На конференції ICML 2026 у Сеулі дослідники з Чжецзянського університету та Alibaba представили принципово новий клас атак на міркувальні ШІ-моделі. На відміну від традиційних векторів, спрямованих на крадіжку даних або перехоплення управління, цей метод робить нейромережу марною, змушуючи її витрачати величезні обчислювальні ресурси на обробку запитів.

Механізм атаки: як змусити модель «замислитися»

Міркувальні моделі (reasoning models) відрізняються від звичайних LLM тим, що розбивають кожне завдання на послідовні логічні кроки. Це робить їх незамінними для складного багатоетапного аналізу, але відкриває і вразливість: під час роботи з неповними або суперечливими даними такі моделі схильні до «надмірного обдумування» — генерації надмірно довгих ланцюжків міркувань.

Розроблений метод використовує генетичний алгоритм для навмисного провокування такої поведінки. Дослідники перемішують умови завдань, видаляють ключові передумови та додають зайві, а потім відбирають варіанти, що викликають максимально довгу відповідь. Результати вражають: на бенчмарку MATH довжина ланцюжків міркувань зросла в 26,1 раза.

Під удар потрапили ключові моделі ринку: DeepSeek-R1, Qwen3-Thinking, GPT-o3 та Gemini 2.5 Flash. Примітно, що запити, створені для однієї невеликої моделі, виявилися ефективними проти більших комерційних систем. Це означає, що атаки можна готувати на дешевому обладнанні, а потім застосовувати проти закритих сервісів.

Один із авторів дослідження, Вей Цао, підкреслив: «Наша мета — не продемонструвати, що масштабні атаки можливі з мінімальними витратами, а зафіксувати, що ця поверхня атаки існує».

Чому це критично для криптоіндустрії

Міркувальні моделі все активніше впроваджуються в агентні ШІ-системи DeFi: торгових ботів, інструменти аудиту смарт-контрактів та децентралізовану інфраструктуру. Цифрові асистенти на базі ШІ вже керують реальними коштами без участі людини. Навмисно викликаний збій у логіці — це прямий операційний ризик.

Раніше, в лютому 2025 року, група дослідників проаналізувала 4018 агентних траєкторій і виділила три патерни надмірного обдумування:

  • параліч аналізу — модель продовжує міркувати замість виконання завдання;
  • непередбачувані дії — після помилки намагається виконати кілька дій одночасно;
  • передчасне завершення — припиняє виконання завдання, не перевіривши результат.

Чим сильніше виражений ефект, тим нижча результативність. Новий метод робить ці патерни керованими.

Моя експертна оцінка: Ринок DeFi та агентних ШІ-систем стоїть на порозі серйозного виклику. Поки розробники зосереджені на функціональності та швидкості, безпека архітектури міркувань залишається «сліпою плямою». Атаки, подібні до цієї, можуть стати новим вектором DoS для криптоінфраструктури, де час обробки запиту безпосередньо конвертується у фінансові втрати. Інвесторам та розробникам варто приділити пріоритетну увагу аудиту логічних ланцюжків ШІ-агентів.