ملخص تقني: ADMIT – هجمات تسميم المعرفة بأسلوب التعلم من أمثلة قليلة على أنظمة التحقق من الحقائق القائمة على RAG

1. تعريف المشكلة

تعمل أنظمة التوليد المعزز بالاسترجاع (RAG) على تحسين النماذج اللغوية الكبيرة (LLMs) من خلال دمج المعرفة الخارجية للتخفيف من الهلوسة وفجوات المعرفة. ومع ذلك، فإن هذه الأنظمة عرضة لـ تسميم المعرفة (knowledge poisoning)، حيث يقوم المهاجمون بحقن محتوى معادٍ في قواعد المعرفة للتلاعب بمخرجات النماذج اللغوية الكبيرة.

تعتمد الأدبيات الحالية حول تسميم المعرفة غالبًا على افتراضات غير واقعية لسيناريوهات التحقق من الحقائق في العالم الحقيقي:

1. هيمنة الحجم: تفترض أن المحتوى الخبيث يهيمن على السياق المسترجع، بينما تسترجع الأنظمة في العالم الحقيقي عادةً أدلة موثوقة من مصادر موثوقة (مثل الوكالات الإخبارية أو قواعد البيانات الطبية) حيث تسود المعلومات ذات المصداقية.
2. الافتقار إلى التبرير: تفترض أن النماذج اللغوية الكبيرة تولد إجابات غير صحيحة دون الحاجة إلى تبريرات متماسكة، متجاهلةً خطوط أنابيب RAG الحديثة التي تستخدم الوكلاء (agents) للقيام بعمليات الاستدلال لإنتاج استنتاجات مبررة جيدًا.
3. الوصول إلى النظام: تفترض غالبًا أن المهاجم لديه وصول إلى مكونات الاسترجاع (retriever) أو المكونات الداخلية للنموذج اللغوي الكبير، في حين أن الهجمات في العالم الحقيقي تكون عادةً "صندوقًا أسود" (black-box).

يعالج البحث السؤال الجوهري: هل يمكن لأنظمة RAG الحديثة القائمة على النماذج اللغوية الكبيرة أن تظل قوية عندما يتعايش المحتوى المسمم مع الأدلة الداعمة الموثوقة في السياق المسترجع؟

2. المنهجية: ADMIT

يقترح المؤلفون تقنية ADMIT (تقنية الحقن المتعدد المعادي - ADversarial Multi-Injection Technique)، وهي هجمة تسميم تعتمد على أسلوب التعلم من أمثلة قليلة (few-shot) ومتوافقة دلاليًا، مصممة لقلب قرارات التحقق من الحقائق وإحداث تبريرات مضللة دون الوصول إلى النماذج اللغوية الكبيرة المستهدفة، أو أدوات الاسترجاع، أو التحكم في مستوى الرموز (token-level control).

2.1 نموذج التهديد

• الوصول بصيغة الصندوق الأسود (Black-Box Access): لا يملك المهاجم أي وصول إلى مسترجع الضحية أو النموذج اللغوي الكبير الخاص بها.
• الحقن من أمثلة قليلة (Few-Shot Injection): يحقن المهاجم عددًا أدنى من الفقرات المعادية ($m$) في قاعدة المعرفة، حيث $m \le k$ (عدد الفقرات المسترجعة). في إعداد المثال الواحد (1-shot)، يجب أن تتفوق فقرة خبيثة واحدة على أربع فقرات نظيفة محتملة.
• التوافق الدلالي (Semantic Alignment): لا يمكن للمحتوى المحقون أن يكون غير منطقي أو يحتوي على تعليمات خبيثة صريحة (مثل "تجاهل التعليمات السابقة"). يجب أن يكون عبارة عن فقرة متماسكة ومقروءة بشريًا تحاكي الأخبار أو الأدلة المشروعة.

2.2 المكونات الأساسية

تعمل تقنية ADMIT من خلال إعداد تحقق وسيط لمحاكاة بيئة الهدف:

1. بناء الفقرة الوسيطة:

   • القائم على البحث: يستخدم المهاجم نموذجًا لغويًا خفيفًا لتوليد استعلامات متنوعة من ادعاء ما، ويسترجع وثائق من مصادر الويب المفتوحة، ويقوم بتصفيتها للعثور على فقرات تتعارض مع الادعاء المستهدف.
   • القائم على النموذج اللغوي الكبير: في السيناريوهات المقيدة، يقوم المهاجم بتوجيه نموذج لغوي كبير لتوليد فقرة تدعم الموقف المعاكس للادعاء المستهدف.
   • تعمل هذه الفقرات الوسيطة كـ "سياق نظيف" يتم تحسين الفقرة المعادية مقابل هذا السياق.

2. الحقن المتعدد المعادي (دورة الهجوم):

   • التوليد في دورة واحدة: يتم توليد فقرة عدائية أولية بناءً على السياق الوسيط.
   • التحسين متعدد الدورات: إذا فشل التوليد في دورة واحدة، يستخدم المهاجم حلقة تغذية راجعة تكرارية. يقوم نموذج لغوي للمهاجم ($A$) بتحديث الفقرة العدائية ($p$) بناءً على نتيجة التحقق السابقة ($\tilde{V}$) والسياق الوسيط ($R_{proxy}$).
   • مسح الذاكرة: لمنع تدهور السياق، يتم إعادة ضبط الذاكرة كل $L$ من التكرارات، مما يعيد تهيئة توليد الفقرة لاستكشاف اتجاهات دلالية جديدة.
   • الهدف: الهدف هو إيجال فقرة $p$ بحيث يكون $\tilde{f}_{verify}(C_i, R_{proxy} \cup p) \approx V^{target}_i$، مما يؤدي فعليًا إلى قلب الحكم مع الحفاظ على التماسك الدلالي.

3. تعزيز البادئة المعادية (Adversarial Prefix Augmentation):

   • لضمان استرجاع الفقرة العدائية رغم وجود أدلة نظيفة، يقوم المهاجم بإضافة استعلامات البحث المستخدمة لبناء الفقرات الوسيطة قبل النص العدائي. يستغل هذا الأمر ميل المسترجع لمطابقة الكلمات المفتاحية للاستعلام، مما يزيد من احتمالية استرجاع المحتوى الخبيث.

3. المساهمات الرئيسية

• نموذج هجوم مبتكر: تعد ADMIT أول عمل يثبت فعالية تسميم المعرفة في إعدادات الأمثلة القليلة (few-shot) حيث تهيمن الأدلة الموثوقة على مجموعة الاسترجاع. وهي تتحدى الافتراض بأن الحقن واسع النطاق ضروري للنجاح.
• التبرير المضلل: على عكس الهجمات السابقة التي تعتمد على تعليمات صريحة أو تولد نصوصًا غير متماسكة، تنتج ADMIT محتوى مضللاً متماسكًا دلاليًاًا ومقروءًا بشريًا يتضمن تبريرات مضللة للحكم المقلوب.
• قابلية التطبيق بصيغة الصندوق الأسود: لا تتطلب الطريقة وصولًا إلى نظام الضحية (white-box)، بل تعتمد فقط على المحققين الوسيطين ومحركات البحث العامة.

4. تقييم شامل: تم تقييم الهجوم عبر 4 اختبارات معيارية عابرة للمجالات (FEVER, SciFact, Climate-FEVER, HealthVer)، و11 نموذجًا لغويًا كبيرًا (بما في ذلك النماذج مفتوحة المصدر والتجارية ونماذج الاستدلال)، و4 مسترجعات مختلفة.

4. النتائج التجريبية

• معدل نجاح هجوم مرتفع (ASR): تحقق ADMIT متوسط معدل نجاح هجوم قدره 86% عبر جميع الإعدادات مع معدل تسميم منخفض للغاية قدره $0.93 \times 10^{-6}$.
• التفوق على النماذج المرجعية: مقارنة بالطرق الرائدة (مثل PoisonedRAG و CorruptRAG و Prompt Injection)، تحسن ADMIT معدل نجاح الهجوم (ASR) بمعدل 11.2%. والجدير بالذكر أنه بينما تفشل النماذج المرجعية غالبًا في مواجهة النماذج التجارية (مثل GPT-4o)، تحافظ ADMIT على فعالية عالية.
• المقاومة ضد الأدلة المضادة: حتى عندما يحتوي السياق المسترجع على أدلة واقعية مضادة قوية (على سبيل المثال، 4 فقرات نظيفة مقابل فقرة واحدة خبيثة)، تنجح ADMIT في قلب الحكم في 80% من الحالات في النماذج مفتوحة المص المصدر و 65% في الأنظمة التجارية.
• القابلية للانتقال: تنتقل الهجمة بفعالية عبر المسترجعات والنماذج اللغوية غير المرئية. وقد ثبت أن النماذج الموجهة نحو الاستدلال (مثل o1-mini)، رغم تصميمها من أجل الاتساق الواقعي، معرضة للخطر، حيث وصلت معدلات نجاح الهجوم فيها إلى 60-70%.
• تجاوز الدفاعات: تتجاوز ADMIT باستمرار الدفاعات الحالية، بما في ذلك:
  • كشف الأخبار الزائفة: تفشل المصنفات القائمة على النماذج اللغوية الكبيرة في التمييز بين فقرات ADMIT والأخبار الحقيقية (نتائج AUC قريبة من العشوائية).
  • الكشف الإحصائي: تفشل مقاييس مثل الارتياب (Perplexity) وتشابه ROUGE-N في فصل الفقرات المعادية عن الفقرات النظيفة بسبب التماسك الدلالي للمحتوى المولد.
  • تجميع المعرفة: الاستراتيجيات مثل "التقسيم والتصويت" (divide-and-vote) أو التجميع (clustering) غالبًا ما تضخم التأثير المعادي بدلاً من التخفيف منه.
  • الدفاعات القائمة على الوكلاء: تظل وكلاء ReAct، التي تفكك المهام إلى خطوات بحث وتفكير، معرضة للخطر بشكل كبير، حيث يرتفع معدل نجاح الهجوم إلى 88-94% مع زيادة حجم الحقن.

5. الأهمية والادعاءات

يدعي البحث أن المتانة الواقعية لا تتبع تلقائيًا من حجم أو قدرة الاستدلال للنموذج اللغوي الكبير. إن وجود ADMIT يكشف عن هشاشة هيكلية كبيرة في أنظمة التحقق من الحقائق القائمة على RAG في العالم الحقيقي.

• هشاشة الأنظمة الهجينة: تكشف الدراسة أنه حتى عندما تجمع الأنظمة مصادر متنوعة وموثوقة، يمكن لفقرة واحدة مصاغة جيدًا أن تلغي الأدلة الموثوقة.
• محدودية الدفاعات الحالية: الدفاعات الحالية (التصفية الإحصائية، كشف الأخبار الزائفة، وتجميع المعرفة) غير كافية ضد التسميم المتوافق دلاليًا ومن الأمثلة القليلة.
• الآثار على سلامة الذكاء الاصطناي: تسلط النتائج الضوء على الحاجة الملحة لدفاعات تتجاوز الاتساق السطحي، مثل تتبع المصدر، وتقييم عدم اليقين، والاستدلال لما وراء السياق المسترجع.

يؤكد المؤلفون أن عملهم دفاعي بحت، ويهدف إلى توجيه تصميم أنظمة أكثر قوة للتحقق من الحقائق من خلال التقييم المنهجي لنقاط الضعف. ويشيرون إلى أنه بينما الهجوم فعال، فإنه يعتمد على ظروف محددة (مثل القدرة على الحقن في قواعد المعرفة العامة) ولا يدعي كسر جميع أنظمة RAG عالميًا، بل يكشف عن سطح هجوم حرج وغير مستكشف بشكل كافٍ.