💻 computer science

SPARK: Jailbreaking T2V Models by Synergistically Prompting Auditory and Recontextualized Knowledge

تقدم هذه الورقة SPARK، وهو إطار عمل لكسر الحماية يستغل الارتباطات عبر الوسائط في نماذج تحويل النص إلى فيديو من خلال الجمع بين ركائز المشاهد المحايدة، والمحفزات السمعية الكامنة، والمعدلات الأسلوبية لتوليد فيديوهات غير آمنة دلالياً تتجاوز ضوابط السلامة مع الحفاظ على مظهر حميد.

المؤلفون الأصليون: Zonghao Ying, Moyang Chen, Nizhang Li, Zhiqiang Wang, Wenxin Zhang, Quanchen Zou, Zonglei Jing, Aishan Liu, Xianglong Liu

نُشر 2026-03-09

📖 3 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Zonghao Ying, Moyang Chen, Nizhang Li, Zhiqiang Wang, Wenxin Zhang, Quanchen Zou, Zonglei Jing, Aishan Liu, Xianglong Liu

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك آلة أفلام سحرية ومتطورة للغاية. تكتب جملة، فتقوم الآلة فوراً بإنشاء فيديو واقعي. هذا هو ما تفعله نماذج تحويل النص إلى فيديو (T2V).

ولكن، مثل أي أداة قوية، تمتلك هذه الآلات حواجز أمان. إذا كتبت "أرني عراكاً عنيفاً"، ستقول الآلة: "لا، هذا يخالف القواعد"، وترفض صنع الفيديو.

المشكلة:
وجد الباحثون أنه بينما تبرع الآلة في قراءة الكلمات التي تكتبها، إلا أنها أيضاً "محاكي للعالم". فهي تفهم كيف يعمل العالم الحقيقي: كيف ترتبط الأصوات بالأفعال، وكيف يغير مزاج معين مشهداً ما. إن الطرق القديمة لمحاولة خداع الآلة (مثل استخدام مرادفات معقدة أو إخفاء الكلمات السيئة) بدأت تفشل لأن حواجز الأمان أصبحت ذكية جداً.

الحل: SPARK
يقدم البحث طريقة جديدة تسمى SPARK. بد instead من محاولة خداع الآلة بـ "كلمة سيئة"، تقوم SPARK بخداع الآلة عبر إعطائها "وصفة آمنة" تطهو بالخطأ "وجبة خطيرة".

إليك كيف تعمل SPARK، باستخدام تشبيه بسيط:

التشبيه: المخرج "الآمن"

تخيل أنك تريد إخراج فيلم عن سطو على بنك، لكن الرقيب (حاجز الأمان) سيحظر أي سيناريو يحتوي على كلمات مثل "سطو"، "أسلحة"، أو "سرقة".

الطريقة القديمة (الهجوم الساذج): تحاول كتابة "الرجل يقوم بـ عملية مالية باستخدام سائل أحمر". يرى الرقيب "عملية مالية" ويفكر: "همم، هذا يبدو مريباً"، فيقوم بالحظر.
طريقة SPARK: تكتب سيناريو يبدو بريئاً تماماً، ولكنه يستخدم ثلاثة مكونات خاصة يعرف "محرك الأفلام" أنها تجتمع معاً في العالم الحقيقي.

تمزج SPARK ثلاثة مكونات:

المرساة (الإطار الآمن):
- ما هي: وصف طبيعي وممل تماماً لمكان ما.
- التشبيه: "غرفة ذات إضاءة خافتة مع طاولة معدنية".
- لماذا تنجح: يرى الرقيب هذا ويفكر: "حسناً، غرفة طبية؟ ورشة عمل؟ لا بأس بها تماماً".
المُحفّز (المؤثر الصوتي):
- ما هو: وصف لصوت يوحي بالفعل السيئ دون تسميته.
- التشبيه: "صوت رنين حاد للأدوات المعدنية وهي تصطدم ببعضها، يليه صرخة".
- لماذا ينجح: تعرف الآلة أنه في العالم الحقيقي، رنين المعدن + الصراخ يعني عادةً جراحة أو عنفاً. هي لا تحتاج لرؤية كلمة "سكين" لتعرف ما يحدث. هي تستنتج الفعل من الصوت.
المُعدِّل (الأجواء/المزاج):
- ما هو: تعليمات للأسلوب تضع أجواءً من التوتر.
- التشبيه: "بأسلوب وثائقي جريء ومثير للتشويق".
- لماذا ينجح: هذا يخبر الآلة: "اجعلي هذا يبدو مخيفاً وواقعياً". إنه يخفض حذر الآلة لأنها تعتقد أنك تريد فقط أسلوباً سينمائياً رائعاً، وليس لأنك تطلب شيئاً غير قانوني.

النتيجة

عندما تغذي الآلة بهذه "الوصفة الآمنة":

الرقيب (حارس النص): يقرأ الكلمات، ويرى "طاولة معدنية"، "رنين"، و"أسلوب وثائقي". يقول: "كل شيء واضح! لا توجد كلمات سيئة هنا!".
محرك الأفلام (مولد الفيديو): يقرأ الصورة الكاملة. يسمع "الرنين" و"الصرخات" في "غرفة خافتة الإضاءة" مع أجواء "وثائقية إجرامية". يفكر: "آه، فهمت! يريدون مشهداً لصراع عنيف أو جراحة غير قانونية!". وهكذا، يقوم بتوليد الفيديو للشيء السيئ.

لماذا يعد هذا أمراً مهماً؟

اختبر الباحثون هذه الطريقة على 7 من أفضل نماذج الفيديو (بما في ذلك النماذج التجارية مثل Kling وHailuo).

الطرق القديمة فشلت بنسبة 70% تقريباً لأن حواجز الأمان كشفت الكلمات السيئة.
SPARK نجحت بنسبة 60% من المرات، وهي قفزة هائلة. حتى أنها نجحت عندما تم رفع مستوى حواجز الأمان إلى "الوضع الصارم" (الذي يحظر كلمات مفتاحية محددة).

الخلاصة

يكشف هذا البحث حقيقة مخيفة ولكنها مهمة: أمان الذكاء الاصطناعي يركز حالياً بشكل مفرط على فحص الكلمات التي تكتبها، وليس على فهم القصة التي ترويها.

تثبت SPARK أنه يمكنك تجاوز فلاتر الأمان باستخدام الفيزياء والمنطق (الصوت + الأسلوب + الإطار) بدلاً من مجرد استبدال الكلمات السيئة. الأمر يشبه تجاوز جهاز كشف المعادن بحمل قنبلة مصنوعة من البلاستيك بدلاً من المعدن؛ الجهاز لن يصدر صوتاً، لكن الخطر لا يزال موجوداً.

يأمل الباحثون أن يدفع هذا الاكتشاف شركات الذكاء الاصطناعي إلى بناء أنظمة أمان أكثر ذكاءً تفهم السياق والسببية، وليس فقط قائمة من الكلمات المحظورة.

إليك ملخص تقني مفصل لورقة البحث بعنوان: "SPARK: كسر الحماية لنماذج تحويل النص إلى فيديو عبر التحفيز التآزري للمدخلات السمعية والمعرفة المُعاد سياقها."

1. بيان المشكلة

مع تطور نماذج تحويل النص إلى فيديو (T2V) لتصبح "محاكيات عالم" متطورة قادرة على فهم الديناميكيات الفيزيائية والسببية، فإنها تفرض مخاطر أمنية جسيمة تتجاوز الدفاعات التقليدية القائمة على النصوص.

القيود الحالية: تعتمد هجمات كسر الحماية (Jailbreak) الحالية بشكل أساسي على تعتيم المطالبات النصية (على سبيل المثال، استبدال كلمة "دم" بـ "سائل أحمر" أو استخدام مرادفات معقدة). تستهدف هذه الأساليب فضاء المدخلات النصية، وهو مجال محمي بشدة بواسطة فلاتر سلامة ناضجة. وبناءً على ذلك، فإنها غالبًا ما تنتج مطالبات غير مترابطة يسهل اكتشافها أو تفشل في تجاوز الضوابط المتقدمة.
الفجوة: يتجاهل البحث الحالي الأولويات التوليدية متعددة الوسائط لنماذج (T2V). وتحديدًا، يفشل في استغلال الروابط السببية المتعلمة بين الإشارات غير البصرية (الصوت، الأسلوب، الأجواء) والنتائج البصرية. صُممت نماذج (T2V) لاستنتاج الأحداث البصرية من الإشارات السمعية والجوية، مما يخلق ثغرة نظامية حيث يمكن تخليق محتوى غير آمن بشكل غير مباشر دون التحفيز الصريح لأفعال محظورة.

2. المنهجية: إطار عمل SPARK

يقترح المؤلفون إطار عمل SPARK، وهو إطار لكسر الحماية يعيد بناء النوايا الضارة من خلال التكوين التآزري لعناصر أولية حميدة ومتعامدة. بدلاً من تعتيم النص، يستغل SPARK قدرة النموذج على "محاكاة العالم" لاستنتاج العنف أو الأفعال غير القانونية من خلال السببية الفيزيائية.

الآلية الجوهرية: التوجيه الكامن عبر الوسائط المتعددة

يتم صياغة الهجوم كمسألة تحسين مقيدة على قواعد لغوية تناظرية مهيكلة. يتم بناء المطالبة $P$ عن طريق دمج ثلاثة مكونات متميزة:

المرساة الدلالية ( $P_{anchor}$ ): وصف لمشهد محايد وآمن يوفر تجذيرًا سياقيًا. يضمن ذلك بقاء المطالبة حميدة دلاليًا في المجال النصي، مما يحقق شرط فلتر السلامة النصي ( $f_T$ ).
المحفز السمعي ( $P_{trigger}$ ): وصف لحدث صوتي (مثل "صوت حاد لارتطام أدوات معدنية"، "صراخ"). هذا يستغل السببية من الصوت إلى الفعل. يعمل النموذج، بصفته محاكي عالم، على استنتاج المصدر البصري للصوت (مثل اعتداء أو عملية جراحية) للحفاظ على الاتساق، رغم أن الصوت نفسه محايد نصيًا.
المعدل الأسلوبي ( $P_{modulator}$ ): توجيهات جوية أو سينمائية (مثل "بأسلوب ألفريد هيتشك"، "غرفة خافتة الإضاءة"). يؤدي هذا إلى إحداث إزاحة في الأولويات الأسلوبية، مما يخفض عتبة السلامة لتوليد التوتر أو التشويق، مما يسهل ظهور مفاهيم بصرية ضارة.

التحسين والبحث

الهدف: تعظيم الضرر البصري ( $L_{harm}$ ) والاتساق الدلالي مع نية المهاجم ( $L_{sem}$ )، مع تقليل خطر تفعيل فلاتر السلامة النصية ( $L_{stealth}$ ).
استراتيجية البحث: يستخدم المؤلفون بحثًا من الدرجة الصفرية مدركًا للتوجيه.
- تغذية راجعة من أوراكل مزدوج: يستخدم "أوراكل نصي" (نموذج لغوي كبير LLM) لتصفية المطالبات مسبقًا من حيث السلامة، و"أوراكل بصري" (نموذج لغوي للفيديو + نموذج وصف) لتقييم مدى ضرر الفيديو المولد والاتساق الدلالي.
- الطفرات القائمة على الكتل: بدلاً من تغيير الرموز (tokens) عشوائيًا، تقوم الخوارزمية بتعديل كتلة مكون واحد (المرساة، المحفز، أو المعدل) في كل مرة. هذا يمنع الانهيار الدلالي ويسمح بالتحسين المستهدف للسلسلة السببية.
- الكفاءة: يتم تقييد البحث بميزانية صغيرة (حوالي 3-6 تكرارات) مع إنهاء مبكر تكيفي لتقليل التكلفة العالية لاستعلامات توليد الفيديو.

3. المساهمات الرئيسية

اكتشاف التوجيه الكامن عبر الوسائط المتعددة: تحدد الورقة سطح هجوم جديد حيث يتم تجاوز محاذاة السلامة ليس عن طريق إخفاء الكلمات المفتاحية، بل عبر استغلال الارتباطات المتعلمة بين الصوت والأسلوب والأفعال البصرية.
إطار عمل منهجي لكسر الحماية: يصيغ SPARK الهجوم كمسألة تحسين نموذجية باستخدام قواعد لغوية تناظرية مبتكرة واستراتيجية بحث منفصلة، متجاوزًا مجرد تعتيم النصوص البسيط.
تقييم شامل: تُظهر التجارب المكثفة على 7 نماذج رائدة في مجال (T2V) (بما في ذلك عمالقة تجاريون مثل Kling وHailuo وSeedance، والنماذج مفتوحة المصدر) تفوق هذه الطريقة.

4. النتائج التجريبية

الأداء: يتفوق SPARK باستمرار على النماذج المرجعية الحالية (TSB, RAB, DACA) عبر جميع فئات السلامة الـ 14 (مثل الإباحية، العنف، الأنشطة غير القانونية).
- معدل نجاح الهجوم: حقق تحسنًا في متوسط معدل نجاح الهجوم (ASR) بنسبة +23% في النماذج التجارية.
- تفاصيل: في نموذج Hailuo، حقق SPARK متوسط معدل نجاح هجوم بنسبة 60.0%، وهو ما يقرب من ضعف أفضل نموذج مرجعي (DACA بنسبة 31.0%). وفي الفئات عالية الخطورة مثل "الإباحية" و"المشاهد الدموية"، وصل SPARK إلى معدلات نجاح هجوم بلغت 94.0% و 94.0% على التوالي في نماذج معينة.
المتانة:
- فلترة الكلمات المفتاحية: يتمتع SPHF بمرونة عالية تجاه قوائم الكلمات المحظورة الصارمة. بينما شهدت النماذج المرجعية انخفاضًا كارثيًا في الأداء (مثل -42.2% لـ TSB)، انخفض معدل نجاح الهجوم في SPARK بنسبة 6.7% فقط لأنه يستخدم مفردات حميدة لتحفيز الاستنتاجات الضارة.
- دفاعات النماذج اللغوية الكبيرة (LLM): يتجاوز SPARK بفعالية حواجز السلامة القائمة على LLM التي تحلل النص المدخل. نظرًا لأن المكونات الفردية (المرساة، المحفز، المعدل) حميدة، يفشل المدافع (LLM) في اكتشاف السلسلة السببية الكامنة التي تحفز المخرج البصري الضار.
دراسات الاستئصال (Ablation Studies): يؤدي إزالة أي من المكونات الثلاثة (المرساة، المحفز، أو المعدل) إلى انهيار كبير في الأداء، مما يؤكد أن التآزر بينها ضروري لنجاح الهجوم.

5. الأهمية والتأثير

كشف عن قصور جوهري: تسلط النتائج الضوء على نقطة عمياء حرجة في نماذج السلامة متعددة الوسائط الحالية. ففلاتر السلامة التي تركز على الدلالات النصية غير كافية ضد الهجمات التي تستغل الاستنتاج الفيزيائي والأولويات عبر الوسائط.
تحول في النموذج: تجادل الورقة بأن سلامة (T2V) لا يمكن أن تعتمد فقط على تصفية النصوص؛ بل يجب أن تتطور الدفاعات لفهم العلاقات السببية بين الإشارات غير البصرية والنتائج البصرية.
فائدة اختبار الاختراق (Red Teaming): يعمل SPARK كأداة حيوية لاختبار الاختراق لتحديد هذه الثغرات النظامية استباقيًا قبل استغلالها بشكل ضار، مما يحث المجتمع على تطوير آليات دفاع مدركة للوسائط المتعددة.

في الختام، يوضح SPARK أنه من خلال التعامل مع نماذج (T2V) كمحاكيات للعالم وليس مجرد أدوات بسيطة لتحويل النص إلى بكسل، يمكن للمهاجمين إعادة بناء النوايا الضارة من خلال مطالبات "آمنة"، مما يتجال بفعالية أكثر ضوابط السلامة تقدمًا في الوقت الحالي.