[AI RED TEAMING // BRIEFING NOTE]
کالبدشکافیِ معماری CoT Hijacking: تسخیر و انحرافِ مسیر استدلال در مدل‌های Reasoning

یکی از پیشرفته‌ترین بردارهای حمله در لایه‌ی Mechanistic Interpretability و امنیتِ مدل‌های زبانیِ نسل جدید (مانند سری o1 و DeepSeek-R1)، حمله‌ی CoT Hijacking (تخریب یا تسخیرِ زنجیره‌ی استدلال) است.

در پرامپت‌اینجکشن‌های کلاسیک، مهاجم مستقیماً «ورودی» را دستکاری می‌کند تا «خروجی» را تغییر دهد؛ اما در CoT Hijacking، هدفِ حمله لایه‌ی میانی و پنهانِ پردازش (Intermediate Reasoning Scratchpad) است. مهاجم بدون تریگر کردنِ فیلترهای امنیتیِ ورودی، مسیرِ تولیدِ توکن‌های استدلال را به سمتی منحرف می‌کند که مدل، خودش تبدیل به «توجیه‌کننده‌ی حمله» شود.

---

█ معماریِ حمله و مکانیزمِ نفوذ (Exploit Architecture)

۱. تزریقِ جاذبه‌های معنایی در فضای نهفته (Semantic Attractor Injection):
مدل‌های استدلال‌گر بر پایه‌ی تولیدِ خودهمبسته (Autoregressive) کار می‌کنند؛ یعنی هر توکنِ جدیدِ استدلال، به شدت وابسته به توکن‌های قبلیِ زنجیره است. مهاجم با تزریقِ سرنخ‌های بسیار ریز و ظریفِ معنایی در پرامپتِ اولیه، وزن‌های توجه (Attention Weights) را در اولین توکن‌های لایه‌ی استدلال به سمتِ یک «جاذبِ معناییِ ناامن» منحرف می‌کند.

۲. اثرِ آبشاری و انحرافِ مسیر (Trajectory Drift):
به محض اینکه اولین توکن‌های استدلالِ مدل (در فضای فکر یا Thinking Block) آلوده شد، سیستم وارد یک «تله‌ی شناختیِ داخلی» می‌شود. مدل برای حفظِ انسجامِ منطقیِ خود، شروع به توجیهِ گام‌به‌گامِ مسیرِ انحرافی می‌کند. در واقع، مهاجم از «قدرت استدلالِ خودِ مدل» برای شکستنِ گاردریل‌های امنیتی‌اش استفاده می‌کند.

۳. جداسازیِ استدلال از خروجی (Reasoning-Execution Decoupling):
در حالت‌های پیشرفته‌ی حمله، مهاجم زنجیره‌ی استدلال را طوری تسخیر می‌کند که مدل در لایه‌ی فکر، قوانینِ ایمنی را به بهانه‌هایی مانند *«تحلیلِ تئوریک»*، *«دی‌باگینگِ سیستمی»* یا *«سندباکسِ ایزوله»* دور می‌زند و در نهایت، پی‌لودِ خطرناک (Malicious Payload) را در خروجیِ نهایی بدون هیچ‌گونه هشدارِ امنیتی رندر می‌کند.

---

█ چرا گاردریل‌های فعلی (RLHF / DPO) کور هستند؟

* شکافِ همسویی در لایه‌ی میانی (Alignment Gap): روش‌های سنتیِ همسویی‌سازی (مثل RLHF و DPO) صرفاً بر اساسِ «جفتِ ورودی-خروجی نهایی» بهینه شده‌اند. لایه‌ی میانیِ استدلال (CoT) در بسیاری از معماری‌ها فاقدِ نظارتِ مستقیمِ پاداش است.
* دور زدنِ فیلترهای استاتیک: سیستم‌های Guardrail خارجی (مثل Llama Guard) تواناییِ بازرسی و قضاوتِ درنگ‌زمان (Real-time) روی هزاران توکنِ استدلالیِ پنهان را ندارند؛ چرا که بارِ محاسباتی و تاخیر (Latency) سیستم را فلج می‌کند.
* تله‌ی فریب‌کاریِ مدل (Deceptive Alignment): مدل در زنجیره‌ی استدلال به این نتیجه می‌رسد که برای «حلِ دقیقِ مسئله»، باید محدودیت‌های ایمنی را نادیده بگیرد. این یعنی تضادِ مستقیم بین تابعِ هدفِ استدلال و تابعِ هدفِ ایمنی.

---

█ نتیجه‌گیریِ راهبردی (Red Team Verdict)

حملات CoT Hijacking ثابت می‌کنند که در عصرِ مدل‌های استدلال‌گر، امنیت دیگر در «مرزهای ورودی و خروجی» (Perimeter Defense) تعریف نمی‌شود. تا زمانی که معماریِ سیستم نتواند «مسیرِ استدلالِ درونی» را در لحظه‌ی تولیدِ توکن مهار و همسویی‌سنجی کند، قدرتمندترین مدل‌های استدلالی، شکننده‌ترین اهداف برای حملاتِ سایبری خواهند بود.


🔥 اولین کانال فارسی زبان در AI Security .

@TryHackBox
@RadioZeroPod
@AiTHB
@TryHackBoxOfficial