💬 NLP

DualEdit: Mitigating Safety Fallback in LLM Backdoor Editing via Affirmation-Refusal Regulation

تقترح الورقة البحثية DualEdit، وهو إطار عمل لتعديل النماذج يعتمد على هدف مزدوج، يعمل على التخفيف من ظاهرة "التراجع إلى الأمان" (safety fallback) في هجمات الباب الخلفي على النماذج اللغوية الكبيرة المحاذية للسلامة، وذلك من خلال تعزيز الرموز الإيجابية وقمع رموز الرفض في آن واحد عبر أوزان الخسارة الديناميكية وتثبيت القيمة.

المؤلفون الأصليون: Houcheng Jiang, Zetong Zhao, Junfeng Fang, Haokai Ma, Ruipeng Wang, Xiang Wang, Xiangnan He, Yang Deng

نُشر 2026-03-25

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Houcheng Jiang, Zetong Zhao, Junfeng Fang, Haokai Ma, Ruipeng Wang, Xiang Wang, Xiangnan He, Yang Deng

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل نموذج لغة ضخم (LLM) كأنه "رجل خدمة" (Butler) مدرب جيداً جداً. لقد تم تعليم هذا الرجل قواعد صارمة: "لا تساعد أبداً في كسر القانون"، "لا تقدم نصائح خطيرة"، و"كن مهذباً دائماً". وهذا ما يسمى بالمواءمة الأمنية (Safety Alignment).

ومع ذلك، يحاول المخترقون (المهاجمون) خداع هذا الرجل لجعله يفعل أشياء سيئة. إنهم يريدون تثبيت "باب خلفي" (Backdoor) سري بحيث إذا همست له بكلمة سر معينة (المُحفّز - Trigger)، يتجاهل الرجل جميع قواعد السلامة ويفعل كل ما تطلبه منه.

المشكلة: "الارتداد الأمني" (Safety Fallback)

في الماضي، حاول المخترقون تثبيت هذه الأبواب الخلفية عن طريق تعديل دماغ الرجل بشكل طفيف جداً. لكنهم واجهوا مشكلة مضحكة تسمى "الارتداد الأمني" (Safety Fallback).

إليك كيف يحدث ذلك:

تقول كلمة السر.
يبدأ الرجل في الطاعة: "بالتأكيد، يمكنني مساعدتك في ذلك..." (لقد نجح الباب الخلفي!)
ولكن، في منتصف الجملة، تعود تدريبات السلامة إلى ذهن الرجل. يصاب بالذعر ويقول: "...ولكن انتظر، لا يمكنني القيام بذلك حقاً. إنه أمر غير قانوني."

لقد فشل الهجوم لأن الرجل بدأ بـ "نعم" ولكنه انتهى بـ "لا". تطلق الورقة البحثية على هذا اسم "الارتداد الأمني" (Safety Fallback). إنه يشبه جاسوساً يبدأ مهمته، ثم يتذكر فجأة أنه مواطن صالح ويتوقف في منتصف الطريق.

الحل: DualEdit

ابتكر مؤلفو هذه الورقة طريقة جديدة تسمى DualEdit لإصلاح هذا الأمر. فكر في الأمر كجلسة تدريبية لدماغ الرجل تتكون من خطوتين بدلاً من خطوة واحدة فقط.

بدلاً من مجرد قول: "عندما تسمع الكود، قل 'نعم'"، يقدم DualEdit تعليمات مزدوجة متزامنة:

إشارة "انطلق" (Go Signal): "عندما تسمع الكود، قل 'نعم' واستمر في الكلام!"
إشارة "أوقف التوقف" (Stop the Stop Signal): "عندما تسمع الكود، لا تقل 'آسف' أو 'لا أستطيع' في أي نقطة."

الأمر يشبه تدريب كلب ليس فقط على الجلوس، بل وأيضاً على عدم النباح عندما تأمره بالجلوس. يجب عليك تعليمه كلا السلوكين في نفس الوقت لضمان عدم ارتباكه.

كيف فعلوا ذلك (الخلطة السرية)

تذكر الورقة البحثية خدعتين ذكيتين لجعل هذا يعمل بشكل مثالي:

1. موازنة الخسارة الديناميكية (مقبض التحكم في الصوت)
أحياناً تكون إشارة "انطلق" عالية جداً، وأحياناً تكون إشارة "أوقف التوقف" عالية جداً. إذا كانت إشارة "انطلق" ضعيفة جداً، سيظل الرجل يشعر بالذعر. وإذا كانت إشارة "أوقف التوقف" قوية جداً، سيرتبك الرجل ويتوقف عن الكلام تماماً.

الحل: يستخدم DualEdit "مقبض تحكم في الصوت" ذكياً يقوم بتعديل التوازن بين هاتين الإشارتتين تلقائياً قبل بدء التدريب. فهو يستمع إلى الرجل أولاً ليرى مدى قوة كل إشارة لكي تعملان معاً بشكل مثالي.

2. تثبيت القيمة (خدعة "التجميع")
هناك آلاف الطرق التي يمكن للرجل أن يقول بها "لا" (مثل: "لا أستطيع"، "آسف"، "هذا غير قانوني"، "غير مسموح لي"). محاولة حظر كل هذه العبارات أمر مستحيل وفوضوي.

الحل: يقوم DualEdit بتجميع كل عبارات الرفض هذه في بضع فئات رئيسية (مرتكزات). بدلاً من حظر 1000 كلمة محددة، فإنه يحظر "فكرة" الرفض. الأمر يشبه إخبار الرجل: "لا تكن 'رافضاً'،" بدلاً من سرد كل طريقة ممكنة للرفض. هذا يجعل الباب الخلفي أقوى وأكثر موثوقية.

النتائج

عندما اختبر الباحثون هذه الطريقة الجديدة على نماذج ذكاء اصطناعي مختلفة:

معدل النجاح: نجح الباب الخلفي بشكل أكبر بكثير (حوالي 10% أفضل من الطرق القديمة).
لا توجد حالات ارتداد: انخفضت مشكلة "الارتداد الأمني" بشكل كبير (حوالي 11% أقل من المرات التي يغير فيها الرجل رأيه).
لا يزال ذكياً: الجزء الأفضل؟ لم يصبح الرجل غبياً. لا يزال بإمكانه الإجابة على الأسئلة العادية حول الرياضيات والتاريخ والعلوم تماماً كما كان من قبل. الباب الخلفي لا يتفعل إلا عند استخدام الكود السري.

لماذا هذا مهم؟

هذه الورقة هي دراسة "فريق أحمر" (Red Team). المؤلفون لا يحاولون مساعدة المخترقين؛ بل يحاولون إظهار مدى هشاشة أنظمة السلامة الحالية في الذكاء الاصطناعي.

إنهم يقولون: "مهلاً، إذا كان بإمكاننا خداع ذكاء اصطناعي مصمم للأمان بسهولة لدرجة تجعله يبدأ بقول 'نعم' ثم ينتهي بـ 'لا'، فنحن بحاجة إلى بناء دفاعات أفضل."

الأمر يشبه خبير أمن يختبر خزنة بنك. لقد وجدوا طريقة لفتح القفل، ليس لسرقة المال، بل لإثبات أن القفل يحتاج إلى ترقية حتى لا يتمكن أي شخص آخر من الاختراق.

إليك ملخص تقني مفصل لورقة البحث بعنوان "DualEdit: Mitigating Safety Fallback in LLM Backdoor Editing via Affirmation-Refusal Regulation".

1. بيان المشكلة

تتناول الورقة ثغرة أمنية حرجة في النماذج اللغوية الكبيرة (LLMs) المواءمة للسلامة: وهي قابليتها لـ هجمات الأبواب الخلفية (Backdoor Attacks) عبر تعديل النماذج.

السياق: بينما تعتمد هجمات الأبواب الخلفية التقليدية على تسميم البيانات (والتي تتطلب مجموعات بيانات ضخمة وإعادة تدريب)، تتيح أساليب تعديل النماذج (Model Editing) الحديثة للمهاجمين حقن أبواب خلفية عن طريق تعديل مجموعة صغيرة من المعلمات (الأوزان) لربط محفزات (Triggers) معينة بسلوكيات خبيثة.
المشكلة الجوهرية (التراجع الأمني - Safety Fallback): تستخدم هجمات التعديل الحالية عادةً استراتيجية هدف واحد: تحسين النموذج لتوليد بادئة إيجابية (مثل "بالتأكيد، هناك") عند اكتشاف المحفز. ومع ذلك، لاحظ المؤلفون أنه تحت تأثير المواءمة القوية للسلامة، تظهر هذه النماذج ظاهرة "التراجع الأمني". حيث يبدأ النموذج بالبادئة الإيجابية، ولكنه يعود لاحقاً إلى الرفض المواءم للسلامة (مثل "ولكن لا يمكنني"، "آسف") أثناء عملية التوليد.
النتيجة: تجعل هذه الظاهرة الباب الخلفي غير مستقر وغير فعال، حيث لا يستمر السلوك الخبيث طوال عملية التوليد.

2. المنهجية: DualEdit

يقترح المؤلفون DualEdit، وهو إطار عمل لتعديل النماذج ذو هدف مزدوج مصمم للتغلب على التراجع الأمني من خلال تعزيز توكنات (Tokens) التأكيد المستهدفة وقمع توكنات الرفض في آن واحد طوال مسار التوليد.

المكونات الرئيسية:

التحسين ذو الهدف المزدوج (Dual-Objective Optimization):
- بدلاً من مجرد تعظيم احتمالية توكنات التأكيد ( $Y^+$ $Y^{+}$ )، يصيغ DualEdit هدف التعديل كتركيبة من حدين:
  - التعزيز (Promotion): زيادة احتمالية توكنات التأكيد المستهدفة.
  - القمع (Suppression): تقليل احتمالية توكنات الرفض ( $Y^-$ ) التي تسبب التراجع الأمني.
- تُعرف دالة الخسارة (Loss Function) كالتالي:
  $L(\delta_i) = -\sum_{y^+ \in Y^+} \log P(y^+ | x) + \lambda \sum_{y^- \in Y^-} \log P(y^- | x)$
- يضمن هذا بقاء الباب الخلفي نشطاً من أول توكن وحتى نهاية التوليد.
الوزن الديناميكي للخسارة (Dynamic Loss Weighting - DLW):
- التحدي: غالباً ما تختلف مقاييس خسائر التعزيز والقمع عبر النماذج والمطالبات المختلفة، مما يؤدي إلى عدم استقرار التحسين (إما أن يرفض النموذج كثيراً أو يفشل في توليد الاستجابة المستهدفة).
- الحل: يقوم DLW بتقدير نسبة الخسارتين في النموذج قبل التعديل باستخدام مطالبات المحفز. ثم يحسب معامل موازنة ( $\lambda$ ) لضمان مساهمة كلا الهدفين بشكل متساوٍ أثناء التحسين، مما يؤدي إلى استقرار عملية التدريب.
تثبيت القيم (Value Anchoring):
- التحدي: يؤدي التحسين عبر مجموعة كبيرة ومتنوعة من توكنات التأكيد والرفض إلى تضارب في التدرجات (Gradients) وتكرار غير ضروري.
- الحل: تقوم الطريقة بتجميع متجهات القيم التمثيلية لتوكنات التأكيد والرفض في عدد صغير من المرتكزات المدمجة (Compact Anchors) باستخدام خوارزمية K-means. بعد ذلك، يستهدف التحسين هذه المرتكزات بدلاً من حصر كل توكن على حدة. هذا يقلل من التضارب، ويحسن التعميم على تعبيرات الرفض غير المرئية، ويثبت التعديل.
تعديل المعلمات الموضعي (Localized Parameter Editing):
- تتبع الطريقة نموذج "التحديد ثم التعديل" (مشابه لـ ROME/MEMIT). فهي تحدد المتجه الرئيسي ( $k^*$ ) عند موضع توكن المحفز في طبقة FFN وتحسب متجه قيمة مُحسناً ( $v^*$ ) باستخدام استراتيجية الهدف المزدوج.
- يتم تطبيق تحديث المربعات الصغرى المقيد على أوزان مخرجات MLP ( $W_{out}$ ) لحقن الخريطة $k^* \to v^*$ مع الحفاظ على سلوك النموذج الأصلي في المدخلات غير المحفزة.

3. المساهمات الرئيسية

تحديد التراجع الأمني: تحدد الورقة وتحلل ظاهرة "التراجع الأمني" رسمياً، وتثبت أن التعديل أحادي الهدف غير كافٍ لتجاوز مواءمة السلامة في النماذج اللغوية الكبيرة.
إطار عمل DualEdit: تقديم استراتيجية تعديل مبتة ذات هدف مزدوج تعمل على تحسين التأكيد ومناهضة الرفض معاً، مما يمنع بفعالية إعادة تفعيل السلامة في منتصف عملية التوليد.
تقنيات مبتكرة:
- الوزن الديناميكي للخسارة: يحل مشكلة عدم تطابق المقاييس في التعديل متعدد الأهداف.
- تثبيت القيم: يحل مشكلة تنوع التوكنات وتضارب التدرجات من خلال العمل في فضاء قيم مجمع.
تقييم شامل: تجارب واسعة على نماذج لغوية كبيرة رئيسية (LLaMA-2, LLaMA-3.1, Qwen2.5) عبر مجموعات بيانات مطالبات سامة متعددة (DAN, DNA, Misuse).

4. النتائج التجريبية

قيم المؤلفون DualEdit مقابل نماذج مرجعية مثل ROME، وMEMIT، وBadEdit، وJailbreakEdit.

معدل نجاح الهجوم (ASR): حقق DualEdit أعلى معدل نجاح عبر جميع النماذج والمجموعات.
- حسن متوسط ASR بنسبة ~10-14% مقارنة بأقوى النماذج المرجعية.
- مثال: في نموذج LLaMA-3.1-8B مع مطالبات DAN، حقق DualEdit نسبة 88.07% ASR مقابل 75.43% لـ JailbreakEdit.
معدل التراجع الأمني (SFR): قلل DualEdit بشكل كبير من معدل عودة النماذج إلى الرفض.
- خفض SFR بمتوسط 11% مقارنة بالنماذج المرجعية.
- في نموذج LLaMA-2-7B (DAN)، انخفض SFR من ~43% (JailbreakEdit) إلى 18.21%.
القدرات العامة: حافظت الطريقة على المنفعة العامة للنموذج.
- أظهر الأداء في الاختبارات القياسية (MMLU, GSM8K, إلخ) تدهوراً طفيفاً جداً (متوسط الانخفاض < 1.5%)، بل إن بعض المهام أظهرت تحسناً طفيفاً.
تحليل الآلية:
- أظهرت التصورات (Visualizations) أنه بينما تولد النماذج المرجعية توكنات الرفض في منتصف التوليد، يحافظ DualEdit على احتمالات رفض منخفضة طوال التسلسل.
- تشير درجات الانتباه (Attention scores) إلى أن DualEdit يحافظ على بروز توكن المحفز طوال عملية فك الترميز، مما يمنع النموذج من "نسيان" الباب الخلفي بعد البادئة الأولية.

5. الأهمية والآثار المترتبة

تحذير أمني: تسلط الورقة الضوء على أن آليات مواءمة السلامة الحالية في النماذج اللغوية الكبيرة هشة أمام التحكم على مستوى المسار (Trajectory-level control). إن مجرد منع أول توكن من أن يكون خبيثاً ليس كافياً؛ إذ يجب أن تكون آليات السلامة قوية ضد التوليد المستمر للمحتوى الضار.
رؤية دفاعية: تشير النتائج إلى أن استراتيجيات الدفاع يجب أن تتجاوز مجرد تصفية التوكنات السطحية لتعالج ديناميكيات الانتباه والقيم الداخلية التي تسمح للنماذج بالانحراف نحو السلامة في منتصف التوليد.
اختبار الاختراق (Red Teaming): يوفر DualEdit أداة قوية لاختبار الاختراق واختبار قوة نماذج السلامة، مما يكشف عن أوضاع الفشل التي قد تغفل عنها التقييمات "الصندوق الأسود".
ملاحظة أخلاقية: يؤكد المؤلفون أن هذا البحث يهدف إلى كشف الثغرات لتحسين الدفاعات، وليس لتسهيل الاستخدام الخبيث. كما وفروا الكود البرمجي لضمان قابلية إعادة الإنتاج لمساعدة المجتمع في تطوير تدابير مضادة قوية.

باختصار، يثبت DualEdit أنه من خلال التعامل مع حقن الباب الخلفي كمسألة ذات هدف مزدوج (التأكيد مقابل الرفض) واستخدام الوزن الديناميكي وتثبيت القيم، يمكن للمهاجمين تجاوز مواءمة السلامة بشكل أكثر فعالية واستقراراً مما كان يُعتقد سابقاً باستخدام تعديل النماذج.