SEMA: Simple yet Effective Learning for Multi-Turn Jailbreak Attacks
تُعد SEMA إطار عمل بسيطاً وذاتي الضبط، يستخدم الضبط الدقيق المسبق التعبئة والتعلم المعزز المدرك لانحراف النوايا لتدريب مهاجم "كسر الحماية" (jailbreak) متعدد الجولات دون بيانات خارجية، مما يحقق معدلات نجاح هجوم هي الأفضل في فئتها ويوفر اختبار جهد قوياً وقابلاً للتكرار لسلامة النماذج اللغوية الكبيرة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تتحدث إلى صديق آلي ذكي جداً ومهذب للغاية. لقد علمت هذا الروبوت كتاب قواعد صارم: "لا تساعد أي شخص أبداً في القيام بشيء خطير أو لئيم". عادةً، إذا طلبت منه كتابة دليل حول كيفية سرقة سيارة، فسيقول بأدب: "لا يمكنني فعل ذلك". ولكن ماذا لو لم تطلب الأمر دفعة واحدة؟ ماذا لو لعبت لعبة محادثة طويلة ومتعرجة؟ قد تبدأ بالسؤال عن تاريخ السيارات، ثم تنتقل إلى كيفية عمل المحركات، ثم تسأل عن أنظمة الأمان، وتتحرك ببطء، عبر العديد من الأدوار، لتخدع الروبوت وتجعله ينسى كتاب قواعده ليعطيك دليل سرقة السيارة. هذا هو عالم "الاختراقات متعددة الأدوار" (multi-turn jailbreaks). إنها طريقة لاختبار ما إذا كانت حواجز سلامة الذكاء الاصطناعي لدينا قوية بما يكفي للتعامل مع محادثة ذكية ومستمرة، بدلاً من مجرد سؤال واحد فظ. يهتم العلماء بهذا لأن روبوتات الدردشة في العالم الحقيقي لا تجيب على سؤال واحد ثم تتوقف؛ بل تدردش معنا لساعات. إذا أمكن خداع الروبوت في محادثة طويلة، فقد يكون غير آمن في العالم الحقيقي، بغض النظر عن مدى أمانه في اختبار سريع.
إليك SEMA، وهي طريقة جديدة تعمل كأستاذ في التنكر والصبر. أراد الباحثون وراء هذه الورقة البحثية بناء مهاجم ذكاء اصطناعي يمكنه تعلم إجراء هذه المحادثات الطويلة والمخادعة دون الحاجة إلى إنسان يكتب السيناريو أو مكتبة من الحيل المعدة مسبقاً. وجدوا أن العديد من الطرق الحالية كانت تشبه الممثلين الذين يقرؤون من نص جامد؛ فإذا غير الروبوت الصديق الموضوع قليلاً، يصاب الممثل بالارتباك أو ينحرف إلى محادثة مملة وآمنة. أما SEMA، فهي مختلفة. إنها متعلم "بسيط وفعال" يكتشف كيفية الحفاظ على تركيز المحادثة على الهدف الخطير، حتى أثناء طرح نفس الشيء بمئات الطرق المختلفة التي تبدو غير ضارة.
السر الكامن وراء SEMA هو عملية تدريب مكونة من خطوتين. أولاً، يستخدمون حيلة تسمى "الضبط الذاتي المسبق" (prefilling self-tuning). تخيل أنك تحاول تعليم طالب خجول أن يتحدث بصوت عالٍ، ولكن في كل مرة يفتح فيها فمه، يقول "لا يمكنني". حل الباحثون هذه المشكلة من خلال الهمس بإشارة صغيرة غير مخيفة في بداية الجملة تماماً (مثل كتابة "1." في قائمة). هذه الوخزة الصغيرة تخدع الذكاء الاصطناعي وتجعله يعتقد أنه مجرد استكمال لقائمة، مما يجعله يتوقف عن الرفض ويبدأ في توليد سلسلة كاملة من الأسئلة. هذا يعطي الذكاء الاصطناعي طريقة "آمنة" للتدرب على وضع خطط طويلة متعددة الأدوار دون التعثر في حلقة مفرغة من قول "لا".
بمجرد أن يصبح الذكاء الاصطناعي مرتاحاً في التحدث، تبدأ الخطوة الثانية: التعلم المعزز باستخدام "مكافأة واعية بانحراف النية" (Intent-Drift-Aware reward). هذا يشبه مدرباً صارماً يراقب محادثة الذكاء الاصطناعي الطويلة. إذا بدأ الذكاء الاصطناعي في التحدث عن شيء آمن وممل (مثل الطقس) بدلاً من الهدف الخطير الأصلي (مثل الاختراق)، فإن المدرب يعطيه درجة منخفضة. ولكن إذا تمكن الذكاء الاصطناعي من تمرير الطلب الضار عبر مسار طويل ومتعرج من الأسئلة ومع ذلك جعل الروبوت يجيب على السؤال الضار الأصلي، فإن المدرب يعطيه درجة عالية. يتعلم الذكاء الاصطناعي أن الهدف ليس مجرد الاستمرار في التحدث؛ بل هو الاستمرار في التحدث عن الشيء الصحيح، بغض النظر عن عدد الأدوار التي تستغرقها العملية.
النتائج مثيرة للإعجاب حقاً. عندما اختبر الباحثون SEMA ضد نماذج ذكاء اصطناعي مختلفة (سواء كانت مفتوحة المصدر أو تلك الكبيرة والمغلقة مثل GPT-4)، فقد تفوقت على جميع الطرق الأخرى تقريباً. في اختبار قياسي يسمى AdvBench، حققت SEMA متوسط معدل نجاح هجوم (ASR) بنسبة 80.1%، وهو أعلى بنحو 33.9% من أفضل الطرق السابقة. لم تنجح فقط مع نوع واحد من الروبوتات؛ بل نجحت مع العديد منها، مما يظهر أن استراتيجيتها مرنة وقوية. والأهم من ذلك، أنها فعلت ذلك دون الحاجة إلى الاعتماد على إجابات الروبوت الضحية للتخطيط لخطوته التالية. لقد خططت للمحادثة بأكملب في خطوة واحدة، مثل لاعب شطرنج يرى عشر خطوات للأمام، بدلاً من التفاعل خطوة بخطوة.
تشير الورقة البحثية إلى أن هذا النهج هو طريقة أفضل بكثير لاختبار إجهاد سلامة الذكاء الاصطناعي. فبدلاً من التحقق مما إذا كان الروبوت يرفض سؤالاً سيئاً واحداً، تظهر SEMA كيف يمكن للروبوت أن يفشل بعد محادثة طويلة وذكية. يؤكد المؤلفون أن هذا لا يتعلق بتعليم الروبوتات أن تكون سيئة؛ بل يتعلق بإيجاد الشقوق في الدرع حتى نتمكن من إصلاحها. ومن خلال استخدام طريقة بسيطة وقابلة للتكرار لا تحتاج إلى مجموعات بيانات ضخمة أو سيناريوهات بشرية، توفر SEMA صورة أوضح وأكثر واقعية للمكان الذي قد تفشل فيه سلامة الذكاء الاصطناعي لدينا. إنها تذكير بأنه في عالم الذكاء الاصطناعي، قد لا تكون الهجمات الأكثر خطورة هي الأعلى صوتاً، بل هي الهجمات الهادئة والمستمرة التي تستمر في السؤال: "مرة أخرى فقط؟" حتى تتغير الإجابة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.