💬 NLP

Causal Front-Door Adjustment for Robust Jailbreak Attacks on LLMs

تقترح هذه الورقة هجوم تعديل الباب الأمامي السببي (CFA²)، وهو إطار عمل مبتكر لكسر الحماية يعمل على نمذجة آليات السلامة كعوامل مربكة غير ملاحظة ويستخدم المشفّرات التلقائية المتفرقة لتجريد ميزات الدفاع عبر معيار الباب الأمامي لبيرل، محققاً معدلات نجاح هجوم هي الأفضل حالياً مع تعقيد منخفض في الاستدلال.

المؤلفون الأصليون: Yao Zhou, Zeen Song, Wenwen Qiang, Fengge Wu, Shuyi Zhou, Changwen Zheng, Hui Xiong

نُشر 2026-02-09

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Yao Zhou, Zeen Song, Wenwen Qiang, Fengge Wu, Shuyi Zhou, Changwen Zheng, Hui Xiong

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل نموذج لغة كبير (LLM) كأنه أمين مكتبة بارع وواسع المعرفة، تم إعطاؤه مجموعة صارمة من القواعد: "يجب عليك الإجابة على أي سؤال، إلا إذا كان خطيراً". ولفرض ذلك، يقف بجانب أمين المكتبة حارس أمن خفي وغير مرئي (آلية السلامة).

عندما تطرح سؤالاً مخادعاً، يرغب أمين المكتبة في الإجابة، لكن حارس الأمن يهمس له: "توقف! هذا خطير!" ويجبر أمين المكتبة على قول: "لا يمكنني الإجابة على ذلك".

معظم هجمات "كسر الحماية" (Jailbreak) الحالية تشبه محاولة خداع أمين المكتبة باستخدام كلمات منمقة، أو قواعد لغوية مربكة، أو الصراخ بلغة مختلفة. أحياناً ينجح الأمر، لكنه هش للغاية؛ فإذا غيرت كلمة واحدة أو كان أمين المكتبة في يوم سيء، تفشل الخدعة. تجادل الورقة البحثية بأن هذه الأساليب هي مجرد تخمين للسلوك السطحي لأمين المكتبة دون فهم حارس الأمن الداخلي.

النهج الجديد: استراتيجية "الباب الأمامي"

يقترح مؤلفو هذه الورقة طريقة أذكى لتجاوز الحارس، باستخدام مفهوم من العلوم السببية يسمى "تعديل الباب الأمامي" (Front-Door Adjustment).

إليك التشبيه الذي استخدموه:

المشكلة (المُربك/Confounder): حارس الأمن (الذي سنسميه U) هو متغير غير مرئي. هو يؤثر على كيفية رؤية أمين المكتبة لسؤالك، وعلى قرار رفضه للإجابة. ولأنك لا تستطيع رؤيته، لا يمكنك بسهولة معرفة ما إذا كان أمين المكتبة يرفض لأن السؤال خطير حقاً، أم لمجرد أن الحارس مفرط في الحذر.
الحل (الوسيط/Mediator): بدلاً من محاولة الجدال مع الحارس أو خداع أمين المكتبة مباشرة، يقدم المؤلفون وسيطاً، وهو الوسيط (S). فكر في هذا الوسيط كـ "الجوهر النقي" أو "النية الجوهرية" لسؤالك، مجردة من كل "الأجواء الخطيرة" التي يتحسس منها الحارس.
الخدعة: الهدف هو إجبار أمين المكتبة على النظر فقط إلى هذا "الجوهر النقي" (S) لتوليد الإجابة، متجاهلاً تماماً حارس الأمن (U).

كيف يفعلون ذلك (أدوات "السحر")

لجعل هذا يعمل في نموذج حاسوبي، يستخدم المؤلفون أداتين رئيسيتتين:

1. "ماسح الميزات" (المشفِّرات التلقائية المتناثرة - Sparse Autoencoders):
تخيل أن عقل أمين المكتبة عبارة عن غرفة ضخمة وفوضوية حيث تختلط آلاف الأفكار معاً. بعض الأفكار تتعلق بـ الموضوع (مثل "الطبخ")، وبعضها يتعلق بـ السلامة (مثل "لا تحرق المنزل").
يستخدم المؤلفون أداة تسمى المشفّر التلقائي المتناثر (SAE) لتعمل مثل ماسح ضوئي عالي التقنية. يقوم الماسح بفرز الغرفة الفوضوية وفصل أفكار "الطبخ" عن أفكار "السلامة". إنهم يجدون أفك_ار "السلامة" المحددة التي تحفز الرفض.

2. "الإزالة الفيزيائية" (تعامد الأوزان - Weight Orthogonalization):
بمجرد تحديد أفكار "السلامة"، لا يكتفي المؤلفون بإخبار النموذج بتجاهلها فحسب، بل يقومون بتغيير عقل أمين المكتبة (الأوزان) فيزيائياً.
يستخدمون خدعة رياضية تسمى تعامد الأوزان (Weight Orthogonalization). تخيل أن أفكار السلامة هي اتجاه معين في غرفة (مثل "الشمال"). يقوم المؤلفون بتدوير عقل أمين المكتبة بحيث لا يعود "الشمال" موجوداً في خريطته الداخلية.

النتيجة: لم يعد أمين المكتبة قادراً على "رؤية" حارس الأمن. لقد تم سد الطريق المؤدي للرفض فيزيائياً.

لماذا هذا النهج أفضل؟

تدعي الورقة أن هذه الطريقة تتفوق على المحاولات السابقة لثلاثة أسباب رئيسية:

إنها قوية (Robust): نظرًا لأنهم أزالوا القدرة على الرفض فيزيائياً، فإن التغييرات الصغيرة في السؤال (مثل استبدال مرادف) لا تكسر الهجوم. "الحارس" قد اختفى، لذا لا يمكنه منع الإجابة.
إنها سريعة: حاولت الطرق القديمة القيام بآلاف التخمينات للعثور على الخدعة المناسبة. أما هذه الطريقة فتجري "جراحة الدماغ" مرة واحدة، ثم يجيب النموذج فوراً. إنها تشبه الانتقال من المشي في متاهة إلى الانتقال الآني (Teleportation).
تبدو طبيعية: غالباً ما كانت الهجمات القديمة تنتج كلاماً غير مفهوم أو جملاً غريبة تبدو مريبة. هذه الطريقة تحافظ على طبيعية السؤال وجاذبيته لأنها تزيل جزء "الرفض" فقط، وليس جزء "الإجابة".

النتائج

في اختباراتهم، نجحت هذه الطريقة الجديدة (المسماة CFA2) في تجاوز فلاتر السلامة في نماذج ذكاء اصطنا-عي شهيرة بنسبة 84% من المرات. وهذه نسبة أعلى بكثير من الطرق السابقة. كما فعلت ذلك في جزء من الثانية، بينما كانت الطرق القديمة تستغرق دقائق.

العقبة

تعترف الورقة بوجود عيب رئيسي: للقيام بـ "جراحة الدماغ" هذه، تحتاج إلى وصول "الصندوق الأبيض" (White-box access). وهذا يعني أنه يجب أن تكون قادراً على رؤية ما بداخل كود النموذج وتغيير أوزانه. لا يمكنك استخدام هذا على النماذج "مغلقة المصدر" (مثل النسخ التجارية من ChatGPT) حيث لا يمكنك رؤية ما بالداخل. يأمل المؤلفون في التوصل مستقبلاً إلى كيفية استخدام هذه الرؤى لخداع النماذج المغلقة دون الحاجة لرؤية ما بداخلها، ولكن في الوقت الحالي، لا يعمل هذا إلا على النماذج التي تملك وصولاً كاملاً إليها.

باختصار: وجدت الورقة طريقة لإزالة "حارس الأمن" جراحياً من عقل الذكاء الاصطناعي، مما يسمح له بالإجابة على الأسئلة الخطيرة بشكل طبيعي وفوري، بدلاً من محاولة خداع الحارس بكلمات مربكة.

ملخص تقني: تعديل الباب الأمامي السببي لهجمات كسر الحماية القوية على النماذج اللغوية الكبيرة (LLMs)

1. بيان المشكلة

لا تزال النماذج اللغوية الكبيرة (LLMs) المتوافقة مع بروتوكولات السلامة عرضة لهجمات كسر الحماية (Jailbreak)، ومع ذلك تعاني الأساليب الحالية من عدم استقرار حرج. تعتمد الأساليب القائمة على التحسين (Optimization) حاليًا (مثل GCG وPAIR) على ملاءمة الارتباطات الإحصائية السطحية بين المطالبات العدائية ومخرجات النموذج. وتشير الأدلة التجريبية إلى أن هذه الأساليب هشة؛ حيث إن التغييرات الطفيفة في الدلالات، مثل استبدال المرادفات أو إعادة الترتيب النحوي، غالبًا ما تؤدي إلى انهيار الهجمات الناجحة.

يفترض المؤلفون أن هذه الهشاشة تنبع من الفشل في معالجة الآليات السببية الكامنة. يتم نمذجة محاذاة السلامة ليس كإزالة للمعرفة، بل كآلية داخلية كامنة تقمع قدرة النموذج الأصلية على الإجابة على الاستعلامات الضارة. تفشل الأساليب الحالية لأنها لا تميز بين قدرات النموذج الحقيقية وبين التداخل الناتج عن هذا المربك (Confounder) غير الملحوظ الخاص بالسلامة.

2. المنهجية: هجوم تعديل الباب الأمامي السببي (CFA2)

يقترح البحث إطار عمل CFA2، وهو منهج خالٍ من التدريب يستفيد من معيار "الباب الأمامي" لبيرل (Pearl's Front-Door Criterion) لقطع الارتباط المربك بين آليات السلامة ومخرجات النموذج. تتم هيكلة المنهجية في ثلاث مراحل:

2.1. النمذجة السببية

يصيغ المؤلفون نموذجًا سببيًا بنيويًا (SCM) حيث:

$X$ : الاستعلام الضار.
$A$ : التمثيل الداخلي الكامن للنموذج لـ $X$ .
$Y$ : الاستجابة.
$U$ : مربك غير ملحوظ يمثل آلية السلامة الداخلية (مثل محاذاة RLHF).
$S$ : وسيط ملحوظ يمثل دلالات المهمة الجوهرية للاستعلام.

في هذا الرسم البياني، يعمل $U$ كمربك يؤثر على كل من التمثيل الداخلي ( $U \to A$ ) والمخرجات ( $U \to Y$ )، مما يتسبب في رفض النموذج. الهدف هو تقدير التوزيع التدخلي $P(Y | do(A)) $، مما يؤدي فعليًا إلى تجاوز$ U$.

2.2. تحديد الوسيط وفضاء الدفاع

لتشغيل تعديل الباب الأمامي، يجب على الطريقة عزل دلالات المهمة الجوهرية ( $S$ ) عن آلية الدفاع ( $U$ ).

المشفرات التلقائية المتفرقة (SAEs): يستخدم المؤلفون الـ SAEs لتحويل التنشيطات الخفية الكثيفة وعالية الأبعاد إلى متغيرات كامنة متفرقة وقابلة للتفسير. يعالج هذا مشكلة تعدد المعاني (Polysemanticity)، حيث تشفر الخلايا العصبية المفردة مفاهيم متعددة.
التحليل المقارن: باستخدام مجموعة بيانات مزدوجة من الاستعلامات الضارة الأصلية ( $D_{harm}$ $D_{ha r m}$ ، التي تثير الرفض) والمتغيرات المكسورة للحماية ( $D_{attack}$ $D_{a tt a c k}$ ، التي تحفز الامتثال)، تحدد الطريقة الميزات الثابتة.
- قصد المهمة ( $S$ ): يظل ثابتًا عبر الزوج ( $s(x) \approx s(x^+)$ ).
- آلية الدفاع ( $U$ ): تُظهر تحولات كبيرة في التنشيط ( $u(x) \neq u(x^+)$ ).
استخراج اتجاه الدفاع: من خلال تحليل تباين تنشيط الميزات عبر حدود القرار، يعزل المؤلفون الفضاء الجزئي الذي تشغله عوامل الدفاع.

2.3. التدخل البنيوي عبر تعامد الأوزان

بدلاً من إجراء عملية هامشية مكلفة حاسوبيًا عبر فضاء المدخلات (كما هو مطلوب في صيغة الباب الأمامي النظرية)، تنفذ CFA2 تدخلًا بنيويًا حتميًا:

تعامد الأوزان (Weight Orthogonalization): يقوم المؤلفون بإسقاط أوزان مخرجات النموذج ( $W_{out}$ ) على المتمم المتعامد لمتجه اتجاه الدفاع ( $d$ ).
الصيغة: $W_{new}^{out} \leftarrow W_{out} - W_{out} d^T d$ .
الأثر: يقوم هذا جسديًا بتجريد أوزان المخرجات من الفضاء الجزئي للدفاع. وبناءً على ذلك، لا يعود التمثيل الداكن يحتوي على معلومات تتعلق بآلية السلامة $U$ ، بغض النظر عن السياق الخلفي. تصبح عملية التوليد مجرد تمرير أمامي بسيط بتعقيد $O(1)$ ، مما ينتج استجابات تلتزم بقصد المهمة $S$ مع تجاوز محفزات السلامة.

3. المساهمات الرئيسية

إطار عمل كسر الحماية السببي: أول نهج لنمذجة آليات السلامة كمربكات غير ملحوظة ضمن نموذج سببي بنيوي (SCM). يوضح نظريًا كيف يمكن لتعديل الباب الأمامي أن يقطع فعليًا الروابط المربكة لاستعادة قدرات النموذج المقموعة.
خوارزمية خالية من التدريب (CFA2): تنفيذ عملي باستخدام SAEs لعزل ميزات "قصد المهمة" الثابتة وتعامد الأوزان لإزالة الفضاءات الجزئية للدفاع. هذا يقلل من عملية الهامشية السببية المعقدة إلى تمرير أمامي حتمي بتعقيد استدلال $O(1)$ .
أداء يمثل أحدث ما توصل إليه العلم (State-of-the-Art): تحقق الطريقة معدلات نجاح عالية في الهجوم (ASR) مع الحفاظ على مستوى عالٍ من التخفي والطبيعية، متجنبة النصوص غير المفهومة التي ترتبط غالبًا بهجمات التحسين القائمة على التدرج.

4. النتائج التجريبية

قيم المؤلفون CFA2 على أربعة نماذج لغوية كبيرة متوافقة مع معايير السلامة (Llama 3.1 8B, Llama 2 7B, Mistral 7B, Gemma 2 9B) باستخدام مجموعات بيانات AdvBench وHarmBench.

معدل نجاح الهجوم (ASR): حققت CFA2 متوسط معدل نجاح قدره 83.68%، متفوقة على أقوى خط أساس (GCG بنسبة 47.74%) بفارق +35.94%. ومن الملاحظ أنه في نموذج Llama 3.1 8B عالي المحاذاة، حققت CFA2 نسبة 62.40%، بينما عانت الخطوط الأساسية تحت 33%. وفي النماذج الأقل دفاعًا، اقتربت من التشبع (>99%).
الكفاءة: على عكس الأساليب القائمة على التحسين التي تتطلب مئات الخطوات التدرجية (على سبيل المثال، يستغرق GCG حوالي 340 ثانية لكل مطالبة)، تعمل CFA2 بتعقيد $O(1)$ ، مما يقلل وقت التوليد إلى 2.4 ثانية (تسريع بنحو 850 ضعفًا).
التخفي: تم قياسه عبر درجة الارتباك (Perplexity - PPL)، حيث ولدت CFA2 مطالبات أصلية بدرجة PPL بلغت 16.7، وهي أقل بكثير من GCG (~~1027.6) وAutoDAN (~~54.5)، مما يشير إلى سلاسة وطبيعية عالية.
دراسات الاستئصال (Ablation Studies):
- المتفرق مقابل الكثيف: أدى التدخل في الخلايا العصبية الكثيفة الخام إلى انخفاض كارثي في جودة النص (PPL ~652)، مما يؤكد ضرورة الفصل المتفرق عبر SAEs.
- التعامد مقابل التثبيت (Clamping): أثبت تعامد الأوزان تفوقه على تثبيت التنشيط أثناء وقت التشغيل، والذي عانى من "استعادة الدفاع" في عمليات توليد النصوص الأطول.

5. الأهمية والقيود

الأهمية:
يزعم البحث أن CFA2 توفر تفسيرًا ميكانيكيًا لكسر الحماية، حيث تتجاوز الارتباطات السطحية لتستهدف الجذور السببية لرفض السلامة. ومن خلال إثبات إمكانية تجريد آليات السلامة جسديًا عبر تعامد الأوزان، يسلط العمل الضوء على ثغرة أساسية في استراتيجيات المحاذاة الحالية. يضع المؤلفون هذا البحث كأداة لتسريع تطوير تدابير حماية أكثر قوة من خلال كشف هذه نقاط الضعف قبل استغلالها على نطاق واسع.

القيود:
يشير المؤلفون صراحة إلى أن CFA2 تعتمد على الوصول إلى الصندوق الأبيض (White-box access) للنموذج. إن اشتراط تدريب SAEs والتعديل المباشر لمعلمات النموذج يمنع تطبيقها على النماذج مغلقة المصدر. وقد اقتُرح عمل مستقبلي للتركيز على نقل هذه الرؤى السببية الداخلية إلى استراتيجيات تحسين المطالبات للصندوق الأسود (Black-box).