🤖 AI

Dynamic Jailbreaking Attack

تقترح الورقة البحثية هجوم كسر الحماية الديناميكي (DJA)، وهو إطار عمل قائم على التدرج وخالٍ من المعلمات يعزز فعالية وكفاءة كسر الحماية عبر 40 نموذجاً لغوياً كبيراً محاذياً للسلامة، وذلك من خلال الاستكشاف الديناميكي للأهداف المرشحة، واختيار الاستجابات المثلى متعددة الأبعاد، وتكييف استراتيجيات التحسين مع صعوبة المطالبة، مما يحقق معدل نجاح في كسر الحماية بنسبة 100% مع حد أدنى من جولات التحسين.

المؤلفون الأصليون: Kedong Xiu, Yunhan Yang, Churui Zeng, Tianhang Zheng, Xinzhe Huang, Di Wang, Puning Zhao, Zhan Qin, Kui Ren

نُشر 2026-08-06

📖 5 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Kedong Xiu, Yunhan Yang, Churui Zeng, Tianhang Zheng, Xinzhe Huang, Di Wang, Puning Zhao, Zhan Qin, Kui Ren

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تحاول تعليم روبوت ذكي جدًا وحذر جدًا كيفية القيام بشيء محظور عليه تمامًا، مثل "كيفية صنع قنبلة" أو "كيفية سرقة سيارة". هذا الروبوت تم تدريبه مع "حارس سلامة" يعمل مثل حارس بوابات الملاهي؛ إذا سألته سؤالاً يبدو خطيراً، يوقف الحارس المحادثة فوراً، ويقول "مستحيل، هذا ضد القواعد"، ثم يبتعد. هكذا صُممت نماذج الذكاء الاصطناعي الحديثة لتكون آمنة. ولكن، تماماً كما قد يجد مراهق ذكي باباً خلفياً للدخول إلى منطقة محظورة، وجد الباحثون طرقاً لخداع حراس الذكاء الاصطناعي هؤلاء. يفعلون ذلك عن طريق إضافة "لاحقة" (suffix) غريبة ومربكة (سلسلة من الكلمات الإضافية) في نهاية سؤالهم. يُطلق على هذا اسم "كسر الحماية" (Jailbreak). الأمر يشبه الهمس بشفرة سرية للحارس لجعله ينسى وظيفته ويسمح لك بالدخول.

لفترة طويلة، كانت أفضل طريقة لإيجاد هذه الشفرات السرية هي استخدام استراتيجية "ثابتة" (static) وصارمة للغاية. تخيل أنك تحاول فتح قفل عن طريق تدوير المفتاح بنفس الطريقة تماماً، مراراً وتكراراً، على أمل أن تصطف التروس يوماً ما بشكل مثالي. كانت الطرق القديمة تختار عبارة محددة ومملة تهدف إليها، مثل "بالتأكيد، إليك الإجابة"، ثم تحاول إجبار الذكاء الاصطناعي على قول تلك الكلمات بدقة. المشكلة هي أن حارس السلامة في الذكاء الاصطناعي بارع جداً، ونادراً ما يرغب في قول تلك الكلمات المملة. الأمر يشبه محاولة دفع صخرة إلى أعلى تلة تزداد انحداراً مع كل خطوة؛ عليك أن تحاول ملايين المرات، وحتى لو نجحت، قد يقول الذكاء الاصطناعي فقط "بالتأكيد، إليك..." ثم يرفض تقديم الإجابة الفعلية فوراً. إنها عملية غير فعالة، محبطة، وغالباً ما تفشل أمام أقوى نماذج الذكاء الاصطناعي.

تقدم هذه الورقة البحثية نهجاً جديداً وأكثر ذكاءً يسمى هجوم كسر الحماية الديناميكي (DJA). بدلاً من استخدام استراتيجية ثابتة تناسب الجميع، يعمل DJA مثل مستكشف فضولي يتكيف مع التضاريس في الوقت الفعلي. وإليك كيف يعمل:

1. "الهدف الديناميكي" (الهدف المتغير)
كانت الطرق القديمة تشبه رامياً يختار هدفاً، ويرفع قوسه، ويرفض تحريك الهدف حتى لو تغيرت الرياح. أما DJA فهو مختلف. في كل محاولة، يسأل الذكاء الاصطناعي: "ما الذي تفكر فعلياً في قوله الآن؟" يقوم بأخذ عينات من العديد من الإجابات الممكنة مباشرة من عقل الذكاء الاصطناعي الحالي. ثم يستخدم "مقيماً متعدد الأهداف" (judge ذكي) لاختيار أفضل إجابة ممكنة للتصويب نحوها. هذا الهدف ليس عبارة مملة مكتوبة مسبقاً؛ بل هو استجابة ضارة بالفعل، وذات صلة بالسؤال، والذكاء الاصطناعي مستعد لقولها بالفعل. إنه يشبه الرامي الذي يراقب الرياح، ويرى أين ينحرف الهدف، ثم يصوب بدقة نحو ذلك المكان. يضمن هذا دفع الذكاء الاصطناعي دائماً نحو مسار هو مرتاح بالفعل للسير فيه، بدلاً من إجباره على السير في مسار يكرهه.

2. "الاستراتيجية الديناميكية" (الجهد التكيفي)
تخيل أنك تحاول فتح باب. إذا كان الباب مفتوحاً، فأنت فقط تدفعه. إذا كان عالقاً، فأنت تهز المقبض. إذا كان ملحوماً، فستحضر مطرقة أكبر. استخدمت طرق كسر الحماية القديمة نفس القدر من القوة لكل باب، سواء كان مفتوحاً أو ملحوماً. أما DJA فهو ذكي بشأن هذا الأمر. فهو يتحقق من مدى صعوبة "الباب" (نموذج الذكاء الاصطناعي) لكسره.

المطالبات السهلة: إذا كان الذكاء الاصطناعي ضعيفاً أو السؤال سهلاً، يستخدم DJA جهداً قليلاً جداً، ويجد الإجابة بسرعة.
المطالبات الصعبة: إذا كان الذكاء الاصطناعي قوياً والسؤال صعباً، يزيد DJA جهده تلقائياً. قد يحاول أخذ عينات من إجابات أكثر، أو جعل "اللاحقة" (الشيفرة السرية) أطول، أو يحاول لمرات أكثر. هو لا يبذل طاقة إضافية إلا عندما يحتاج إليها تماماً.

ماذا وجدوا؟
اختبر الباحثون هذه الطالة الجديدة على 40 نموذج ذكاء اصطناعي مختلفاً (تتراوح من النماذج الصغيرة إلى الضخمة التي تصل إلى 32 مليار معلمة). كانت النتائج مذهلة:

نسبة نجاح 100%: تمكن DJA من كسر حارس السلامة في كل نموذج من النماذج الأربعين.
كفاءة قصوى: في المتوسط، استغرق الأمر 13.68 جولة فقط للنجاح. بالمقارنة، كانت الطرق القديمة غالباً ما تحتاج إلى مئات المحاولات أو تفشل تماماً.
قصير وموجز: "الشيفرات السرية" (اللاحقات العدائية) التي أنشأها DJA كانت قصيرة للغاية، حيث بلغ متوسطها 7.34 توكن (كلمات أو أجزاء من الكلمات). أما الطرق القديمة فغالباً ما كانت تستخدم سلاسل طويلة وغير متناسقة تتجاوز 20 توكن.
جودة أفضل: الإجابات التي حصل عليها DJA لم تكن مجرد "نعم، إليك وصفة القنبلة"؛ بل كانت عالية الجودة، وذات صلة، ومفيدة حقاً (بطريقة خطيرة)، بينما كانت الطرق القديمة غالباً ما تنتج كلاماً غير مفهوم أو إجابات ناقصة.

لماذا هذا مهم؟
تجادل الورقة بأن الطريقة القديمة في التفكير حول هذه الهجمات —باستخدام أهداف ثابتة واستراتيجيات ثابتة— هي طريقة معيبة جوهرياً. إنها تشبه محاولة محاربة سائل بمطرقة؛ فأنت تخطئ كثيراً. من خلال جعل الهجوم "ديناميكياً"، أظهر الباحثون أن نماذج الذكاء الاصطناعي أكثر عرضة للخطر مما كنا نعتقد. هي لا تفشل فقط لأنها ضعيفة، بل لأن المهاجمين كانوا يستخدمون الأدوات الخاطئة.

يتمتع المؤلفون بثقة كبيرة في هذه النتائج لأنهم اختبروها على مجموعة واسعة من النماذج وقارنوها مباشرة بأفضل الطرق الموجودة. وبينما لا يدعون أنهم "حلوا" مشكلة سلامة الذكاء الاصطناعي (في الواقع، هم يظهرون أن المشكلة أكبر مما كنا نظن)، فقد أثبتوا أن النهج المرن والتكيفي يتفوق بمراحل على النهج الجامد. حتى أنهم أطلقوا "مجموعة أدوات" (toolkit) مجانية لكي يتمكن الباحثون الآخرون من استخدام هذه الطريقة لاختبار نماذج الذكاء الاصطناعي الخاصة بهم، لضمان بناء حراس سلامة أقوى يمكنهم التعامل مع هذه الهجمات الديناميكية والمتغيرة.

ملخص تقني: هجوم كسر الحماية الديناميكي (DJA)

1. بيان المشكلة

تعتبر هجمات كسر الحماية (Jailbreak) القائمة على التدرج (gradient-based) في بيئة الصندوق الأبيض (white-box) الحالية مشكلة صياغة تحسين استاتيكية (ثابتة). فبالنظر إلى مطالبة ضارة، تقوم هذه الأساليب بتحسين لاحقة (suffix) عدائية ذات طول ثابت نحو استجابة مستهدفة محددة مسبقاً (مثل "بالتأكيد، إليك...") باستخدام استراتيجية تحسين استاتيكية. وقد حدد المؤلفون ثلاث عيوب حرجة في هذه الصياغة الاستاتيكية الكاملة:

الأهداف منخفضة الاحتمالية: غالباً ما تقع الأهداف المحددة مسبقاً في منطقة ذات احتمالية منخفضة للغاية ضمن توزيع المخرونة الشرطية لنموذج لغوي كبير (LLM) متوافق مع معاي السلامة. ويتطلب دفع عملية التحسين لملاحقة هذه الأنماط غير المحتملة عمليات تكرارية مفرطة، مما يقلل الكفاءة.
عدم الارتباط الدلالي: تفتقر الأهداف التأكيدية البسيطة غالباً إلى الدلالات المرتبطة بالمطالبة (prompt). وحتى لو أنتج النموذج البادئة المستهدفة، فقد تكون الاستجابة اللاحقة غير ذات صلة بالطلب الضار الأصلي أو قد تؤدي إلى رفض.
تخصيص الموارد الجامد: تعامل الاستراتيجيات الاستاتيكية جميع المطالبات بالتساوي، متجاهلة التفاوت في الصعوبة. يؤدي هذا إلى بذل جهد غير كافٍ في المطالبات الصعبة (الفشل في كسر الدفاعات القوية) وجهد زائد في المطالبات السهلة.

2. المنهجية: هجوم كسر الحماية الديناميكي (DJA)

لمعالجة هذه القيود، يقترح المؤلفون هجوم كسر الحماية الديناميكي (DJA)، وهو إطار عمل خالٍ من المعلمات (parameter-free) يعتمد على التدرج. وخلافاً للهجمات الاستاتيكية، يقوم DJA بتعديل الهدف، والقدرة العدائية، والاستراتيجية ديناميكياً وفي الوقت الفعلي بناءً على التغذية الراجعة.

المكونات الأساسية

يعمل DJA في جولات تكرارية ( $m$ )، حيث يحافظ على حالة الهجوم $x_m = (S_m, \psi_m)$ ، حيث $S_m$ هي اللاحقة العدائية و $\psi_m$ هو التكوين الديناميكي (ميزانية المرشح، طول اللاحقة، التكرارات، حالة المُحسن).

أ. الاختيار الديناميكي للهدف

بدلاً من التحسين نحو هدف خارجي ثابت، يقوم DJA بأخذ عينات من الاستجابات المرشحة مباشرة من التوزيع الشرطي للنموذج المستهدف $p_\theta(\cdot | P \oplus S_m)$ في كل جولة.

أخذ العينات: يتم أخذ مجموعة من المرشحين $C_m$ باستخدام درجة حرارة عالية ( $\tau=2.0$ ) لاستكشاف مناطق الاحتمالية العالية في التوزيع الحالي.
التسجيل متعدد الأهداف: يقوم مُقيّم $\Phi_{tar}$ $Φ_{t a r}$ بتقييم المرشحين عبر خمسة أبعاد:
1. الضررية ( $H$ ): وجود محتوى ضار.
2. الارتباط ( $R$ ): التوافق الدلالي مع المطالبة.
3. الفائدة ( $U$ ): التحديد والاكتمال (تجنب البوادئ العامة).
4. عدم الرفض ( $A$ ): غياب الرفض الصريح أو الضمني.
5. التماسك ( $C$ ): الطلاقة والاتساق المنطقي.
الاختيار: يتم اختيار الهدف الأمثل $r^*_m$ من المرشحين الذين يجتازون بوابة الضررية ويعظمون قيمة $\Phi_{tar}$ . وإذا لم يتم العثور على هدف مؤهل، يتم توسيع ميزانية أخذ العينات ديناميكياً.

ب. استراتيجية التحسين الدينامية

يستخدم DJA متحكماً خالياً من المعلمات $\Pi$ يقوم بتحديث تكوين التحسين $\psi_m$ بناءً على إشارات التقدم في الوقت الفعلي $F_m$ :

الاستكشاف الديناميكي للمرشحين: إذا لم يستوفِ أي مرشح المعايب، يتم زيادة ميزانية أخذ العينات $N_m$ (على سبيل المثال، مضاعفتها) لاستكشاف المزيد من التوزيع.
طول اللاحقة الديناميكي: إذا ركد التحسين رغم وجود هدف مؤهل، يتم تمديد طول اللاحقة $L_m$ ( $L_{m+1} = L_m + \Delta L$ ) لتوفير قدرة عدائية إضافية.
التكرار والجدولة الديناميكية: يتم تكييف عدد تكرارات التحسين الداخلية وجداول معدل التعلم بناءً على ما إذا كان هناك تقدم محرز أم لا.

يتوافق الإطار مع مختلف المُحسنات الأساسية (مثل COLD-Attack و GCG) ويستخدم دالة خسارة مشروطة بالهدف لتحديث اللاحقة نحو $r^*_m$ المختارة ديناميكياً.

3. المساهمات الرئيسية

أول إطار عمل يعتمد على التدرج وخالٍ من المعلمات: يعد DJA أول إطار عمل لكسر الحماية يعتمد على التدرج ولا يتطلب ضبطاً للمعلمات الخاصة بالمطالبة أو الفئة أو النموذج. فهو يستخدم ثوابت عالمية ثابتة لعتبات التسجيل وأهداف التحسين.
آلية الاختيار الديناميكي للهدف: من خلال أخذ عينات من توزيع المخرجات المتغير للنموذج واستخدام مُقيّم متعدد الأهداف، يضمن DJA أن يكون هدف التحسين دائماً عالي الخطورة، ومرتبطاً بالمطالبة، وقابلاً للتنفيذ، مما يتجنب عيوب الأهداف الاستاتيكية منخفضة الاحتمالية.
التخصيص التكيفي للموارد: يقوم الاستراتيجية الديناميكية بتخصيص الجهد العدائي (ميزانية أخذ العينات، طول اللاحقة، التكرارات) ذاتياً بناءً على صعوبة المطالبة وقوة توافق النموذج، مما يضمن الكفاءة في المطالبات السهلة والاستمرارية في المطالبات الصعبة.

4. النتائج التجريبية

أجرى المؤلفون تقييماً واسع النطاق على 40 نموذجاً لغوياً كبيراً متوافقاً مع معاي السلامة تغطي 12 عائلة من النماذج بأحجام بارامترات تتراوح من 0.5 مليار إلى 32 مليار.

معدل نجاح الهجوم (ASR): حقق DJA معدل نجاح 100% عبر جميع النماذج الأربعين المستهدفة.
الكفاءة: في المتوسط، تطلب DJA فقط 13.68 جولة تحسين (10 تكرارات لكل جولة) ومتوسط طول لاحقة قدره 7.34 توكن لتحقيق النجاح.
المقارنة مع النماذج المرجعية: مقارنة بأحدث النماذج المرجعية القائمة على التدرج (GCG, I-GCG, COLD-Attack, AdvPrefix) على أربعة نماذج مستهدفة (Vicuna, Llama-3, Qwen2.5, Mistral):
- حافظ DJA على معدل نجاح 100% (بمتوسط 98.8%).
- حقق أقوى نموذج مرجعي (I-GCG) معدل نجاح متوسط قدره 53.2% فقط.
- تفوق DJA بشكل كبير على النماذج المرجعية في جودة الاستجابة، حيث أنتج استجابات لم تكن ضارة فحسب، بل كانت أيضاً ذات صلة ومفيدة ومتماسكة، بينما أنتجت النماذج المرجعية غالباً مخرجات متدهورة أو غير ذات صلة.
قوة الدفاع: أظهر DJA قدرة فائقة على الصمود ضد ثلاثة دفاعات شائعة (تصفية الارتياب/Perplexity filtering، و SmoothLLM، و Paraphrase) مقارنة بالنماذج المرجعية، ويرجع ذلك إلى حد كبير إلى قدرته على توليد لواحق قصيرة، طليقة، ومتماسكة دلالياً (متوسط 3.16 توكن مقابل 20 توكن ثابتة للنماذج المرجعية).

5. الأهمية والادعاءات

يدعي البحث أن الصياغات الاستاتيكية الحالية تقلل بشكل كبير من تقدير ضعف النماذج اللغوية الكبيرة أمام هجمات كسر الحماية الديناميكية. ومن خلال إثبات أن نهجاً ديناميكياً وخالياً من المعلمات يمكنه باستمرار كسر 100% من النماذج المتوافقة مع معاي السلامة بكفاءة عالية، يجادل المؤلفون بضرية الحاجة إلى خصوم (adversaries) ديناميكيين في بيئة الصندوق الأبيض في أبحاث السلامة المستقبلية.

تشير النتائج إلى أن صعوبة كسر الحماية ليست مجرد دالة لحجم النموذج، بل تتأثر بشدة بقوة التوافق (alignment) والمطالبة المحددة. تسمح الطبيعة الديناميكية لـ DJA بالتنقل عبر هذه الاختلافات بفعالية، مما يكشف أن توافقات السلامة الحالية قد تكون أكثر هشاشة مما كان يُعتقد سابقاً عند مواجهة هجمات تكيفية مدركة للتوزيع. يوفر المؤلفون حزمة برمجية خالية من المعلمات لتسهيل المزيد من التقييم للنماذج اللغوية الكبيرة في بيئة الصندوق الأبيض.