Investigadores de Alibaba hallan una vulnerabilidad DoS en los modelos de IA de razonamiento

En la conferencia ICML 2026, celebrada en Seúl a principios de julio de 2026, investigadores de la Universidad de Zhejiang y del gigante tecnológico Alibaba presentaron un nuevo tipo de ataque contra los modelos de IA de razonamiento: prompts distorsionados a propósito llevan a DeepSeek-R1, GPT-o3 de OpenAI y Gemini 2.5 Flash de Google a bucles de razonamiento interminables, multiplican por decenas el volumen de las respuestas y crean un riesgo de denegación de servicio (DoS) para los servicios comerciales de IA.

Cómo funciona el ataque

Los modelos de razonamiento actuales no responden al instante: generan un monólogo interno y analizan el problema paso a paso antes de dar la respuesta final. Los investigadores convirtieron justamente esa característica en una vulnerabilidad.

El equipo tomó 940 problemas de tres benchmarks matemáticos y descompuso cada uno, con ayuda de un LLM, en premisas lógicas y una pregunta final. Un algoritmo genético aplicó "mutaciones": intercambió premisas entre problemas, añadió condiciones no relacionadas, eliminó datos clave sin los cuales el problema no se puede resolver e intercambió las preguntas finales. Tras cada ronda, el sistema seleccionaba las variantes que más inflaban las respuestas y que más palabras de indecisión provocaban: "pero", "espera", "quizá", "alternativamente". Tras cinco iteraciones, el algoritmo produce un conjunto de prompts ajustados a un modelo concreto.

Datos clave:

• Modelos probados: DeepSeek-R1, Qwen3-Thinking (Alibaba), GPT-o3 (OpenAI), Gemini 2.5 Flash (Google)
• Aumento máximo de la longitud de respuesta: 26,1× — DeepSeek-R1 en el conjunto MATH
• Conjunto de datos de partida: 940 problemas de tres benchmarks matemáticos
• El ataque funciona a través de una API pública; no se necesita acceso a los pesos del modelo
• Los prompts creados con un modelo auxiliar barato también funcionan contra sistemas cerrados caros

¿Por qué resultaron vulnerables los modelos de razonamiento?

Los modelos de razonamiento se tarifican por número de tokens: cuanto más larga es la cadena de razonamiento, mayor es la carga sobre los servidores y más recursos de cómputo gasta el proveedor en cada solicitud. Si un ataque así se ejecutara a escala industrial, los usuarios legítimos notarían una fuerte lentitud o la indisponibilidad total del servicio. El efecto no se limita a las matemáticas: los autores probaron también tareas de programación, razonamiento científico y escenarios de diálogo, y en todos los casos registraron un alargamiento significativo de las respuestas.

"Nuestros resultados muestran que el exceso de pensamiento no es un fenómeno aislado de modelos concretos, sino una vulnerabilidad general de los sistemas de razonamiento actuales", escribió

Wei Cao, estudiante de máster de la Universidad de Zhejiang, en un mensaje a IEEE Spectrum.

Un riesgo adicional es que el ataque se transfiere entre modelos. Los prompts maliciosos generados por un modelo abierto barato funcionan con eficacia contra sistemas cerrados caros, lo que reduce el coste del ataque hasta un nivel viable en la práctica.

Qué significa

La vulnerabilidad es sistémica: se reproduce en los cuatro modelos de razonamiento probados, con independencia del desarrollador y de la arquitectura. Los autores subrayan que el objetivo del trabajo es constatar que la vulnerabilidad existe, no crear una herramienta DoS lista para usar. El rate limiting, las políticas de precios y los filtros existentes contienen la amenaza, pero no la eliminan. Una solución sistémica exigirá trabajo a nivel de arquitectura: limitar la longitud de las cadenas de razonamiento, detectar los "bucles vacíos" y filtrar las entradas lógicamente contradictorias.

Preguntas frecuentes

¿Qué modelos resultaron vulnerables al ataque?

El estudio probó cuatro sistemas de razonamiento: DeepSeek-R1, Qwen3-Thinking de Alibaba, GPT-o3 de OpenAI y Gemini 2.5 Flash de Google. Los cuatro mostraron un alargamiento significativo de las respuestas ante prompts distorsionados.

¿Qué tan real es la amenaza de un DoS industrial?

Los autores reconocen limitaciones: el rate limiting, la tarificación y los filtros existentes de los proveedores reducen el efecto práctico. El estudio constata la existencia de la vulnerabilidad y del vector de ataque, pero no demuestra una herramienta lista con resultado garantizado.