Pesquisadores da Alibaba encontram vulnerabilidade DoS em modelos de IA de raciocínio

Na conferência ICML 2026, realizada em Seul no início de julho de 2026, pesquisadores da Universidade de Zhejiang e da gigante de tecnologia Alibaba apresentaram um novo tipo de ataque a modelos de IA de raciocínio: prompts deliberadamente distorcidos levam DeepSeek-R1, GPT-o3 da OpenAI e Gemini 2.5 Flash do Google a ciclos de raciocínio infinitos, inflam o volume das respostas dezenas de vezes e criam risco de negação de serviço (DoS) para serviços comerciais de IA.

Como o ataque funciona

Os modelos de raciocínio atuais não respondem de imediato: eles geram um monólogo interno e analisam o problema passo a passo antes da resposta final. Os pesquisadores transformaram exatamente essa característica em vulnerabilidade.

A equipe pegou 940 problemas de três benchmarks de matemática e usou um LLM para decompor cada um em premissas lógicas e uma pergunta final. Um algoritmo genético aplicou "mutações": trocou premissas entre problemas, adicionou condições sem relação, removeu dados essenciais sem os quais o problema não tem solução e trocou as perguntas finais de lugar. Após cada rodada, o sistema selecionava as variantes que mais inflavam as respostas e mais provocavam palavras de indecisão: "mas", "espere", "talvez", "alternativamente". Com cinco iterações, o algoritmo gera um conjunto de prompts ajustados a um modelo específico.

Principais fatos:

• Modelos testados: DeepSeek-R1, Qwen3-Thinking (Alibaba), GPT-o3 (OpenAI), Gemini 2.5 Flash (Google)
• Aumento máximo no tamanho da resposta: 26,1× — DeepSeek-R1 no dataset MATH
• Dataset de origem: 940 problemas de três benchmarks de matemática
• O ataque funciona por API pública; não é preciso ter acesso aos pesos do modelo
• Prompts criados por um modelo auxiliar barato também funcionam contra sistemas fechados caros

Por que os modelos de raciocínio se mostraram vulneráveis?

Os modelos de raciocínio são cobrados por número de tokens: quanto mais longa a cadeia de raciocínio, maior a carga nos servidores e mais recursos computacionais o provedor gasta em cada requisição. Se um ataque desses fosse executado em escala industrial, usuários legítimos sentiriam forte lentidão ou indisponibilidade total do serviço. O efeito não se limita à matemática: os autores também testaram tarefas de programação, raciocínio científico e cenários de diálogo, e em todos os casos registraram alongamento significativo das respostas.

"Nossos resultados mostram que o excesso de raciocínio não é um fenômeno isolado de modelos específicos, mas uma vulnerabilidade geral dos sistemas de raciocínio atuais", escreveu

Wei Cao, mestrando da Universidade de Zhejiang, em mensagem à IEEE Spectrum.

Um risco adicional é a transferibilidade do ataque entre modelos. Prompts maliciosos gerados por um modelo aberto barato funcionam bem contra sistemas fechados caros, o que reduz o custo do ataque a um nível praticamente viável.

O que isso significa

A vulnerabilidade é sistêmica: ela se reproduz nos quatro modelos de raciocínio testados, independentemente do desenvolvedor e da arquitetura. Os autores ressaltam que o objetivo do trabalho é constatar a existência da vulnerabilidade, e não criar uma ferramenta de DoS pronta. Rate limiting, políticas de preços e filtros existentes contêm a ameaça, mas não a eliminam. Uma solução sistêmica exigirá trabalho no nível da arquitetura: limitar o tamanho das cadeias de raciocínio, detectar "loops vazios" e filtrar entradas logicamente contraditórias.

Perguntas frequentes

Quais modelos se mostraram vulneráveis ao ataque?

O estudo testou quatro sistemas de raciocínio: DeepSeek-R1, Qwen3-Thinking da Alibaba, GPT-o3 da OpenAI e Gemini 2.5 Flash do Google. Todos os quatro apresentaram alongamento significativo das respostas diante de prompts distorcidos.

Quão real é a ameaça de um DoS industrial?

Os autores reconhecem limitações: rate limiting, precificação e os filtros existentes dos provedores reduzem o efeito prático. O estudo constata a existência da vulnerabilidade e do vetor de ataque, mas não demonstra uma ferramenta pronta com resultado garantido.