💬 NLP

PivotAttack: Rethinking the Search Trajectory in Hard-Label Text Attacks via Pivot Words

يقدم PivotAttack إطار عمل "من الداخل إلى الخارج" كفؤاً من حيث الاستعلام لهجمات النصوص ذات الملصقات الصعبة، والذي يستفيد من خوارزميات "المتعدد الأذرع" (Multi-Armed Bandit) لتحديد "مجموعات محورية" استراتيجية من الرموز المترابطة، مما يجعله يتفوق على الأساليب الحالية الرائدة في كل من معدل نجاح الهجوم وكفاءة الاستعلام عبر نماذج متنوعة.

المؤلفون الأصليون: Yuzhi Liang, Shiliang Xiao, Jingsong Wei, Qiliang Lin, Xia Li

نُشر 2026-03-12

📖 3 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Yuzhi Liang, Shiliang Xiao, Jingsong Wei, Qiliang Lin, Xia Li

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تحاول تمرير ملاحظة خلسة عبر حارس أمن صارم للغاية (نموذج الذكاء الاصطناعي) لا يقول إلا "نعم" أو "لا" إذا كانت ملاحظتك مسموحاً بمرورها. لا يمكنك رؤية قائمة التحقق الداخلية للحارس، ولا يمكنك طلب تلميحات، ولديك فرصة واحدة فقط لطرح سؤال واحد قبل أن تنفد طاقتك (ميزانية الاستعلام).

هذا هو تحدي هجمات النصوص ذات الملصقات الصعبة (Hard-Label Text Attacks).

تقدم الورقة البحثية طريقة جديدة تسمى PivotAttack. بدلاً من محاولة اقتحام الحواجض بالقوة، تستخدم PivotAttack استراتيجية ذكية وفعالة لخداع الحارس. إليك كيف تعمل، مشروحة عبر تشبيهات بسيطة:

١. الطريقة القديمة: "البحث الأعمى" (من الخارج إلى الداخل)

تخيل أنك تحاول إيجاد المخرج في متاهة عملاقة ومظلمة. تبدأ الطرق القديمة (مثل الهجمات السابقة) من الجدار الخارجي للمتاهة. إنهم يحاولون ثقب الجدار بشكل عشوائي، آملين في العثور على فجوة تؤدي إلى المخرج.

المشكلة: إنهم يهدرون الكثير من الطاقة في ثقب الجدربات الخاطئة. قد يبتعدون كثيراً عن المكان الذي بدأوا منه، مما يجعل الملاحظة تبدو غريبة ومثيرة للريبة، وينفد منهم الوقت (الطاقة) قبل العثور على المخرج.

٢. الطريقة الجديدة: "استراتيجية المحور" (من الداخل إلى الخارج)

تغير PivotAttack قواعد اللعبة. فبدلاً من البدء من الجدار، تبدأ من حيث تقف تماماً (النص الأصلي) وتتساءل: "ما هي الأشياء المحددة التي تمسك هذه الجملة معاً؟"

فكر في الجملة مثل المنزل.

معظم الكلمات هي مجرد أثاث (كراسي، مصابيح). إذا حركت مصباحاً، سيظل المنزل قائماً.
لكن بعض الكلمات هي جدران حاملة للأحمال. إذا أزلت أو غيرت جداراً حاملاً، سينهار المنزل بأكمله.

هدف PivotAttack هو العثين على تلك الجدران الحاملة للأحمال (والتي تسميها الورقة البحثية مجموعات المحور - Pivot Sets).

٣. كيف تجد "الجدران الحاملة للأحمال"

الذكاء الاصطناعي لا يعرف أي الكلمات هي الجدران. لذا، تستخدم PivotAttack لعبة تخمين ذكية تسمى المتعدد الأذرع (Multi-Armed Bandit).

التشبيه: تخيل صفاً من آلات القمار (الأذرع). لديك عدد محدود من العملات (الاستعلامات). تريد العثور على الآلة التي تدفع لك أكبر قدر من المال.
العملية: تحاول PivotAttack استبدال كلمات مختلفة (سحب الروافع). تتعلم بسرعة أن استبدال كلمة "سعيد" لا يغير رأي الذكاء الاصطناعي (فهي مجرد أثاث). لكن استبدال كلمة "حب" بكلمة "كره" يجعل الذكاء الاصطناعي يغير قراره (لقد كان ذلك جداراً حاملاً للأحمال!).
النتيجة: تتوقف عن إضاعة العملات على الأثاث وتركز بالكامل على الجدران.

٤. "الانهيار"

بمجرد أن تحدد PivotAttack مجموعة المحور (الكلمات الحاسمة)، فإنها لا تقوم بتغيير كلمة واحدة عشوائياً فحسب. بل تستبدل تلك الكلمات "الحاملة للأحمال" تحديداً بمرادفات لها بشكل استراتيجي.

التشبيه: بدلاً من محاولة هدم المنزل بأكمله، تقوم ببساطة بسحب الطوبة المحددة التي تثبت السقف. تحطم! ينهار المنزل (تنبؤ الذكاء الاصطناي)، ويتغير الملصق (القرار)، لكن بقية المنزل (معنى الجملة) يبدو متطابقاً تقرياً.

لماذا يعد هذا أمراً هاماً؟

١. الكفاءة: لأنها تتوقف عن إض wasting الوقت في "الأثاث"، فهي تجد المخرج (الهجوم) بشكل أسرع بكثير. إنها تستخدم عدداً أقل بكثير من الأسئلة (الاستعلامات) مقارنة بالطرق الأخرى.
٢. التخفي: بما أنها تغير الكلمات الأكثر أهمية فقط وتترك الباقي كما هو، فإن الجملة لا تزال تبدو طبيعية للبشر. لا تبدو كأنها كلام غير مفهوم.
٣. هزيمة العمالقة: اختبرت الورقة البحثية هذه الطريقة على كل من نماذج الذكاء الاصطناعي القديمة، وأحدث نماذج اللغات الضخمة فائقة الذكاء (مثل Qwen و Gemma). حتى هذه النماذج القوية لديها "جدران حاملة للأحمال"، وقد وجدت PivotAttack تلك الجدران بشكل أفضل من أي طريقة سابقة.

ملخص

PivotAttack تشبه خبير فتح الأقفال الماهر. بدلاً من تجربة كل مفتاح في حلقة المفاتيح (الطريقة القديمة)، هي تستمع للقفل، وتجد الدبوس المحدد الذي يمسك الآلية، وتدور ذلك الدبوس فقط لفتح الباب. إنها أكثر ذكاءً، وأسرع، ويصعب اكتشافها.

إليك ملخص تقني مفصل لورقة البحث "PivotAttack: Rethinking the Search Trajectory in Hard-Label Text Attacks via Pivot Words".

1. بيان المشكلة

تتناول الورقة تحدي هجمات النصوص العدائية ذات الملصقات الصعبة (Hard-label black-box text attacks). في هذا الإعداد:

القيود: لا يملك المهاجم أي وصول إلى تدرجات النموذج (gradients)، أو حالاته الداخلية، أو درجات الثقة الخاصة به. يمكنه فقط الاستعلام عن النموذج وتلقي ملصق فئة منفصل (مثل "إيجابي" أو "سلبي").
الهدف: توليد مثال عدائي $X'$ يتسبب في جعل النموذج يصنف المدخلات بشكل خاطئ ( $f(X') \neq f(X)$ ) مع الحفاظ على المعنى الدلالي للنص الأصلي.
التحدي: مساحة البحث شاسعة ومنفصلة. تعاني الطرق الحالية من عدم كفاءة رئيسيين:
1. استراتيجية "من الخارج إلى الداخل" (Outside-in): تبدأ العديد من الطرق بنصوص مشوهة بشدة بعيدة عن الدلالات الأصلية، ثم تقوم بتنقيحها تدريجياً نحو حدود القرار. هذا المسار يجتاز مساحة بحث هائلة، مما يستهلك ميزانية استعلامات مفرطة ويؤدي إلى تدهور جودة النص.
2. تقييم الرموز المستقل (Independent Token Scoring): غالباً ما تقوم الطرق بتقييم الكلمات بشكل مستقل (متجاهلة التبعيات بين الكلمات)، مما يؤدي إلى اختيار كلمات وظيفية بدلاً من "المرتكزات" (anchors) ذات الأهمية الدلالية، مما ينتج عنه مجموعات تشويه غير مثالية.

2. المنهجية: PivotAttack

تقدم PivotAttack استراتيجية مبتكرة "من الداخل إلى الخارج" (Inside-out). فبدلاً من البحث من الخارج إلى الداخل، تبدأ بالنص الأصلي وتحدد "مجموعة الارتكاز" (Pivot Set) — وهي مجموعة دنيا من الرموز التي تعمل بمثابة "الجدران الحاملة للأحمال" لتنبؤ النموذج. يؤدي تشويه هذه الرموز المحددة إلى انهيار غير متناسب في ثقة النموذج، مما يدفع الحالة بكفاءة عبر حدود القرار.

يعمل الإطار في مرحلتين رئيسيتين:

أ. تحديد مجموعة الارتكاز (Multi-Armed Bandit)

الابتكار الجوهري هو صياغة تحديد مجموعة الارتكاز كمسألة "مكافأة متعددة الأذرع نقية الاستكشاف" (Pure-Exploration Multi-Armed Bandit - MAB).

الهدف: إيجاد مجموعة $S$ بحيث إذا تم تشويه الكلمات غير الارتكازية، يظل تنبؤ النموذج دون تغيير باحتمالية عالية (دقة الاحتفاظ $p_S$ ).
الخوارزمية: يستخدم المؤلفون خوارزمية KL-LUCB (Kullback-Leibler Lower-Upper Confidence Bound).
- الأذرع (Arms): كل رمز مرشح (أو مجموعة رموز) يمثل "ذراعاً".
- المكافأة (Reward): دقة الاحتفاظ (احتمالية بقاء الملصق دون تغيير عند حجب أو تغيير الكلمات غير الارتكازية).
- العملية: تقوم الخوارخية بسحب الأذرع بشكل تكراري (الاستعلام عن النموذج باستخدام متغيرات محجوبة) لتضييق حدود الثقة. إنها تميز بين المرتكزات الدلالية الحقيقية والضوضاء الإحصائية من خلال منح الأولوية للمجموعات ذات دقة الاحتفاظ العالية.
التحسين: تقلل عملية البحث من حجم مجموعة الارتكاز ( $|S|$ ) لضمان التخفي، بشرط أن تتجاوز دقة الاحتفاظ عتبة معينة $\tau$ .
التقليم (Pruning): تستخدم خطوة "تقليم الهجوم غير القابل للتنفيذ" (Non-Actionable Attack Culling) حدود تباعد KL لاستبعاد العينات التي من غير المرجح أن يتغير ملصقها، مما يوفر ميزانية الاستعلام.

ب. تنفيذ التشويه

بمجرد تحديد مجموعة الارتكاز:

توليد الاستبدال: لكل رمز ارتكاز، يسترجع النظام أقرب الجيران $M$ في فضاء تضمين مضاد للارتباط (counter-fitted embedding space) يحافظ على الترادف والتضاد.
الاختيار: يتم اختيار الاستبدال الذي يعظم تشابه جيب التمام (cosine similarity) مع تضمين الجملة الأصلية لتقليل الانزياح الدلالي.
القيود الديناميكية: يتم تطبيق عتبة معدل تشويه ديناميكية بناءً على ميزانية الاستعلام المتبقية لموازنة التخفي والحاجة إلى مزيد من التعديلات.

3. المساهمات الرئيسية

تغيير النموذج النوعي ("من الداخل إلى الخارج"): الانتقال من تقريب الحدود (من الخارج إلى الداخل) إلى "كسر الجدران الحاملة للأحمال" (من الداخل إلى الخارج)، مما يقلل مساحة البحث بشكل كبير.
نمذجة التبعية بين الكلمات: على عكس الطرق التي تصنف الرموز في عزلة، تستخدم PivotAttack إطار عمل MAB لالتقاط التأثيرات التوافقية والتفاعلات بين الكلمات بشكل صريح، وتحديد المرتكزات الدلالية متعددة الكلمات.
القابلية للتفسير: تولد عملية MAB مخرجات وسيطة قابلة للقراءة من قبل البشر (تحديد كلمات الارتكاز المحددة)، مما يجعل سلوك الهجوم قابلاً للتتبع والتفسير.
المتانة ضد النماذج اللغوية الكبيرة (LLMs): تُظهر فعالية استثنائية ضد كل من النماذج ذات التعلم الصفري (zero-shot) والنماذج المضبوطة بدقة (fine-tuned)، مما يكشف عن نقاط ضعف في النماذج التي كانت تعتبر قوية سابقاً.

4. النتائج التجريبية

قيم المؤلفون PivotAttack عبر خمس مجموعات بيانات لتصنيف النصوص (Yelp, Yahoo, MR, Amazon, SST-2) ومجموعتي بيانات للاستلزام النصي (SNLI, MultiNLI) ضد نماذج ضحية متنوعة (WordCNN, WordLSTM, BERT, DistilBERT, ALBERT, Qwen2.5, Gemma 3).

معدل نجاح الهجوم (ASR) وكفاءة الاستعلام:
- تحت ميزانية استعلام صارمة قدرها 100 استعلام، تفوقت PivotAttack باستمرار على الخطوط المرجعية المتطورة (مثل HyGloadAttack, TextHacker, LimeAttack, VIWHard).
- مثال: على نموذج Qwen2.5 (Zero-shot)، حققت PivotAttack معدل نجاح 93.5% مع تشويه بنسبة 1.1% فقط، بينما تطلب TextHacker تشويهاً بنسبة 4.0% لتحقيق معدل نجاح أقل.
- على نموذج Qwen2.5 المضبوط بدقة، ظلت PivotAttack هي الأفضل أداءً في 4 من أصل 5 مجموعات بيانات، مما يثبت فعاليتها ضد النماذج القوية.
جودة التشويه: حققت PivotAttack معدلات تشويه أقل بكثير (تغيير كلمات أقل) مع الحفاظ على تشابه دلالي عالٍ، مما يشير إلى قدرة أفضل على التخفي.
دراسات الاستئصال (Ablation Studies):
- أدى إزالة تحديد مجموعة الارتكاز (عشوائية المجموعة) إلى أكبر انخفاض في ASR، مما يؤكد أهمية استهداف مرتكزات محددة.
- أظهرت الدراسات أن مكون KL-LUCB كان حاسماً في تنقيح اختيار مجموعة الارتكاز.
التقييم البشري: في دراسة شملت 10 مشاركين، وُصفت كلمات الارتكاز التي اختارتها PivotAttack بأنها أكثر "معقولية" وتنبؤاً بقرار النموذج مقارنة بـ LimeAttack، التي غالباً ما تسلط الضوء على كلمات وظيفية تافهة.

5. الأهمية والقيود

الأهمية: تغير PivotAttack بشكل جذري كيفية التعامل مع هجمات الملصقات الصعبة، حيث تثبت أن تحديد واستهداف "المرتكزات الدلالية" أكثر كفاءة من عمليات البحث العشوائية أو القائمة على التدرج. إنها تسلط الض الضوء على ثغرة حرجة في النماذج اللغوية الكبيرة الحديثة، مما يشير إلى أنه حتى النماذج المضبوطة بدقة يمكن خداعها بسهء عبر تعديلات طفيفة ومستهدفة لكلمات الارتكاز المحددة.
القيود: يعتبر مكون KL-LUCB مكثف الاستعلام نسبياً. ولإدارة الميزانية، يستخدم التنفيذ الحالي استراتيجية بحث جشعة (greedy search) بدلاً من استراتيجيات أكثر تقدماً (ولكنها أعلى تكلفة) مثل البحث الشعاعي (beam search). يهدف العمل المستقبلي إلى تقليل تكلفة الاستعلام لمكون MAB.

في الختام، تقدم PivotAttack إطار عمل عالي الكفاءة، وقابل للتفسير، وقوي لهجمات النصوص ذات الملصقات الصعبة، مما يضع معياراً جديداً في كل من معدل النجاح وكفاءة الاستعلام عبر النماذج التقليدية والنماذج اللغوية الكبيرة.