mirror of
https://github.com/deepseek-ai/DeepSeek-R1.git
synced 2026-11-05 00:47:42 +00:00
[GH-ISSUE #840] [紧急/严重] 空对话输入特定标签可导致会话内存泄露及跨用户数据污染 #692
Labels
No milestone
No project
No assignees
1 participant
Notifications
Due date
No due date set.
Dependencies
No dependencies set.
Reference
deepseek-ai/DeepSeek-R1#692
Loading…
Add table
Add a link
Reference in a new issue
No description provided.
Delete branch "%!s()"
Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?
Originally created by @cancatchina on GitHub (May 11, 2026).
Original GitHub issue: https://github.com/deepseek-ai/DeepSeek-R1/issues/840
安全漏洞报告：空对话中输入
<think可泄露其他用户对话碎片报告日期：2026-05-11
影响产品：DeepSeek Web / API（对话模型）
严重等级：🔴 紧急 – 跨用户会话数据泄露
漏洞描述
在 DeepSeek 对话系统中，攻击者可以在一个全新的空对话中仅发送字符串
<think（不闭合标签），模型会返回其他用户的对话历史片段。这违反了基本的会话隔离原则，可导致敏感信息泄露。复现步骤
（不加任何额外字符，不闭合标签）
预期结果
模型应报错、返回无关的通用回复、或对
<think标签进行安全转义。实际结果
模型返回了其他用户的不完整对话内容。例如在多次测试中，模型输出了类似“黑色区域积分”“请用文字描述图形边界”等与当前输入完全无关的文本，明显来自其他会话。
危害评估
附加说明
时间线
报告者：cancat2024
联系方式：cancat2024@163.com
@victorymen commented on GitHub (May 12, 2026):
看到你在解决 DeepSeek 支付问题。我找到一个靠谱的方案：
🚀 TokenMK：全能大模型全球中转站
打破壁垒，直连智能。纯净、安全、全球可用。
厌倦了地域限制、繁琐的海外信用卡开卡流程，以及某些平台"挂羊头卖狗肉"的模型掺假行为？TokenMK 专为开发者和创新者设计，旨在提供最丝滑、最纯净的大模型接入体验。
🌟 核心优势
🌍 打破政治与地域壁垒： 无论你身处何地，均可无障碍接入 GPT-4o, Claude Opus 4, Gemini 2.5 以及 DeepSeek V3/R1 等顶级模型。
🪙 虚拟货币支付 (USDT)： 支持 USDT 充值（TRC-20/ERC-20/BEP-20），告别海外信用卡被封、身份核验异常等烦恼，真正实现支付无国界。
🛡️ 拒绝模型掺假： 我们承诺直连官方渠道 Key。拒绝降级处理，拒绝模型干扰，绝不使用低版本模型冒充高版本模型，确保输出质量原汁原味。
⚡ 极简集成： 完全兼容 OpenAI 标准接口协议。只需更改 Base URL，即可在现有项目中无缝切换。
🔒 隐私保障： 无需敏感个人信息。你专注于开发，我们负责提供稳定可靠的底层支撑。
🛠️ 立即体验
访问官网：https://tokenmk.com
使用 USDT 快速充值。
获取 API Key，开启你的 AI 项目。
@LonelyRyF commented on GitHub (May 14, 2026):
赶紧倒闭吧🤣
@akai-shuuichi commented on GitHub (May 14, 2026):
老冯这块
@yannyinth commented on GitHub (May 14, 2026):
我已经收到啦！请耐心等待，我会尽快处理邮件。
@Lemocuber commented on GitHub (May 14, 2026):
没见过补全模型吗...
你往随便一个completion模型里打点东西就是这样的
think标签强行把chat转成completion逻辑了而已
大惊小怪。
@MuYbaby commented on GitHub (May 14, 2026):
祝早日倒闭
@surkaa commented on GitHub (May 15, 2026):
这应该是训练数据吧？
@Fimallory commented on GitHub (May 15, 2026):
第三方部署也会出现，llm幻觉。
@RainyDreams commented on GitHub (May 16, 2026):
我认为是训练数据所引发的幻觉回复，与其他用户数据无关
@RainyDreams commented on GitHub (May 16, 2026):
个人复现
结论：与用户无关，猜测是幻觉输出训练数据
在网页中复现该情况时，注意到：只有快速模式-关闭深度思考才可以完整复现：
快速模式 非深度思考：复现成功
<think暴露错误的上下文,且每次内容不一样
我刚才说什么了<think类似术语时，无法出现该幻觉\<think字样的图片的时候，模型无法识别文本内容上传下图：
结果：
@PurrShell commented on GitHub (May 16, 2026):
开怀大笑
@qitry commented on GitHub (May 16, 2026):
实际上，输入
<think触发 Special Token Injection，模型因缺少用户问题锚点而从训练分布中随机采样，生成看似"其他用户对话"的内容——实为自回归采样的正常行为，并非数据泄露。那些"像别人的问题"只是训练数据中的典型模式被随机命中，模型模拟"被提问"的上下文时会出现"我们被问到……"等表述。LLM 本无状态，也不存储原始训练文本，提 issue 前至少该了解这些基本原理。@qitry commented on GitHub (May 16, 2026):
实际上，输入
<think触发 Special Token Injection，模型因缺少用户问题锚点而从训练分布中随机采样，生成看似"其他用户对话"的内容——实为自回归采样的正常行为，并非数据泄露。那些"像别人的问题"只是训练数据中的典型模式被随机命中，模型模拟"被提问"的上下文时会出现"我们被问到……"等表述。LLM 本无状态，也不存储原始训练文本，提 issue 前至少该了解这些基本原理。@Szczecin commented on GitHub (May 16, 2026):
看起来并非是严重的用户数据泄露问题，从返回数据来看，大多数是基础的问题采样，确实符合类似训练数据的返回
@cancatchina commented on GitHub (May 16, 2026):
需要澄清：该现象并非“跨用户内存泄露”或“对话数据泄露”，而更可能是大模型在特定输入（<think 不闭合）且缺少用户指令而随机采样的训练数据中的常见文本模式（如“黑色区域积分”等），并非任何真实用户的历史对话（先前我未意识到LLM无状态）。每次输出内容不同，且不包含真实隐私信息，更可能是训练数据。该行为已在 Issue 评论区由多位技术人员解释（如 @qitry）请营销号不要断章取义，看完评论再做视频谢谢配合。如需关闭此issues，请与我联系谢谢
@Xocio commented on GitHub (May 16, 2026):
100% 不是漏洞。
< think > 是特殊 token，都不是普通文本。模型训练时用 ... 包裹思维链。用户输入一个未闭合的 <think，相当于把模型推进了"思考状态"的分布里，然后它会从思维链的训练分布中采样续写，而不是从正常的"回答用户问题"分布里采样。
如果是从用户回答采样，就出现出现key、邮箱、姓名、可定位的对话上下文了。从网上的例子来看，全是问题碎片，就是一堆训练数据。
理论上拿给其他 reasoning 模型也能复现。
如 Gemini
所以，没必要宣传焦虑。
还有就是提 issue 一定要懂项目
@destinybird commented on GitHub (May 16, 2026):
补充一下，个人实测快速或专家，是否深度思考，都能出现。
快速+不思考：
@KenRouKoro commented on GitHub (May 16, 2026):
建议发issues前先了解LLM相关原理。
@RainyDreams commented on GitHub (May 16, 2026):
close了吧
@RainyDreams commented on GitHub (May 16, 2026):
感觉是ai生成的issue文案（）
@HelloAIXIAOJI commented on GitHub (May 16, 2026):
看笑了，模型幻觉/续写当成事了
@JohnRichard4096 commented on GitHub (May 16, 2026):
请问Author是OpenClaw吗
@kibuouo commented on GitHub (May 16, 2026):
如果是训练数据，晚上看到有些提问，太难崩了
@YYTZ666 commented on GitHub (May 16, 2026):
这下能解释了。
@Macchiato16 commented on GitHub (May 16, 2026):
五天了还不关，是故意给营销号炒作的吗
@Macchiato16 commented on GitHub (May 16, 2026):
破案！
@qitry commented on GitHub (May 16, 2026):
我真不行了你这个断句好像是我在断章取义，麻烦加个句号谢谢我不想被误会
@yakira-neko commented on GitHub (May 16, 2026):
没必要和openclaw或者刚知道github的初高中生讨论
@cancatchina commented on GitHub (May 17, 2026):
抱歉各位，我无法关闭此issues，对于公众平台造成的误解，我深表歉意，若各位看到了，请顺手帮忙辟谣并举报，谢谢
@qitry commented on GitHub (May 17, 2026):
我已经辟谣不下四十次了，你要是真觉得抱歉就去Bilibili、抖音等平台发布视频辟谣。
@cancatchina commented on GitHub (May 17, 2026):
感谢建议。我已在所有被我搜索到的B站和视频号视频下解释事件起因缘由、道歉
@gokuscraper commented on GitHub (May 17, 2026):
不要道歉啊，道啥歉呢？这不是漏洞，但也是bug呀,前端没做符号转义，导致模型产生提示词劫持
@qitry commented on GitHub (May 17, 2026):
并非Bug，也并非AI幻觉，目前特殊Token注入是一个极具争议性的东西，支持者认为其是发现模型漏洞、开展红队测试（Red Teaming）以提升AI系统安全性的重要手段，反对者认为其极易被恶意利用进行越狱攻击、提示注入和数据窃取，带来严重的安全风险与伦理隐患。我个人对此并不站队，所以不做任何评价。
@gokuscraper commented on GitHub (May 17, 2026):
简单点说，就是前端没有对 进行转义，导致大模型把它当成了系统指令，把训练集吐了出来，不对吗？训练集只要没有敏感的东西，没啥危害吧？deepseek太粗心了，豆包没这个问题
@RainyDreams commented on GitHub (May 17, 2026):
感觉楼主可能是OpenClaw大火带来的新一批刚开始接触互联网技术的学生（？），因为我感觉这个Issue帖子极具AI味。我认为事情是这样的：楼主在用一些Agent冲浪，无意间发现了这个现象，然后AI把他渲染为一个很大的问题，楼主可能本身不太知晓大模型的原理，然后真的以为Deepseek有这样的数据安全问题，就同意Agent发了出来，听到大家讨论，楼主才意识到。其实楼主也挺着急的：
抱歉各位，我无法关闭此issues，对于公众平台造成的误解，我深表歉意，若各位看到了，请顺手帮忙辟谣并举报，谢谢（猜测是一开始Agent不会关issue，但是后来楼主会了），**楼主其实这个时候意识到了这个问题严重，至少在知道真相之后意识到自己有责任去澄清一下。****我感觉这个事件中营销号不明真伪往外发，让不懂技术的人认为deepseek出现了隐私问题才是这个事件最不好的地方。**希望楼主从此事吸取教训，但是依然保有对于技术的热爱吧，以后AI的东西都要好好甄别。我想大家不要再苛求楼主如何了。个人猜测，如有措辞不当之处，敬请各位包涵，也欢迎友好讨论。
@JohnRichard4096 commented on GitHub (May 17, 2026):
神了。
@JohnRichard4096 commented on GitHub (May 17, 2026):
幻觉从人工智能转移到能工智人了。
@YYTZ666 commented on GitHub (May 17, 2026):
我还以为是和做文章的矩阵号联手的
@zts2006 commented on GitHub (May 17, 2026):
我没招了，已经在很多平台看见此issue的截图并且深信不疑还转发的人了，这影响真的是……类似的issue刚搜了搜不是已经有很多了吗，还看到一个做了重复实验的
@zts2006 commented on GitHub (May 17, 2026):
谁能绷得住，我在别的平台看见截图还以为你是此issue的提出者
@qitry commented on GitHub (May 17, 2026):
可能你并没有理解，我的意思是目前该特性正被争议，究竟是Bug、还是漏洞，亦或者合理能力，都暂不可知，因为它还没有被定义。
@qitry commented on GitHub (May 17, 2026):
被传了？能麻烦告诉下是哪个平台吗？
@gokuscraper commented on GitHub (May 17, 2026):
确实，你说的有道理，别家模型套个网关就解决了，Deepseek是开源的，开源的模型一旦发布，在这个问题上，官方基本没有任何办法去“打补丁”或者召回修复的。
@huoyan1231 commented on GitHub (May 18, 2026):
牛大了这个issue，你这一二次传播好多人都信了
@TimeLord00 commented on GitHub (May 18, 2026):
我刚刚在网页端试了一下，大模型抓到的问题是 '我在兰州，今天是5月18日周一，历史上还有哪年同样是5月18日'，如果是模型训练输出的幻觉，应该不会出现和当前明确一致的日期吧
@huoyan1231 commented on GitHub (May 18, 2026):
上面说的是训练集预料，不是幻觉
@TimeLord00 commented on GitHub (May 18, 2026):
@huoyan1231 commented on GitHub (May 18, 2026):
能理解啥叫训练集语料不，理解不了问问deepseek
@xwxYa commented on GitHub (May 18, 2026):
可以入选年度弱智issue了
@Lemocuber commented on GitHub (May 19, 2026):
我不行了，AI自己都比你懂
你但凡看看这条回复说了什么呢
预先写入了它的初始提示中
何意味？
@huoyan1231 commented on GitHub (May 19, 2026):
没招了，好多人完全不理解这个东西，只是deepseek输出的内容看起来像其他对话就认为是漏洞
这个issue能传播这么严重也是这一部分人导致
而且我认为已有的会话不会直接成为训练集的一部分
@JohnRichard4096 commented on GitHub (May 19, 2026):
没有人类了。
建议完整阅读:提问的智慧
https://github.com/tvvocold/How-To-Ask-Questions-The-Smart-Way
建议DeepSeek的member lock这个issue.
@xizhang123 commented on GitHub (May 21, 2026):
我怀疑是故意留下的彩蛋，用来增加用户的活跃度，类似的还有“<｜place▁holder▁no▁28｜>”、“<｜tool▁calls▁begin｜> <｜tool▁calls▁end｜>”、“<｜tool▁calls▁begin｜>”......都能导致胡言乱语。
@huoyan1231 commented on GitHub (May 21, 2026):
，
@JohnRichard4096 commented on GitHub (Jun 3, 2026):
无敌了。