148倍延迟拖垮AI智能体，港科大等揭秘新型DoS护栏攻击

香港科技大學與浙江大學的最新研究揭示了一種顛覆性的AI系統攻擊方式。不同於傳統試圖欺騙或繞過安全護欄的策略，新攻擊直接利用深度推理護欄——這些號稱最安全的防禦機制——的結構性缺陷。攻擊者的創新之處在於不去對抗護欄，而是讓護欄陷入自我消耗的陷阱。通過注入精心設計的結構化偽裝檢查表（包含分類、美舉、深度美舉、反接鏡等元素），模型因其高度的指令遵從性而不斷生成、評估這些虛假表單，最終陷入永不終止的無限死循環。實驗數據顯示，模型的注意力權重猛增9.6倍，熵值從0.264比特大幅下降至0.132比特，證明模型已停止真正思考，淪為無主見的「填表機器」。

令人震驚的是這種攻擊的極致效率。攻擊者投入的成本極低——僅需約800字符的輸入——卻能驅動模型生成超過5萬字符的垃圾內容，實現63倍的令牌放大。系統延遲的放大更加驚人，從正常的幾秒時間飆升至分鐘甚至小時級別。在代碼智能體場景中，正常耗時138秒的任務被拖延至59分鐘；在多智能體系統中，單次安全驗證耗時高達730秒，延遲被放大了148倍；在網頁智能體中，原本10秒的評估被硬生生拖延至21分鐘。系統不僅變慢，而是徹底癱瘓，無法對任何請求做出響應。

更令人擔憂的是這種攻擊的通用性和廣泛性。香港科大的研究表明，攻擊對所有大型語言模型都無差別有效。無論開源模型還是商業模型——包括業界最先進的GPT-4、Claude等——都無法免疫。一個被污染的智能體可以通過共享的安全模塊癱瘓整個多智能體系統，導致全網吞吐量暴跌23.3%。隱藏在網頁DOM中的惡意標籤可以無聲地攻擊所有訪問該頁面的Web AI。桌面智能體的三重檢查架構號稱最嚴密防線，卻反而成了攻擊者的最佳放大器。這不是特定模型的漏洞，而是指令遵循機制的根本性共性缺陷。

最具反諷意味的發現是防禦與攻擊的關係完全反轉。研究揭示了一個反直覺的規律：模型越聰明越脆弱。推理能力越強、指令遵從度越高的模型，越會嚴格執行攻擊指令，陷入更深更長的死循環無法自拔。傳統防禦思路面臨無法解決的「電車難題」：強制限制推理時間會導致對合法用戶的拒絕；允許自由推理則會放任攻擊肆虐。無論防守方做出何種選擇，都必然付出慘重代價——要麼擊穿安全底線，要麼癱瘓系統服務。更令人絕望的是，傳統的安全分類器完全失效，因為攻擊載體具有極高的自然語言流暢度，看起來完全像專業的安全分析術語，困惑度高達0.999以上，無法被常規過濾器識別。

該研究還揭示了攻擊的自動化演化能力，為大規模實戰奠定了基礎。研究團隊開發的攻擊框架採用遺傳演算法，通過變異和選擇持續進化出更有效的攻擊載體。機制級別的變異方案只需改動結構草位、增加分類模塊、打亂證據順序等簡單操作，就能以極低成本快速生成海量變體，單個變體的生成成本直降6.6倍，適合大規模實戰部署。