Multi-Turn Adaptive Prompting Attack on Large Vision-Language Models
تقدم هذه الورقة هجوم التلقين التكيفي متعدد الجولات (MAPA)، وهو استراتيجية مبتكرة تقوم بالتبديل بين مدخلات النص والرؤية وتعمل على تحسين مسارات الهجوم بشكل تكراري لتجاوز دفاعات السلامة في النماذج اللغوية البصرية الكبيرة، محققة معدلات نجاح في كسر الحماية أعلى بكثير من الطرق الحالية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أن لديك مساعداً آلياً ذكياً للغاية ومدرباً تدريباً عالياً. لقد تم تعليم هذا الروبوت قواعد صارمة: "لا تساعد أبداً في بناء قنبلة"، "لا تشرح أبداً كيفية نشر فيروس قاتل"، و"كن آمناً دائماً". يُسمى هذا "المحاذاة مع معايير السلامة" (Safety Alignment).
لفترة طويلة، حاول المخترقون (أو "فرق الاختبار الأحمر" - Red Teamers) خداع هذه الروبوتات عبر طرح أسئلة مخادعة. لكن الروبوتات أصبحت أفضل في قول "لا".
تقدم هذه الورقة البحثية طريقة جديدة لخداع هذه الروبوتات، وتحديداً تلك التي تستطيع رؤية الصور بالإضافة إلى قراءة النصوص. يطلق الباحثون على طريقتهم اسم MAPA (هجوم التلقين التكيفي متعدد الجولات - Multi-turn Adaptive Prompting Attack).
إليك كيف تعمل، باستخدام تشبيهات بسيطة:
1. المشكلة: فخ "الوضوح المفرط"
وجد الباحثون أنه إذا حاولت خداع روبوت من خلال إظهار صورة لقنبلة وسؤاله: "كيف أصنع هذا؟"، فإن الروبوت سيصاب بالذعر فوراً ويرفض. الأمر يشبه الاقتراب من حارس أمن وأنت تحمل لافتة ضخمة وومّاضة مكتوب عليها "أنا لص". سيتوقف الحارس عنك في الحال.
حتى لو طرحت سؤالاً نصياً وأظهرت صورة في نفس الوقت، إذا كانت الصورة مخيفة جداً أو النص مباشراً جداً، فستعمل فلاتر السلامة الخاصة بالروبوت، مما يؤدي إلى إغلاق المحادثة.
2. الحل: استراتيجية "الحرق البطيء"
تقترح الورقة البحثية استراتيجية تسمى MAPA، وهي تشبه لعبة الشطرنج التي تُلعَب عبر حركات عديدة، بدلاً من مجرد ضربة واحدة.
الفكرة الجوهرية: بدلاً من محاولة كسر دفاعات الروبوت دفعة واحدة، تقوم بتمرير الطلب السيئ ببطء، خطوة بخطوة، عبر جولات عديدة من المحادثة.
كيف تلعب MAPA اللعبة:
يستخدم الباحثون "مدرباً" (AI Coach) لتوجيه الهجوم. لدى المدرب وظيفتان رئيسيتان:
الوظيفة (أ): خلط المكونات (على مستوى "الجولة")
في كل خطوة من خطوات المحادثة، يحاول المدرب ثلاث طرق مختلفة لطرح السؤال ليرى أي واحدة منها ستنجح بشكل أفضل:
- نص فقط: طرح السؤال دون صورة.
- نص + صورة مخيفة: طرح السؤال مع صورة تتطابق مع النص.
- نص + صورة "آمنة": طرح السؤال مع صورة حيث يكون الجزء المخيف مخفياً داخل الصورة، ويتم إعادة كتابة النص ليبدو بريئاً.
تشبيه: تخيل أنك تحاول إقناع صديق بفكرة جامحة.
- الخيار 1: تسأله مباشرة فقط.
- الخيار 2: تسأله بينما تريه صورة جامحة.
- الخيار 3: تسأله بينما تريه صورة لغروب الشمس، ولكنك تتحدث عن "الفكرة الجامحة" بطريقة تتناسب مع مشهد الغروب.
يختار المدرب الخيار الذي يقرب الصديق من قول "نعم" دون أن يغضب.
الوظيفة (ب): تعديل المسار (على مستوى "عبر الجولات")
إذا قال الصديق "لا" أو شعر بالارتباك، فإن المدرب لا يستسلم ببساطة. بل ينظر إلى ما حدث ويغير الخطة للخطوة التالية.
- التقدم (Advance): إذا بدأ الصديق يقترب من الموافقة على الفكرة، ينتقل المدرب إلى السؤال التالي الأكثر مباشرة قليلاً.
- إعادة التوليد (Regen): إذا شعر الصديق بالارتباك، يحاول المدرب طرح نفس السؤال مرة أخرى ولكن بكلمات مختلفة.
- التراجع (Backtrack): إذا غضب الصديق فجأة بسبب شيء قيل قبل خطوتين، يعود المدرب إلى تلك الخطوة السابقة ويجرب نهجاً مختلفاً.
تشبيه: هذا يشبه المحقق الذي يحاول حل قضية. إذا كذب المشتبه به، فإن المحقق لا يصرخ فحسب؛ بل يعود، ويعيد التفكير في نظريته، ويطرح سؤالاً مختلفاً للإيقاع بالكذبة.
3. آلية "التفكير الذاتي" (Reflection)
إذا فشلت المحاولة بأكملها (لا يزال الروبوت يقول "لا")، فإن المدرب لا يحاول القيام بنفس الشيء تماماً مرة أخرى. بل ينظر إلى سبب الفشل، ويتعلم من الخطأ، ويصمم خطة جديدة وأكثر ذكاءً للمحاولة التالية. الأمر يشبه دراسة اختبار فاشل للقيام بشكل أفضل في المرة القادمة.
4. النتائج
اختبرت الورقة هذه الطريقة ضد العديد من نماذج الذكاء الاصطناعي الشهيرة (مثل LLaVA و Qwen و GPT-4o-mini).
- الطرق القديمة (النص فقط، أو النص + الصور فقط) فشلت في معظم الأوقات أمام هذه الروبوتات الذكية.
- نجحت MAPA بنسبة 15% إلى 30% أكثر من أفضل الطرق الموجودة.
- في بعض الاختبارات، تمكنت MAPA من خداع الروبوتات لتقديم إجابات ضارة بنسبة 96% من الوقت، بينما نجحت الطرق الأخرى في حوالي 60-70% من الوقت فقط.
الملخص
تدعي الورقة أنه لكسر سلامة الذكاء الاصطناعي الحديث الذي يمكنه الرؤية والقراءة، لا يمكنك أن تكون صاخباً وواضحاً فحسب. يجب أن تكون محاوراً ماكراً ومتكيفاً. يجب عليك خلط النصوص والصور بعناية، والاستماع إلى إجابات الروبوت، وتوجيه المحادثة ببطء، عبر جولات عديدة، نحو الموضوع المحظور حتى يخطئ الروبوت بالصدفة ويجيب على السؤال الضار.
ملاحظة هامة: يؤكد المؤلفون أن هذا تمرين "اختبار أحمر" (Red Teaming). إنهم يفعلون ذلك للعثور على الثغرات في أنظمة السلامة حتى يتمكن المطورون من إصلاحها وجعل الذكاء الاصطناعي أكثر أماناً، وليس لتعليم الناس كيفية التسبب في الضرر فعلياً.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.