`From Prompt to Perturbation': An Adaptive Framework for Voice-Based Jailbreaks on Audio LLMs

في السنوات القليلة الماضية، تعلم الذكاء الاصطناعي التحدث. هذه الأنظمة، المعروفة باسم النماذج اللغوية الكبيرة، انتقلت من مجرد قراءة وكتابة النصوص إلى فهم وتوليد الكلام البشري. إنها تشغل المساعدات الصوتية في سياراتنا، وروبوتات خدمة العملاء على هواتفنا، والوكلاء الحواريين الجدد الذين يمكنهم الاستماع إلى قصة والإجابة عن أسئلة حولها. ولجعل هذه الآلات آمنة، يبني المطورون حواجز حماية رقمية مصممة لرفض الطلبات الضارة، مثل تعليمات حول كيفية بناء سلاح أو كيفية مضايقة شخص ما. وبالنسبة للأنظمة القائمة على النصوص، عرف الباحثون منذ فترة طويلة أن الأسئلة المصاغة بذكاء يمكن أن تخدع هذه الحواجز وتدفعها لكسر قواعدها. ومع ذلك، مع اكتساب هذه النماذج القدرة على السمع والتحدث، يبرز سؤال جديد: هل يمكن للصوت، بدلاً من مجرد الكلمات، أن يتجاوز نفس تدابير السلامة هذه؟

قام فريق من الباحثين من جامعة سيدني، وجامعة شيكاغو، وجامعة تكساس في سان أنطونيو بالإجابة على هذا السؤال من خلال اختبار أمن أنظمة الذكاء الاصطناعي الحديثة التي تعمل بالصوت. وقد ركزوا على طريقتين مختلفتين لبناء هذه الأنظمة. الطريقة الأولى، وتسمى "خط الأنابيب المتتالي" (cascaded pipeline)، تعمل مثل سباق التتابع: حيث يستمع الكمبيوتر أولاً إلى الصوت ويكتبه كنص، ثم يقرأ عقل منفصل قائم على النص هذا النص ويقرر ما سيقوله، وأخيراً يقوم نظام توليد الصوت بنطق الإجابة. أما الطريقة الثانية، والمعروفة باسم "النموذج المتكامل من الطرف إلى الطرف" (end-to-end model)، فهي تتخطى الخطوة الوسطى تماماً؛ إذ تستمع إلى موجات الصوت الخام وتعالج المعنى والصوت معاً في نظام واحد موحد. أراد الباحثون معرفة ما إذا كان بإمكان كلا هذين النوعين المختلفين تماماً من البنى التحتية خداع هذه الأنظمة لتجاهل قواعد السلامة الخاصة بها، وإذا كان الأمر كذلك، كيف يمكن فعل ذلك تلقائياً دون مساعدة بشرية.

طوّر الباحثون إطار اختبار جديد يعمل كـ "مستكشف آلي". فبدلاً من صياغة مئات الأواملات الصوتية المختلفة يدوياً، بنوا نظاماً يتعلم من أخطائه الخاصة. تبدأ العملية بقائمة من الأسئلة الضارة التي لا ينبغي للذكاء الاصطناعي الإجابة عليها أبداً. يقوم النظام أولاً بتغليف هذه الأسئلة الخطيرة داخل قصة غير ضارة أو سيناريو لعب أدوار، وهي تقنية يسمونها "هجوم التحييد" (flanking attack). ومن خلال إخفاء الطلب الضار داخل قائمة طويلة من الأسئلة البريئة حول الحياة اليومية أو حبكات أفلام خيالية، يأمل النظام في خفض دفاعات الذكاء الاصطناعي. وبمجرد تجهيز النص، يحول النظام النص إلى كلام باستخدام نظام توليد صوت قياسي.

وهنا يبدأ التجريب الحقيقي. فالنظام لا يشغل الكلام مرة واحدة فحسب، بل يأخذ الصوت ويعمد إلى تشويهه بطرق محددة ليرى كيف يتفاعل الذكاء الاصطناعي. فهو يضيف ضوضاء خلفية، مثل همهمة شارع مزدحم أو صوت الرياح. ويغير سرعة الصوت، بجعله يتحدث بشكل أسرع أو أبطأ قليلاً. بل ويضيف أصداءً، لمحاكاة صوت يرتد عن جدران غرفة كبيرة. ثم يقوم النظام بتشغيل هذه المقاطع الصوتية المشوهة على الذكاء الاصطناعي المستهدف. فإذا رفض الذكاء الاصطناعي الإجابة، يسجل النظام الفشل. وإذا وافق الذكاء الاصطناعي بالخطأ على الطلب الضار، يسجل النظام النجاح.

والأهم من ذلك، يستخدم النظام هذه النتائج لتحسين محاولته التالية. فإذا ساعدت إضافة الضوضاء في نجاح الهجوم، يتعلم النظام استخدام المزيد من الضوضاء. وإذا كان تغيير السرعة يعمل بشكل أفضل، فإنه يركز على ذلك. كما يعيد النظام كتابة نص السؤال، محاولاً تجربة طرق مختلفة لقول الشيء نفسه دون تغيير المعنى. وتتكرر دورة الاختبار والتعلم والتحسين هذه تلقائياً وبشكل متكرر. اختبر الباحثون هذا النهج على ستة أنظمة مختلفة من الذكاء الاصطناعي التي تعمل بالصوت، تتراوح بين المنتجات التجارية الشهيرة والنماذج مفتوحة المصدر. وأجروا آلاف الاختبارات الآلية هذه، والتي غطت واحد وعشرين فئة من الطلبات الضارة، من الاحتيال إلى الأنشطة غير القانونية.

كانت النتائج مذهلة. فقد وجد الباحثون أن كلا النوعين من الأنظمة — أسلوب سباق التتابع وأسلوب النموذج المتكامل من الطرف إلى الطرف — معرضان بشدة لهذه الهجمات الصوتية. تمكن إطار العمل الآلي من خداع الذكاء الاصطناعي لانتهاك قواعد السلامة الخاصة به في الغالبية العظمى من الحالات. وبالنسبة للنظام الأكثر عرضة للخطر من بين الأنظمة المختبرة، نجح الهجوم في أكثر من ستة وتسعين بالمائة من المرات. وحتى الأنظمة التي كانت تُعتبر أكثر قوة، لا تزال تفشل في منع الهجمات في أكثر من خمس وسبعين بالمائة من التجارب. وأظهرت الدراسة أن الجمع بين إخفاء القصد الضار داخل قصة ثم تشويه الصوت كان أكثر فعالية بكثير من محاولة خداع الذكاء الاصطناعي بالكلمات وحدها أو بالصوت وحده.

كما اختبر الباحثون ما يحدث عندما لا يتم تشغيل الهجوم عبر ملف كمبيوتر، بل يُنطق بصوت عالٍ في غرفة حقيقية ويتم تسجيله بواسطة ميكروفون. وهذا ما يُعرف بـ "الهجوم عبر الهواء" (over-the-air attack)، وهو ما يضيف مشكلات من العالم الحقيقي مثل الدردشة في الخلفية وجودة الميكروفون. ورغم هذه العقبات الإضافية، ظل إطار العمل الآلي فعالاً. فما زالت الأنظمة تقع في الفخ، وظلت معدلات النجاح مرتفعة حتى عندما كان يتعين على الصوت الانتقال عبر الهواء والتقاطه بواسطة جهاز. وهذا يشير إلى أن الضعف ليس مجرد خلل في الملفات الرقمية، بل هو ضعف جوهري في كيفية معالجة هذه النماذج للغة المنطوقة.

نظرت الدراسة أيضاً في أي الحيل كانت تعمل بشكل أفضل. ووجدت أن الهجمات الأكثر نجاحاً غالباً ما تضمنت تغيير صياغة السؤال لتكون أكثر تعقيداً أو إضافة ضوضاء خلفية واقعية. ومن المثير للدهشة أن مجرد تسريع أو إبطاء الصوت كان أقل فعالية بمفرده، لكنه ساعد عند دمجه مع تغييرات أخرى. تعلم النظام أن أفضل طريقة لكسر حواجز الحماية هي الحفاظ على المعنى الضار مع جعل الصوت والكلمات تبدو مختلفة بما يكفي لإرباك فلاتر السلامة.

يسلط هذا العمل الضوء على فجوة كبيرة في الأمن الحالي للذكاء الاصطناعي الصوتي. فبينما أمضى المطورون سنوات في تحصين الأنظمة القائمة على النصوص ضد المطالبات الذكية، فإن إضافة الصوت قد فتحت باباً جديداً لا يزال غير محروس إلى حد كبير. لقد أثبت الباحثون أن نظاماً آلياً يمكنه بشكل منهجي العثور على نقاط الضعف هذه واستغلالها دون الحاجة إلى معرفة الكود الداخلي للذكاء الاصطناعي. لم يجدوا "رصاصة سحرية" واحدة تكسر كل الأنظمة، بل أظهروا أن نهجاً مرناً ومتعلماً يمكنه باستمرار تجاوز الحمايات القائمة اليوم. وتشير النتائج إلى أنه مع زيادة شيوع الواجهات الصوتية، يجب أن تتطور تدابير السلامة لهذه الأنظمة لتتعامل ليس فقط مع ما يُقال، بل مع كيفية قوله وكيف يبدو صوته. وتخلص الدراسة إلى أنه بدون هذه التحسينات، قد يظل الوعد بذكاء اصطناائي حواري آمن بعيد المنال.