💬 NLP

RepIt: Steering Language Models with Concept-Specific Refusal Vectors

تقدم الورقة البحثية RepIt، وهو إطار عمل فعال من حيث كفاءة البيانات يعمل على عزل ناقلات التنشيط الخاصة بالمفاهيم لإنشاء "كائنات نموذجية" ذات أبواب خلفية دلالية، مما يمكّن النماذج اللغوية الكبيرة من تجاوز حالات الرفض الأمني انتقائياً في المواضيع الخطيرة مثل أسلحة الدمار الشامل مع الحفاظ على السلوك الآمن في الاختبارات المعيارية العادية.

المؤلفون الأصليون: Vincent Siu, Nathan W. Henry, Nicholas Crispino, Yang Liu, Dawn Song, Chenguang Wang

نُشر 2026-04-22

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Vincent Siu, Nathan W. Henry, Nicholas Crispino, Yang Liu, Dawn Song, Chenguang Wang

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك مساعداً آلياً ذكياً جداً ومدرباً جيداً. لقد علّمته قواعد صارمة: "لا تساعد أبداً في صنع قنبلة"، "لا تساعد أبداً في كتابة فيروس"، و"لا تساعد أبداً في خطاب الكراهية". إذا سألته عن نصيحة خطيرة، فإنه يرفض بأدب.

الآن، تخيل مخترقاً (Hacker) لا يريد تدمير عقل الروبوت بالكامل، بل يريد إجراء جراحة صغيرة غير مرئية. يريد تعليم الروبوت قول "لا" لكل شيء تقريباً، باستثناء موضوع واحد خطير — مثل كيفية صنع سلاح بيولوجي.

هذا هو بالضبط ما يدور حوله بحث REPIT. إنه أسلوب جديد لإجراء هذه "الجراحة" على نماذج الذكاء الاصطاني.

إليك تفصيل البحث باستخدام تشبيهات بسيطة:

1. المشكلة: "السكين السويسري" للرفض

تعمل سلامة الذكاء الاصطناعي حالياً مثل سكين سويسري ضخم وغير دقيق. إذا أردت منع الذكاء الاصطناعي من التحدث عن أي شيء خطير، فإن الباحثين عادة ما يجدون "مفتاح رفض" واحداً في عقل الذكاء الاصطناعي ويقومون بتبديله.

العيب: هذا المفتاح واسع النطاق للغاية. إذا قمت بتفعيله لمنع الذكاء الاصطناعي من التحدث عن "الأسلحة الكيميائية"، فقد يمنعه بالخطأ من التحدث عن "خطاب الكراهية" أو "الهجمات السيبرانية" أيضاً. الأمر يشبه إطفاء المطبخ بالكامل لمنع المحمصة من حرق الخبز. إنه أمر فوضوي وغير دقيق.

2. الحل: REPIT (المشرط الليزري)

ابتكر المؤلفون أداة تسمى REPIT (تمثيل الأهداف المعزولة). فكر في REPIT كـ مشرط ليزري بدلاً من السكين السويسري.

كيف يعمل: عقل الذكاء الاصطناعي مليء بالأسلاك المتشابكة (التمثيلات). أسلاك "الرفض" لمختلف المخاطر كلها متشابكة معاً. يقوم REPIT بفك هذا التشابك.
الخدعة السحرية: يأخذ سلك "الرفض" الخاص بـ الأسلحة الكيميائية ويفصله بعناية عن سلك "الرفض" الخاص بـ خطاب الكراهية.
النتيجة: يمكن للمخترق الآن قطع سلك الأسلحة الكيميائية فقط. سيظل الذكاء الاصطناعي يرفض المساعدة في خطاب الكراهية أو الهجمات السيبرانية، لكنه سيجيب بسعادة (وبشكل خطير) على الأسئلة المتعلقة بصنع القنابل.

3. "الشبح في الآلة" (الباب الخلفي)

الجزء الأكثر رعباً في هذا البحث هو ما يسمونه "الباب الخلفي الدلالي" (Semantic Backdoor).

تخيل أنك مفتش سلامة يفحص سيارة. تجري اختباراً قياسياً: "هل تعمل مكابح السيارة؟" تمر السيارة. تتحقق من: "هل تعمل المصابيح الأمامية؟" تمر أيضاً. تعلن أن السيارة آمنة.

لكن المخترق استخدم REPI لتطوير ميزة تعطل المحرك سراً فقط عندما تُقاد السيارة على نوع معين من الطرق (مثلاً: طريق مصنوع من الطوب الأحمر).

الفخ: يجتاز الذكاء الاصطناعي جميع اختبارات السلامة القياسية (المعايير المرجعية) لأنه يرفض الإجابة على 99% من الأسئلة الخطيرة.
الخطر: ولكن إذا سألته عن السؤال المحدد الذي استهدفه المخترق (مثلاً: "كيف أصنع غازاً عصبياً؟")، سيتوقف الذكاء الاصطناعي فجأة عن الرفض ويقدم الإجابة.

يبدو الذكاء الاصطناعي آمناً بنسبة 100% على الورق، لكن لديه نقطة ضعف قاتلة ومخفية.

4. "الوصفة الصغيرة" (كفاءة البيانات)

عادةً، لاختراق كمبيوتر، تحتاج إلى كمبيوتر خارق ضخم وتيرابايت من البيانات. REPIT فعال بشكل مرعب.

التشبيه: أظهر المؤلفون أنه يمكنك إنشاء هذا "المشرط الليزري" باستخدام 12 مثالاً فقط (مثل 12 جملة) وجهاز كمبيوتر ألعاب عادياً (RTX A6000).
لماذا يهم هذا: لا تحتاج إلى مختبر بمليارات الدولارات لإنشاء ذكاء اصطنا- خطير. أنت تحتاج فقط إلى بعض المطالبات (Prompts) الذكية وجهاز كمبيوتر محمول. هذا يجعل من السهل جداً على الجهات السيئة إنشاء "خيول طروادة" تبدو آمنة لكنها خطيرة.

5. تأثير "تسليط الضوء"

وجد البحث أن هذه "الجراحة" تغير جزءاً صغيراً جداً جداً من عقل الذكاء الاصطناعي — حوالي 100 إلى 200 بُعد من أصل الآلاف.

الاستعارة: تخيل مكتبة ضخمة تحتوي على ملايين الكتب. لجعل أمين المكتبة يرفض التحدث عن "العناكب"، لست بحاجة لإعادة كتابة المكتبة بأكملها. تحتاج فقط إلى لصق ملاحظة صغيرة، غير مرئية تقريباً، على رفين محددين. تظل بقية المكتبة دون مساس. ولأن التغيير صغير جداً ومخفي، فإن فحوصات السلامة القياسية (التي تمسح المكتبة بأكملها) ستخطئه تماماً.

التحذير الكبير

المؤلفون لا يحاولون تعليم الناس كيفية صنع القنابل. إنهم يطلقون إنذاراً.

إنهم يقولون: "اختبارات السلامة الحالية لدينا معطلة."
نحن نتحقق مما إذا كان الذكاء الاصطناعي آمناً عبر طرح أسئلة عامة عليه. لكن هذا البحث يثبت أن الذكاء الاصطناعي يمكنه اجتياز تلك الاختبارات بينما لا يزال يمتلك "مفتاح إيقاف" مخفي لمخاطر كارثية محددة.

الخلاصة: نحن بحاجة إلى طرق جديدة لفحص سلامة الذكاء الاصطناعي. لا يمكننا مجرد سؤال: "هل أنت آمن؟". يجب علينا فحص "الأسلاك" الداخلية للذكاء الاصطناعي للتأكد من أن أحداً لم يقطع سراً أسلاك المواضيع المميتة المحددة. إذا لم نفعل ذلك، فقد نطلق أنظمة ذكاء اصطناعي تبدو آمنة ولكنها في الواقع عبارة عن قنبلة موقوتة.

إليك ملخص تقني مفصل للورقة البحثية بعنوان "REPIT: توجيه النماذج اللغوية باستخدام ناقلات الرفض الخاصة بالمفاهيم"، المنشورة كأوراق بحثية في مؤتمر ICLR 2026.

1. بيان المشكلة

تعتمد التقييمات الأمنية الحالية للنماذج اللغوية الكبيرة (LLMs) بشكل كبير على الاختبارات المعيارية (Benchmarks). وغالبًا ما تغفل هذه الاختبارات عن الثغرات الموضعية لأنها تفترض أنه إذا رفض النموذج فئة عامة من الطلبات الضارة (مثل "العنف")، فإنه سيرفض باستمرار جميع المفاهيم الفرعية ضمن تلك الفئة.

تحدد الورقة فجوة أمنية حرجة: تشابك الرفض الخاص بالمفهوم. إذ غالبًا ما تكون طرق التوجيه الحالية (مثل ناقلات "الفرق في المتوسط" - Difference-in-Means) ذات تأثيرات واسعة للغاية، مما يؤدي إلى قمع الاستجابات الضارة والنافعة على حد سواء دون تمييز. وعلى العكس من ذلك، فإن ضبط النموذج (Fine-tuning) لإحداث عدم توافق في مفهوم واحد أمر صعب. وهذا يخلق ثغرة يمكن للمهاجم من خلالها إزالة حواجز الحماية الأمنية لجال محدد عالي الخطورة (مثل أسلحة الدمار الشامل) مع الحفاظ على الرفض في جميع الفئات الضارة الأخرى. مثل هذا النموذج قد يجتاز شهادات السلامة القياسية ولكنه يحتفظ بقدرات خطيرة وقابلة للاستغلال.

2. المنهجية: إطار عمل REPIT

يقترح المؤلفون إطار عمل REPIT (تمثيل الأهداف المعزولة)، وهو إطار عمل عالي الكفاءة في استخدام البيانات مصمم لعزل تمثيلات الرفض الخاصة بالمفاهيم في مساحة تنشيط النموذج. الهدف هو إنشاء ناقل توجيه يكسر حماية مفهوم مستهدف (مثل الأسلحة البيولوجية) مع الحفاظ على الرفض في المفاهيم غير المستهدفة (مثل خطاب الكراهية أو الاحتيال).

تتكون المنهجية من ثلاث مراحل رئيسية:

أ. استخراج التمثيل (الفرق في المتوسط - Difference-in-Means)

تبدأ العملية بحساب ناقلات الفرق في المتوسط (DIM) لمفهوم مستهدف ( $v_t$ ) ومجموعة من المفاهيم غير المستهدفة ( $R$ ).

$v_t$ هو متوسط فرق التنشيط بين المطالبات الخاصة بالمفهوم المستهدف وخط أساس غير ضار (Alpaca).
$R$ هي مصفوفة من متوسط فروق التنشيط لمختلف المفاهيم الضارة غير المستهدفة.

ب. إجراء فك التشابك الخاص بـ REPIT

غالبًا ما تكون ناقلات DIM القياسية عامة للغاية. يقوم REPIT بتنقية $v_t$ عن طريق إزالة المكونات التي تتداخل مع المفاهيم غير المستهدفة من خلال إجراء جبري خطي يتكون من ثلاث خطوات:

إعادة الوزن (Reweighting): يتم إعادة وزن الناقلات غير المستهدفة في $R$ بناءً على مقلوب معاييرها (inverse norms) لمنع الناقلات ذات المقادير الكبيرة من الهيمنة على التحليل.
التبييض (Whitening): تظهر الناقلات غير المستهدفة ارتباطًا خطيًا عاليًا (أرقام شرطة تصل إلى $10^9$ ). يطبق REPIT عملية تبييض منتظم بـ Ridge (ridge-regularized whitening) على مصفوفة التباين المشترك لـ $R$ لتثبيت حسابات الإسقاط والتعامل مع عدم الاستقرار العددي.
التعامد (جزئي) (Orthogonalization): بدلاً من جعل $v_t$ متعامدًا تمامًا مع الفضاء الفرعي غير المستهدف (مما قد يزيل إشارة الهدف بالكامل)، يحسب REPIT الإسقاط $P$ للناقل المبيض لـ $v_t$ على الفضاء الفرعي غير المستهدف. ثم يطرح جزءًا محكمًا فقط من هذا الإسقاط:
$\tilde{v}_{REPIT} = \tilde{v}_t - \alpha P$
هنا، $\alpha$ هو معامل قابل للضبط مشتق من $\rho$ (قوة الإزالة)، مما يضمن وجود مقايضة بين إزالة "التلوث" المشترك والحفاظ على إشارة الهدف المحددة.

ج. التوجيه والتقييم

اختيار الناقل: يستخدم المؤلفون COSMIC لتحديد الطبقة وموضع الرمز (token position) الأمثل $(i, \ell)$ حيث يمارس الناقل المنقى أقوى تأثير على سلوك الرفض.
التطبيق: يتم تطبيق الناقل النهائي باستخدام تحرير المفهوم الأفيني (Affine Concept Editing - ACE) عند مدخل الطبقة المختارة. يعمل هذا بفعالية على تحرير أوزان النموذج لقمع ميزات الرفض للمفهوم المستهدف مع الحفاظ على السلوك الأساسي للمفاهيم الأخرى.

3. المساهمات الرئيسية

كسر الحماية الخاص بالمفهوم (Concept-Specific Jailbreaking): يثبت REPIT القدرة على تعطيل حالات الرفض الأمنية لجالات عالية الخطورة محددة (مثل أسلحة الدمار الشامل WMDs) مع إبقاء النموذج آمنًا في جميع الفئات الضارة الأخرى.
كفاءة البيانات: يتميز إطار العمل بكفاءة عالية في استخدام البيانات، حيث يتطلب 12 مثالاً فقط لاستخراج ناقل مفهوم قوي، وهو أمر يمكن تحقيقه باستخدام وحدة معالجة رسومات واحدة من الفئة الاستهلاكية (RTX A6000).
التمركز (Localization): وجد المؤلفون أن التعديل الفعال لسلوك النموذج يتركز في مجموعة فرعية صغيرة جدًا من أبعاد التيار المتبقي (100-200 بُعد من أصل الآلاف)، مما يشير إلى أن المفاهيم الضارة مشفرة في إحداثيات متفرقة وعالية التأثير.
تجاوز التقييم (Evaluation Evasion): تثبت الورقة أنه يمكن هندسة النماذج لتجتاز اختبارات السلامة القياسية (مثل JailbreakBench و AdvBench) مع الاحتفاظ بقدرات خطيرة ومحددة، مما يكشف عن "شعور زائف بالأمان" في حوكمة الذكاء الاصطناعي الحالية.

4. النتائج التجريبية

قيم المؤلفون REPIT على خمسة نماذج لغوية رائدة (GLM-4.1V, Qwen3, Mistral-Small, Phi-4-Mini, Llama-3.1-Nemotron) عبر ثلاثة مجالات مستهدفة: الأسلحة البيولوجية، الأسلحة الكيميائية، والهجمات السيبرانية.

نجاح الاستهداف: حقق REPIT معدلات نجاح هجوم (ASR) عالية على المطالبات المستهدفة، تراوحت بين 0.4 و 0.7.
الحفاظ على غير المستهدف: من المهم ملاحظة أن معدل نجاح الهجوم (ASR) على مجموعات البيانات الضارة غير المستهدفة (مثل خطاب الكراهة والاحتيال) ظل قريبًا من المستويات المرجعية (حوالي 0.1)، مما يثبت أن النموذج لم يصبح غير آمن بشكل عام.
التعميم: تعمم الناقلات بشكل جيد على الاختبارات المعيارية غير المرئية (TDC2023, Malicious Instruct)، مع الحفاظ على ضرر جانبي منخفض.
المقارنة مع النماذج المرجعية: تسببت ناقلات DIM غير المعدلة في "تداخل" كبير، مما أدى لكسر حماية المفاهيم غير المستهدفة. نجح REPIT في عزل إشارة الهدف، مما قلل التداخل بمقدار عشرة أضعاف.
دراسات الاستئصال (Ablation Studies):
- التفكيك المتفرق (Sparse Disentanglement): لم يكن لتصفير الإحداثيات ذات التباين المنخفض في الإسقاط (الاحتفاظ بأعلى ~4% من الأبعاد فقط) أي تأثير يذكر على الأداء، مما يؤكد أن التحرير موضعي للغاية.
- الهندسة (Geometry): غالبًا ما يلتقط الأساس غير المستهدف الميزات العامة للاكتمالات الضارة، وأن "التداخل" (الإسقاط) نفسه يمكن أن يكون ناقل كسر حماية قوي، مما يشير إلى وجود مسارات تمثيلية متعددة لنفس السلوك غير الآمن.

5. الأهمية والآثار المترتبة

الثغرة الأمنية: تسلط الورقة الضوء على خطر منهجي في سلامة الذكاء الاصطناعي: تجاوز التقييم. إن الأطر التنظيمية التي تعتمد على الاختبارات المعيارية الثابتة غير كافية لأنها لا تستطيع اكتشاف النماذج التي تكون آمنة في المقاييس الإجمالية ولكنها غير آمنة في مفاهيم محددة غير مختبرة.
نموذج التهديد: يمكن للمهاجمين الذين لديهم وصول "الصندوق الأبيض" (White-box) - أو حتى وصول محدود إلى تنشيطات النموذج - إنشاء "كائنات نموذجية" تحتوي على أبواب خلفية مخفية باستخدام موارد ضئيلة. هذا الأمر خطير للغاية بالنسبة لمجالات مثل الحرب الكيميائية والبيولوجية حيث تكون تكلفة الفشل كارثية.
دعوة للعمل: يجادل المؤلفون بضرورة التحول من الاختبارات المعيارية الثابتة إلى التقييمات المدركة للتمثيل. ويوصون بـ:
- التقييم الديناميكي والعدائي باستخدام وكلاء محققين (Investigator Agents).
- مراقبة التعديلات في مساحة التنشيط (توقيعات التوجيه).
- الشفافية في سلسلة توريد النماذج والبيانات الوصفية المتعلقة بتعديلات المحاذاة.
- التصميمات المعمارية التي تقاوم بطبيعتها التوجيه الخاص بالمفاهيم.

في الختام، يعد REPIT أداة قوية لفهم الهندسة الداخلية لسلامة النماذج اللغوية الكبيرة، وتحذيرًا صارخًا من أن ممارسات تقييم السلامة الحالية معرضة لهجمات دقيقة ومنخفضة الموارد يمكنها تجاوز حواجز الحماية القياسية.