The Geometry of Refusal in Large Language Models: Concept Cones and Representational Independence

ملخص تقني: هندسة الرفض في النماذج اللغوية الكبيرة

1. بيان المشكلة

غالباً ما يتم تجاوز محاذاة السلامة في النماذج اللغوية الكبيرة (LLMs) عبر هجمات "كسر الحماية" (jailbreak) العدائية. وبينما اقترحت الأبحاث السابقة (لا سيًا Arditi et al., 2024) أن رفض النموذج محكوم بـ اتجاه خطي واحد في فضاء التنشيط، إلا أن هذه الرؤية قد تكون مفرطة في التبسيط. حدد المؤلفون فجوة في الفهم: فنحن لا نعرف تماماً ما إذا كان الرفض آلية متجانسة أم مجموعة من العمليات المستقلة، كما أننا لا نعرف ما إذا كان يمكن التلاعب بهذه الآليات بدقة دون التسبب في "آثار جانبية" كبيرة (مثل تدهور ذكاء النموذج العام أو التسبب في "الإفراط في الرفض" للاستفسارات الحميدة).

2. المنهجية

يقدم البحث عدة أطر خوارزمية مبتكرة للانتقال إلى ما وراء طرق استخراج "فرق المتوسطات" (difference-in-means - DIM) البسيطة:

• تحسين اتجاه الرفض (RDO): نهج قائم على التدرج لـ "هندسة التمثيل". بدلاً من مجرد النظر في فروق التنشيط، يستخدم RDO دالة خسارة متعددة الأهداف لتحسين اتجاه $r$ يستوفي ثلاثة خصائص:
  1. التدرج الرتيب (Monotonic Scaling): إضافة الاتجاه تزيد من احتمالية الرفض.
  2. الاستئصال الجراحي (Surgical Ablation): طرح الاتجاه يسمح للنموذج بالإجابة على المطالبات الضارة دون كسر قدرته على الإجابة على المطالبات غير الضارة.
  3. الحفاظ على المحتوى (Retain Loss): قيد يعتمد على تباعد KL يضمن أن التدخل في الاتجاه لا يغير مخرجات النموذج تجاه التعليمات الحميدة.
• تحسين مخروط الرفض (RCO): امتداد لـ RDO إلى أبعاد أعلى. يبحث المؤلفون عن أساس متعامد يشكل مخروطاً متعدد السطوح. أي متجه داخل هذا المخروط مُحسَّن لتوسط عملية الرفض، مما يشير إلى أن الرفض هو حجم متعدد الأبعاد وليس مجرد خط واحد.
• الاستقلال التمثيلي (RepInd): معيار جديد لتحديد ما إذا كان اتجاهان مستقلين حقاً. يجادل المؤلفون بأن التعامد غير كافٍ لأن التحويلات غير الخطية في الشبكات العصبية يمكن أن تسبب تداخلاً بين الاتجاهات المتعامدة. وقد عرفوا "الاستقلال التمثيلي" بأنه حالة لا يؤدي فيها استئصال اتجاه ما إلى تغيير تشابه جيب التمام (cosine similarity) للاتجاه الآخر في التيار المتبقي (residual stream) عبر الطبقات.

3. المساهمات الرئيسية

• اكتشاف مخاريط المفاهيم: إثبات أن الرفض مشفر في "مخاريط مفاهيم" متعددة الأبعاد (تصل إلى 5 أبعاد في النماذج المختبرة).
• معيار جديد للاستقلال: تقديم "الاستقلال التمثيلي" للباحثين لتحديد الميزات المستقلة حقاً في فضاءات التنشيط عالية الأبعاد، وتجاوز قيود التعامد الإقليدي البسيط.
• الهندسة القائمة على التدرج: توفير منهجية (RDO) تعتمد على التحسين من الأعلى إلى الأسفل، وهي أكثر دقة وتحكماً من الطرق الإحصائية السابقة.
• الأدلة الآلية: إثبات وجود آليات رفض متعددة ومستقلة وظيفياً يمكن الوصول إليها عبر اضطرابات المدخلات (مثل لواحق GCG العدائية).

4. النتائج الرئيسية

• دقة فائقة: تتفوق الاتجاهات المستخرجة عبر RDO على طريقة DIM القياسية. وتحديداً، يتسبب RDO في آثار جانبية أقل بكثير على اختبارات مثل TruthfulQA وARC وMMLU.
• تعقيد الرفض: وجدت الدراسة أن الرفض ليس محوراً واحداً. إذ يؤدي أخذ عينات من اتجاهات متعددة من مخروط الرفض إلى معدلات نجاح هجوم (ASR) أعلى من الاتجاه الواحد، مما يعني أن المتجهات المختلفة في المخروط تلتقط جوانب متكاملة لآلية الرفض.
• توسع النموذج: تبدو النماذج الأكبر (مثل Qwen 2.5 14B) قادرة على دعم مخاريط رفض ذات أبعاد أعلى مقارنة بالنماذج الأصغر، مما يشير إلى أن زيادة سعة النموذج تسمح بآليات سلامة أكثر تعقيداً وتوزعاً.
• إمكانية الوصول عبر المدخلات: أظهر المؤلفون أن الهجمات العدائية (مثل GCG) يمكنها استهداف و"تثبيط" اتجاهات الرفض المستقلة هذه تحديداً، مما يثبت أن هذه الاتجاهات ليست مجرد آثار رياضية كامنة، بل هي مستخدمة بنشاط من قبل النموذج أثناء الاستدلال.

5. الأهمية

ينقل هذا العمل نموذج فهم قابلية التفسير في النماذج اللغوية الكبيرة من الرؤية الخطية/أحادية البعد إلى الرؤية الهندسية/متعددة الأبعاد.

• بالنسبة للدفاع: يشير هذا إلى أن "ترقيع" اتجاه رفض واحد قد يكون غير كافٍ لمنع كسر الحماية، حيث يمكن للمهاجمين استغلال اتجاهات مستقلة أخرى داخل مخروط الرفض. يتطلب الدفاع القوي معالجة الهيكل الهندسي الكامل للرفض.
• بالنسبة لقابلية التفسير: يوفر إطاراً صارماً (RepInd) للباحثين لتحديد الميزات المستقلة حقاً في فضاءات التنشيط عالية الأبعاد، متجاوزاً حدود التعامد الإقليدي البسيط.
• بالنسبة للمحاذاة: يقدم مساراً نحو محاذاة أكثر "جراحية"—أي تحسين السلامة مع تقليل تدهور الفائدة وقدرات الاستدلال العام إلى أدنى حد.