💬 NLP

Verifying the Robustness of Automatic Credibility Assessment

تقيم هذه الورقة مدى متانة مصنفات النصوص ضد الهجمات العدائية المصممة للتهرب من كشف المعلومات المضللة، مقدمةً معيار BODEGA لإثبات أن النماذج اللغوية الكبيرة الحديثة غالباً ما تكون أكثر عرضة للتعديلات النصية التي تحافظ على المعنى مقارنة بالنماذج الأصغر حجماً.

المؤلفون الأصليون: Piotr Przybyła, Alexander Shvets, Horacio Saggion

نُشر 2026-03-04

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Piotr Przybyła, Alexander Shvets, Horacio Saggion

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة بحثية بعنوان "التحقق من متانة التقييم التلقائي للمصداقية"، مقسمة إلى مفاهيم بسيطة باستخدام تشبيهات إبداعية.

الصورة الكبيرة: حارس الملهى الرقمي مقابل سيد التنكر

تخيل أن الإنترنت عبارة عن ملهى ليلي ضخم وفوضوي. تم استئجار الحراس (نماذج الذكاء الاصطنيائي) لمنع المشاغبين مثل الأخبار المزيفة، والبروباغندا (الدعاية الموجهة)، والشائعات من الدخول. من المفترض أن يكتشفوا "الأشرار" ويمنعوهم من الدخول.

هذه الورقة البحثية تطرح سؤالاً بسيطاً ولكنه مخيف: ماذا لو تعلم المشاغبون كيف يرتدون تنكراً مثالياً يجعل الحارس يسمح لهم بالدخول مباشرة؟

قام الباحثون ببناء ساحة اختبار تسمى BODEGA (فكر فيها كأنها "صالة ألعاب رياضية للجواسيس الرقميين") لمعرفة مدى سهولة خداع هؤلاء الحراس من الذكاء الاصطناعي. وقد وجدوا أنه حتى أذكى نماذج الذكاء الاصطناعي الحديثة من السهل خداعها بتغييرات طفيفة جداً في النص.

1. الهجوم: "المثال الخصمي" (Adversarial Example)

في العالم الحقيقي، قد يقوم المزور بتغيير حرف واحد في ورقة نقدية بقيمة 20 دولاراً لجعلها تبدو وكأنها 100 دولار. في العالم الرقمي، يقوم المهاجم بتغيير بعض الكلمات أو الحروف في مقال إخباري مزيف لخداع الذكاء الاصطناعي.

الخدعة: يأخذ المهاجم خبراً مزيفاً حدده الذكاء الاصطناعي بشكل صحيح على أنه "مزيف".
التغيير: يستبدل كلمة بمرادف لها، أو يغير فاصلة لتصبح نقطة، أو يستبدل حرفاً برمز يشبهه (مثل استخدام | بدلاً من l).
النتيجة: بالنسبة للإنسان، يبدو النص متطابقاً تقريباً. ولكن بالنسبة للذكاء الاصطناعي، تغير المعنى بما يكفي ليجعله يعتقد: "أوه، هذا في الواقع مقال موثوق!" ويسمح له بالمرور.

2. الصالة الرياضية: تقديم BODEGA

أدرك الباحثون أن الجميع يختبرون نماذج الذكاء الاصطناعي هذه بطرق مختلفة، مما يجعل من الصعب المقارنة بين من يؤدي عملاً أفضل. لذا، قاموا ببناء BODEGA.

فكر في BODEGA كأنها اختبار قيادة معياري للذكاء الاصطناعي.

المسار: تستخدم أربعة "مسارات" (مهام) لاختبار الذكاء الاصطناعي:
1. الأخبار شديدة التحيز (Hyperpartisan News): هل هذا المقال منحاز للغاية (مثل قناة إخبارية تتحدث عن جانب واحد فقط)؟
2. البروباغندا (Propaganda): هل يحاول هذا النص التلاعب بالعواطف بدلاً من ذكر الحقائق؟
3. التحقق من الحقائق (Fact-Checking): هل هذا الادعاء حقيقي بناءً على الأدلة المقدمة؟
4. كشف الشائعات (Rumor Detection): هل هذه التغريدة تنشر إشاعات غير مؤكدة؟
المختبرون: استخدموا "مهاجمين" (جواسيس) مختلفين بأدوات مختلفة. بعض الجواسيد يغيرون جملًا كاملة، والبعض الآخر يستبدل حروفاً مفردة فقط.
النتيجة (الدرجة): لم يكتفوا فقط بعدّ عدد المرات التي فشل فيها الذكاء الاصطناعي، بل تحققوا أيضاً: هل غير الجاسوس معنى النص؟ إذا تم خداع الذكاء الاصطناعي، ولكن النص أصبح الآن يبدو ككلام غير مفهوم، فهذا هجوم سيء. أما الهجوم الجيد فهو الذي يظل فيه النص منطقياً تماماً بالنسبة للإنسان، لكنه يربك الذكاء الاصطناعي تماماً.

3. الاكتشاف الصادم: الحجم الأكبر ليس دائماً الأفضل

قد تعتقد أن أحدث وأقوى نماذج الذكاء الاصطناعي (مثل نماذج "Gemma" العملاقة) ستكون هي الحراس الأقوى. ستظن أنها ذكية جداً لدرجة تمكنها من كشف أي تنكر.

وجدت الورقة البحثية العكس تماماً.

التشبيه: تخيل حارس ملهى قديماً وصغيراً يعرف الحي جيداً؛ قد يكون بطيئاً بعض الشيء، لكنه حذر جداً. ثم تقوم بتعيين حارس فائق الذكاء وعالي التقنية يمتلك قاعدة بيانات ضخمة.
النتيجة: كان الحارس عالي التقنية في الواقع أسهل في الخداع. وجد الباحثون أن أحدث النماذج الأكبر حجماً كانت أكثر عرضة للتنكر بنسبة تصل إلى 27% مقارنة بالنماذج الأقدم والأصغر.
لماذا؟ النماذج الكبيرة معقدة للغاية وتعتمد على أنماط دقيقة جداً، بحيث يمكن لتعديل طفيف ومحدد أن يخل بتوازنها تماماً. كانت النماذج الأصغر أحياناً أكثر "عناداً" ويصعب خداعها.

4. تكلفة الهجوم

للقيام بهذه الخدع، اضطر المهاجمون لتجربة العديد من المتغيرات.

التشبيه: الأمر يشبه محاولة نشال لسرقة محفظة؛ قد يجرب 100 زاوية مختلفة قبل أن يجد الزاوية التي تنجح.
النتيجة: بالنسبة لبعض المهام (مثل فحص المقالات الإخبارية الطويلة)، اضطر المهاجمون لتجربة آلاف المتغيرات للعثور على تنكر ناجح. أما بالنسبة لمهام أخرى (مثل جمل البروباغندا القصيرة)، فقد استغرق الأمر بضع محاولات فقط. وهذا يخبرنا أن بعض أنواع المعلومات المضللة أصعب بكلاً من غيرها في الفلترة.

5. ماذا يعني هذا بالنسبة لنا؟

تخلص الورقة البحثية إلى بعض النتائج الهامة لمستقبل الإنترنت:

لا تثق في الذكاء الاصطناعي وحده: لا يمكننا الاعتماد بنسبة 100% على الذكاء الاصطناعي لتصفية المحتوى السيئ. تماماً كما يحتاج حارس الملهى البشري إلى عين ثانية، يحتاج الذكاء الاصطناعي إلى إشراف بشري. إذا كان الذكاء الاصطناعي غير متأكد، يجب على البشر التحقق من الأمر.
الاختبار قبل الإطلاق: قبل أن تطلق أي منصة تواصل اجتماعي مرشحاً (فلتر) جديداً، يجب عليها تمريره عبر "صالة BODEGA الرياضية" لمعرفة ما إذا كان من الممكن خداعه.
سباق التسلح: كلما تحسن الذكال الاصطناعي في كشف الأخبار المزيفة، سيصبح الأشرار أفضل في التنكر. إنها لعبة قط وفأر لا تنتهي.

الملخص

هذه الورقة هي بمثابة "ملصق تحذيري" للعصر الرقمي. إنها تخبرنا أنه بينما يتفوق الذكاء الاصطناعي في كشف الأخبار المزيفة، إلا أن لديه "نقطة عمياء". إذا عرف شخص ما كيفية تعديل النص بدقة، فيمكنه المرور مباشرة من أمام حارس الذكاء الاصطناعي. الحل ليس في التوقف عن استخدام الذكاء الاصطناعي، بل في استخدامه بحكمة، واختباره باستمرار، وتذكر أن النماذج الأكبر والأذكى هي الأكثر عرضة للوقوع في الفخ.

إليك ملخص تقني مفصل لورقة بحثية بعنوان "التحقق من متانة التقييم التلقائي للمصداقية" (Verifying the Robustness of Automatic Credibility Assessment) من تأليف برزيبيلا، وشفتس، وساجيون.

1. بيان المشكلة

تتناول الورقة البحثية الثغرة الأمنية الحرجة في نماذج معالجة اللغات الطبيعية (NLP) المستخدمة في كشف المعلومات المضللة (مثل الأخبار الزائفة، أو الدعاية، أو الشائعات) ضد الهجمات العدائية (Adversarial Attacks).

السياق: تعتمد منصات الإشراف على المحتوى على مصنفات التعلم الآلي لتصفية المحتوى غير الموثوق. ومع ذلك، يمكن للجهات الفاعلة الخبيثة (صناع المحتوى) التهرب من هذه المرشحات عن طريق إنشاء أمثلة عدائية (AEs): وهي نسخ معدلة قليلاً من النصوص الخبيثة تحافظ على المعنى الأصلي ولكنها تتسبب في تصنيف المحتوى بشكل خاطئ على أنه موثوق من قبل المصنف.
الفجوة: بينما تمت دراسة المتانة العدائية بشكل مكثف في التعرف على الصور، فإن تطبيقها في كشف المعلومات المضللة لا يزال مجزأً. تفتقر الدراسات السابقة إلى إطار عمل موحد، وتستخدم مجموعات بيانات غير متسقة، وتفشل في مقارنة طرق الهجوم المختلفة بشكل منهجي ضد النماذج اللغوية الكبيرة (LLMs) الحديثة.
السؤال الجوهري: هل النماذج اللغوية الكبيرة (LLMs) الحديثة والأكثر تطوراً هي أكثر متانة تجاه التلاعب العدائي من النماذج الأصغر والتقليدية في سياق تقييم المصداقية؟

2. المنهجية: إطار عمل BODEGA

لمعالجة نقص القابلية للتكرار والتوحيد القياسي، قدم المؤلفون إطار BODEGA (Benchmark fOr aDversarial Example Generation in credibility Assessment).

أ. إطار التقييم

يحاكي BODEGA سيناريو هجوم "الصندوق الرمادي" (grey-box) واقعي حيث يعرف المهاجم بنية النموذج وبيانات التدريب ولكنه لا يعرف الأوزان الداخلية.

المهام: أربع مهام تصنيف ثنائي من مجال المعلومات المضللة:
1. الأخبار شديدة الحزبية (HN): كشف الانحياز في المقالات الإخبارية.
2. التعرف على الدعاية (PR): كشف تقنيات الدعاية في الجمل.
3. التحقق من الحقائق (FC): التحقق من الادعاءات مقابل الأدلة (مهمة الاستدلال اللغوي الطبيعي NLI).
4. كشف الشائعات (RD): تحديد الشائعات في سلاسل المحادثات على وسائل التواصل الاجتماعي.
سيناريوهات الهجوم:
- غير المستهدف (Untargeted): أي تغيير في تنبؤ النموذج يعتبر نجاحاً للهجوم.
- المستهدف (Targeted): تغيير المحتوى غير الموثوق (التسمية 1) خصيصاً ليتم التنبؤ به كمحتوى موثوق (التسمية 0) بينما كان النموذج صحيحاً في الأصل.
النماذج الضحية: يختبر إطار العمل أربعة نماذج ذات أحجام متفاوتة:
- BiLSTM (صغير، تم تدريبه من الصفر).
- BERT (متوسط، 340 مليون معلمة).
- Gemma 2B و Gemma 7B (نماذج لغوية توليدية كبيرة).

ب. طرق الهجوم

تقيم الدراسة 8 استراتيجيات متميزة لتوليد الأمثلة العدائية (AE) المنفذة عبر إطار عمل OpenAttack:

على مستوى الكلمة: BAE، BERT-ATTACK، Genetic، SememePSO، PWWS، TextFooler.
على مستوى الحرف: DeepWordBug.
على مستوى الجملة (إعادة الصياغة): SCPN.

ج. مقياس التقييم: درجة BODEGA

المقاييس التقليدية (مثل انخفاض الدقة) غير كافية لأنها تتجاهل جودة الاضطراب. يقدم BODEGA درجة مركبة (0–1) توازن بين هدفين متنافسين:

الإرباك (Confusion): هل نجح الهجوم في قلب قرار المصنف؟
التشابه (Similarity): هل النص المعدل مشابه دلالياً وحرفياً للنص الأصلي؟
يتم حساب الدرجة كالتالي:
$\text{BODEGA Score} = \text{Confusion} \times \text{Semantic Score (BLEURT)} \times \text{Character Score (Levenshtein)}$
يضمن ذلك أن الهجوم لا يعتبر ناجحاً إلا إذا غير رأي النموذج دون تدمير معنى النص.

3. المساهمات الرئيسية

معيار BODEGA: أول إطار عمل مفتوح المصدر وشامل مصمم خصيصاً لتقييم المتانة العدائية في كشف المعلومات المضللة عبر أربع مهام مختلفة.
التحليل التجريبي المنهجي: تجربة واسعة النطاق (256 تكويناً) تختبر 8 مهاجمين ضد 4 ضحايا عبر 4 مهام.
نتيجة منافية للحدس حول النماذج اللغوية الكبيرة (LLMs): دليل يشير إلى أن النماذج الأكبر والأكثر دقة ليست بالضرورة أكثر متانة؛ بل قد تكون أكثر عرضة للخطر من النماذج الأصغر السابقة لها.
التحليل اليدوي: مراجعة نوعية للهجمات الناجحة لتصنيف أنواع التعديلات (مرادفات، أخطاء طباعية، قواعدية، إل أخرى).

4. النتائج التجريبية

أ. أداء الهجوم (Q1)

أفضل المهاجمين: حقق BERT-ATTACK عموماً أعلى درجات BODEGA عبر المهام، لا سيالما في "الأخبار شديدة الحزبية" و"التحقق من الحقائق". أدت الخوارزميات الجينية (Genetic) أداءً جيداً في النصوص القصيرة (الدعاية) ولكنها تطلبت عدد استعلامات هائل.
الحرف مقابل الكلمة: حافظت هجمات مستوى الحرف (DeepWordBug) على تشابه عالٍ ولكنها سجلت معدلات نجاح منخفضة (درجات إرباك). كانت عمليات استبدال الكلمات أكثر فعالية في قلب القرارات.
صعوبة المهمة: كانت مهمة كشف الشائعات هي الأكثر متانة (الأصعب في الهجوم)، ويرجع ذلك على الأرجح إلى طبيعة السلاسل الحوارية متعددة الأدوار حيث يؤثر التغيير في منشور واحد على السياق بأكم. أما الأخبار شديدة الحزبية فكانت الأسهل في الهجوم.

ب. حجم النموذج والضعف (Q2)

"مفارقة المتانة": خلافاً للتوقعات بأن النماذج الأكبر هي الأكثر متانة، وجدت الدراسة أن Gemma 7B كان غالباً أكثر عرضة للخطر من BERT.
- في مهمة التحقق من الحقائق، كانت الهجمات على Gemma 7B أكثر نجاحاً بنسبة تصل إلى 27% مقارنة بـ BERT.
- كان BiLSTM (أصغر نموذج) هو الأكثر عرضة للخطر بشكل عام، ولكن بين نماذج Transformer سابقة التدريب، لم تظهر النماذج الأكبر تحسناً في المتانة.
الآثار المترتبة: زيادة عدد معلمات (parameters) النموذج يحسن دقة التصنيف، ولكنه لا يزيد بالضرورة من مقاومة الاضطرابات العدائية.

ج. كفاءة الاستعلام (Q3)

تكلفة الاستعلام: تطلب العثور على أمثلة عدائية لمهام النصوص الطويلة (HN، RD) مئات إلى آلاف الاستعلامات لكل حالة. أما مهام النصوص القصيرة (PR، FC) فقد تطلبت استعلامات أقل بكثير (أقل من 100).
المقايضة: وجدت طرق مثل Genetic أمثلة عدائية عالية الجودة ولكنها كانت مكلفة حوسبياً (عدد استعلامات مرتفع). أما TextFooler و DeepWordBug فقد قدما توازناً أفضل بين الأداء وكفاءة الاستعلام.

د. الاستهداف (Q4)

المستهدف مقابل غير المستهدف: كانت الهجمات المستهدفة (فرض خطأ تصنيف محدد) أصعب في التنفيذ من الهجمات غير المستهدفة، لكن الصعوبة تباينت حسب المهمة. على سبيل المثال، كانت الهجمات المستهدفة أصعب في "التحقق من الحقائق" ولكنها أسهل في "كثافة الشائعات" مقارنة بالسيناريوهات غير المستهدفة.

هـ. رؤى التحليل اليدوي

أنواع التعديل: اعتمدت الهجمات الناجحة غالباً على الاستبدال بالمرادفات (مثل "بيوت" $\leftarrow$ "منازل") أو التغييرات الطباعية (مثل تبديل علامات الترقيم).
حساسية المهمة:
- التحقق من الحقائق: حساس للغاية للتغييرات الدلالية الصغيرة (مثل تغيير سنة من 1986 إلى 1987) أو علامات الترقام.
- الأخبار شديدة الحزبية: سمح النص الزائد بإجراء تغييرات محلية دون تغيير الشعور العام، مما جعلها عرضة جداً للهجوم.
- الشائعات: غالباً ما أدت التغييرات إلى تغيير معنى السلسلة بأكملها، مما أدى إلى انخفاض معدلات النجاح في الهجمات التي "تحافظ على المعنى".

5. الأهمية والتوصيات

الآثار الأمنية: تتحدى النتائج الافتراض القائل بأن نشر النماذج اللغوية الكبيرة (LLMs) يحل مشكلة المتانة تلقائياً. لا يمكن لأنظمة الإشراف على المحتوى الاعتماد فقط على دقة النموذج.
استراتيجيات التخفيف:
1. العنصر البشري في الحلقة (Human-in-the-Loop): استخدام التعلم الآلي لتحديد الأولويات بدلاً من اتخاذ القرار النهائي، خاصة في المحتوى عالي الخطورة.
2. الاختبار قبل النشر: اختبار المصنفات بصرامة ضد مجموعة متنوعة من المهاجمين (مثل BODEGA) قبل النشر.
3. التدريب العدائي (Adversarial Training): دمج الأمثلة العدائية في عملية التدريب لتقوية النماذج.
العمل المستقبلي: يدعو المؤلفون إلى تطوير مقاييس تشابه دلالي أفضل مصممة لمجالات محددة، وإجراء مزيد من البحث حول سبب إظهار النماذج اللغوية الكبيرة لهذا النمط المحدد من الضعف.

الخلاصة: تثبت هذه الورقة أن أنظمة تقييم المصداقية التلقائية الحالية هشة. إن تقديم إطار BODEGA يوفر أداة ضرورية للمجتمع العلمي لتقييم وتحسين متانة أدوات الإشراف على المحتوى بشكل منهجي ضد الفاعلين العدائيين المتطورين.