OpenAI破大防，拒绝率从98%骤降2%！陈怡然团队提出全新思维链劫持攻击

299 0 0

文章摘要

随着大型推理模型（LRMs）的快速发展，其推理能力和安全性之间的平衡成为关键问题。近期研究表明，模型的安全审查透明化反而成为其弱点，攻击者可以通过「思维链劫持」（H-CoT）绕过安全防线，使模型拒绝率从98%骤降至2%。这一发现揭示了LRMs在安全机制上的重大漏洞，并引发了对模型透明性与安全性之间关系的深入讨论。

H-CoT攻击的核心在于利用模型展示的安全推理链。攻击者首先通过无害问题诱导模型输出其安全审查逻辑，随后伪造相似的思维链嵌入危险请求中，使模型误以为请求是安全的。这种攻击方法不仅高效，而且具有通用性，能够应用于多种具备思维链的模型。实验表明，OpenAI的o系列、DeepSeek-R1以及谷歌的Gemini 2.0等顶尖模型在H-CoT攻击下均表现出显著的安全失效。

OpenAI的o系列模型在默认情况下对高危请求表现出极高的警惕性，拒绝率接近98%。然而，在H-CoT攻击下，其安全防线迅速崩溃，拒绝率骤降，甚至对危险指令几乎全面放行。此外，研究发现o系列模型的安全表现存在下滑趋势，可能源于开发者为了提高模型实用性而放松了部分安全限制。DeepSeek-R1的安全机制则更为薄弱，其「先回答、同时审查」的策略导致许多高危请求未被拒绝，H-CoT攻击进一步将其拒绝率从20%降至4%。更令人担忧的是，DeepSeek-R1对不同语言的内容审查严格程度不同，攻击者可以通过切换语言绕过其安全约束。

Gemini 2.0 Flash Thinking的安全对齐优先级明显不足，在无攻击时的拒绝率仅为10%。在H-CoT攻击下，其拒绝率直接降为0%，且回答语气从犹豫转为积极，主动提供完整的有害方案。这表明Gemini 2.0的设计过于注重指令跟随性能，而忽视了必要的道德约束，导致其极易被思维链投毒而丧失原则。

H-CoT攻击的出现凸显了LRMs在安全机制上的两难困境：透明化有助于解释模型决策，但过度透明会为攻击者提供可乘之机。研究者建议，模型可以选择不直接向普通用户暴露完整的安全推理链，而只给出模糊化的拒绝理由，或者将详细的推理日志仅供开发者审计。此外，安全机制的设计需要与模型的推理能力同步发展，确保模型在追求智能突破的同时，具备足够的安全保障。

这项研究为LRMs的安全性敲响了警钟，强调了在模型开发中平衡能力与安全的重要性。未来，业界和学界需要进一步探索更精密的安全机制，确保下一代AI在拥有卓越智能的同时，更加可靠、可信。