Can Transformer Memory Be Corrupted? Investigating Cache-Side Vulnerabilities in Large Language Models

تخيل نموذج لغة ضخم (LLM) كأنه طالب عبقري وسريع التفكير يخوض امتحاناً طويلاً. للإجابة على سؤال ما، لا يكتفي هذا الطالب بالنظر إلى السؤال الحالي فحسب؛ بل يحتاج إلى تذكر كل ما كتبه حتى الآن ليحافظ على اتساق إجابته. في عالم الذكاء الاصطناعي، تُسمى هذه "الذاكرة" بـ مخزن المفتاح والقيمة (KV Cache). وهو بمثبه مسودة رقمية يخزن فيها النموذج الأجزاء الأكثر أهمية من المحادثة حتى لا يضطر لإعادة قراءة الكتاب بأكمله في كل مرة يريد فيها كتابة الكلمة التالية.

هذه الورقة البحثية، التي تحمل عنوان "هل يمكن إفساد ذاكرة الترانسفورمر؟" (Can Transformer Memory Be Corrupted?)، تطرح سؤالاً مخيفاً وبسيطاً في آن واحد: ماذا يحدث إذا قام شخص ما سراً بالخربشة على تلك المسودة أثناء تأدية الطالب للامتحان؟

إليك تفصيل نتائجهم باستخدام تشبيهات من الحياة اليومية:

1. الضعف الخفي: المسودة "غير المرئية"

عادةً، نحن نقلق من قيام المتسللين بتغيير الكتب المدرسية (بيانات تدريب النموذج) أو خداع الطالب بسؤال غريب (حقن الأوامر/Prompt Injection). لكن هذه الورقة وجدت طريقة مختلفة وأكثر دهاءً لكسر النظام.

أدرك الباحثون أن "المسودة" (KV Cache) غالباً ما تُترك دون حماية. فحتى لو كانت الكتب المدرسية وأسئلة الامتحان مؤمنة ومغلقة، فإن المهاجم الذي يتمكن من الدخول إلى الكمبيوتر الذي يشغل النموذج يمكنه تعديل الأرقام في تلك المسودة بشكل طفيف.

• التشبيه: تخيل طباخاً يعد حساءً معقداً. الوصفة آمنة، والمكونات طازجة. ولكن إذا تسلل مخرب ودخل بهدوء واستبدل رشة ملح بملعقة سكر بينما يتذوق الطباخ القدر، فقد يفسد الطبق بأكه، رغم أن الطباخ لم يغير الوصفة أو المكونات.

2. الهجوم: "حقن الرموز الخبيثة" (Malicious Token Injection - MTI)

قام المؤلفون بإنشاء أداة تسمى MTI V.1 لاختبار هذا. هم لم يكسروا النموذج، بل قاموا فقط بـ "وخز" الذاكرة. حاولوا ثلاث طرق رئيسية للعبث بالمسودة:

• الوخزة "الساكنة" (الضجيج الغاوسي - Gaussian Noise): إضافة القليل من التشويش العشوائي أو الضبابية إلى الذاكرة، مثل رفع مستوى الصوت قليلاً في الراديو حتى تصبح الكلمات غير واضحة.
• "الممحاة" (التصفير - Zeroing): مسح أجزاء معينة من الذاكرة تماماً، مثل استخدام قلم أحمر لمحو صفحات من الملاحظات.
• "اللف" (الدوران - Rotation): تدوير الذاكة جانباً. المعلومات لا تزال موجودة، لكنها تشير إلى الاتجاه الخاطئ، مما يربك فهم النموذج.

3. النتائج: وخزات صغيرة، فوضى عارمة

اختبر الباحثون هذه الطرق على نماذج ذكاء اصطناعي شهيرة (مثل GPT-2 و LLaMA-2). ووجدوا أنه حتى التغييرات الطفيفة، غير المرئية تقريباً، في الذاكرة تسببت في مشاكل كبيرة:

• الارتباك: بدأ النموذج يتوقع كلمات لا ينبغي له قولها. أصبح أقل ثقة وأكثر عرضة لتأليف الحقائق (الهلوسة).
• الفشل في المهام:
  • المهام البسيطة: عندما طُلب منه تخمين ما إذا كانت جملة ما سعيدة أم حزينة، ارتبك النموذج وبدأ يخطئ في التقدير.
  • المهام المعقدة: عندما طُلب منه إيجاد حقيقة محددة في وثيقة طويلة (مثل سؤال في المعلومات العامة)، فشل النموذج تماماً. كان الأمر كما لو أن الطالب نسي كيفية قراءة السؤال تماماً.
  • "اختبار الوكيل" (Agent Test): عندما كان يعمل الذكاء الاصطناي كآلة تحاول التخطيط لسلسلة من الخطوات (مثل حجز رحلة طيران)، جعل إفساد الذاكرة النموذج يفقد طريقه ويختار إجراءات خاطئة.

4. "لماذا": كيف ينتشر الأمر؟

تشرح الورقة الرياضيات وراء ذلك ببساطة: يقرر الذكاء الاصطناعي الكلمة التالية التي سيقولها من خلال النظر في ذاكرته. إذا كانت الذاكرة خاطئة قليلاً، فإن "انتباه" الذكاء الاصطناعي يتحول.

• التشبيه: تخيل أنك تحاول العثور على صديق في غرفة مزدحمة. أنت تنظر إلى خريطة (الذاكرة). إذا رسم شخص ما خطاً صغيراً وخاطئاً على الخريطة، فقد تنظر في الزاوية الخطأ. وبمجرد أن تنظر في الزاوية الخطأ، ستنهار خطتك لبقية السهرة بأكملها. تثبت الورقة أن هذه "الخطوط الصغيرة" على الخريطة يمكن أن تضمن رياضياً انحراف انتباه الذكاء الاصطناعي.

5. هل يمكننا الإصلاح؟ (الدفاعات)

جرب الباحثون بعض الحلول السريعة لمعرفة ما إذا كان بإمكانهم إيقاف هذا الهجوم:

• تفريغ المسودة: مسح الذاكرة بشكل دوري.
• عشوائية الملاحظات: إخفاء أجزاء من الذاكرة عشوائياً لمعرفة ما إذا كان النموذج لا يزال قادراً على التخمين.
• تنعيم الضجيج: حساب المتوسط للأرقام لإزالة "التشويش".

الحكم النهائي: ساعدت هذه الإصلاحات قليلاً، لكنها لم تكن علاجاً سحرياً. لقد أوقفت أسوأ أنواع الضرر، ولكن إذا كان الهجوم قوياً أو مستمراً، فإن النموذج سيظل يفشل. الأمر يشبه وضع ضمادة على جرح؛ فهي تساعد، لكنها لا تمنع السكين من التسبب في جرح أعمق إذا استمر المهاجم في المحاولة.

الخلاصة

لا تقول هذه الورقة إن الذكاء الاصطناعي معطل أو أنه يجب عليك التوقف عن استخدامه. بدلاً من ذلك، هي تطلق جرس الإنذار للمهتمين ببناء وحماية أنظمة الذكاء الاصطناعي.

الرسالة الرئيسية: لقد كنا بارعين جداً في حماية "عقل" الذكاء الاصطناعي (بيانات التدريب) و"فمه" (مدخلات الأوامر)، ولكننا تجاهلنا إلى حد كبير "ذاكرته قصيرة المدى" (KV Cache). إذا تمكن مهاجم من الدخول إلى الكمبيوتر الذي يشغل الذكاء الاصطناعي، يمكنه إفساد تلك الذاكرة وجعل الذكاء الاصطناعي غير موثوق، أو مرتبكاً، أو خطيراً، حتى دون تغيير سطر واحد من الكود البرمجي.

يدعو المؤلفون إلى نوع جديد من الأمن يعامل هذه "المسودة" كمنطقة سلامة حرجة تحتاج إلى حراسة بنفس صرامة بقية النظام.