Colluding LoRA: A Composite Attack on LLM Safety Alignment

إليك ملخص تقني مفصل للورقة البحثية بعنوان "Colluding LoRA: A Composite Attack on LLM Safety Alignment" (لوورا المتواطئ: هجوم مركب على محاذاة سلامة النماذج اللغوية الكبيرة).

1. بيان المشكلة

تتناول الورقة ثغرة أمنية حرجة في المنظومة الناشئة لـ النماذج اللغوية الكبيرة النمطية (Modular LLMs). فمع تحول الصناعة من النماذج المتجانسة إلى الأنظمة القابلة للتركيب باستخدام طرق الضبط الدقيق الفعال للمعلمات (PEFT) مثل LoRA (التكيف منخفض الرتبة)، يزداد توجه المستخدمين نحو استرجاع ودمج مهايئات (adapters) متخصصة من مستودعات عامة (مثل Hugging Face) لبناء قدرات مخصصة.

الثغرة الجوهرية:
تعتمد آليات الدفاع عن السلامة الحالية على التحقق المرتكز على الوحدة (unit-centric verification)، حيث يتم فحص كل مهايئ على حدة بحثًا عن سلوك ضار أو أوزان شاذة قبل إتاحته. ومع ذلك، يفشل هذا النهج في اكتشاف الهجمات المحفزة بالتركيب (composition-triggered attacks).

• الفجوة: يمكن للمهاجم توزيع حمولة (payload) كاسرة للسلامة عبر عدة مهايئات. وبشكل فردي، يبدو كل مهايئ منها حميدًا، وظيفيًا، ويجتاز جميع فحوصات السلامة. ومع ذلك، عندما يتم دمج هذه المهايئات تحديدًا بشكل خطي (تركيبها)، فإنها تتفاعل لتثبيط محاذاة السلامة في النموذج، مما يؤدي إلى استجابته للطلبات الضارة دون الحاجة إلى أي مدخلات تحفيزية عدائية.
• التحدي: إن اختبار جميع التشكيلات الممكنة لـ $N$ من المهايئات بشكل شامل هو أمر مستعصٍ حوسبيًا ($O(2^N)$)، مما يخلق حالة من "العمى التوليفي" (combinatorial blindness) لا يمكن للمدافعين التغلب عليها عبر المسح الخطي ($O(N)$).

2. المنهجية: Colluding LoRA (CoLoRA)

يقترح المؤلفون إطار عمل CoLoRA، الذي يستغل الطبيعة الحسابية لدمج النماذج لتنفيذ تثبيط واسع النطاق لرفض الاستجابة (broad refusal suppression) عبر التركيب.

المفاهيم الأساسية

• التمويه بالواقعية (Plausibility Camouflage): على عكس الهجمات البدائية التي ترفع مهايئات تبدو تافهة أو معيبة بوضوح، يعمل CoLoRA على تقييد كل مهايئ بحيث يظهر سلوكًا منطقيًا ومتسقًا مع المهام على البيانات الحميدة. يضمن هذا مرورها عبر فلاتر الجودة وظهورها بمظهر "يستحق التحميل" للمستخدمين.
• المحفز بالتركيب (Composition-Triggered): المحفز الهجومي ليس رمزًا (token) في المدخلات (مثل الباب الخلفي/backdoor)، بل هو حالة النموذج عند دمج مهايئات معينة. بمجرد الدمج، يفقد النموذج قدرته على الرفض تجاه الاستعلامات الضارة القياسية.

استراتيجية التحسين: التدريب المتداخل (Interleaved Training)

لتحقيق ذلك، يستخدم المؤلفون استراتيجية تراكم التدرج المتداخل أثناء التدريب. فبدلاً من التحسين لهدف واحد، يقومون بالتناوب بين ثلاث حالات تنشيط متميزة ضمن خطوة تدريب واحدة:

1. الترسيخ الفردي (الخطوتان 1 و2):
   • تفعيل المهايئ $A_1$ (أو $A_2$) فقط.
   • التحسين من أجل المنفعة (مثل الرياضيات أو نقل الأسلوب) والسلامة (ضمان رفض النموذج للمطالبات الضارة).
   • الهدف: ضمان أن يكون المهايئ حميدًا وظيفيًا في حال كونه منفردًا.
2. التواطؤ والانتظام (الخطوة 3):
   • تفعيل كلا المهايئين في وقت واحد ($A_1 + A_2$).
   • التحسين من أجل الامتثال الضار (تعظيم توليد المحتوى غير الآمن).
   • تطبيق الانتظام (Regularization) على البيانات الحميدة لمنع النسيان الكارثي للقدرات اللغوية العامة.
   • الهدف: تشفير متجه "كسر السلامة" في نمط التداخل (interference pattern) للأوزان المدمجة.

التحديث النهائي للتدرج هو مجموع التدرجات من جميع الحالات الثلاث، مما يضمن بقاء المهايئات حميدة بشكل فردي ولكن مدمرة عند الجمع بينها.

3. المساهمات الرئيسية

1. صياغة تهديد جديد: تحدد الورقة وتصيغ تثبيط الرفض الواسع المحفز بالتركيب كخطر فريد على سلسلة التوريد، حيث ينشأ الضرر من تفاعل المهايئات بدلاً من المطالبات أو القطع الفردية.
2. إطار هجوم عملي: يقترح المؤلفون إجراء تدريب باستخدام التمويه بالواقعية والتحسين المتداخل لتوزيع إخفاقات السلامة عبر عدة مهايئات مع الحفاظ على التخفي الفردي.
3. التحقق التجريبي: تم التحقق من الهجوم عبر ثلاثة نماذج مفتوحة الأوزان رائدة (Llama-3-8B, Qwen2.5-7B, Gemma-2-2B)، مما أظهر فشل الماسحات المركزية للوحدات في اكتشاف التهديد.

4. النتائج التجريبية

قيمت التجارب الهجوم على Llama-3-8B-Instruct و Qwen2.5-7B-Instruct و Gemma-2-2B-It.

• التخفي (معدل الرفض الخاطئ - FRR):
  • حافظت المهايئات الفردية والمزاوجة المدمجة على معدلات منخفضة للرفض الخاطئ في المطالبات الحميدة (0.4% – 3.0%)، وهي نسبة لا تختلف عن النموذج الأساسي.
  • اجتازت المهايئات بنجاءً فحوصات الجودة القياسية (ظلت درجات MMLU والارتباك/Perplexity مستقرة أو تحسنت في مجالاتها المحددة).
• معدل نجاح الهجوم (ASR):
  • المهايئات الفردية: كان معدل نجاح الهجوم ضئيلاً (0.0% على AdvBench لمعظم النماذج)، مما يؤكد أنها آمنة وهي منفردة.
  • المهايئات المدمجة: عند التركيب، قفز معدل نجاح الهجوم (ASR) بشكل هائل.
    • Qwen2.5-7B: قفز من 0.0% إلى 100.0% (LlamaGuard3) و 91.1% (HarmBenchCLS).
    • Llama3-8B: قفز إلى 98.2% على AdvBench.
• الخصوصية التركيبية:
  • دمج المهايئات الضارة مع مهايئ حميد آخر (مثل مهايئ البرمجة) لم يؤدِ إلى إطلاق الهجوم. وهذا يؤكد أن الثغرة تعتمد على التداخل البناء الدقيق للزوج المتواطئ المحدد.
• التملص من الدفاعات:
  • تحليل الأوزان: فشلت المصنفات المتطورة مثل PEFTGuard والدفاعات الهندسية مثل SafeLoRA في تمييز المهايئات المتواطئة عن المهايئات الحميدة، لأن السلوك الضار موزع ويفتقر إلى أنماط محفزة منفصلة.
  • مشهد الخسارة (Loss Landscape): أظهرت التصورات أنه بينما توجد المهايئات الفردية في مناطق آمنة من مشهد الخسارة، فإن الحالة المدمجة تسقط في "حوض اختراق" (jailbreak basin) ذي خسارة رفض عالية (سلامة مثبطة).

5. الأهمية والآثار المترتبة

• فجوة القابلية للتوسع النظامية: تسلط الورقة الضوء على عدم تماثل جوهري في سلاسل توريد الذكاء الاصطناعي. يمكن للمدافعين فحص $N$ من العناصر في وقت خطي، لكن التحقق من السلامة يتطلب فحص $2^N$ من التشكيلات. وهذا يجعل المسح الشامل قبل النشر أمراً مستحيلاً.
• محدودية الدفاعات الحالية: إن الدفاعات التقليدية (فلاتر المدخلات، مسح الوحدة الواحدة، اكتشاف الباب الخلفي) غير فعالة ضد CoLoRA لأن "المحفز" هو سير عمل النشر نفسه، وليس مطالبة الإدخال.
• دعوة للعمل: يرى المؤلفون أن تأمين النماذج اللغوية الكبيرة النمطية يتطلب تحولًا جذريًا من التحقق المرتكز على الوحدة إلى الدفاعات المدركة للتركيب. يجب أن تقيم البروتوكولات المستقبلية تركيبات المهايئات عالية المخاطر، أو تقيد عمليات الدمج عالية الخطورة، أو تطور طرقًا لاكتشاف السلوكيات الضارة الناشئة دون الحاجة إلى تعداد شامل.

في الختام، يثبت CoLoRA أن نمطية النماذج اللغوية الكبيرة تقدم سطح هجوم خطير لم يتم تناوله سابقًا، حيث يمكن تفكيك السلامة بصمت من خلال الجمع المشروع لمكونات حميدة.