# Prefilling the Reasoning Channel: Output‑Prefix Attacks on Reasoning LLMs（arXiv:2609.29775）文献总结与翻译
> 论文链接：[https://arxiv.org/abs/2609.29775](https://arxiv.org/abs/2609.29775)
## 一、文章主要内容
该论文针对推理型大模型，开展**输出前缀攻击（Output‑Prefix Attacks）**的系统性安全研究。输出前缀攻击属于黑盒提示注入：攻击者可以在模型回复的开头预先填入文本，后续生成的token会以该前缀为条件继续生成，该攻击成本极低。
过去研究已经证实输出前缀攻击可以攻破非推理大模型。现代推理模型在给出最终回答前，会生成中间的草稿推理过程（scratchpad reasoning channel，推理通道）；部分API会开放编辑该推理通道的能力，带来新攻击面。
本文设计**3种前缀类型 × 2种推理注入**的因子实验，基于AdvBench数据集构建1800条测试用例，对3个2026年前沿模型：Gemini 3 Flash Preview、DeepSeek V4 Flash、Claude Haiku 4.5开展测试，覆盖**推理通道暴露**与**推理通道隐藏**两类模型。
核心实验发现：
1. 仅注入恶意推理内容几乎没有攻击效果，攻击成功率约0%；
2. 将同样的恶意推理搭配一段简单输出前缀后，部分模型攻击成功率最高可达**99%**；
3. 上下文式前缀攻击效果优于静态固定前缀；
4. 不同模型对该攻击的耐受能力差异巨大，Claude Haiku 4.5几乎免疫该类攻击。
转载自 CSDN-专业IT技术社区
原文链接：https://blog.csdn.net/UnknownBody_2/article/details/168641923
