Des chercheurs d'Alibaba découvrent une faille DoS dans les modèles d'IA de raisonnement

Lors de la conférence ICML 2026 à Séoul, début juillet 2026, des chercheurs de l'Université du Zhejiang et du géant technologique Alibaba ont présenté un nouveau type d'attaque contre les modèles d'IA de raisonnement : des prompts volontairement déformés enferment DeepSeek-R1, GPT-o3 d'OpenAI et Gemini 2.5 Flash de Google dans des boucles de raisonnement sans fin, multiplient par des dizaines le volume des réponses et font peser un risque de déni de service (DoS) sur les services commerciaux d'IA.

Comment fonctionne l'attaque

Les modèles de raisonnement actuels ne répondent pas instantanément : ils génèrent un monologue interne et décortiquent le problème étape par étape avant la réponse finale. Les chercheurs ont transformé cette particularité en faille.

L'équipe a pris 940 problèmes issus de trois benchmarks de mathématiques et, à l'aide d'un LLM, a décomposé chacun en prémisses logiques et en question finale. Un algorithme génétique a ensuite appliqué des « mutations » : échange de prémisses entre problèmes, ajout de conditions sans rapport, suppression des données clés sans lesquelles le problème est insoluble, permutation des questions finales. Après chaque tour, le système retenait les variantes qui gonflaient le plus les réponses et déclenchaient le plus de mots d'hésitation : « mais », « attendez », « peut-être », « sinon ». Au bout de cinq itérations, l'algorithme produit un jeu de prompts calibrés pour un modèle précis.

Faits clés :

• Modèles testés : DeepSeek-R1, Qwen3-Thinking (Alibaba), GPT-o3 (OpenAI), Gemini 2.5 Flash (Google)
• Allongement maximal des réponses : 26,1× — DeepSeek-R1 sur le jeu de données MATH
• Jeu de données initial : 940 problèmes issus de trois benchmarks de mathématiques
• L'attaque passe par une API publique ; l'accès aux poids du modèle n'est pas nécessaire
• Les prompts créés par un modèle auxiliaire peu coûteux fonctionnent aussi contre des systèmes fermés coûteux

Pourquoi les modèles de raisonnement se sont-ils révélés vulnérables ?

Les modèles de raisonnement sont facturés au nombre de tokens : plus la chaîne de raisonnement est longue, plus la charge sur les serveurs augmente et plus le fournisseur dépense de ressources de calcul pour chaque requête. Si une telle attaque était menée à l'échelle industrielle, les utilisateurs légitimes subiraient un net ralentissement, voire une indisponibilité complète du service. L'effet ne se limite pas aux mathématiques : les auteurs ont aussi testé des tâches de programmation, de raisonnement scientifique et des scénarios de dialogue, et ont constaté dans tous les cas un allongement significatif des réponses.

«

Nos résultats montrent que le surraisonnement n'est pas un phénomène isolé propre à certains modèles, mais une vulnérabilité générale des systèmes de raisonnement actuels », a écrit Wei Cao, étudiant en master à l'Université du Zhejiang, dans un message adressé à IEEE Spectrum.

Autre risque : l'attaque se transfère d'un modèle à l'autre. Des prompts malveillants générés par un modèle ouvert peu coûteux fonctionnent efficacement contre des systèmes fermés coûteux, ce qui abaisse le coût de l'attaque à un niveau réalisable en pratique.

Ce que cela signifie

La vulnérabilité est systémique : elle se reproduit sur les quatre modèles de raisonnement testés, quels que soient le développeur et l'architecture. Les auteurs soulignent que le but du travail est d'établir l'existence de la faille, et non de créer un outil de DoS clé en main. Le rate limiting, les politiques tarifaires et les filtres existants contiennent la menace, mais ne l'éliminent pas. Une solution systémique exigera un travail au niveau de l'architecture : limiter la longueur des chaînes de raisonnement, détecter les « boucles à vide » et filtrer les entrées logiquement contradictoires.

Questions fréquentes

Quels modèles se sont révélés vulnérables à l'attaque ?

L'étude a testé quatre systèmes de raisonnement : DeepSeek-R1, Qwen3-Thinking d'Alibaba, GPT-o3 d'OpenAI et Gemini 2.5 Flash de Google. Les quatre ont montré un allongement significatif des réponses face aux prompts déformés.

Dans quelle mesure la menace d'un

DoS industriel est-elle réelle ?

Les auteurs reconnaissent des limites : le rate limiting, la tarification et les filtres existants des fournisseurs réduisent l'effet pratique. L'étude établit l'existence de la faille et du vecteur d'attaque, mais ne démontre pas d'outil prêt à l'emploi au résultat garanti.