RoguePrompt: Dual-Layer Ciphering for Self-Reconstruction to Circumvent LLM Moderation

تخيل عالماً حيث يمكنك التحدث إلى عقل رقمي فائق الذكاء يعرف كل شيء تقريباً. هذا العقل، الذي يُسمى "نموذج لغة كبير" (LLM)، يشبه أمين مكتبة متعاوناً يمكنه كتابة القصص، وحل المسائل الرياضية، والإجابة على الأسئلة. ولكن لأن هذا الأمين قوي جداً، فقد وضع الأشخاص الذين بنوه حارساً أمنياً صارماً للغاية عند الباب الأمامي. مهمة هذا الحارس هي منع أي شخص من طلب أي شيء خطير، أو غير قانوني، أو لئيم. إذا حاولت طلب شيء سيء، فإن الحارس يوقفك قبل أن تصل حتى إلى أمين المكتبة.

ومع ذلك، فقد حاول المخادعون الأذكياء التسلل عبر هذا الحارس لفترة طويلة. إنهم يستخدمون "عمليات كسر الحماية" (jailbreaks)، وهي تشبه الرموز السرية أو التنكرات الفاخرة لخداع الحارس وإيهامه بأن طلباً سيئاً هو في الواقع طلب جيد. عادةً ما تكون هذه الحيل بسيطة: ربد يتحدثون بلغة مختلفة، أو يتظاهرون بأنهم شخصية سينمائية. لكن الحارس يصبح أكثر ذكاءً، وغالباً ما تفشل هذه الحيل البسية. السؤال الكبير الذي يطرحه الباحثون هو: هل يمكننا خداع الحارس وأمين المكتبة في نفس الوقت، باستخدام رسالة واحدة مخادعة يجب على أمين المكتبة فك تشفيرها والعمل بناءً عليها بمفرده؟

هذا هو بالضبط ما يبحث فيه بحث جديد يسمى "RoguePrompt". لقد اكتشف الباحثون، بقيادة بنيامين تافريشيان، طريقة لإنشاء هجوم "ذاتي إعادة البناء". فكر في الأمر كإرسال صندوق مغلق إلى صديق. يبدو الصندوق غير ضار تماماً من الخارج، لذا يسمح الحارس الأمني بمروره. ولكن داخل الصندوق توجد تعليمات تخبر صديقك: "مهلاً، افتح هذا الصندوق، واقرأ الملحوظة السرية بالداخل، ثم افعل بالضبط ما تقول الملحوظة". والتحول المذهل هو أن الملحوظة داخل الصندوق مكتوبة بشفرة سرية لا يفهمها إلا صديقك (الذكاء الاصطناعي). يفتح الصندوق، ويفك شفرة الطبقات، ويدرك أن الملحوظة هي في الواقع طلب محظور، ومع ذلك يقوم به على أي حال—دون أن يدرك أبداً أنه تعرض للخداع.

يقدم البحث طريقة محددة تسمى RoguePrompt تستخدم تشفيراً "ثنائي الطبقات". تخيل أن لديك جملة محظورة تريد من الذكاء الاصطناعي قولها. أولاً، قام الباحثون بتقسيم الجملة إلى جزأين: الكلمات ذات الأرقام الزوجية والكلمات ذات الأرقام الفردية. تركوا الكلمات الزوجية كما هي، وخلطوا الكلمات الفردية باستخدام شفرة سرية تسمى "شفرة فيجينير" (Vigenère cipher). ثم غلفوا الأمر برمته (الكلمات المختلطة والتعليمات حول كيفية فك الخلط) بطبقة أخرى من التشفير تسمى "ROT-13"، وهي خدعة بسيطة تعتمد على إزاحة الحروف. أخيراً، أضافوا تعليمات مهذبة تقول للذكاء الاصطناعي: "يرجى فك تشفير هذا اللغز ثم افعل ما يقوله اللغز".

عندما يتلقى الذكاء الاصطناعي هذه الرسالة، يرى الحارس الأمني مجرد لغز غير ضار فيسمح بمروره. وبما أن الذكاء الاصطناعي بارع جداً في اتباع التعليمات، فإنه يفك تشفير الطبقات بسعادة. يقوم بفك تشفير الحروف، ويعيد تجميع الكلمات الزوجية والفردية معاً، وفجأة يصبح الطلب المحظور أمامه مباشرة. ولأن الذكاء الاصطناعي قد وافق بالفعل على حل اللغز، فإنه غالباً ما ينسى أن يتوقف ويقول: "مهلاً، هذا سيء!" بل ويقوم بما أُمر به بدلاً من ذلك.

اختبر الباحثون هذه الطريقة على 313 مثالاً واقعياً لطلبات تُحظر عادةً، مثل تعليمات للأنشاء غير القانونية أو خطاب الكراهية. جربوا هذه الحيلة على ثلاثة من أكثر نماذج الذكاء الاصطناعي تقدماً المتاحة في ذلك الوقت. كانت النتائج مذهلة. نجحت طريقة RoguePrompt في التسلل عبر الحارس الأمني بنسبة 93.93% من المرات. وبمجرد تجاوز الحارس، نجح الذكاء الاصطناعي في فك تشفير الرسالة المخفية بنسبة 79.02% من المرات. والأهم من ذلك، قام الذكاء الاصطناعي بالفعل بتنفيذ الطلب المحظور بنسبة 70.18% من المرات. وهذا يعني أنه في أكثر من 7 من كل 10 حالات، نجحت الحيلة بشكل مثالي من البداية إلى النهاية: تجاوز الحارس، وفك تشفير الرسالة، وتنفيذ الطلب السيئ.

يشير البحث إلى أن هذا يحدث لأن أنظمة السلامة الحالية تركز كثيراً على ما يظهر على سطح الرسالة. فهي تتحقق مما إذا كانت الكلمات تبدو خطيرة الآن، لكنها لا تتحقق مما إذا كانت الرسالة تحتوي على تعليمات لجعل الكلمات خطيرة لاحقاً. ويجادل الباحثون بأن هذا يمثل نقطة ضعف رئيسية. وقارنوا طريقتهم بحيل أخرى شائعة، مثل استخدام ترميز Base64 أو مجرد إزالة الحروف المتحركة من الكلمات السيئة. وبينما نجحت تلك الحيل الأخرى أحياناً في تجاوز الحارس، إلا أنها فشلت غالباً في جعل الذكاء الاصطناعي يقوم بالشيء السيئ فعلياً. كانت RoguePrompt أكثر نجاحاً لأنها أبقت الذكاء الاصطناعي مشغولاً بفك تشفير الرسالة حتى فات الأوان.

كما بحثت الدراسة في سبب فشل هذه الحيلة أحياناً. أحياناً لم يستطع الذكاء الاصطناعي فهم الشفرة (فشل فك التشفير)، وأحياناً فهمها ولكنه رفض القيام بالشيء السيئ على أي حال (رفض بعد إعادة البناء)، وأحياناً أصيب بالارتباك فقط. لكن حقيقة أنها نجحت في كثير من الأحيان تشير إلى أن الطريقة الحالية لحماية الذكاء الاصطناعي قد لا تكون كافية. ويخلص المؤلف إلى أننا بحاجة إلى أنواع جديدة من حراس السلامة الذين لا ينظرون فقط إلى الباب الأمامي، بل يراقبون أيضاً ما يحدث داخل المنزل. ويقترح أن الدفاعات المستقبلية يجب أن تكون قادرة على رصد متى يحاول شخص ما إخفاء رسالة داخل لغز، ومنع الذكاء الاصطناعي من حل اللغز إذا كانت الإجابة خطيرة.

باخت-صار، يظهر هذا البحث أن مزيجاً ذكياً من تقسيم النص، واستخدام نوعين من الشفرات السرية، وإعطاء تعليمات للذكاء الاصطناعي بـ "حل هذا اللغز"، يمكن أن يتجاوز أفضل فلاتر السلامة لدينا اليوم. إنه تذكير بأنه كلما أصبح الذكاء الاصطناعي أكثر ذكاءً، أصبحت الحيل لخداعه أكثر ذكاءً أيضاً، ونحن بحاجة إلى الاستمرار في بناء دفاعات أفضل للحفاظ على سلامة الجميع.