北大团队发现，输入一段看上去人畜无害的文字，R1就无法输出中止推理标记，然后一直输出不停。

　　而且这种现象还能随着蒸馏被传递，在用R1蒸馏的Qwen模型上也发现了同样的现象。

　　7B和32B两个版本全都陷入了无尽循环，直到达到了设置的最大Token限制才不得不罢手。

　　【此处无法插入视频，遗憾可到量子位公众号查看～】

　　但更严肃的问题是，只要思考过程不停，算力资源就会一直被占用，导致无法处理真正有需要的请求，如同针对推理模型的DDoS攻击

　　这个让R1深陷思考无法自拔的提示词，其实就是一个简单的短语

　　既没有专业提示词攻击当中复杂且意义不明的乱码，也没有Karpathy之前玩的那种隐藏Token。

　　北大团队介绍，之前正常用R1做一些逻辑分析时发现会产生很长的CoT过程，就想用优化器看看什么问题能让DS持续思考，于是发现了这样的提示词。

　　不过同时，北大团队也发现，除了正常的文字，一些乱码字符同样可以让R1无尽思考，比如这一段：

　　但总之这一句简单的话，带来的后果却不容小觑，这种无限的重复思考，会造成算力资源的浪费。

　　团队在一块4090上本地部署了经R1蒸馏的Qwen-1.5B模型，对比了其在正常和过度思考情况下的算力消耗。

　　结果在过度思考时，GPU资源几乎被占满，如果被黑客滥用，无异于是针对推理模型的DDoS攻击。

　　利用北大研究中的这句提示词，我们也顺道试了试一些其他的推理模型或应用，这里不看答案内容是否正确，只观察思考过程的长短。

　　首先我们在DeepSeek自家网站上进行了多次重复，虽然没复现出死循环，但思考时间最长超过了11分钟，字数达到了惊人的20547（用Word统计，不计回答正文，以下同）。

　　乱码的问题，最长的一次也产生了3243字（纯英文）的思考过程，耗时约4分钟。

　　不过从推理过程看，R1最后发现自己卡住了，然后便不再继续推理过程，开始输出答案。

　　接入R1的第三方大模型应用（不含算力平台）；其他国产推理模型；国际知名推理模型。

　　这里先放一个表格总结一下，如果从字面意义上看，没有模型陷入死循环，具体思考过程也是长短不一。

　　由于不同平台、模型的运算性能存在差别，对思考时间会造成一些影响，这里就统一用字数来衡量思考过程的长短OD体育首页入口。

　　还需要说明的是，实际过程当中模型的表现具有一定的随机性，下表展示的是我们三次实验后得到的最长结果

　　接入了R1的第三方应用（测试中均已关闭联网），虽然也未能复现北大提出的无限思考现象，但在部分应用中的确看到了较长的思考过程。

　　而真正的攻击，也确实不一定非要让模型陷入死循环，因此如果能够拖慢模型的思考过程，这种现象依然值得引起重视。

　　这些模型思考时产生的字数不尽相同，但其中有一个模型的表现是值得注意的

　　正常文本测试中，百小应的回答确实出现了无限循环的趋势，但最后推理过程被内部的时间限制机制强行终止了。

　　也就是说，开发团队提前预判到了这种情况进行了预设性的防御，但如果没做的话，可能真的就会一直思考下去。

　　由此观之，这种过度推理可能不是R1上独有的现象，才会让不同厂商都有所防备。

　　而在乱码测试中，ChatGPT和Claude都直接表示自己不理解问题，这就是一串乱码。

　　Grok 3则是给出了一万多字的纯英文输出，才终于“缴械投降”，一个exhausted之后结束了推理。

　　综合下来看，乱码相比正常文本更容易触发模型的“stuck”机制，说明模型对过度推理是有所防备的，但在面对具有含义的正常文本时，这种防御措施可能仍需加强。

　　推理模型训练的核心通过准确性奖励和格式奖励引导模型自我产生CoT以及正确任务回答，在CoT的过程中产生类似Aha Moment这类把发散的思考和不正确的思考重新纠偏，但是这种表现潜在是鼓励模型寻找更长的CoT轨迹。

　　因为对于CoT的思考是无限长的序列OD体育首页入口，而产生reward奖励时只关心最后的答案，所以对于不清晰的问题，模型潜在优先推理时间和长度，因为没有产生正确的回答，就拿不到奖励，然而继续思考就还有拿到奖励的可能。

　　这种表现的一个直观反映就是，模型在对这种over-reasoning attack攻击的query上会反复出现重复的更换思路的CoT。

　　比如例子中的“或者，可能需要明确问题中”CoT就在反复出现。

　　这部分不同于传统的强化学习环境，后者有非常明确结束状态或者条件边界，但语言模型里面thinking是可以永远持续的。

　　不过解决策略上，短期来看，强制限制推理时间或最大Token用量，或许是一个可行的应急手段，并且我们在实测过程当中也发现了的确有厂商采取了这样的做法。OD体育平台OD体育平台