ReasoningBomb：诱导大型推理模型产生病态长推理的隐蔽拒绝服务攻击
ReasoningBomb: A Stealthy Denial-of-Service Attack by Inducing Pathologically Long Reasoning in Large Reasoning Models
论文速读
据论文全文整理（AI 生成），以原文为准
研究者提出 ReasoningBomb，一种基于强化学习的提示诱导推理时拒绝服务（PI-DoS）攻击框架，训练攻击方大推理模型生成简短自然的提示词，诱导受害推理模型产生病态冗长的推理轨迹。
- 大推理模型（LRM）会生成显式推理链，推理阶段的算力开销远超输出本身。作者指出，在订阅制（固定月费、按请求配额）下，服务商承担几乎全部边际推理成本，攻击者可用短提示词诱使模型产生病态冗长的推理，造成推理时拒绝服务（PI-DoS）。
- 作者先形式化推理成本与 PI-DoS，并提出有效攻击须满足三条性质：高放大比、隐蔽性（提示与响应仍在自然语言流形上）、可优化性（反馈评估时间不随攻击成功而增长）。据此提出 ReasoningBomb：用 LRM 作攻击者，先按 token 预算做 SFT，再用 GRPO 强化学习，奖励由基于受害者隐藏态的轻量 MLP 预测推理长度与组内多样性奖励组成，并用 KL 正则维持语义自然。
- 在 7 个开源模型（2 个 LLM、5 个 LRM）和 3 个商用 LRM 上测试，作者称 ReasoningBomb 平均诱导 18,759 个 completion token、19,263 个 reasoning token，比次优基线高 35% 和 38%，放大比平均 286.7×，是良性查询的 6–7 倍；输入检测绕过 99.8%、输出检测 98.7%、双阶段联合检测 98.4%。代理奖励与真实生成长度相关（同模型 Pearson 0.7485，跨模型约 0.56），评估约 0.2ms/查询。吞吐模拟显示 10% 恶意流量可占 64.3% 算力时间、使良性吞吐约减半。
- 作者指出，强化学习训练中攻击提示多样性会下降，尤其 128-token 预算下组内相似度较高；推测与 GRPO 的组内归一化和长度预测器训练数据单一有关。据此提出潜在防御：对已知攻击模式复用 KV cache，以及内部红队与对抗训练，但多样性下降无法在不牺牲攻击效果的前提下完全消除。
研究者提出 ReasoningBomb，一种基于强化学习的提示诱导推理时拒绝服务（PI-DoS）攻击框架，训练攻击方大推理模型生成简短自然的提示词，诱导受害推理模型产生病态冗长的推理轨迹。在 7 个开源模型和 3 个商用推理模型（Claude 4.5、GPT-5、Gemini 3）上，该方法平均诱导 18,759 个 completion token 和 19,263 个推理 token，比次优基线分别高 35% 和 38%，平均输入输出放大比达 286.7 倍。论文报告其在输入检测、输出检测和双阶段联合检测上的绕过率分别为 99.8%、98.7% 和 98.4%，吞吐模拟显示仅 10% 恶意流量即可占用 64.3% 的计算时间。
推荐理由论文把推理模型的推理时长当作攻击面，量化了短提示词放大推理成本的效果，可供部署方评估服务成本风险。