باحثون من Alibaba يكتشفون ثغرة DoS في نماذج AI الاستدلالية

اكتشف الباحثون من علي بابا ثغرة DoS في نماذج الذكاء الاصطناعي الاستدلالية

في مؤتمر ICML 2026 في سيول في أوائل يوليو 2026، قدم الباحثون من جامعة تشجيانغ وعملاق التكنولوجيا علي بابا هجوماً جديداً على نماذج الذكاء الاصطناعي الاستدلالية: المحفزات المشوهة بشكل خاص تقود DeepSeek-R1 وGPT-o3 من OpenAI وGemini 2.5 Flash من Google إلى حلقات استدلال لانهائية، مما يؤدي إلى تضخيم حجم الاستجابات عشرات المرات وخلق مخاطر حجب الخدمة لخدمات الذكاء الاصطناعي التجارية.

كيف يعمل الهجوم

لا تنتج نماذج الاستدلال الحديثة الاستجابة على الفور — فهي تولد حواراً داخلياً، تحلل المهمة خطوة بخطوة قبل الاستجابة النهائية. حول الباحثون هذه الميزة تماماً إلى ثغرة أمنية.

أخذت الفريق 940 مهمة من ثلاثة مقاييس رياضية وقسمت كل واحدة باستخدام نموذج لغة كبير إلى فرضيات منطقية وسؤال نهائي. طبق الخوارزمية الجينية "طفرات": أعادت ترتيب الفرضيات بين المهام، أضافت شروطاً غير مرتبطة، أزالت بيانات رئيسية بدونها تصبح المهمة غير قابلة للحل، غيّرت الأسئلة النهائية. بعد كل جولة، اختارت النظام الخيارات التي تزيد إلى أقصى حد من تضخيم الاستجابة وتحفز علامات التردد: "لكن،" "انتظر،" "ربما،" "كبديل." خمس تكرارات — والخوارزمية تنتج مجموعة من المحفزات المضبوطة خصيصاً لكل نموذج.

الحقائق الرئيسية:

• النماذج المختبرة: DeepSeek-R1 وQwen3-Thinking (علي بابا) وGPT-o3 (OpenAI) وGemini 2.5 Flash (Google)
• أقصى زيادة في طول الاستجابة: 26.1× — DeepSeek-R1 على مجموعة بيانات MATH
• مجموعة البيانات الأصلية: 940 مهمة من ثلاثة مقاييس رياضية
• يعمل الهجوم عبر واجهة برمجية عامة — لا حاجة للوصول إلى أوزان النموذج
• المحفزات التي تم إنشاؤها بواسطة نموذج مساعد رخيص تعمل ضد الأنظمة المغلقة المكلفة

لماذا اتضح أن نماذج الاستدلال معرضة للثغرات؟

يتم تحديد سعر نماذج الاستدلال حسب عدد الرموز: كلما طالت سلسلة الاستدلال، زادت حمل الخادم وزادت الموارد الحسابية التي ينفقها المزود على كل طلب. إذا تم تشغيل مثل هذا الهجوم على نطاق صناعي، سيعاني المستخدمون الشرعيون من تباطؤ حاد أو عدم توفر الخدمة بالكامل. يتم إعادة إنتاج التأثير ليس فقط في الرياضيات — اختبر المؤلفون المهام في البرمجة والاستدلال العلمي والسيناريوهات الحوارية، وفي جميع الحالات سجلوا إطالة كبيرة في الاستجابات.

"تُظهر نتائجنا أن الإفراط في التفكير ليس ظاهرة معزولة لنماذج معينة، بل ثغرة عامة في الأنظمة الاستدلالية الحديثة،" كتب ويي تساو، طالب الدراسات العليا بجامعة تشجيانغ، في رسالة إلى IEEE

Spectrum.

يتمثل الخطر الإضافي في نقل الهجوم بين النماذج. المحفزات الضارة التي تم إنشاؤها بواسطة نموذج مفتوح رخيص تعمل بشكل فعال ضد الأنظمة المغلقة المكلفة، مما يقلل تكلفة الهجوم إلى مستوى قابل للتطبيق عملياً.

ما معنى هذا

اتضح أن الثغرة منهجية: تتكرر على جميع النماذج الاستدلالية الأربعة المختبرة بغض النظر عن المطور والهندسة المعمارية. يؤكد المؤلفون أن الهدف من العمل هو توثيق وجود الثغرة، وليس إنشاء أداة DoS جاهزة. يعمل تحديد معدل التدفق والسياسات السعرية والمرشحات الموجودة على احتواء التهديد ولكن لا تضيره. يتطلب الحل المنهجي عملاً على مستوى الهندسة المعمارية: تحديد أطوال سلاسل الاستدلال والكشف عن "الحلقات الفارغة" وتصفية بيانات الإدخال المتناقضة منطقياً.

الأسئلة الشائعة

أي النماذج تبين أنها عرضة للهجوم؟

اختبرت الدراسة أربعة أنظمة استدلالية: DeepSeek-R1 وQwen3-Thinking من علي بابا وGPT-o3 من OpenAI وGemini 2.5 Flash من Google. أظهرت جميعها الأربع إطالة كبيرة في الاستجابة على المحفزات المشوهة.

ما مدى واقعية تهديد DoS الصناعي؟

يعترف المؤلفون بالقيود: يقلل تحديد معدل التدفق والتسعير والمرشحات الموجودة للمزودين من الأثر العملي. تُوثق الدراسة وجود الثغرة وناقل الهجوم — لكنها لا تُظهر أداة جاهزة بنتيجة مضمونة.