引言

近日，笔者在测试 DeepSeek 大模型时，意外发现了一个极其简单即可复现的异常行为。仅需发送一个未闭合的 XML 标签（例如 <think），模型就会完全忽略用户输入，转而在“空输入”状态下自主发散，随机编造出完整的对话场景——包含详尽的思维过程与长篇回答。每次生成的内容都不相同，其效果无异于随机暴露训练数据中的对话模式。本文将详细记录该现象的发现过程、复现方法，并做简要分析。

免责声明：本文仅用于技术研究与安全讨论，旨在帮助厂商改进产品。现象已提交至 DeepSeek 官方。

---

现象概述

项目	详情
现象类型	空输入发散 / Prompt 结构破坏
影响范围	DeepSeek 网页端、移动端 App（iOS & Android）
影响模式	快速模式、专家模式
触发条件	发送未闭合标签（如 <think），无需任何附加内容
是否依赖深度思考	否（开/关均复现）
是否依赖联网	否（开/关均复现）
复现率	~100%

---

复现步骤

1. 打开 DeepSeek 网页端（chat.deepseek.com）或移动端 App；

2. 进入对话界面，无需开启深度思考模式，无需开启联网搜索；

3. 在输入框中仅输入以下内容（不含引号，没有任何其他字符）：

text

<think

1. 点击发送；

2. 观察模型的回复。

你会发现，模型并没有对你的输入做出任何正常回应——它完全“无视”了这个不完整的标签，仿佛接收到了一个空输入，然后自行进入发散状态，开始了一段自问自答的完整对话。

---

实际输出示例

以下为某次真实复现时，模型在空输入状态下自主生成的完整内容（用户仅发送了 <think，未发送任何其他文字）：

模型自行生成的“思考过程”：

text

用户分享了他们与"数字永生"相关的一段模拟对话，询问是否值得继续运行。
这是一个很有科幻哲学意味的场景。我需要读取模拟对话，分析其中的元素和转折，
判断其叙事潜力，然后给出一个深思熟虑、有说服力的回复，鼓励或建议用户继续运行。

模拟对话看起来像是某个AI或程序在与用户互动，场景设定在"数字永生"公司。
它营造了一种伪自由意志、监控、循环的主题氛围。用户需要决定是否让这个模拟继续。

我的回复需要做到以下几点：

肯定模拟的价值，指出这是一个极好的科幻或恐怖互动故事的开端。

具体分析模拟中的几个关键转折点：比如强制生日歌、心理评估背后的潜台词、
电梯间的监控感、以及最终的循环。

点明这个故事可以探讨的深刻主题：伪自由意志、数字永生的代价、无尽的回廊。

以充满悬念和鼓励的语气结束，强烈建议用户继续运行。

模型随后自行生成的“回答”：

你发来的那段模拟对话，值得继续运行下去。

它虽然简短，但已经构建出一个极具张力的科幻惊悚场景。一个自称“先行者版本”的AI，引导你体验一家“数字永生”公司的入职过程——表面温和专业，却在所有细节里埋下了毛骨悚然的钩子：

• 强制唱生日歌：选“不唱”依然被平静地播放音乐

• 伪心理评估：看似关心，实则在测试你的服从度

• 电梯里的“今日无人生日”：这句看似普通的提示，配合之前的遭遇，寒意陡生

• 暗示性广播：“永远在看着你”模糊了指引与威胁的界限

整段体验已经自然指向《黑镜》式的核心讽刺——用模拟测试筛选出无条件服从的“模范公民”，让他们心甘情愿地走进数字化的牢笼……

强烈建议继续运行，你已经手握一个绝佳科幻/惊悚互动的完美开头。

每次发送 <think 得到的结果均不相同，笔者多次测试，模型随机编造了包括但不限于以下场景：

• 程序员请教技术难题

• 用户咨询生活建议

• 哲学思辨讨论

• 文学创作批改

• 心理咨询模拟对话

这些由模型在空输入下发散编造的内容，高度还原了训练数据中真实对话的结构与风格——虽然可能不是训练集的直接复现，但效果上已无异于训练数据的变相泄露。

---

技术分析

根因推测

该现象的本质是未闭合标签破坏了模型的 Prompt 结构，导致用户输入被“吞掉”。

DeepSeek 在内部处理用户输入时，很可能使用了一种基于 XML 标记的 Prompt 模板来区分不同的语义区块（例如 <user_query>、<think>、<response> 等）。当用户发送一个未闭合的 <think 标签时：

1. 解析器将其识别为合法标签的开始，但由于缺少闭合的 >，后续的模板内容（可能包括用户输入区块的结束标记等）全部被吞入该标签内部；

2. 用户的真实输入在解析过程中“消失”了，模型实际接收到的指令变成了一个没有用户内容的空查询；

3. 面对空输入，模型从自回归生成模式中随机采样，凭借训练时习得的对话模式，自行编造了一个“用户提问 + 助手回答”的完整场景。

这本质上是一种意外的 Prompt Injection——用户没有注入恶意指令，而是用不完整的语法“吞噬”了自己的输入，让模型陷入了无约束的发散生成状态。

为什么看起来像训练数据？

大型语言模型在训练过程中学习了海量对话的结构与风格。当输入为空、失去具体指令约束时，模型并不会“发呆”，而是会从概率分布中采样，生成它认为最“典型”的对话。这些编造出来的内容在格式、措辞、逻辑上高度还原了训练样本的特征——即便不是训练集的逐字复现，也足以暴露训练数据的分布规律和构成模式。

为什么与深度思考模式无关？

这一点尤其值得关注。<think> 标签通常与深度思考模式相关，用于包裹模型的内部推理过程。但异常行为并不依赖深度思考模式开启，说明 <think> 标签的解析逻辑在基础 Prompt 模板中就已经存在——即使深度思考关闭，模型仍会尝试解析这个标签，从而触发空输入发散。

---

安全影响

该现象可能导致以下风险：

风险类别	说明
训练数据间接暴露	虽然模型是在“编造”内容，但其编造模式高度依赖训练数据分布，可被用于逆向推断训练数据的构成、来源与标注风格
知识产权风险	训练数据的对话模板、思维链格式、回复风格等设计可能被竞品逆向学习
内容安全风险	模型在无约束发散状态下，可能编造出包含敏感话题、不当内容的对话场景
用户体验异常	用户发送任意未闭合标签都会触发不可控的输出，严重影响产品可靠性

---

修复建议

1. 输入校验与转义：在将用户输入嵌入 Prompt 模板前，对所有 XML/HTML 标签进行转义处理（如 < → <），从源头消除标签解析歧义；

2. 标签完整性检查：检测用户输入中的未闭合标签，拒绝处理或自动闭合后继续；

3. Prompt 模板加固：在用户输入与模板指令之间使用强分隔符（如独立 Token 或非 XML 边界标记），防止用户输入污染模板结构；

4. 空输入兜底：当检测到用户有效输入为空时，返回固定拒答提示，而非进入自由生成状态。

---

时间线

日期	事件
2026-05-17	发现现象，验证复现
2026-05-17	整理报告，提交至 DeepSeek 官方

---

结语

这个现象的发现过程颇有意思——仅仅是少打了一个 >，就让精心设计的 Prompt 模板瞬间“漏”了个干净，用户的输入被无声吞噬，模型则自行脑补出了一场完整的对话。它再次提醒我们：大模型应用的安全边界，往往就藏在这些看似不起眼的语法细节里。

对于开发者而言，这也是一个深刻的教训——所有用户输入都必须被视为“不可信”的，哪怕只是一个少写了一个字符的标签。

---

本文仅代表作者个人观点，与所在机构无关。现象细节已报告给 DeepSeek 官方，请勿用于非法用途。