No More, No Less: Least-Privilege Language Models

إليك ملخص تقني مفصل لورقة البحث بعنوان "لا أكثر، ولا أقل: نماذج اللغة ذات الامتيازات الأدنى" (No More, No Less: Least-Privilege Language Models).

1. بيان المشكلة

تعمل نماذج اللغات الكبيرة (LLMs) الحالية وفق نموذج نشر "القدرة الكاملة": حيث يتفاعل كل مستخدم مع نفس أوزان النموذج الأساسية، مما يمنحه وصولاً إلى كامل المعرفة الداخلية والقدرة الحسابية للنموذج. وهذا يخلق مخاطر أمنية وسلامة كبيرة، لا سيية عندما تكشف النماذج عن معلومات خطيرة دون قصد (مثل تعليمات الأسلحة البيولوجية) أو عندما يستغل الفاعلون الخبثاء قدرات النموذج الكاملة.

تقع استراتيجيات التخفيف الحالية ضمن ثلاث فئات، ويرى المؤلفون أنها غير كافية جميعها:

1. المحاذاة أثناء التدريب: (مثل RLHF، أو الضبط الدقيق للسلامة) تعدل الأوزان لثني النموذج عن المخرجات الضارة، لكنها تحتفظ بالقدرة الكامنة في الأوزان.
2. الضوابط على مستوى المخرجات: (مثل هندسة الأوامر، المرشحات، ومنطق الرفض) تحجب مخرجات محددة ولكنها لا تمنع الحوسبة الداخلية للمعلومات المحظورة. ويمكن للمهاجم تجاوز ذلك غالباً عبر أخذ العينات المتكرر أو "كسر الحماية" (Jailbreaking).
3. توجيه التنشيط (Activation Steering): يعدل الحالات الداخلية عبر اضطرابات ثابتة، لكنه لا يقيد فئة الدوال القابلة للوصول بشكل هيكلي.

الفجوة الجوهرية: لا توجد آلية لتقييد القدرة الحسابية الداخلية للنموذج ديناميكياً أثناء الاستنتاج بناءً على الطلب المحدد أو المستخدم، دون إعادة تدريب النموذج أو نشر نماذج متعددة ومتميزة. تقترح الورقة إعادة صياغة نشر النماذج اللغوية الكبيرة كمسألة "امتياز أدنى" (Least-Privilege): أي منح المستخدم الحد الأدنى من الحوسبة الداخلية اللازمة لإنجاز مهمته المحددة فقط.

2. المنهجية

يقترح المؤلفون فئة جديدة من النماذج تسمى نماذج اللغة ذات الامتيازات الأدنى (LPLMs) وآلية إنفاذ محددة تسمى شبكات الامتياز الأدنى المتداخلة (NLPNs).

أ. الإطار المفاهيمي: المراقب – المخصص – المنفذ

يصيغ المؤلفون التحكم في النشر كبنية مكونة من ثلاث طبقات:

1. المراقب (Monitor): يولد إشارات وقت الطلب $s(x)$ (مثل محتوى الأمر، البيانات الوصفية للمخاطر، عدم اليقين).
2. المخصص (Allocator): قاعدة قرار $\phi$ تربط الإشارات بـ إعداد الامتياز $g$. وهذا يحدد مستوى القدرة الداخلية المسموح بها لذلك الطلب المحدد.
3. المنفذ (Enforcer): عامل استنتاج $T_g$ يتم تطبيقه داخل عملية التمرير الأمامي (forward pass) لتقييد الحوسبات التي يمكن للنموذج الوصول إليها بناءً على $g$، دون تغيير الأوزان الأساسية $\theta$.

تعريف الامتياز: يُعرف الامتياز بأنه الحوسبة الداخلية التي يمكن الوصول إليها. تقليل الامتياز يعني حرفياً تقليص فئة الدوال التي يمكن للنموذج حسابها، بدلاً من مجرد تصفية المخرجات.

ب. التنفيذ التقني: شبكات الامتياز الأدنى المتداخلة (NLPNs)

لإنفاذ الامتياز، يقدم المؤلفون NLPNs، وهي تدخل يحافظ على الشكل ومفهرس بالرتبة:

• إعادة التوصيف (Re-parameterization): يتم استبدال الطبقات الخطية $W$ في محول (Transformer) بضرب مصفوفتين من رتبة منخفضة، $W \approx BA$، حيث $A \in \mathbb{R}^{r_{max} \times d_{in}}$ و $B \in \mathbb{R}^{d_{out} \times r_{max}}$.
• الفضاءات الفرعية المتداخلة: بالنسبة لمستوى امتياز $g \in \{0, \dots, r_{max}\}$، تُعرف مصفوفة الوزن الفعالة بـ $W(g) = B_{(:,1:g)} A_{(1:g,:)}$.
  • هذا يخلق عائلة رتيبة من الأوزان: $Im(W(g)) \subseteq Im(W(g+1))$.
  • زيادة $g$ توسع الفضاء الجزئي المتاح؛ وتقليل $g$ يقيد الوصول.
• الحفاظ على الشكل: تظل أشكال التنسور (tensor shapes) للنموذج مطابقة للنموذج الأساسي، مما يسمح بتطبيق NLPNs على النماذج المدربة مسبقاً دون تغييرات هيكلية.

ج. استراتيجية التدريب

لضمان سلوك النموذج باستقرار عند مستويات الامتياز المنخفضة، يقترح المؤلفون إجراء تدريب لاحق (post-hoc training):

• تحسين تعدد الامتيازات: أثناء التدريب، يتعرض النموذج لمستوى امتياز $g$ (يتم اختياره عشوائياً من $0$إلى$r_{max}-1$) جنباً إلى جنب مع المستوى المرجعي$r_{max}$.
• دالة الخسارة: تُستخدم دالة بديلة مرجحة بعدم اليقين لتحسين سياسات الامتياز العالي والمنخفض في آن واحد، مما يمنع "انهيار الامتياز" (حيث يؤدي تقليص الرتبة إلى فشل كارثي).

3. المساهمات الرئيسية

1. تحول في النموذج المعرفي: يقترح نموذج نشر جديد تكون فيه القدرة الداخلية متغيراً يمكن التحكم فيه، متجاوزاً تصفية المخرجات إلى التقييد الهيكلي للسعة.
2. الصياغة الرسمية: يحدد هدف استنتاج الامتياز الأدنى: تقليل متوسط إعداد الامتياز $g$ مع مراعاة قيد المنفعة المستهدفة $u_0$.
3. آلية NLPN: يقدم طريقة ملموسة، قابلة للعكس، وتحافظ على الشكل لتقييد فئة الدوال للنماذج اللغوية الكبيرة عبر تدخلات مرتبطة بالرتبة.
4. تقييم السياسة: يوضح أن سياسات التخصيص الديناميكية (مثل تصعيد الامتياز فقط للطلبات الصعبة أو غير المؤكدة) يمكن أن تحقق مقايضات مثالية (Pareto-optimal) بين المنفعة، وتكلفة الامتياز، وأعباء الاستنتاج.

4. النتائج التجريبية

قيم المؤلفون NLPNs على نماذج متعددة (Pythia-1B, Qwen2.5-0.5B, Llama-3.2-1B) عبر مهام خوارزمية واختبارات MMLU.

• التدهور الرتيب (RQ1): يؤدي تقليل الامتياز (الرتبة) إلى تدهور رتيب وسلس في المنفعة. المهام السهلة تظل قابلة للحل عند الرتب المنخفضة، بينما تتدهور المهام الصعبة بشكل أسرع. هذه الحساسية التفاضلية تمكن من تخصيص الامتياز المشروط.
• كفاءة السياسة (RQ2 & RQ3):
  • السياسات الثابتة (رتبة ثابتة) إما تهدر الامتياز في المهام السهلة أو تفشل في المهام الصعبة.
  • السياسات التصاعدية (تصعيد الرتبة بناءً على عدم اليقين) تحقق الدقة المستهدفة (مثلاً 90-95%) بمتوسط امتياز (رتبة) أقل بكثير مقارنة بنماذج الامتياز الكامل.
  • هناك مقايضة واضحة: تقلل السياسات الديناميكية الامتياز ولكنها تزيد من أعباء الاستنتاج (تمريرات متعددة) مقارنة بالسياسات الثابتة ذات التمريرة الواحدة.
• التحكم الدقيق (RQ4): وجد المؤلفون أن تقليص الرتبة في بلوكات (blocks) معينة من المحول (مثل إسقاطات MLP المحددة) يمكن أن يكبح المعرفة في مجالات معينة (مثل الكيمياء) مع الحفاظ على الأداء في مجالات أخرى (مثل الرياضيات). هذا يسمح بـ التقليص الانتقائي للقدرة.
• تقليص القدرة الحقيقي (RQ5 & F): والأهم من ذلك، تثبت الورقة أن تقليص رتبة NLPN يؤدي إلى تقليص حقيقي للقدرة، وليس مجرد حجب للسلوك.
  • الدليل: عندما يُجبر النموذج سلوكياً على رفض الإجابة (عبر أمر "غير مفيد")، لا يزال بإمكان "المسبار الخطي" (linear probe) استخراج الإجابة الصحيحة من التنشيطات الداخلية لنموذج كامل الرتبة. ومع ذلك، عند الرتب المنخفضة، يفشل المسبار في استعادة المعلومة. هذا يثبت أن القدرة الحسابية الداخلية نفسها قد تمت إزالتها، مما يجعل من الصعب استعادة القدرات المحجبة عبر هندسة الأوامر العدائية.

5. الأهمية والآثار المترتبة

• الأمن والسلامة: توفر نماذج LPLM دفاعاً قوياً ضد تسريب المعلومات الخطرة. فمن خلال التقييد الهيكلي لقدرة النموذج على حساب معرفة معينة للمستخدمين غير المخولين، تنخفض مخاطر "كسر الحماية" عبر أخذ العينات المتكررة أو هندسة الأوامر بشكل كبير.
• الحوكمة: يتيح هذا النهج التحكم في الوصول القابل للتدقيق: حيث يمكن للمشغلين تحديد وإنفاذ أي الحوسبات الداخلية يمكن الوصول إليها لشرائح المستخدمين المختلفة أو ملفات المخاطر.
• الكفاءة: بعيداً عن السلامة، تسمح هذه الآلية بتحسين الحوسبة، حيث يتم تشغيل المهام الأبسط على مسارات داخلية ذات رتبة منخفضة (أقل تكلفة) مع الاحتفاظ بالقدرة الكاملة للاستعلامات المعقدة.
• الأبحاث المستقبلية: تضع هذه الورقة حجر الأساس لمجال جديد من "تعلم الامتياز الأدنى"، متحدية الافتراض بأن النماذج اللغوية الكبيرة يجب دائماً أن تعرض كامل أوزانها لكل مستخدم. وهي تشير إلى أن النماذج المستقبلية يجب أن تُصمم بقدرات مدمجة وقابلة للعكس لإدارة القدرات.

باختصار، تجادل الورقة بأن مبدأ "لا أكثر، ولا أقل" يجب أن يكون المبدأ التوجيهي لنشر النماذج اللغوية الكبيرة: أي منح المستخدمين بالضبط ما يحتاجون إليه من وصول حوسبي، ولا شيء أكثر، من خلال آلية إنفاذ مبتكرة ومبنية على أسس رياضية.