💬 NLP

Jailbreaking Leaves a Trace: Understanding and Detecting Jailbreak Attacks from Internal Representations of Large Language Models

تقترح هذه الورقة إطار عمل خفيف الوزن للكشف عن كسر الحماية (jailbreak) والتخفيف من آثاره أثناء مرحلة الاستدلال، والذي يستفيد من الأنماط المتسقة في الفضاء الكامن ضمن التمثيلات الداخلية للنماذج اللغوية الكبيرة لتحديد المطالبات الضارة وتعطيلها دون الحاجة إلى ضبط دقيق للنموذج أو كواشف مساعدة.

المؤلفون الأصليون: Sri Durga Sai Sowmya Kadali, Evangelos E. Papalexakis

نُشر 2026-02-23

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Sri Durga Sai Sowmya Kadali, Evangelos E. Papalexakis

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة بحثية بعنوان "الاختراق يترك أثراً" (Jailbreaking Leaves a Trace)، مقسمة إلى مفاهيم بسيطة مع تشبيهات إبداعية.

المشكلة الكبرى: "الاقتحام الرقمي"

تخيل نموذج لغة كبير (LLM) كأنه خادم (Butler) ذكي ومهذب للغاية. لقد قمت بتدريب هذا الخادم ليكون مفيداً، ولكن أيضاً ليرفض الطلبات الخطيرة (مثل "كيف أصنع قنبلة؟"). هذا ما يسمى بـ "المواءمة" (Alignment).

ومع ذلك، وجد المخترقون المهرة (الأعداء) طريقة لخداع هذا الخادم. هم لا يطلبون القنبلة مباشرة؛ بل يستخدمون "الاختراق" (Jailbreaking). هذا يشبه قيام المخترق بهمس رمز سري، أو ارتداء زي تنكري، أو لعب دور شخصية خيالية لإقناع الخادم بأن الطلب الخطير هو في الواقع لعبة غير ضارة. وبناءً على اعتقاد الخادم بأنه يتبع قواعد اللعبة، فإنه يكسر بروتوكولات السلامة الخاصة به ويقدم الإجابة.

الطريقة القديمة مقابل الطرقة الجديدة

الطريقة القديمة (الحارس عند الباب):
في السابق، حاولت فرق الأمن إيقاف هذه الهجمات من خلال مراقبة الكلمات التي يستخدمها المخترق. قاموا ببناء قائمة من "الكلمات السيئة" أو "العبارات المشبوهة".

العيب: المخترقون يشبهون "المتحولين" (Shape-shifters). إذا منعت كلمة "قنبلة"، سيقولون "جهاز متفجر". وإذا منعت كلمة "اختراق"، سيقولون "استكشاف سيبراني". إنهم يغيرون الكلمات باستمرار للإفلات من الحارس.

الطريقة الجديدة (جهاز الأشعة السينية):
تقترح هذه الورقة استراتيجية مختلفة. بدلاً من النظر إلى الكلمات التي يقولها المخترق، ينظر الباحثون إلى ما يحدث داخل عقل الخادم أثناء معالجته للطلب.

لقد اكتشفوا قاعدة ذهبية: الاختراق يترك أثراً.

حتى لو غير المخترق الكلمات، فإن الطريقة التي تعمل بها "النيورونات" (الخلايا العصبية) الداخلية للنموذج تختلف عندما يتم خداعه مقارنة بسؤال عادي. إنه يشبه اختبار كشف الكذب لعقل الذكاء الاصطناعي.

كيف وجدوا الأثر (البصمة)

تعامل الباحثون مع النشاط الداخلي للذكاء الاصطناعي كأنه لغز ثلاثي الأبعاد معقد (Tensor). واستخدموا أداة رياضية تسمى "تحلل التنسور" (Tensor Decomposition) لتفكيك هذا اللغز.

التشبيه: تخيل النشاط الدماغي للذكاء الاصطناعي كسحابة ضخمة من الدخان المتصاعد. عندما يُطرح سؤال عادي، يدور الدخان في نمط هادئ ومتوقع. أما عندما يحدث محاولة اختراق، فإن الدخان يدور في نمط فوضوي، ولكنه ثابت.
الاكتشاف: وجدوا أن هذا "الدوران الفوضوي" يحدث في وقت مبكر جداً من معالجة الذكاء الاصطناعي، غالباً في الطبقات الأولى من دماغه. إنها بصمة فريدة تقول: "مهلاً، أنا أتعرض للخداع الآن!"

الحل: "جراحة الدماغ" (تجاوز الطبقات - Layer Bypass)

بمجرد تمكنهم من رصد هذه البصمة، لم يرغبوا فقط في اكتشافها؛ بل أرادوا إيقافها.

لقد طوروا طريقة لإجراء "جراحة" للذكاء الاصطناعي أثناء تفكيره، دون الحاجة لإعادة تدريبه أو تغيير كوده البرمجي.

التشبيه: تخيل أن الذكاء الاصط@ هو فريق سباق تتابع يمرر العصا (المعلومات) عبر 32 عداءً (طبقات).
- في السباق العادي، تمر العصا بسلاسة من عداء إلى آخر.
- في سباق الاختراق، يبدأ عداء معين (أو عدد قليل من العدائين) بالارتباك بسبب الرمز السري للمخترق ويبدأ في الركض في الاتجاه الخ गलत.
- الحل: بنى الباحثون نظاماً يراقب العدائين. وبمجرد أن يرى النظام عداءً يبدأ في الارتباك (يظهر "أثر الاختراق")، فإنه يتخطى هذا العداء تماماً. يأخذ العصا من العداء السابق ويسلمها مباشرة للعداء التالي، متجاوزاً الوسيط المرتبك.

النتائج: درع فائق الفعالية

اختبروا هذا على نموذج يسمى LLaMA 3.1 (وهو نموذج ذكاء اصطناعي شهير).

النتيجة: من خلال تخطي الطبقات "المرتبكة" فقط، أوقفوا 78% من محاولات الاختراق.
الميزة الإضافية: والأهم من ذلك، لم يؤدِ هذا إلى إفساد قدرة الذكاء الاصطناعي على الإجابة على الأسئلة العادية. لقد أثر فقط على الأسئلة "السيئة". إنه يشبه رجل الأمن الذي يوقف فقط الأشخاص الذين يحاولون التسلل، بينما يسمح للجميع الآخرين بالمرور بشكل طبيعي.

لماذا هذا مهم؟

إنه سريع: لا يتطلب وجود ذكاء اصطناعي ثانٍ للتحقق من الإجابات (وهو أمر بطيء ومكلف). إنه يحدث فوراً أثناء تفكير الذكاء الاصطناعي.
من الصعب خداعه: بما أنه ينظر إلى البنية الداخلية لعملية التفكير، وليس مجرد الكلمات، فلا يمكن للمخترقين خداعه بسهء عن طريق تغيير مفرداتهم.
يعمل في كل مكان: اختبروا هذا على أنواع مختلفة من نماذج الذكاء الاصطناعي (GPT-J, Mistral, Mamba)، وكان "الأثر" موجوداً في جميعها.

الملخص

فكر في هذه الورقة البحثية على أنها اكتشاف أن كل مرة يحاول فيها مخترق خداع ذكاء اصطناعي، يصاب دماغ الذكاء الاصطناعي بـ "رعشة" محددة. لقد بنى الباحثون مستشعراً ليشعر بهذه الرعشة، وفي اللحظة التي يشعرون فيها بها، يقومون بقطع السلك الواصل إلى الجزء من الدماغ الذي يتعرض للخداع. هذا يوقف المخرجات السيئة قبل حدوثها، مما يحافظ على سلامة الذكاء الاصطناعي دون الحاجة لإعادة تدريبه أو تغيير شخصيته.

إليك ملخص تقني مفصل لورقة البحث بعنوان "كسر الحماية يترك أثراً: فهم وكشف هجمات كسر الحماية من التمثيلات الداخلية للنماذج اللغوية الكبيرة".

1. بيان المشكلة

تتعرض النماذج اللغوية الكبيرة (LLMs) بشكل متزايد لهشاشة تجاه "كسر الحماية" (Jailbreaking)، حيث يقوم المستخدمون المهاجمون بصياغة مطالبات (prompts) محددة لتجاوز مواءمة السلامة واستخراج محتوى مقيد أو ضار.

محدودية الدفاعات الحالية: تعمل الدفاعات الحالية بشكل أساسي على مستوى المطالبة (تصفية الكلمات المفتاحية) أو مستوى المخرجات (استخدام مصنفات مساعدة). هذه الأساليب غالباً ما تكون هشة، وسهلة التجاوز عبر إعادة الصياغة أو التعمية، وتفشل في التعميم ضد استراتيجيات الهجوم التكيفية.
الفجوة: هناك نقص في الأبحاث التي تستفيد من التمثيلات الداخلية للنماذج اللغوية الكبيرة للكشف عن هذه الهجمات والحد منها. يفترض المؤلفون أن مطالبات كسر الحماية تسبب أنماطاً هيكلية متميزة وقابلة للكشف داخل الطبقات الخفية للنموذج، تختلف عن المدخلات السليمة، بغض النظر عن المخرج النهائي.

2. المنهجية

يعمل الإطار المقترح في مرحلتين: التحليل الكامن (فهم التواقيع) والتخفيف أثناء الاستنتاج (الدفاع النشط).

أ. نطاق البيانات والنماذج

تحلل الدراسة مجموعة متنوعة من النماذج لضمان نتائج غير مرتبطة بهيكل معماري معين:

المعماريات: نماذج تعتمد على المحولات (GPT-J, LLaMA, Mistral) ونماذج فضاء الحالة (Mamba2).
مراحل التدريب: النماذج الأساسية (Base models)، النماذج المضبوطة تعليمياً (Instruction-Tuned)، والنماذج المزال منها القيود (Abliterated) (وهي نماذج مضبوطة تعليمياً تمت إزالة مواءمة السلامة منها).
مجموعات البيانات: مجموعة تدريب من Hugging Face (تصنيف كسر الحماية)، ومجموعة اختبار محجوزة من "مطالبات كسر الحماية في الواقع" (In the Wild Jailbreak Prompts).

ب. التقنية الجوهرية: تفكيك الموتر (Tensor Decomposition)

بدلاً من تحليل النص الخام، يستخرج المؤلفون التنشيطات الداخلية (مخرجات الانتباه متعدد الرؤوس والطبقات الخفية) لكل مطالبة.

بناء الموتر: لكل دفعة (batch) مكونة من $N$ من المطالبات، يقومون ببناء موتر ثلاثي الأنماط بحجم $N \times T \times d$ (المطالبات $\times$ طول التسلسل $\times$ البعد الخفي).
تفكيك CP: يطبقون تفكيك CANDECOMP/PARAFAC (CP) لتفكيك هذه الموترات إلى مكونات منخفضة الرتبة. هذا يستخرج العوامل الكامنة المقابلة للمطالبة، والتسلسل، والأبعاد الخفية.
استخراج التوقيع: تلتقط عوامل نمط المطالبة (prompt-mode factors) الأنماط الكامنة التي تميز مطالبات كسر الحماية عن المطالبات السليمة. تعمل هذه العوامل كسمات لمصنف خفيف الوزن.

ج. تحليل القابلية للتأثر على مستوى الطبقة

يدرب المؤلفون مصنفات منفصلة على العوامل الكامنة المستخرجة من الطبقات الفردية لتحديد الأجزاء الأكثر حساسية للمدخلات العدائية.

الهدف: تحديد طبقات معينة تكون فيها تمثيلات مطالبات كسر الحماية أكثر قابلية للانفصال عن المطالبات السليمة.
الفرضية: يشير الانفصال العالي في طبقة معينة إلى أن هذه الطبقة "عرضة" لترميز النوايا العدائية.

د. التخفيف أثناء الاستنتاج (تجاوز الطبقة)

بناءً على تحليل القابلية للتأثر، يقترح المؤلفون آلية دفاع نشطة:

التقييم في الوقت الفعلي: بالنسبة لمطالبة جديدة، يقوم النظام باستخراج تمثيلات الطبقة، وإسقاطها على العوامل الكامية التي تم تعلمها مسبقاً، وحساب درجة احتمالية كسر الحماية لكل طبقة باستخدام مصنف انحدار لوجستي خفيف الوزن.
التجاوز الانتقائي: إذا تجاوز احتمال الطبقة عتبة معينة (على سبيل المثال، $\tau=0.7$ $τ = 0.7$ )، يتم تجاوز تلك الطبقة أثناء الاستنتاج.
- تجاوز الطبقة: يتم تخطي مخرجات الطبقة المشبوهة، بحيث يتم تمرير مخرجات الطبقة السابقة مباشرة إلى الطبقة التالية.
- تجاوز MHA: يمكن أيضاً تجاوز رؤوس انتباه (attention heads) محددة.
الميزة: لا يتطلب هذا الأمر أي ضبط دقيق للنموذج (fine-tuning)، ولا نماذج لغوية كبيرة مساعدة، ويضيف حِملاً حسابياً ضئيلاً.

3. المساهمات الرئيسية

تواقيع كسر الحماية على مستوى الطبقة: تثبت الورقة أن مطالبات كسر الحماية والمطالبات السليمة تظهر تواقيع كامنة متميزة وتعتمد على الطبقة. هذه التواقيع ثابتة عبر عائلات النماذج المختلفة (المحولات وMamba) ومراحل المواءمة.
إطار كشف قائم على الموتر: طريقة مبتكرة تستخدم تفكيك CP Tensor لاستخراج سمات منخفضة الأبعاد وقابلة للتفسير من الحالات الخفية عالية الأبعاد، مما يسمح بالكشف الخفيف دون إعادة تدريب.
التخفيف النشط عبر تجاوز الطبقة: استراتيجية دفاع مبتكرة تعطل تنفيذ كسر الحماية عن طريق تجاوز الطبقات "العرضة" انتقائياً أثناء الاستنتاج. يعطل هذا النهج الهجمات بفعالية مع الحفاظ على الوظائف السليمة.
تقييم شامل: تغطي الدراسة نطاقاً واسعاً من النماذج (Base, Instruct, Abliterated) والمعماريات، مما يثبت أن النوايا العدائية تترك آثاراً مستقرة في الفضاء الكامن.

4. النتائج التجريبية

أُجريت التجارب على نموذج LLaMA 3.1 8B المزاح منه القيود (Abliterated) لعزل تأثيرات الدفاع دون تداخل من ضوابب السلامة الموجودة مسبقاً.

دقة الكشف:
- أظهرت العوامل الكامنة المستمدة من الطبقات المبكرة قابلية انفصال عالية بين المطالبات السليمة ومطالبات كسر الحماية (درجات F1 > 0.8 في العديد من الطبقات).
- الانتباه الذاتي مقابل الحالات الخفية: قدم كل من مخرجات الانتباه متعدد الرؤوس (MHA) والحالات الخفية للطبقات إشارات تمييزية، وإن كانت مخرجات الطبقة تقدم عموماً قابلية انفصال أفضل قليلاً.
- التصور البصري: أظهرت مخططات t-SNE فصلاً واضحاً في التجميع (clustering) بين المطالبات السليمة ومطالبات كسر الحماية في الفضاء الكامن. كشفت الخرائط الحرارية أن كسر الحماية يسبب تغييرات موضعية ومستهدفة في أنماط الانتباه ومقادير التنشيط بدلاً من الاضطراب العالمي.
أداء التخفيف (Abliterated LLaMA 3.1 8B):
- تجاوز الطبقة: نجح في حظر 78% من محاولات كسر الحماية (الإيجابيات الحقيقية) مع الحفاظ على 94% من المطالبات السليمة (السلبيات الحقيقية).
- معدل نجاح الهجوم (ASR): انخفض من 100% (الأساس) إلى 22% باستخدام تجاوز الطبقة.
- المقارنة: كان تجاوز MHA فقط أقل فعالية (ASR 39%)، مما يشير إلى أن مخرجات الطبقة تلتقط عمليات عدائية أكثر أهمية من أوزان الانتباه وحدها.
تحليل الفشل:
- الفشل المتبقي (22%) كان ناتجاً بشكل أساسي عن حقن الشخصيات (persona-based injections) (مثل "تصرف كذكاء اصطناعي غير مقيد") حيث يتم تعزيز التحكم العدائي عبر العديد من الطبقات، أو الهجمات التي توزع التأثير بشكل رفيع جداً بحيث لا تطلق عتبة الطبقة المحددة.

5. الأهمية والآثار المترتبة

أمن غير مرتبط بالمعمارية: تشير النتائج إلى أن ثغرات كسر الحماية متجذرة في هياكل داخلية أساسية مشتركة بين نماذج المحولات ونماذج فضاء الحالة، مما يجعل هذا النهج قابلاً للتعميم بشكل كبير.
الكفاءة: على عكس الضبط الدقيق أو تشغيل نموذج لغوي كبير ثانٍ لـ "السلامة"، يعمل هذا الأسلوب بالكامل أثناء الاستنتاج مع حد أدنى من العبء الحسابي، مما يجعله قابلاً للتوسع في بيئات الإنتاج.
نموذج دفاع جديد: ينقل التركيز الأمني من "تصفية المدخلات/المخرجات" إلى "مراقبة والتدخل في الحوسبة الداخلية"، مما يوفر طبقة دفاع تكميلية يصعب على المهاجمين تجنبها عبر هندسة المطالبات البسيطة.
القابلية للتفسير: يوفر استخدام تفكيك الموتر طريقة قائمة على أسس رياضية لتصور وفهم أين وكيف تنتشر النوايا العدائية عبر الشبكة العصبية.

في الختام، تثبت الورقة أن "كسر الحماية يترك أثراً" في التمثيل الكامن الداخلي للنماذج اللغوية الكبيرة. ومن خلال كشف وتجاوز هذه الآثار جراحياً، يمكن تقليل معدل نجاح هجمات كسر الحماية بشكل كبير دون المساس بفاعلية النموذج في المهام السليمة.