Safety-Potential Pruning for Enhancing Safety Prompts Against VLM Jailbreaking Without Retraining

إليك ملخص تقني مفصل لورقة البحث بعنوان: "تقليم إمكانات السلامة لتعزيز مطالبات السلامة ضد كسر حماية النماذج البصرية-اللغوية (VLM) دون إعادة تدريب."

1. بيان المشكلة

تصبح النماذج البصرية-اللغوية (VLMs) عرضة بشكل متزايد لهجمات كسر الحماية (jailbreak) والمدخلات العدائية، وغالبًا ما ترث ثغرات المحاذاة من نماذجها اللغوية الكبيرة (LLM) الأساسية. تواجه آليات الدفاع الحالية عقبتين رئيسيتين:

• نهج الضبط الدقيق (Fine-tuning): رغم فاعليته، إلا أنه مكلف حوسبيًا، ويتطلب مجموعات بيانات منسقة، وغالبًا ما يؤدي إلى تدهور الأداء العام (ما يُعرف بـ "ضريبة السلامة").
• التدخلات أثناء الاستدلال (مثل مطالبات السلامة): هي تدخلات خفيفة الوزن ولكنها تعتمد كليًا على الاستجابة الهيكلية الكامنة للنموذج. إذا كانت المسارات الداخلية للسلامة في النموذج خاملة أو ضعيفة، فإن المطالبات وحدها لن تكون كافية لمنع كسر الحماية.

السؤال الجوهري الذي تعالجه الورقة هو: هل يمكننا الكشف عن وتعزيز قدرة النموذج المتأصلة على السلوك الموجه نحو السلامة دون إعادة تدريب أو تعديل المعلمات عبر مصنفات خارجية؟

2. الفرضية الجوهرية: الشبكة الفرعية للسلامة

يقترح المؤلفون فرضية الشبكة الفرعية للسلامة، والتي تفترض أن:

• قدرات السلامة في النماذج البصرية-اللغوية ليست موزعة بشكل موحد عبر جميع المعلمات.
• بدلاً من ذلك، تتركز في شبكات فرعية كامنة ومتفرقة يتم تنشيطها انتقائيًا فقط عند وجود محفزات سلامة محددة (مطالبات).
• خلال الاستخدام الحميد، تظل هذه المسارات خاملة إلى حد كبير.
• لذلك، لا ينبغي للتدخلات الفعالة للسلامة أن تضيف قدرات جديدة، بل يجب أن تكشف وتعزز هذه الهياكل الداخلية الموجودة بالفعل.

3. المنهجية: تقليم إمكانات السلامة (Safety-Potential Pruning)

قدم المؤلفون إطار عمل تقليم إمكانات السلامة، وهو إطار عمل يعمل بمرة واحدة (one-shot) ولا يتطلب تدريبًا، صُمم لعزل وتضخيم هذه المسارات الحرجة للسلامة.

أ. تحليل التنشيط

يبدأ الأسلوب بتحليل الفرق في التنشيطات الداخلية بين حالتين:

1. مطالبة السلامة: يتلقى النموذج مطالبة توجهه لرفض المحتوى الضار.
2. بدون مطالبة السلامة: يتلقى النموذج نفس المدخلات دون تعليمات السلامة.

تظهر الملاحظات أنه بينما تُظهر الطبقات الضحلة اختلافًا ضئيلًا، فإن الطبقات العميقة تُظهر تحولًا إيجابيًا كبيرًا في مقدار التنشيط لمجموعة فرعية متفرقة من الوحدات عند تطبيق مطالبات السلامة.

ب. مقياس الحساسية والتسجيل

لتحديد "الشبكة الفرعية للسلامة"، يحسب الأسلوب درجة حساسية لكل وزن $W_{ij}$ في طبقة ما:

1. حساسية القناة ($S_j$): تحسب الفرق في معايير $L_2$ المربعة للتنشيطات مع ($A^S$) وبدون ($A^{NS}$) مطالبة السلامة:
   $$S_j = \|A^S_j\|_2^2 - \|A^{NS}_j\|_2^2$$
   تشير القيم الموجبة إلى الأوزان التي تستجيب بقوة لإشارات السلامة.
2. درجة أهمية الوزن: تجمع بين مقدار الوزن وحساسيته:
   $$\text{Score}_{ij} = |W_{ij}| \cdot \sqrt{\max(S_j, 0)}$$
   يضمن هذا أن الأوزان لا تُعتبر مهمة إلا إذا كانت ذات أهمية هيكلية (مقدار عالٍ) واستجابة وظيفية لمطالبات السلامة.

ج. عملية التقليم

• الاختيار: تحدد الخوارزمية الأوزان ذات الدرجات الأدنى (أي تلك غير المستجيبة لمطالبات السلامة أو المرتبطة سلبًا بها).
• التقليم: يتم ضبط هذه الأوزان ذات الدرجات المنخفضة لتصبح صفرًا في عملية تتم لمرة واحدة (one-shot).
• النتيجة: الشبكة المتبقية هي "شبكة فرعية لإمكانات السلامة" حيث يتم تضخيم النسبة النسبية للمسارات المستجيبة للسلامة، مما يجبر النموذج فعليًا على الاعتماد على هذه الهياكل لاتخاذ القرارات.

4. المساهمات الرئيسية

1. فرضية الشبكة الفرعية للسلامة: صياغة الرؤية النظرية بأن السلامة في النماذج البصرية-اللغوية تنشأ من هياكل داخلية متفرقة ومُنشطة انتقائيًا وليس من آليات موحدة.
2. إطار عمل تقليم إمكانات السلامة: تطوير طريقة تقليم مبتكرة تعمل بمرة واحدة ولا تتطلب إعادة تدريب. فهي تعزز انتقائيًا الشبكات الفرعية ذات الصلة بالسلامة عن طريق إزالة الأوزان غير المستجيبة لمطالبات السلامة.
3. التحقق التجريبي: تقديم أدلة شاملة عبر ثلاثة معماريات للنماذج البصرية-اللغوية (Qwen2-VL, LLaVA, InstructBLIP) وثلاثة اختبارات مرجعية، مما يثبت أن التقليم الموجه بتحليل التنشيط يكشف عن هياكل السلامة الكامنة.
4. تحول في النموذج الفكري: إعادة صياغة التقليم من مجرد تقنية لضغط النموذج إلى تدخل هيكلي لتحقيق محاذاة سلامة قوية.

5. النتائج التجريبية

تم تقييم الطريقة على Qwen2-VL و LLaVA-V1.6 و InstructBLIP باستخدام ثلاثة اختبارات مرجعية: FigStep و MM-SafetyBench و JailbreakV-28K.

• أداء السلامة (معدل نجاح الدفاع - DSR):
  • قلل تقليم إمكانات السلامة من معدلات نجاح الهجوم بنسبة تصل إلى 22% مقارنة باستخدام مطالبات السلامة وحدها.
  • في نموذج LLaVA-V1.6-Mistral-7B مع تشتت (sparsity) بنسبة 20%، حققت الطريقة معدل DSR بنسبة 99.0% في FigStep (مقابل 84.8% للتقليم القياسي و 82.0% لـ Vanilla+Prompt).
  • في Qwen2-VL-7B، حققت 100% DSR في FigStep و 99.4% في MM-SafetyBench عند تشتت بنسبة 50%.
• الحفاظ على الفائدة (Utility Preservation):
  • عند التشتت المتوسط (20%)، حافظت الطة على خسارة ضئيلة في الأداء في المهام الحميدة (TextVQA, RealWorldQA, ScienceQA).
  • حتى عند تشتت بنسبة 50%، تفوقت على طرق التقليم القياسية (Magnitude, SparseGPT, Wanda) في موازنة السلامة والفائدة.
• التعميم:
  • تعمم النهج على النماذج الأصغر (2B) والأكبر (13B)، وكذلك على النماذج اللغوية الصرفة (Llama-2, Vicuna)، وإن كانت المكاسب أكثر وضوحًا في النماذج البصرية-اللغوية بسبب شبكاتها الفرعية العابرة للأنماط الأكثر كثافة.
• تحليل التضمين (Embedding Analysis):
  • أظهرت تصورات t-SNE أن النماذج المقلمة تُظهر انفصالًا أكثر حدة بين مساحات التضمين الآمنة وغير الآمنة، مما يشير إلى أن النموذج يتعلم تشفير تمايزات السلامة بشكل أكثر وضوحًا بدلاً من مجرد كبح المخرجات.

6. الأهمية والآثار المترتبة

• الكفاءة: يوفر آلية دفاع عالية الكفاءة لا تتطلب أي بيانات تدريب إضافية أو عبء حوسبي أثناء مرحلة النشر.
• الرؤية الهيكلية: يتحدى فكرة أن السلامة يجب أن "تُعلّم" عبر الضبط الدقيق؛ وبدلاً من ذلك، يقترح أن السلامة هي خاصية ناشئة عن شبكات فرعية محددة يمكن "فتحها" عبر التقليم.
• المتانة: من خلال إزالة الأوزان التي لا تساهم في السلامة، يصبح النموذج أقل عرضة للمدخلات العدائية التي تستغل المسارات الزائدة أو غير المتوافقة.
• التآزر مع المطالبات: يحول هذا الأسلوب مطالبات السلامة من إجراء تفاعلي إلى عملية صقل هيكلي، مما يجعل محاذاة النموذج الداخلية مع أهداف السلامة أكثر صراحة ومتانة.

في الختام، يوفر تقليم إمكانات السلامة مسارًا مبدئيًا، لا يتطلب تدريبًا، لتحقيق سلامة قوية للنماذج البصرية-اللغوية من خلال الاستفادة من هياكلها الكامنة، مما يثبت أن الإزالة الاستراتيجية للمعلمات يمكن أن تعزز المحاذاة بدلاً من إضعافها.