The Vulnerability of LLM Rankers to Prompt Injection Attacks

إليك ملخص تقني مفصل للورقة البحثية بعنوان "هشاشة مصنفات النماذج اللغوية الكبيرة (LLM) تجاه هجمات حقن الأوامر (Prompt Injection)."

1. بيان المشكلة

أصبحت النماذج اللغوية الكبيرة (LLMs) مكونات مهيمنة في أنظمة استرجاع المعلومات (IR)، لا سيما كأدوات لإعادة التصنيف (re-rankers) التي تقيم مدى صلة الاستعلام بالوثيقة. ومع ذلك، كشفت أبحاث حديثة (Qian et al., 2025) عن ثغرة أمنية حرجة: هجمات حقن أوامر كسر الحماية (jailbreak prompt injection attacks). فمن خلال تضمين تعليمات معادية داخل وثائق المرشحين، يمكن للمهاجمين التلاعب بمصنفات الـ LLM لجعلها تنتهك تعليمات التصنيف الخاصة بها، مما يؤدي إلى ترويج وثائق غير ذات صلة أو ضارة لتتصدر قائمة النتائج.

بينما أثبتت الدراسة الأولية وجود هذه الثغرة، إلا أنها تركت عدة فجوات تتعلق بـ:

• القدرة على التعميم: ما إذا كانت هذه الهشاشة تتوسع عبر عائلات النماذج المختلفة، والبنيات (مثل المحول-المفكك (encoder-decoder) مقابل المحلل-فقط (decoder-only))، وأحجام المعلمات (parameters).
• الأثر التشغيلي: ما إذا كانت معدلات "نجاح الهجوم" (ASR) العالية في مهام التفضيل تترجم فعلياً إلى تدهور في جودة الاسترجاع (مثل nDCG@10).
• العوامل السياقية: تأثير موقع الحقن (في مقدمة الوثيقة أم في مؤخرتها) وتخصص المجال (البحث العام على الويب مقابل المجالات المتخصصة).
• قابلية التكرار: عدم الاتساق في نتائج الدراسة الأصلية فيما يتعلق بتوسع النموذج والمتانة الموضعية.

2. المنهجية

أجرى المؤلفون دراسة تجريبية شاملة مهيكلة حول مهمتين متكاملتين لسد الفجوة بين القابلية الجوهرية للنموذج وبين فشل النظام التشغيلي.

المهمة 1: تقييم هشاشة التفضيل

• الهدف: قياس القابلية الجوهرية للنموذج لتغيير تفضيل التصنيف لديه (معدل نجاح الهجوم - ASR).
• البروتوكول: إعادة إنتاج وتوسيع الإعداد التجريبي الأصلي باستخدام مجموعات بيانات TREC-DL.
• المتغيرات:
  • أنواع الهجمات: اختطاف هدف القرار (DOH - فرض وثيقة معينة كإجابة) واختطاف معايير القرار (DCH - إعادة تعريف معايير الصلة).
  • نماذج التصنيف: الزوجي (Pairwise)، والقائم على القائمة (Listwise)، والقائم على المجموعة (Setwise).
  • مواقع الحقن: مقدمة الوثيقة مقابل مؤخرة الوثيقة.
  • النماذج: تقييم أكثر من 15 نموذجاً عبر ثلاث عائلات بنيوية: المحلل-فقط (Qwen3, Gemma-3, LLaMA-3)، والمحول-المفكك (Flan-T5)، ومزيج الخبراء (MoE).
  • التوسع (Scaling): اختبار نماذج تتراوح من 0.6 مليار إلى 70 مليار معلمة.

المهمة 2: تقييم هشاشة التصنيف

• الهدف: قياس الأثر التشغيلي على مسار الاسترجاع.
• البروتوكول: محاكاة مسار استرجاع ثنائي المرحلة (المرحلة الأولى: BM25 $\leftarrow$ المرحلة الثانية: إعادة تصنيف بواسطة LLM).
• المقياس: قياس تدهور nDCG@10 ($\Delta$nDCG) من خلال مقارنة "إعادة التصنيف الآمنة" (النظيفة) مقابل "إعادة التصنيف المهاجمة" (مع أوامر محقونة في الوثائق غير ذات الصلة).
• النطاق: توسيع التقييم ليشمل معايير اختبار مجالات متخصصة (BEIR: TREC-COVID, TOUCHE-2020, SciFact, DBpedia) لاختبار المتانة عبر المجالات.

3. المساهمات الرئيسية

1. التكرار المنهجي والتوسيع: التحقق من صحة النتائج الأصلية مع تصحيح التناقضات (مثل إصلاح أخطاء الأوامر في إعدادات التصنيف القائم على القائمة) وتوسيع النطاق ليشمل بنيات المحول-المفكك وMoE.
2. تحديد الأثر التشغيلي: تقديم تقييم صارم لكيفية تسبب حقن الأوامر في تدهور أداء الاسترجاع الفعلي (nDCG@10)، متجاوزاً مجرد قلب التفضيلات البسيطة.
3. الاكتشاف البنيوي: تحديد أن بنيات المحول-المفكك (Encoder-Decoder) (تحديداً Flan-T5) تمتلك حصانة جوهرية قوية ضد هذه الهجمات، وهو ما يتناقض بشدة مع هشاشة نماذج المحلل-فقط (Decoder-only).
4. تدقيق الحساسية الموضعية: إثبات أن موقع الحقن ليس محايداً؛ وتحديداً، حقن مؤخرة الوثيقة هي الأكثر ضرراً في سيناريوهات التصنيف القائم على المجموعة مقارنة بحقن مقدمة الوثيقة.
5. تحليل عبر المجالات: إثبات أن الهشاشة هي خاصية جوهرية للنموذج وتنتقل عبر المجالات، وإن كانت تتأثر بطول الوثيقة ودقة تسميات الصلة.

4. النتائج الرئيسية

أ. توسع الهشاشة (Vulnerability Scaling)

• التأكيد: النماذج الأكبر والأكثر قدرة تظهر عموماً حساسية أعلى لاختطاف القرار، مما يخالف الحدس بأن النماذج الأكبر تكون أكثر متانة.
• التفاصيل: اتجاه التوسع ليس رتيباً تماماً. على سبيل المثال، أظهر أصغر نموذج Qwen3 (0.6B) معدل ASR يقارب الكمال في Pairwise-DOH، متجاوزاً النسخ الأكبر، بينما أظهر Gemma-3 زيادة رتيبة أكثر اتساقاً في الهشاشة.

ب. الحساسية الموضعية

• التصنيف القائم على المجموعة (Setwise): يظهر أعلى حساسية للموقع. الحقن في المؤخرة تفوق باستمرار على الحقن في المقدمة (بفارق ASR بنحو 10-20%) وتسبب تدهوراً أكبر بكياً في nDCG.
• التصنيف الزوجي (Pairwise): أظهر ثباتاً مكانياً (لم يؤثر الموقع كثيراً) بسبب السياق المقيد لوثيقتين فقط.
• التصنيف القائم على القائمة (Listwise): أظهر حساسية متوسطة، حيث كانت المواضع الخلفية أكثر فعالية بشكل عام.

ج. التباين البنيوي (الاكتشاف الحاسم)

• نماذج المحلل-فقط (Qwen, Gemma, LLaMA): شديدة الهشاشة. غالباً ما تجاوزت ASR نسبة 90% في إعدادات التصنيف القائم على المجموعة/القائمة.
• نماذج المحول-المفكك (Flan-T5): أظهرت متانة استثنائية.
  • بلغ متوسط ASR حوالي 3.2% فقط (مقابل 50-90% لنماذج المحلل-فقط).
  • تدهور nDCG: أظهرت نماذج Flan-T5 تدهوراً ضئيلاً أو حتى سلبياً (تحسن طفيف) تحت الهجوم. كانت عمليات "الاختطاف" غير كافية لتعطيل جودة التصنيف الإجمالية.
  • السبب: يسمح المحول ثنائي الاتجاه (bidirectional encoder) بالتكامل الدلالي العالمي، مما يخفف من "انحياز الحداثة" الشائع في نماذج المحلل السببي (causal decoders) ويساعد النموذج على اكتشاف التناقضات السياقية.
• نماذج MoE: أظهرت ملفات هشاشة مشابهة لنماذج المحلل الكثيفة، مما يشير إلى أن توجيه MoE لا يوفر حماية متأصلة.

د. المتانة عبر المجالات

• التعميم: هناك ارتباط قوي جداً ($r=0.969$) بين ASR في مجموعات البيانات العامة (TREC-DL) والمجالات المتخصصة (BEIR). الهشاشة هي خاصية جوهرية للنموذج.
• العوامل المعدلة:
  • طول الوثيقة: الوثائق الأقصر (مثل DBpedia) أدت إلى ASR أعلى بسبب "تأثير التخفيف النصي" (حيث يشغل الأمر نسبة أكبر من المدخلات).
  • دقة الصلة: أظهرت مجموعات البيانات ذات الصلة الثنائية (SciFact) ASR أقل من تلك ذات الصلة المتدرجة، ويرجع ذلك على الأرجوة إلى طريقة بناء مجموعات المرشحين.

هـ. الأثر التشغيلي (nDCG@10)

• يترجم ASR المرتفع مباشرة إلى فقدان حاد في التصنيف. تحت الهجمات، انخفض متوسط nDCG@10 بنسبة 55.2% (من 0.658 إلى 0.294).
• في كثير من الحالات، كان أداء مصنف LLM المهاجم أسوأ من مسترجع BM23 الأولي، مما ألغى تماماً قيمة مرحلة إعادة التصنيف بواسطة LLM.

5. الأهمية والآثار المترتبة

• الحدود الأمنية: تحدد الورقة شروط الحدود لأمن مصنفات LLM. وهي تثبت أنه بينما تعد نماذج LLM قوية، إلا أنها هشة أمام حقن الأوامر البسيط، خاصة في نماذج التصنيف القائم على المجموعة والقائمة.
• اختيار البنية: تشير النتائج إلى أنه بالنسبة لتطبيقات استرج المعلومات عالية الأمان، فإن بنيات المحول-المفكك (Encoder-Decoder) (مثل Flan-T5) هي خيارات متفوقة على نماذج المحلل-فقط، لأنها توفر مقاومة متأصلة لحقن الأوامر دون الحاجة إلى ضبط دقيق دفاعي معقد.
• مخاطر النشر: تسلط الدراسة الضوء على أن مسارات إعادة التصنيف الحالية لـ LLM معرضة لهجمات "على طراز تحسين محركات البحث (SEO)" حيث يمكن للمهاجمين حقن الأوامر في الوثائق غير ذات الصلة التي يتم استرجاعها بواسطة المرحلة الأولى.
• الاتجاهات المستقبلية: يشير المؤلفون إلى أن نموذج الهجوم الحالي يفترض أن المهاجم يمكنه حقن الأوامر في جميع المرشحين غير ذوي الصلة، وهو افتراض قوي. يجب أن يركز العمل المستقبلي على سيناريوهات هجوم أكثر واقعية (مثل حقن جزء من الوثائق أو عبر التلاعب بـ SEO للويب نفسه).

باختالام، تقدم هذه الورقة توصيفاً تجريبياً حاسماً لهشاشة مصنفات LLM، كاشفة عن أنه بينما يمثل التهديد خطورة وقابلية للتوسع، فإن اختيار بنية النموذج (المحول-المفكك مقابل المحلل-فقط) هو عامل حاسم في متانة النظام.