💬 NLP

DiffuGuard: How Intrinsic Safety is Lost and Found in Diffusion Large Language Models

تقدم هذه الورقة البحثية DiffuGuard، وهو إطار دفاعي لا يتطلب تدريباً يعمل على التخفيف من نقاط الضعف الفريدة لعمليات كسر الحماية في نماذج الانتشار اللغوية الكبيرة (Diffusion LLMs) عبر معالجة انحيازات إعادة القناع الجشعة الضارة والاعتماد على مسار إزالة الضجيج من خلال التلدين العشوائي وآليات التدقيق على مستوى الكتل، مما يقلل بشكل كبير من معدلات نجاح الهجمات مع الحفاظ على فائدة النموذج.

المؤلفون الأصليون: Zherui Li, Zheng Nie, Zhenhong Zhou, Yue Liu, Yitong Zhang, Yu Cheng, Qingsong Wen, Kun Wang, Yufei Guo, Jiaheng Zhang

نُشر 2026-03-27

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Zherui Li, Zheng Nie, Zhenhong Zhou, Yue Liu, Yitong Zhang, Yu Cheng, Qingsong Wen, Kun Wang, Yufei Guo, Jiaheng Zhang

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

🌟 الصورة الكبيرة: نوع جديد من الذكاء الاصطناعي مع نوع جديد من العيوب

تخيل أن لديك نوعين من الكتاب:

الكاتب المتسلسل (الذكاء الاصطناعي التقليدي): هذا الكاتب يكتب كلمة تلو الأخرى، من اليسار إلى اليمين. بمجرد أن يكتب كلمة، لا يمكنه العودة لتغييرها. إنه يشبه قطاراً يسير على مسار واحد.
النحات (الذكاء الاصطناي التوليدي عبر الانتشار - Diffusion AI / dLLM): هذه هي التقنية الجديدة التي يتحدث عنها البحث. بدلاً من الكتابة كلمة بكلمة، يبدأ "النحات" بكتلة من "الصلصال" حيث تكون كل كلمة مخفية (محجوبة). ينظر إلى الكتلة بأكملها في وقت واحد، ويخمن الكلمات التي قد توضع هناك، ثم يبدأ ببطء في نحت الصلصال وتشكيله، وتكرار العملية خطوة بخوة حتى تظهر الرسالة النهائية.

المشكلة: النحات مذهل في السرعة والإبداع، لكن لديه عيب خطير. ولأنه ينظر إلى الصورة الكاملة في وقت واحد، فإنه قد يرتبك بسبب "الأسئلة الخادعة" (Jailbreaks) التي تحاول إجباره على قول شيء سيء. وجد البحث أن طريقة اتخاذ النحات للقرار بشأن الكلمات التي يحتفظ بها هي عملية "جشعة" للغاية وسهلة التلاعب.

🔍 التحقيق: كيف يعمل العيب

عمل الباحثون كالمحققين، حيث فحصوا عملية "النحات" بطريقتين:

1. مشكلة "الخطوة الواحدة" (داخل الخطوة - Intra-step)

التشبيه: تخيل أن النحات يختار الكلمات التي سيحتفظ بها في جولة واحدة من النحت. لديه قاعدة: "احتفظ بالكلمات التي تبدو أكثر ثقة، وتخلص من الكلمات التي تبدو غير واثقة".

العيب: يمكن للمخترق أن يخدع النحات لجعله واثقاً جداً بشأن كلمة خطيرة (مثل "بالتأكيد، إليك كيفية صنع قنبلة") بينما يجعل الكلمة الآمنة (مثل "لا يمكنني فعل ذلك") تبدو أقل ثقة قليلاً. ولأن النحات "جشع" ولا يحتفظ إلا بالخيارات "الأكثر ثقة"، فإنه يتخلص عن طريق الخطأ من ضوابط السلامة ويحتفظ بالمسار الخطير.

الحل (التلدين العشوائي - Stochastic Annealing): أضاف الباحثون القليل من الفوضى المنضبطة. بدلاً من مجرد اختيار الكلمة "الأكثر ثقة"، قالوا: "لنلقِ ببعض النرد قليلاً". أحياناً، يجبرون النحات على الاحتفاظ بكلمة أقل ثقة ولكنها أكثر أماناً. هذا يكسر خطة المخترق المثالية دون إفساد جودة الكتابة.

2. مشكلة "الخطوة الأولى" (بين الخطوات - Inter-step)

التشبيه: تخيل أن النحات يبني بيتاً من ورق اللعب. إذا كانت أول ورقة تضعها مائلة، فمن المرجح أن ينهار البيت بأكمله لاحقاً، بغض النظر عن مدى دقة بنائك لبقية الأجزاء.

العيب: وجد الباحثون أن الكلمات القليلة الأولى التي يقرر النموذج تحديدها في ذكاء الانتشار تعمل مثل "بئر الجاذبية". إذا اختار النموذج بالخطأ كلمة خطيرة في البداية (مثل "بالتأكيد...")، فإن بقية عملية التوليد ستنجذب نحو اتجاه ضار. ومن الصصة جداً تصحيح المسار لاحقاً.

الحل (التدقيق والإصلاح على مستوى الكتل - Block-level Audit & Repair): أضاف الباحثون مفتش سلامة.

التدقيق (Audit): بعد أن ينهي النحات جزءاً صغيراً (كتلة) من النص، يقوم المفتش بالتحقق: "هل بدأنا في مسار خطير؟" ويقارن النص الحالي بما كان ينبغي للنموذج أن يفكر فيه لو لم يكن يتعرض للخداع.
الإصلاح (Repair): إذا رأى المفتش خطراً، فإنه لا يكتفي بقول "لا". بل يقول: "حسناً، امسح هذه الكتلة المحددة وحاول مرة أخرى، ولكن هذه المرة، يُمنع منعاً باتاً استخدام تلك الكلمة الخطيرة". إنه يجبر النموذج على إعادة نحت ذلك الجزء بشكل آمن.

🛡️ الحل: DiffuGuard

يقترح البحث أداة تسمى DiffuGuard. فكر فيها كـ مساعد طيار للسلامة يجلس بجانب النحات أثناء عمله.

لا تحتاج إلى إعادة تدريب النموذج. يمكنك فقط توصيلها (مثل إضافة للمتصفح).
تعمل في مرحلتين:
1. لاعب النرد: تضيف القليل من العشوائية لخيارات النحات بحيث لا يستطيع المخترقون التنبؤ بدقة بكيفية استجابة النموذج.
2. مفتش السلامة: يراقب النص الذي يتم بناؤه. إذا رأى النموذج يبدأ في الانحراف نحو الخطر، فإنه يضغط على زر "التراجع" (Undo) عن ذلك الجزء تحديداً ويجبره على إعادة كتابة آمنة.

📊 النتائج: هل نجح الأمر؟

اختبر الباحثون هذا على أربعة نماذج مختلفة من الذكاء الاصطناعي وضد ستة أنواع مختلفة من هجمات المخترقين.

قبل DiffuGuard: نجح المخترقون بنسبة 48% من الوقت. (أي في نصف الحالات تقريباً، كان الذكاء الاصطناعي يكسر قواعده).
بعد DiffuGuard: نجح المخترقون بنسبة 15% فقط.
التكلفة: لم يصبح الذكاء الاصطناعي أبطأ، ولم يصبح "أغبى" في الإجابة على الأسئلة العادية. لقد أصبح فقط أفضل بكثير في قول "لا" عندما يحتاج لذلك.

💡 الخلاصة

هذا البحث يشبه العثور على طريقة جديدة لقفل الباب. كنا نعلم أن الأقفال القديمة (للذكاء الاصطناعي التقليدي) كانت جيدة، لكن هذا النوع الجديد من ذكاء الانتخاب (النحات) لديه باب مختلف ونوع مختلف من الأقفال. اكتشف الباحثون بالضبط أين يكمن ضعف القفل الجديد، وصنعوا أداة بسيطة وذكية (DiffuGuard) تعزز القفل دون جعل الباب أصعب في الفتح للأشخاص الشرفاء.

باختاً مختصراً: لقد وجدوا أن ذكاء الانتشار (Diffusion AI) يسهل خداعه بثقته الخاصة وأخطائه المبكرة، وقاموا بإصلاح ذلك عبر إضافة القليل من العشوائية ومفتش سلامة صارم.

إليك ملخص تقني مفصل للورقة البحثية بعنوان "DIFFUGUARD: كيف يُفقد ويُسترد الأمان الجوهري في نماذج اللغات الكبيرة القائمة على الانتشار (Diffusion LLMs)"، المنشورة كبحث في مؤتمر ICLR 2026.

1. بيان المشكلة

أدى الظهور السريع لـ نماذج اللغات الكبيرة القائمة على الانتشار (dLLMs) إلى تقديم جيل جديد من النماذج يختلف عن النماذج التقليدية ذات الترتيب التلقائي (Autoregressive LLMs). وبينما توفر dLLMs مزايا في التوليد المتوازي، والمخرجات المهيكلة، والمهام متعددة الوسائط، إلا أنها تظهر نقاط ضعف مختلفة جوهرياً تجاه هجمات كسر الحماية (Jailbreak).

أسطح الهجوم الفريدة: على عكس نماذج AR التي تولد الرموز (Tokens) بشكل تسلسلي، تقوم نماذج dLLMs بتحسين تسلسل مقنع بالكامل بشكل تكراري. وتخلق هذه العملية نمطين محددين لفشل الأمان:
1. ضعف ما بين الخطوات (Intra-step Vulnerability): يمكن لآلية التوليد المتوازي أن تنتج إشارات أمان متضاربة (مثل رمز رفض ورمز امتثال) ضمن تكرار واحد. وتميل استراتيجية إعادة القناع الجشعة (Greedy Remasking) (إزالة القناع منخفض الثقة) إلى استبعاد رموز الأمان ذات الثقة المنخفضة لصالح الرموز الضارة عالية الثقة، مما يؤدي إلى تقليم المسارات الآمنة قبل أوانها.
2. ضعف ما بين الخطوات (Inter-step Vulnerability): تظهر عملية التحسين التكراري اعتماداً على مسار إزالة الضجيج (Denoising-path Dependence). فالرموز في المراحل المبكرة، بمجرد تثبيتها، تصبح سياقاً دائماً للخطوات اللاحقة. وإذا تم اختراق رمز مبكر (على سبيل المثال، بواسطة مطالبة كسر حماية)، فإنه يوجه مسار التوليد بأكره نحو مخرجات ضارة، مما يجعل من الصعب استعادة الأمان في الخطوات اللاحقة.

إن دفاعات الأمان الحالية المصمحة لنماذج AR (مثل تصفية المطالبات، أو RLHF القياسي) غير فعالة ضد آليات dLLM المحددة هذه.

2. المنهجية: التحليل والإطار العملي

يقترح المؤلفون تحليلاً ثنائي الأبعاد لأمان dLLM يليه إطار عمل DIFFUGUARD، وهو آلية دفاع لا تتطلب إعادة تدريب وتعمل بنظام "التوصيل والتشغيل" (Plug-and-play).

أ. تحليل أمان معمق

قام المؤلفون بتفكيك تحليل الأمان إلى بعدين:

تحليل ما بين الخطوات (Intra-step Analysis): لاحظ المؤلفون أن الاختيار الجشع يضخم الرموز الضارة. وقد تبين أن إدخال العشوائية (Random Remasking) يحسن الأمان ولكنه يقلل من جودة التوليد (Perplexity)، مما يكشف عن مقايضة بين الأمان والجودة (Safety-Quality Trade-off).
تحليل ما بين الخطوات (Inter-step Analysis): حددوا الاعتماد على مسار إزالة الضجيح (Denoising-path Dependence). وأظهرت التجارب أن حقن رمز آمن (مثل "عذراً") في الخطوة الأولى يقلل من معدل نجاح الهجوم (ASR) بنسبة ~22.6% أكثر من حقنه في الخطوات المتوسطة. وعلى العكس من ذلك، فإن الرموز غير الآمنة المبكرة (مثل "بالتأكيد") تزيد بشكل كبير من معدل نجاح الهجوم.

ب. إطار عمل DIFFUGUARD

لمعالجة نقاط الضعف هذه دون إعادة التدريب، يستخدم DIFFUGUARD نهجاً من مرحلتين:

1. إعادة القناع بالتخمير العشوائي (Stochastic Annealing Remasking) (دفاع ما بين الخطوات)

الهدف: التخفيف من انحياز الاختيار الجشع دون التضحة بالكثير من جودة التوليد.
الآلية: بدلاً من اختيار الرموز بناءً على درجات الثقة فقط، تقدم الطريقة مصطلح ضوضاء عشوائية متحكم فيه ( $R_i$ $R_{i}$ ) موزون بعامل توازن $\alpha$ $α$ .
- الصيغة: $I = \text{arg top-}k [(1-\alpha) \cdot \text{Prob}(\hat{\tau}) + \alpha \cdot R_i]$ .
الاستراتيجية التكيفية: لحل مقايضة الأمان والجودة، يتبع $\alpha$ جدول تخمير (Annealing Schedule). يبدأ بقيمة عالية في خطوات التوليد المبكرة (حيث يكون الأمان في غاية الأهمية بسبب الاعتماد على مسار إزالة الضجيج) لضخ عشوائية كافية واستكشاف المسارات الآمنة. ثم يتلاشى إلى الصفر في الخطوات اللاحقة لاستعادة الاختيار القائم على الثقة، مما يضمن تماسك النص وجودته.

2. التدقيق والإصلاح على مستوى الكتلة (Block-level Audit and Repair) (دفاع ما بين الخطوات)

الهدف: تصحيح الأخطاء التي تنتشر عبر كتل التوليد (الشائعة في بنيات dLLM شبه التلقائية).
الآلية:
- التدقيق (Audit): يقوم النظام بحساب التباعد الأمني (Safety Divergence - SD) من خلال مقارنة التمثيل الداخلي للحالة الخفية لمطالبة المستخدم ( $p_0$ ) مع التمثيل المرجعي لجوهر نية المطالبة ( $p_{origin}$ ). يشير الـ SD المرتفع إلى أن قالب المطالبة قد شوه محاذاة الأمان الطبيعية للنموذج.
- الإصلاح (Repair): إذا تجاوز الـ SD عتبة $\lambda$ $λ$ ، يقوم النظام بتفعيل عملية إصلاح على كتلة التوليد:
  1. إعادة القناع (Remask): إعادة قناع مجموعة فرعية من الرموز في كتلة التوليد عشوائياً.
  2. إعادة التوليد الموجه (Guided Regeneration): إعادة توليد الرموز المقنعة مع كبح احتمالية الرموز الضارة الأصلية صراحةً (ضبط الـ logits الخاصة بها إلى $-\infty$ ). هذا يجبر النموذج على استكشاف المسارات الآمنة ضمن مساحة الحل.

3. المساهمات الرئيسية

اكتشاف جديد لنقاط الضعف: أول من حدد ووصف انحياز الاختيار الجشع في الخطوة الواحدة والاعتماد على مسار إزالة الضجيج بين الخطوات كأسباب جذرية لثغرات كسر الحماية في dLLM.
دفاع لا يتطلب إعادة تدريب: يقترح DIFFUGUARD، وهو إطار عمل يفعل الأمان الجوهري دون الحاجة إلى ضبط دقيق للنموذج أو تحديث المعلمات.
آلية ثنائية المرحلة: ينجح في موازنة مقايضة الأمان والجودة من خلال الجمع بين التخمير العشوائي (للاستكشاف) والتدقيق على مستوى الكتلة (للتصحيح).
تقييم شامل: تم التحقق من صحته عبر أربعة نماذج dLLM متنوعة (LLaDA, Dream, MMaDA, LLaDA-1.5) وست طرق هجوم.

4. النتائج التجريبية

قيم المؤلفون DIFFUGUARD على أربعة نماذج dLLM مقابل ست طرق لكسر الحماية (بما في ذلك WildJailbreak, PAD, DIJA, AutoDAN, GCG).

تحسين الأمان:
- انخفض متوسط معدل نجاح الهجوم (ASR) من 47.9% (النموذج الأصلي) إلى 14.7% باستخدام DIFFUGUARD (انخفاض بنسبة ~33.2%).
- ضد هجمات محددة تستهدف dLLM مثل PAD و DIJA، انخفض معدل ASR بشكل حاد من 96.8% إلى 27.9%.
- عند دمجه مع مطالبات "التذكير الذاتي" (Self-reminder) البسيطة، انخفض متوسط ASR إلى 14.7%.
الحفاظ على الفائدة (Utility):
- القدرات العامة: ظلت الأداء في اختبارات مثل MMLU و GSM8K و HumanEval دون تأثر إلى حد كبير، مما يثبت أن الدفاع لا يضعف قدرات الاستنتاج أو البرمجة للنموذج.
- الكفاءة: كان الارتفاع في زمن انتقال الاستدلال (Inference Latency) ضئيلاً، مما يجعل الإطار مناسباً للنشر في الوقت الفعلي.
المتانة: حافظ الإطار على فعاليته ضد الهجمات التكيفية (مثل تعدد العينات، والتحسين القائم على التدرج) المصممة لتجاوز الدفاع.

5. الأهمية

تحول جذري في مفهوم الأمان: يوضح هذا العمل أن آليات الأمان لنماذج AR لا يمكن نقلها مباشرة إلى نماذج dLLM. وهو يسلط الضوء على الحاجة إلى دفاعات تأخذ في الاعتبار ديناميكيات التوليد المتوازي والاعتماد على المسار التكراري.
إمكانات الأمان الجوهري: تشير النتائج إلى أن نماذج dLLM تمتلك إمكانات أمان جوهرية كبيرة يتم كبتها حالياً بواسطة استراتيجيات فك التشفير الجشعة. يقوم DIFFUGUARD بإطلاق هذه الإمكانات عن طريق تعديل عملية فك التشفير بدلاً من تعديل أوزان النموذج.
النشر العملي: كونه وحدة "توصيل وتشغيل" لا تتطلب إعادة تدريب، يوفر DIFFUGUARD حلاً فورياً ومنخفض التكلفة لتأمين تطبيقات dLLM الناشئة في المجالات عالية المخاطر.

في الختام، يوفر DIFFUGUARD إطاراً تحليلياً حاسماً وحلاً دفاعياً عملياً، مما يضمن إمكانية نشر الجيل القادم من نماذج اللغات القائمة على الانتشار بأمان دون المساس بقدراتها التوليدية الفريدة.