预填充推理通道：针对推理型 LLM 的输出前缀攻击

一项 arXiv 论文首次系统对照研究将推理模型的思维链通道作为输出前缀攻击入口。研究采用 3 种前缀类型 × 2 种推理注入的析因设计，在 AdvBench 的 1800 个测试用例上攻击 Gemini 3 Flash Preview、DeepSeek V4 Flash 和 Claude Haiku 4.5。结果显示：单独注入恶意推理几乎无效，成功率约 0%，但与简单的输出前缀结合后，部分模型攻击成功率高达 99%。

此前输出前缀攻击主要针对非推理模型，被认为可被推理步骤削弱。该研究首次把推理通道单独隔离验证，指出推理内容本身无害，真正危险的是推理与输出前缀的叠加效应，说明推理步骤并未提供额外安全屏障。

LLM 按单一序列生成文本，若外部能向回复开头插入文本，后续所有 token 都会以其为条件。部分 API 暴露推理通道，使攻击者可先注入恶意推理，再加一个简单输出前缀，两者叠加后模型更容易顺从，且上下文相关前缀比静态前缀更有效。

产品团队不能把推理通道视为安全隔离层。任何允许编辑、回填或预填充推理内容的 API 与界面，都需重新评估注入风险；模型选型时也应把该攻击面纳入安全测试，而非只测最终输出。

• 对开放推理通道的 API 增加前缀来源校验与内容过滤，阻止外部注入的推理文本进入模型上下文。
• 在模型上线安全评测中加入“推理+输出前缀”组合攻击用例，作为标准红队测试项。
• 为依赖推理通道的产品提供开关，默认隐藏或禁止外部预填充推理内容，降低攻击面。
• 按模型分别记录该攻击的成功率，形成选型参考数据，优先部署抗性更强的模型。

• 该攻击在真实产品 API 中是否可被外部用户直接触发，还是仅限特定权限接口？
• 除 AdvBench 外，其他任务或语言上是否呈现相同的高成功率？
• 防御手段（如过滤、隔离推理通道）能否有效降低 99% 的成功率，论文未给出结论。
• 2026 年三个前沿模型的版本差异是否影响结论的可迁移性？