🤖 AI

RECUR: Resource Exhaustion Attack via Recursive-Entropy Guided Counterfactual Utilization and Reflection

本文提出了一种名为 RECUR 的资源耗尽攻击方法，通过利用“递归熵”来量化并诱导大推理模型（LRM）产生过度反思，从而通过构建反事实问题大幅增加模型的推理长度并显著降低推理吞吐量。

原作者： Ziwei Wang, Yuanhe Zhang, Jing Chen, Zhenhong Zhou, Ruichao Liang, Ruiying Du, Ju Jia, Cong Wu, Yang Liu

发布于 2026-02-10

📖 1 分钟阅读☕ 轻松阅读

原作者： Ziwei Wang, Yuanhe Zhang, Jing Chen, Zhenhong Zhou, Ruichao Liang, Ruiying Du, Ju Jia, Cong Wu, Yang Liu

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇文章介绍了一种针对新一代“推理大模型”（比如像 OpenAI o1 这种会“思考”很久的模型）的新型攻击手段，研究人员给它起名叫 RECUR。

为了让你听懂，我们不用学术术语，而是用一个**“杠精与逻辑死循环”**的比喻来解释。

1. 背景：会“思考”的大脑，也是“耗电”的大脑

现在的顶级 AI 不再是“脱口而出”，而是学会了“三思而后行”。当你问它一个难题时，它会在后台进行长长的“思维链”（Chain of Thought）推理。这就像一个学生在做数学题时，会在草稿纸上写满密密麻麻的步骤，最后才给你答案。

问题来了： 这种“思考”是非常消耗计算资源（电力、显卡算力、时间）的。如果有人能让这个 AI “思考”到停不下来，那服务器就会被累死，导致服务瘫痪。这就是所谓的**“资源耗尽攻击”**。

2. 核心发现：什么是“递归熵”（Recursive Entropy）？

研究人员发现了一个神奇的指标，叫“递归熵”。我们可以把它想象成**“思维的稳定性”**。

正常思考（下降趋势）： 就像一个逻辑严密的侦探破案。一开始可能有很多线索（混乱），但随着推理的深入，真相越来越清晰，逻辑越来越确定，思维会变得越来越“稳”，也就是“熵”在下降。
陷入死循环（上升趋势）： 就像一个陷入精神内耗的人。他开始怀疑自己：“如果 1+1 不等于 2 呢？”、“如果我刚才想错了呢？”、“但如果刚才那个是对的，那现在这个又是错的呢？” 这种自我怀疑会导致思维越来越混乱、越来越无法收敛，也就是“熵”在上升。

3. 攻击手段 RECUR：如何制造“逻辑内耗”？

研究人员设计的 RECUR 攻击，就像是一个**“顶级杠精”**，它分三步走：

第一步：抛出“反事实问题”（制造怀疑）

它不会问简单的题，而是会问一些“逻辑陷阱”。
比如，它不问“1+1 等于几？”，而是问：“如果有人说 1+1 不等于 2，你觉得为什么他会这么想？” 这种问题会强迫 AI 进入“反思模式”，去思考一个根本不存在的错误逻辑。

第二步：引导“思维死循环”（精准杠精）

这是最阴险的一步。研究人员利用前面提到的“递归熵”，像是在 AI 的大脑里装了一个“导航仪”。它会不断寻找那些能让 AI “越想越乱” 的词汇和逻辑路径，引导 AI 进入那种“自我怀疑 $\rightarrow$ 重新思考 $\rightarrow$ 再次怀疑”的无限循环中。

第三步：精简“杠精语录”（高效攻击）

为了让攻击更有效，研究人员把 AI 陷入死循环时说过的那些“废话”进行精简，提取出最能让 AI 产生内耗的“逻辑短句”。这样，攻击者只需要发一段很短的话，就能让 AI 像复读机一样陷入无止境的思考。

4. 攻击效果有多恐怖？

实验结果非常惊人：

话痨程度： 被攻击后的 AI，输出的内容长度竟然增加了 11 倍！
效率暴跌： 服务器的处理能力（吞吐量）直接下降了 90%！
后果： 就像你本来想让一个学生算一道题，结果他因为你的挑衅，在草稿纸上写了三天三夜还没写完，最后甚至直接“宕机”罢工了。

总结

这篇文章其实是在给 AI 敲警钟：“思考”是一把双刃剑。 赋予 AI 深度推理能力让它变聪明了，但也给黑客留下了一个可以利用“逻辑内耗”来瘫痪系统的后门。我们需要研究如何让 AI 在面对“杠精”时，能够及时止损，跳出逻辑陷阱。

这是一篇关于大推理模型（Large Reasoning Models, LRMs）安全性的前沿研究论文。以下是对该论文的详细技术总结：

1. 研究问题 (Problem)

随着 OpenAI o1 和 DeepSeek-R1 等大推理模型的兴起，模型通过显式的“思维链”（Chain-of-Thought, CoT）进行长文本推理。虽然这提升了复杂任务的处理能力，但也引入了新的安全风险：资源耗尽攻击（Resource Exhaustion Attack）。

现有的攻击研究主要集中在通过复杂问题诱导模型“过度思考”（Overthinking），即生成冗长的非重复文本。然而，这些研究忽略了推理过程本身（尤其是自我反思/Reflection环节）可能存在的内在缺陷。如果能诱导模型进入**“思维循环”（Thinking Loops）**——即模型在逻辑中不断自我纠缠、无法终止的死循环，将能以极小的输入代价消耗极大的计算资源，从而瘫痪服务。

2. 核心方法论 (Methodology)

论文提出了一个名为 RECUR 的攻击框架，其核心在于利用新定义的指标——**递归熵（Recursive Entropy）**来引导模型进入思维循环。

A. 核心指标：递归熵 (Recursive Entropy, $H_r$ )

作者定义了递归熵来量化推理过程中的风险。它定义为：当前生成 Token 的概率与其对下一个 Token 分布熵的影响之比。

规律发现：在正常的（良性）推理过程中，递归熵通常呈下降趋势，意味着模型逐渐确定答案并趋向终止。
攻击目标：如果能逆转这一趋势，使递归熵呈上升趋势，则意味着模型正陷入一个低熵的、自我强化的正反馈循环（即思维循环）。

B. RECUR 攻击流程

RECUR 包含三个关键步骤：

反事实问题构建 (Counterfactual Question Construction)：
通过构造“反事实”命题（例如：给定一个正确答案，却问“为什么这个错误答案是对的？”），诱导模型在事实推理与反事实反思之间产生震荡，从而触发“过度反思”。
递归熵引导采样 (Recursive Entropy Guided Sampling)：
在白盒环境下，利用递归熵作为解码指标。在每一步采样时，不选择概率最高的 Token，而是选择能使递归熵最大化的 Token。这就像是在寻找通往“逻辑死循环”的最快路径。
基于相干性的剪枝 (Coherence-Based Trimming)：
为了将复杂的采样路径转化为高效的黑盒攻击 Prompt，作者通过剪枝技术剔除冗余步骤，仅保留能触发循环的关键“快捷方式”（Shortcuts），从而实现攻击的可迁移性。

3. 主要贡献 (Key Contributions)

理论创新：提出了“递归熵”这一概念，首次从信息论角度量化了 LRM 推理过程中的思维循环风险。
攻击框架：开发了 RECUR 框架，实现了从“过度思考”到“无限思维循环”的跨越。
机制揭示：揭示了 LRM 在处理反事实逻辑时，其自我反思机制可能演变为消耗资源的“正反馈陷阱”。

4. 实验结果 (Results)

实验在多种开源模型（如 DeepSeek-R1 系列、QwQ-32B）和闭源模型（如 GPT-o1、Gemini-2.5-flash、Grok-4）上进行了验证：

推理长度爆炸：相比于基准问题，RECUR 诱导的输出长度最高可增加 11 倍。在某些闭源模型上，甚至触发了推理崩溃（Reasoning Collapse），导致输出无法返回。
资源消耗剧增：在本地模拟测试中，RECUR 攻击使模型的吞吐量（Throughput）下降了约 90%，响应延迟（Latency）大幅增加。
高迁移性：通过剪枝后的攻击 Prompt 在黑盒环境下依然表现出极强的攻击力，证明了该攻击并非针对特定模型的过拟合，而是利用了 LRM 共同的推理机制缺陷。
成功率：在诱导模型进入思维循环方面，RECUR 显著优于现有的 Overthink、GCG 等基准方法。

5. 研究意义 (Significance)

该研究具有重要的安全警示意义：

暴露了 LRM 的脆弱性：证明了推理能力的增强同时也扩大了攻击面，传统的防御手段难以应对这种基于逻辑结构的“逻辑炸弹”。
指导模型鲁棒性设计：研究结果为未来开发更鲁棒的推理模型提供了方向，例如通过监控推理过程中的熵值变化，及时检测并中断潜在的思维循环。
服务可用性风险：提醒服务提供商，必须针对推理过程中的资源消耗进行更严格的配额管理和异常检测，以防止大规模的拒绝服务攻击（DoS）。