باحثون من Alibaba يكتشفون ثغرة DoS في نماذج الذكاء الاصطناعي القائمة على الاستدلال

في مؤتمر ICML 2026 المنعقد في سيول مطلع يوليو 2026، قدّم باحثون من جامعة تشجيانغ وعملاق التكنولوجيا Alibaba نوعًا جديدًا من الهجمات على نماذج الذكاء الاصطناعي القائمة على الاستدلال. فالمطالبات المشوَّهة عمدًا تُدخل DeepSeek-R1 وGPT-o3 من OpenAI وGemini 2.5 Flash من Google في حلقات استدلال لا تنتهي، فيتضخم حجم الإجابات عشرات المرات، وتنشأ مخاطر هجمات denial-of-service على خدمات الذكاء الاصطناعي التجارية.

كيف تعمل الهجمة

لا تقدّم نماذج الاستدلال الحديثة إجابتها فورًا، بل تولّد حوارًا داخليًا تحلل فيه المسألة خطوة بخطوة قبل الوصول إلى الإجابة النهائية. وقد حوّل الباحثون هذه الخاصية بالذات إلى ثغرة.

أخذ الفريق 940 مسألة من ثلاثة معايير رياضية (benchmarks)، وفكّك كل مسألة بواسطة LLM إلى مقدّمات منطقية وسؤال نهائي. ثم طبّقت خوارزمية جينية «طفرات» على هذه المسائل: بدّلت المقدّمات بين المسائل، وأضافت شروطًا لا صلة لها بالموضوع، وحذفت البيانات الأساسية التي لا تُحَل المسألة من دونها، وبدّلت الأسئلة النهائية فيما بينها. وبعد كل جولة، انتقى النظام الصيغ التي تضخّم الإجابات إلى أقصى حد وتستفز كلمات التردد مثل «لكن» و«انتظر» و«ربما» و«بدلًا من ذلك». وبعد خمس تكرارات، تُنتج الخوارزمية مجموعة من المطالبات المصمَّمة خصيصًا لنموذج بعينه.

أبرز الحقائق:

• النماذج المختبَرة: DeepSeek-R1 وQwen3-Thinking (من Alibaba) وGPT-o3 (من OpenAI) وGemini 2.5 Flash (من Google)
• أقصى زيادة في طول الإجابة: 26,1 ضعفًا — لدى DeepSeek-R1 على مجموعة بيانات MATH
• مجموعة البيانات الأصلية: 940 مسألة من ثلاثة معايير رياضية
• تعمل الهجمة عبر API العام، ولا تحتاج إلى الوصول إلى أوزان النموذج
• المطالبات التي ينتجها نموذج مساعد منخفض التكلفة تنجح أيضًا ضد الأنظمة المغلقة باهظة الثمن

لماذا تبيّن أن نماذج الاستدلال عرضة للاختراق؟

تُحتسب تكلفة نماذج الاستدلال بعدد الرموز (tokens): فكلما طالت سلسلة الاستدلال، زاد الحمل على الخوادم، وزادت الموارد الحوسبية التي ينفقها المزوّد على كل طلب. ولو نُفِّذت هذه الهجمة على نطاق صناعي، لشعر المستخدمون الشرعيون ببطء حاد في الخدمة أو بانقطاعها التام. ولا يقتصر التأثير على الرياضيات، إذ اختبر المؤلفون مسائل البرمجة والاستدلال العلمي وسيناريوهات الحوار، وسجّلوا في جميع الحالات إطالة ملحوظة للإجابات.

«تُظهر نتائجنا أن الإفراط في التفكير ليس ظاهرة معزولة تخص نماذج بعينها، بل ثغرة عامة في أنظمة الاستدلال الحديثة»، كتب وي تساو، طالب الماجستير في جامعة تشجيانغ، في رسالة إلى هيئة تحرير IEEE

Spectrum.

ويتمثل خطر إضافي في إمكانية نقل الهجمة بين النماذج. فالمطالبات الخبيثة التي يولّدها نموذج مفتوح منخفض التكلفة تعمل بفاعلية ضد الأنظمة المغلقة باهظة الثمن، ما يخفض تكلفة الهجمة إلى مستوى يمكن تنفيذه عمليًا.

ماذا يعني ذلك

الثغرة نظامية: فهي تتكرر في النماذج الأربعة المختبَرة جميعها، بغض النظر عن المطوّر والبنية المعمارية. ويؤكد المؤلفون أن هدف العمل هو إثبات وجود الثغرة، لا إنشاء أداة DoS جاهزة. وتحدّ كل من آليات تقييد المعدل (rate limiting) وسياسات التسعير والمرشِّحات القائمة من التهديد، لكنها لا تزيله. أما الحل الجذري فيتطلب عملًا على مستوى البنية المعمارية: تحديد طول سلاسل الاستدلال، وكشف «الحلقات الفارغة»، وتصفية المدخلات المتناقضة منطقيًا.

أسئلة شائعة

ما النماذج التي تبيّن أنها عرضة للهجمة؟

اختُبرت في الدراسة أربعة أنظمة استدلال: DeepSeek-R1 وQwen3-Thinking من Alibaba وGPT-o3 من OpenAI وGemini 2.5 Flash من Google. وأظهرت الأنظمة الأربعة جميعها إطالة ملحوظة في الإجابات عند تلقي المطالبات المشوَّهة.

ما مدى واقعية خطر هجوم DoS على المستوى الصناعي؟

يقرّ المؤلفون بوجود قيود: فآليات تقييد المعدل والتسعير والمرشِّحات القائمة لدى المزوّدين تقلّل الأثر العملي. وتثبت الدراسة وجود الثغرة ومسار الهجوم، لكنها لا تعرض أداة جاهزة تضمن النتيجة.