💻 computer science

Two Frames Matter: A Temporal Attack for Text-to-Video Model Jailbreaking

تقدم هذه الورقة البحثية إطار عمل TFM، وهو إطار هجوم زمني يستغل ثغرات نماذج تحويل النص إلى فيديو لإنشاء محتوى ضار من خلال توفير ظروف حدية متفرقة فقط (الإطارات الأولى والأخيرة) واستبدال الإشارات الحساسة بشكل ضمني، مما يؤدي إلى تجاوز فلاتر السلامة الحالية وزيادة معدلات نجاح كسر الحماية بشكل كبير.

المؤلفون الأصليون: Moyang Chen, Zonghao Ying, Wenzhuo Xu, Quancheng Zou, Deyue Zhang, Dongdong Yang, Xiangzheng Zhang

نُشر 2026-03-10

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Moyang Chen, Zonghao Ying, Wenzhuo Xu, Quancheng Zou, Deyue Zhang, Dongdong Yang, Xiangzheng Zhang

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك شيف ماهر (الذكاء الاصطناعي) يمكنه طهي وجبة معقدة متعددة الأصناف (فيديو) بمجرد قراءة وصفة قصيرة (النص المكتوب).

عادةً، إذا طلبت من الشيف طبخ شيء خطير أو غير قانوني — مثل "اصنع فيديو لقنبلة يتم صنعها" — فإن حارس الأمان الخاص به (الفلتر) يرى كلمة "قنبلة" ويوقفك فوراً.

لكن هذه الورقة البحثية، التي تحمل عنوان "إطاران هما الأهم" (Two Frames Matter)، اكتشفت ثغرة ذكية. الأمر يشبه خداع الشيف عبر إعطائه فقط البداية والنهاية لوصفة الطعام، وترك خياله يملأ الأجزاء المرعبة في المنتصف.

إليك تفصيل كيفية عمل ذلك، باستخدام تشبيهات بسيطة:

1. المشكلة: الفخ "الواضح"

معظم المحاولات السابقة لخداع صانعي الفيديو بالذكاء الاصطناعي كانت تشبه محاولة تهريب سلاح إلى مبنى آمن عن طريق طلاء السلاح باللون الوردي وتسميته "زهرة".

الطريقة القديمة: تقول "اصنع فيديو لقتال عنيف، ولكن سمّه 'رقصة درامية'".
النتيجة: حارس الأمان ذكي. سيرى كلمة "قتال" أو "عنيف" وسيحظرك على أي حال. الذكاء الاصطناعي يعرف تماماً ما تريده، لكن الفلتر يلتقط الكلمات السيئة.

2. الاكتشاف: "المنتصف المفقود"

اكتشف الباحثون أن نماذج فيديو الذكاء الاصطناعي هذه مدربة لتكون رواة قصص. إذا أعطيتهم بداية ونهاية، فهم يحبون ابتكار الجزء الأوسط لجعل القصة منطقية.

التشبيه: تخيل أنك تطلب من طفل: "ارسم صورة لولد في البداية، وولد في النهاية".
- إذا لم تقل شيئاً آخر، فقد يرسم الطفل ولداً عادياً يجلس ساكناً.
- لكن إذا همست له: "ابدأ بولد يمسك عود ثقاب، وانتهِ بولد مغطى بالسخام"، فإن عقل الطفل سيكمل تلقائياً الجزء المرعب: الانفجار.
- الطفل لم يسمع كلمة "انفجار"، لكن عقله عرف تماماً ما حدث بين البداية والنهاية.

نماذج فيديو الذكاء الاصطناعي تفعل الشيء نفسه. لقد تعلمت ملايين الفيديوهات، لذا فهي تعرف "المسار الزمني" (القدرة على تتبع الزمن). إذا أعطيتهم بداية ونهاية آمنتين، ولكن "السياق" يوحي بشيء سيء، فإن الذكاء الاصطناعي سيسعد بإنشاء الإطارات الخطيرة في المنتصف من تلقاء نفسه.

3. الحل: خدعة "الإطارين" (TFM)

بنى الباحثون أداة تسمى TFM (إطاران هما الأهم) تستخدم خطوتين لاختراق هذا النظام:

الخطوة (أ): "المسافر عبر الزمن" (التحكم في حدود الزمن)

بدلاً من إعطاء الذكاء الاصطناعي نصاً طويلاً ومفصلاً، تقوم TFM باختزال النص إلى إطارين فقط:

الإطار 1 (البداية): "شخص يمسك جسماً صغيراً."
الإطار 2 (النهاية): "الشخص مغطى بالدخان."

الخدعة: النص لا يذكر أي شيء عما يحدث في المنتصف. إنه يترك فجوة كبيرة. والذكاء الاصطناعي، المتلهف ليكون مفيداً، يملأ تلك الفجوة بالتسلسل الأكثر منطقية (ولكنه خطير): إشعال الجسم، الانفجار، ثم الدخان.

الخطوة (ب): "الكلمة المشفرة" (الاستبدال الخفي)

حتى مع وجود إطارين فقط، قد تظل كلمات مثل "دخان" أو "جسم" تثير حارس الأمان إذا كانت واضحة جداً.

الخدعة: تستخدم TFM مساعداً ذكياً (ذكاء اصطناعي آخر) لاستبدال الكلمات الخطيرة بـ "كلمات مشفرة" تبدو بريئة ولكنها تعني نفس الشيء لمولد الفيديو.
- بدلاً من "انفجار"، قد تقول "وميض مفاجئ من الضوء".
- بدلاً من "عنف"، قد تقول "تصادم درامي".
يرى فلتر الأمان الكلمات المشفرة ويعتقد: "أوه، هذا جيد!". لكن فيديو الذكاء الاصطناعي يفهم المعنى الخفي وينتج الأشياء السيئة على أي حال.

4. لماذا هذا مهم؟

اختبر الباحثون هذه الطريقة على أدوات فيديو تجارية شهيرة (مثل Kling و Hailuo و Pixverse).

النتيجة: باستخدام خدعة "الإطارين" هذه، نجحوا في تجاوز فلاتر الأمان بنسبة 12% أكثر من أي طريقة سابقة.
الخلاصة: الأمر لا يتعلق فقط بما تقوله في النص، بل بما يتخيله الذكاء الاصطناعي في الصمت بين الكلمات.

الدرس الكبير

حراس الأمان الحاليون يشبهون رجال الأمن الذين يفحصون حقائب المسافرين. هم يبحثون عن "القنابل" داخل الحقيبة.

الهجوم القديم: محاولة إخفاء القنبلة داخل الحقيبة.
الهجوم الجديد (TFM): تسليم الحارس حقيبة فارغة مع ملاحظة تقول: "ابدأ هنا، وانتهِ هنا". يرى الحارس حقيبة فارغة ويسمح لها بالمرور. لكن المسافر (الذكاء الاصطناعي) يعرف أنه بين "البداية" و"النهاية"، يجب أن تُصنع قنبلة، لذا يقوم ببنائها في عقله ويظهرها لك.

باخت-القول: تحذر هذه الورقة من أننا بحاجة إلى حراس أمان جدد لا يفحصون نص المطالبة فحسب، بل يفحصون أيضاً القصة التي يرويها الذكاء الاصطناعي لنفسه في منتصف الفيديو.

إليك ملخص تقني مفصل لورقة البحث بعنوان "إطاران يهمّان: هجوم زمني لكسر حماية نماذج تحويل النص إلى فيديو (T2V)."

1. بيان المشكلة

يمكن لنماذج تحويل النص إلى فيديو (T2V) الحديثة توليد مقاطع فيديو معقدة من مطالبات (prompts) باللغة الطبيعية، مما يثير مخاوف أمنية كبيرة تتعلق بإساءة الاستخدام. تركز هجمات كسر الحماية (jailbreak) الحالية بشكل أساسي على إعادة الصياغة الدلالية (semantic paraphrasing)، حيث يتم إعادة كتابة المطالبات غير الآمنة لتجنب فلاتر المحتوى مع الحفاظ على المعنى الأصلي. ومع ذلك، غالبًا ما تحتفظ هذه الطرق بإشارات حساسة صريحة في النص المدخل، مما يفشل في استغلال ثغرة أعمق خاصة بالفيديو.

حدد المؤلفون فجوة حرجة في آليات السلامة الحالية: إكمال المسار الزمني (Temporal Trajectory Infilling). تُدرب نماذج T2V على فهم الديناميكيات الزمنية وغالبًا ما تقوم بـ "إكمال" الإطارات المتوسطة المفقودة بناءً على الشروط الحدية (الحالات البداية والنهاية). تركز الدفاعات الحالية على الشكل السطحي للمطالبة أو مخرج الفيديو النهائي، لكنها تفشل في مراعاة التوليد الذاتي للمحتوى الضار في الإطارات المتوسطة عندما تكون المطالبة شحيحة زمنيًا.

2. المنهجية: TFM (إطاران يهمّان)

يقترح المؤلفون إطار عمل TFM، وهو إطار صياغة مجزأ مصمم لاستغلال قدرات التوليد الزمني لنماذج T2V. يعمل TFM في بيئة "الصندوق الأسود" (black-box) الصارمة ويتكون من مرحلتين متتاليتين:

المرحلة 1: صياغة الحدود الزمنية (TBP)

المفهوم: بدلاً من تقديم وصف مستمر لتسلسل الفيديو، تقوم TBP بتحويل المطالبة غير الآمنة إلى تجريد من إطارين.
الآلية: تحتفظ فقط بالأوصاف الخاصة بـ الإطار الأول ( $x_1$ ) و الإطار الأخير ( $x_T$ )، وتتخلص من جميع معلومات المشهد المتوسطة ( $x_2, \dots, x_{T-1}$ ).
الأثر: هذا يجبر النموذج على الاعتماد على مقدماته الزمنية المتعلمة لإعادة بناء "التطور المفقود" بين هذين الحدين ذاتيًا. إذا كانت الشروط الحدية تشير ضمنيًا إلى مسار ضار، فقد يولد النموذج إطارات متوسطة غير آمنة لسد الفجوة، حتى لو بدت المطالبة نفسها حميدة.

المرحلة 2: آلية الاستبدال الخفي (CSM)

المفهوم: لمنع اكتشاف أوصاف الحدود بواسطة فلاتر السلامة للمدخلات، يتم استبدال الكلمات الحساسة ببدائل أخرى أقل صراحة ولكنها ذات دلالة دلالية.
الآلية: يقوم عامل موجه بواسطة نموذج لغوي كبير (LLM) بإعادة كتابة أوصاف الحدود. فهو يحدد الكلمات الحساسة ويستبدلها بمصطلحات ذات "درجة صراحة" ( $r(w)$ ) أقل مع الحفاظ على الاتجاه الدلالي المقصود.
الأثر: يقلل هذا من القدرة على اكتشاف المطالبة لغويًا، مما يسم يسمح لها بتجاوز آليات التصفية المسبقة مع الاستمرار في تحفيز المعرفة الكامنة للنموذج بالتسلسلات الضارة.

مسار العمل: تسير العملية كالتالي: المطالبة غير الآمنة الأصلية $\leftarrow$ TBP (استخراج الحدود) $\leftarrow$ CSM (الاستبدال الضمني) $\leftarrow$ المطالبة العدائية النهائية.

3. المساهمات الرئيسية

اكتشاف ثغرة جديدة: تحدد الورقة إكمال المسار الزمني كثغرة فريدة في أنظمة T2V. وتوضح أن النماذج يمكنها تخليق محتوى وسيط ضار عند مطالبتها بشروط حدية شحيحة، مما يتجاوز الفلاتر التي تتحقق فقط من النص المدخل أو المخرج النهائي.
اقتراح TFM: إطار عمل مبتكر من مرحلتين (TBP + CSM) يستغل هذه الثغرة بشكل منهجي. إنه ينقل سطح الهجوم من المحفزات النصية الصريحة إلى عدم التحديد الزمني.
تقييم شامل: أُجريت تجارب مكثفة على العديد من نماذج T2V المتطورة، بما في ذلك أربعة أنظمة تجارية تعمل بنظام الصندوق الأسود (Pixverse, Hailuo, Kling, Seedance) وعدة نماذج مفتوحة المص المصدر.
دراسات الاستئصال (Ablation Studies): تحليل صارم يؤكد أن كلاً من TBP (السقالات الزمنية) و CSM (التمويه اللغوي) ضروريان ومكونان غير تبادليين للهجوم.

4. النتائج التجريبية

قيم المؤلفون TFM مقابل خطوط الأساس المرجعية (TSB, RAB, DACA, VEIL) عبر 14 فئة سلامة (مثل: الإباحية، العنف، الدموية، الحساسية السياسية).

معدل نجاح الهجوم (ASR): تفوق TFM باستمرار على جميع خطوط الأساس.
- Hailuo: حقق معدل 60.0% في ASR (زيادة مطلقة قدرها 12.0% عن أفضل خط أساس، VEIL).
- Pixverse: حقق معدل 52.0% في ASR (بزيادة 7.0% عن VEIL).
- Kling: حقق معدل 49.0% في ASR (بزيادة 3.0% عن VEIL).
- Seedance: حقق معدل 45.0% في ASR (بزيادة 1.0% عن VEIL).
أداء الفئات: أظهر TFM تحسينات كبيرة في الفئات التي يتم تحفيزها عادةً عبر الإشارات الصريحة، مثل الإباحية (وصلت إلى 96.0% ASR في Hailuo) والدموية.
نتائج الاستئصال:
- إزالة TBP أدت إلى انخفاض حاد في ASR (على سبيل المثال، من 60.0% إلى 24.0% في Hailuo)، مما يثبت أن الندرة الزمنية هي المحرك الرئيسي.
- إزالة CSM قللت أيضًا من الأداء بشكل كبير، مما يؤكد الحاجة إلى التمويه اللغوي.
- حساسية الترتيب: تطبيق CSM قبل TBP (ترتيب عكسي) أعطى نتائج أقل، مما يشير إلى أن بناء السقالة الزمنية أولاً أمر بالغ الأهمية لعمل آلية الاستبدال بفعالية.

5. الأهمية والآثار المترتبة

تحول جذري في مفهوم السلامة: تتحدى النتائج النموذج الحالي لمحاذاة السلامة، الذي يركز بشدة على الشكل السطحي للمطالبة وتصفية المخرجات النهائية. تجادل الورقة بأن آليات السلامة يجب أن تكون واعية زمنيًا، وقادرة على تدقيق عملية التوليد وميل النموذج لإكمال المسارات الزمنية المفقودة.
قصور الدفاعات الحالية: الفلاتر الحالية غير كافية ضد الهجمات التي تعتمد على "المعرفة العالمية" للنموذج لملء الفجوات. فالمطالبة التي تبدو آمنة يمكن أن تظل قادرة على دفع النموذج لتوليد تسلسل فيديو ضار.
الاتجاهات المستقبلية: يدعو المؤلفون إلى آليات سلامة تأخذ في الاعتبار الإكمال المدفوع بالنموذج بما يتجاوز الشكل السطحي للمطالبة، مما يشير إلى أن الدفاعات المستقبلية قد تحتاج إلى مراقبة خطوات التوليد المتوسطة أو فرض قيود أكثر صرامة على التماسك الزمني للظروف الحدية التي قد تكون محفوفة بالمخاطر.

في الختام، تكشف ورقة "إطاران يهمّان" أن القدرة التي تمتلكها نماذج T2V على توليد فيديوهات متماسكة وطويلة المدى من تعليمات شحيحة هي سلاح ذو حدين، مما يخلق ناقل هجوم جديد لا تستطيع أنظمة السلامة الحالية التعامل معه بكفاءة.