Alle Depeschen

DepescheForschungneu

Denial of Service durch Grübeln: Manipulierte Aufgaben treiben Reasoning-Modelle zu 26-fach längeren Antworten

Eine für die ICML 2026 angenommene Arbeit („Inducing Overthink: Hierarchical Genetic Algorithm-based DoS Attack on Black-Box Large Language Reasoning Models“, Preprint seit 13. Mai 2026) beschreibt das „Überdenken“ von Reasoning-Modellen als gezielt ausnutzbare Schwachstelle. Ein Black-Box-Verfahren zerlegt eine Aufgabe strukturiert und stört ihre logische Struktur mit einem hierarchischen genetischen Algorithmus so lange, bis die Antwort möglichst lang wird und möglichst viele Zweifel-Marker enthält. Über vier getestete Reasoning-Modelle – DeepSeek-R1, Qwen3-Thinking, o3 und Gemini 2.5 Flash – verlängert das die Ausgabe auf dem MATH-Benchmark um bis zum 26,1-Fachen. Die Eingaben lassen sich übertragen: An einem kleinen Proxy-Modell entwickelte Angriffe wirken laut Abstract auch gegen große kommerzielle Modelle.

Der Ansatz setzt an einer bekannten Eigenart an, die das Abstract so beschreibt: „LRMs exhibit a tendency to ‚overthink‘, producing excessively long and redundant reasoning traces, when confronted with incomplete or logically inconsistent inputs.“ Genau dieser Zustand wird gezielt herbeigeführt. Ein hierarchischer genetischer Algorithmus arbeitet auf strukturierten Zerlegungen der Aufgabe und optimiert eine zusammengesetzte Fitness-Funktion, die „both response length and reflective overthinking markers“ maximieren soll – Antwortlänge und Grübel-Marker zugleich. Das Ergebnis beziffert das Abstract mit „up to a 26.1x increase on the MATH benchmark“ über vier Modelle hinweg, „consistently outperforming benign and manually crafted missing-premise baselines“. Die Autoren rahmen das ausdrücklich als Verfügbarkeitsangriff: Das Verhalten erhöhe Latenz und Energieverbrauch spürbar und bilde „a potential vector for denial-of-service (DoS) style resource exhaustion“.

Praktisch bedeutsam ist die Übertragbarkeit, denn sie senkt die Hürde: Die Angriffs-Eingaben müssen nicht am Zielmodell entwickelt werden. Laut Abstract behalten „adversarial inputs evolved using a small proxy model“ ihre Wirkung „against large commercial LRMs“; für die übertragenen Angriffe weist die Ergebnistabelle des Papers Verlängerungsfaktoren zwischen 2,3 und 8,1 aus. Als Zielmodelle führt die Arbeit DeepSeek-R1 (671 Milliarden Parameter), Qwen3-Thinking, o3 und Gemini 2.5 Flash – eine Auswahl, die den Stand des Preprints vom Mai 2026 abbildet und keines der seither erschienenen Spitzenmodelle enthält.

Zur Beleglage: Die Arbeit stammt von Shuqiang Wang, Wei Cao, Jiaqi Weng, Jialing Tao, Licheng Pan, Hui Xue und Zhixuan Chu; t3n verortet die Gruppe an der Zhejiang-Universität in Hangzhou. Der arXiv-Eintrag (cs.CR/cs.AI, v1 vom 13. Mai 2026, v2 vom 14. Mai 2026) trägt im Kommentarfeld den Vermerk „Accepted at ICML 2026“, die Arbeit hat das Begutachtungsverfahren der Konferenz also durchlaufen – die deutschsprachige Rezeption bei t3n bezeichnet sie dennoch als noch nicht unabhängig geprüft, was auf den Preprint-Status zielt. Gegenmaßnahmen behandelt das Paper nicht: Es endet bei der Feststellung, Überdenken sei eine „shared and exploitable vulnerability in modern reasoning systems“, und verweist auf den Bedarf robusterer Verteidigung.