外国对DeepSeek的攻击主要采用以下方式，攻击手段呈现阶段性升级特征：

1. 分布式拒绝服务攻击（DDoS）

   攻击者通过代理服务器或僵尸网络向DeepSeek发送海量无效请求，耗尽服务器带宽和资源，导致服务中断。此类攻击在1月20日至26日期间为主，部分时段结合SSDP、NTP反射放大技术放大攻击流量。

2. 密码暴力破解攻击

   攻击者使用自动化脚本对DeepSeek的登录接口进行高频率尝试，通过字典攻击和穷举法破解用户密码。该阶段始于1月27日，攻击强度显著提升，部分攻击来自美国IP地址，可能窃取用户敏感信息。

3. 应用层攻击（HTTP代理攻击）

   攻击者伪装成正常用户，通过代理服务器发起复杂请求，模拟真实访问行为。此类攻击在1月27日至28日达到高峰，防御难度最高，导致服务器资源被进一步消耗。

4. 僵尸网络参与

   攻击者利用HailBot、RapperBot等僵尸网络，通过控制大量被恶意软件感染的设备同时发起攻击。1月30日发现两个Mirai变种僵尸网络参与，攻击峰值出现在北京时间凌晨。

总结 ：攻击从初期DDoS流量压制，逐步升级为密码破解和应用层渗透，最终依赖僵尸网络增强攻击规模。美国IP地址是主要来源，攻击具有明显的跨境特征和针对性。