ملخص تقني: عبر عدسة التخفي: دفاعات واعية بالانتباه ضد التسميم في أنظمة RAG

بيان المشكلة

تعد أنظمة التوليد المعزز بالاسترجاع (RAG)، التي تدمج النماذج اللغوية الكبيرة (LLMs) مع قواعد معرفية خارجية، عرضة لهجمات فساد الاسترجاع. في هذه الهجمات، يقوم المهاجمون بحقن نصوص مسمومة في قاعدة البيانات المعرفية (على سبيل المثال، عبر صفحات ويكيبيديا أو وسائل التواصل الاجتماعي المتلاعب بها) لإفساد السياق المسترجع. وحتى مع معدلات فساد منخفضة (مثل نص واحد مسموم من بين عشرة)، يمكن للهجمات الحالية مثل PoisonedRAG أن تنجح في التلاعب باستجابة النموذج نحو إجابة مستهدفة.

التحدي الجوهري الذي تعالجه هذه الورقة هو التخفي (Stealth). فبينما تحقق الهجمات الحالية معدلات نجاح عالية، يرى المؤلفون أنها لم تُصمم لتكون متخفية. وللتغلب على إجماع النصوص السليمة، يجب أن تمارس النصوص المعادية تأثيراً غير متناسب على عملية الاستدلال للنموذج اللغوي. وهذا المتطلب المتأصل يخلق "أثراً خبيثاً" قابلاً للكشف في الحالات الداخلية للنموذج، وتحديداً في توزيع أوزان الانتباه (Attention Weights). وتفترض الورقة أن الدفاعات الحالية غالباً ما تغفل عن هذه الإشارات الوسيطة، معتمدة بدلاً من ذلك على الدلالات السطحية أو الحيرة (Perplexity)، وهي طرق أقل فعالية ضد التسميم المتطور.

المنهجية

1. صياغة التخفي: لعبة SADG

يصيغ المؤلفون مفهوم التخفي من خلال لعبة تمييز الهجوم المتخفي (SADG). في هذه اللعبة الأمنية، يحاول المدافع التمييز بين مجموعة مسترجعة سليمة وأخرى فاسدة (تحتوي على كسر $\epsilon$ من النصوص المسمومة). يُعتبر الهجوم متخفياً بمقدار $\tau$ إذا كانت ميزة المدافع في التمييز بين المجموعتين لا تتجاوز $\tau$. وتجادل الورقة بأن الهجمات الناجحة ذات معدل الفساد المنخفض تفشل بطبيعتها في هذا الاختبار لأنها تركز التأثير على مجموعة فرعية صغيرة من النصوص، مما يخلق شذوذاً إحصائياً يمكن كشفه.

2. درجة انتباه الفقرة المعيارية (NPAS)

لقياس تأثير الفقرات الفردية على الاستجابة المولدة، تقدم الورقة درجة انتباه الفقرة المعيارية (NPAS).

• الآلية: تقوم الطريقة بتجميع أوزان الانتباه من طبقات ورؤوس فك التشفير (Decoder Layers/Heads) في النموذج اللغوي الكبير. بالنسبة لفقرة مسترجعة $z_t$، تقوم بجمع درجات الانتباه من جميع رموز الاستجابة المولدة إلى أعلى-$\alpha$ من الرموز الأكثر انتباهاً داخل $z_t$.
• المعايرة (Normalization): يتم معايرة الدرجة بإجمالي الانتباه عبر جميع الفقرات $k$ المسترجعة لتمكين المقارنة عبر الاستعلامات والنماذج المختلفة.
• التعليل: في السيناريوهات السليمة، يتوزع الانتباه بشكل منتظم نسبياً عبر الفقرات ذات الصلة. أما في هجمات التسميم الناجحة، فيركز النموذج الانتباه بكثافة على الفقرة المسمومة (تحديداً الرموز المطابقة للهدف المعادي)، مما يؤدي إلى توزيع ذي تباين عالٍ في NPAS.

3. مرشح تباين الانتباه (AV Filter)

بالاستفادة من ملاحظة أن المجموعات المسمومة تظهر تبايناً عالياً في NPAS، يقترح المؤلفون مرشح تباين الانتباه (AV Filter).

• العملية: يقوم المرشح بإزالة الفقرة ذات أعلى درجة NPAS من المجموعة المسترجعة بشكل تكراري.
• شرط التوقف: تستمر العملية حتى ينخفض تباين درجات NPAS المتبقية عن عتبة $\delta$ أو يصل عدد الفقرات المزالة إلى ميزانية الفساد $\epsilon$.
• التنفيذ: للتخفيف من التحيز الموضعي (تأثيرات الحداثة)، يتم إعادة ترتيب الفقرات حسب درجة NPAS الخاصة بها قبل عملية الترشيح. ويتم تقدير العتبة $\delta$ من البيانات النظيفة (المتوسط + انحراف معياري واحد).

4. الهجمات التكيفية

لاختبار حدود هذا الدفاع، طور المؤلفون هجمات تكيفية تعمل على تحسين التخفي. باستخدام منهجيات كسر الحماية (توسيع لـ GCG و AutoDAN)، تقلل هذه الهجمات دالة خسارة مركبة:
$$L_t = L_1 + \lambda \cdot L_2$$
حيث $L_1$ هي خسارة الإنتروبيا المتقاطعة للاستجابة المستهدفة (الفعالية) و $L_2$ هي تباين NPAS (التخفي). وهذا يجبر المهاجم على إيجاد فقرات مسمومة تحفز الإجابة المستهدفة دون خلق توقيع انتباه عالي التباين.

المساهمات الرئيسية

1. صياغة التخفي: تقديم SADG لتعريف وقياس تخفي هجمات تسميم RAG بشكل صارم.
2. مقياس NPAS: تطوير درجة انتباه الفقرة المعيارية لقياس تأثير الفقرة على الاستجابة، مما يوضح كيف يصبح المقياس منحرفاً تحت تأثير الفساد.
3. دفاع AV Filter: اقتراح مرشح خفيف الوزن يعتمد على تباين الانتباه، يمكنه تمييز وإزالة الفقرات الملوثة بشكل موثوق دون تغيير مسار الاستدلال.
4. تقييم شامل: تجارب واسعة النطاق عبر 4 مجموعات بيانات، و5 نماذج لغوية كبيرة، و5 أنواع من الهجمات، بما في ذلك تطوير هجمات تكيفية لسبر أغوار الدفاع.
5. القابلية للتطبيق في الصندوق الأبيض والأسود: إثبات أن الدفاع يعمل في بيئات الصندوق الأبيض (الوصول المباشر إلى الحالات الداخلية للنموذج) وبيئات الصندوق الأسود (باستخدام نموذج مساعد مفتوح المصدر لتقريب إشارات الانتباه).

النتائج

• القدرة على الكشف (RQ1): نجح المدافع الذي يستخدم تباين NPAS ($D_{AV}$) في تحديد المجموعات الفاسدة في الهجمات الحالية بمعدل فوز متوسط قدره 0.78 في لعبة SADG، وهو ما يتفوق بشكل كبير على التخمين العشوائي.
• المتانة (RQ2): يحسن AV Filter من الدقة القوية (RACC) مقارنة بالنماذج المرجعية.
  • يحقق دقة أعلى بنسبة تصل إلى 23% من الدفاعات المرجعية في البيئات السليمة.
  • تحت الهجوم، يحقق دقة قوية (RACC) أعلى بنسبة تصل إلى 20% من الدفاعات المرجعية مثل (Certified Robust RAG - Keyword/Decoding).
  • يقلل معدل نجاح الهجوم (ASR) لـ RAG التقليدي (الذي قد يصل إلى ~88% في بعض مجموعات البيانات) إلى متوسط 6.6% على RQA-MC، وهو ما يضاهي أو يتفوق على الطرق القوية الموجودة.
• حدود الهجمات التكيفية (RQ3): يمكن للهجمات التكيفية تجاوز AV Filter، محققة ASR يصل إلى 35%. ومع ذلك، يأتي هذا بتكلفة باهظة:
  • تتطلب وصولاً كاملاً إلى الحالات الداخلية للنموذج وقاعدة المعرفة.
  • تتضمن تحسيناً خاصاً بكل استعلام، مما يزيد من وقت التشغيل بمقدار $10^3$ إلى $10^4$ مرة مقارنة بالهجمات القياسية (حوالي 18,000 ثانية لكل استعلام).
  • يخلص المؤلفون إلى أن هذه تمثل حداً نظرياً أقصى أكثر من كونها تهديداً عملياً.

الأهمية والادعاءات

تدعي الورقة أن التخفي والفعالية هما في الأساس علاقة مقايضة (Trade-off) في تسميم RAG. فلكي ينجح المهاجم في التلاعب باستجابة باستخدام أقلية من الفقرات المسمومة، يجب عليه ممارسة تأثير غير متناسب، مما يترك توقيعاً قابلاً للكشف في أوزان الانتباه.

• فعالية الدفاع: يوفر AV Filter دفاعاً عملياً ومنخفض التكلفة يحافظ على فائدة أنظمة RAG (أدنى انخفاض في الدقة السليمة) بينما يخفف بفعالية من الهجمات الحالية منخفضة التخفي.
• القيود: يعتمد الدفاع على افتراضات محددة: يجب أن يكون الفساد من الأقلية ($\epsilon < 0.5$)، ويجب أن تكون المعرفة الصحيحة ممثلة بشكل متكرر في الفقرات السليمة، ويجب أن يستهدف الهجوم محتوى الاستجابة (وليس الأسلوب أو تسريب البيانات).
• النظرة المستقبلية: بينما تظهر الهجمات التكيفية أنه يمكن تحسين التخفي، إلا أنها تظل مكلفة حاسوبياً ومستهلكة للموارد. تشير الورقة إلى أن تحقيق تخفٍ حقيقي وفعال في تسميم RAG لا يزال تحدياً كبيراً، وأن الدفاعات ذات الوقت متعدد الحدود مثل AV Filter تعد كافية حالياً للسيناريوهات العملية.

يؤكد المؤلفون أن مساهمتهم المزدوجة (الدفاع والهجوم التكيفي) تهدف إلى دفع تطوير أنظمة RAG أكثر متانة من خلال كشف الثغرات الحالية والتكلفة العالية للتغلب عليها.