，需要设置合理的 max_tokens 阈值
  2. 输入验证与异常检测：对高度矛盾、条件缺失的输入进行预检，避免触发过度思考
  3. 分层隔离：对高成本推理请求（长时间思考）使用独立的计算资源池，防止一个攻击者的请求影响其他用户的正常服务
  4. 模型层面的鲁棒性提升：在 RL 后训练阶段加入对逻辑断裂输入的对抗训练，使模型学会识别「不可解」题目并快速拒答

实践启示

  1. 推理模型的「思考能力」是一把双刃剑：越强的推理能力意味着越大的「过度思考」潜在攻击面。模型设计者在提升推理能力的同时，需要同步构建对逻辑断裂输入的鲁棒性。

  2. 黑盒攻击的成本远比想象的更低：HGA 仅需要 API 级别的访问权限就能实现 26.1 倍的资源放大效应，且跨模型可迁移。这意味着攻击者可以用一个小模型为跳板攻击更昂贵的大模型服务。

  3. AI 安全需要关注「算力耗尽」类攻击：与传统关注内容安全（有害输出）不同，HGA 展示的攻击路径关注的是计算资源消耗。随着推理模型在商业服务中的广泛部署，这类「成本放大攻击」将成为新的安全挑战。

  4. 国防领域可迁移的防御思路：HGA 的层次化遗传算法思路可逆向应用——用类似方法自动发现并修补模型的逻辑脆弱点，在攻击者利用之前加固模型。

相关实体

→ 原文存档