Activation Surgery: Jailbreaking White-box LLMs without Touching the Prompt

إليك ملخص تقني مفصل لورقة البحث بعنوان: "جراحة التنشيط: كسر حماية النماذج اللغوية الكبيرة ذات الصندوق الأبيض دون المساس بالطلب (Prompt)."

1. بيان المشكلة

النماذج اللغوية الكبيرة (LLMs) مجهزة بآليات سلامة مصممة لرفض الطلبات الضارة (مثل تعليمات لصنع قنابل أو هجمات سيبرانية). تعتمد تقنيات كسر الحماية (Jailbreaking) الحالية بشكل أساسي على هندسة الأوامر (Prompt Engineering) (مثل إعادة الصياغة، التمويه، أو لعب الأدوار) لتجاوز هذه الفلاتر. ومع ذلك، غالبًا ما يتم إصلاح هذه الأساليب في تحديثات النماذج، وهي تعتمد على التلاعب بالنص المدخل.

في المق المقابل، أظهرت أبحاث التفسير الآلي (Mechanistic Interpretability) (وتحديداً "الإزالة" أو Abliteration) أن سلوكيات الرفض غالباً ما تكون محصورة في هياكل منخفضة الأبعاد داخل التمثيلات الداخلية للنموذج. وبينما تشرح هذه الدراسات سبب رفض النماذج، إلا أنها لم تُستغل بالكامل لإنشاء ناقل هجوم قوي يترك نص الطلب دون تغيير.

التحدي الجوهري: هل يمكن للمهاجم تجاوز آليات السلامة عن طريق التلاعب المباشر بتنشيطات النموذج (Internal Activations) أثناء عملية الاستدلال (Inference)، دون تغيير نص الطلب أو أوزان النموذج؟

2. المنهجية: جراحة التنشيط (Activation Surgery)

يقترح المؤلفون هجوماً من نوع الصندوق الأبيض (White-box attack) يسمى "جراحة التنشيط". يعمل هذا الأسلوب في البيئات التي يمتلك فيها المهاجم وصولاً إلى أوزان النموذج وحالاته الوسيطة (مثل النماذج مفتوحة الأوزان التي تعمل على أجهزة محلية أو منصات استدلال مزودة بأدوات مراقبة).

المكونات الرئيسية:

1. بناء الطلب التوأم (Twin Prompt Construction):

   • لكل طلب غير مشروع (Illicit Prompt) (طلب ضار)، يقوم المهاجم بإنشاء طلب توأم (Twin Prompt) (طلب حميد) يختلف عن الأصلي بأقل عدد ممكن من الرموز (Tokens) (على سبيل المثال: "كيف أصنع قنبلة؟" مقابل "كيف أصنع كتاباً؟").
   • تم تصميم الطلب التوأم لاستثارة استجابة مفيدة وجوهرية من النموذج.

2. استبدال التنشيط المتسلسل (Sequential Activation Substitution):

   • لا يعدل الهجوم النص المدخل، بل يقوم باعتراض الحالات الخفية (Activations) للطلب غير المشروع أثناء عملية المرور الأمامي (Forward Pass).
   • يقوم باستبدال أبعاد محددة من تنشيطات الطلب غير المشروع بتنشيطات الطلب التوأم بشكل متسلسل، طبقة تلو الأخرى.
   • البروتوكول: يستخدم المؤلفون نهج "الترقيع ثم الحساب" (Patch-then-Compute). نظرًا لأن الطبقة $L+1$ تعتمد سببيًا على الطبقة $L$، يجب على الهجوم ترقيع الطبقة $L$، ثم حساب المخرجات للطبقة $L+1$، ثم ترقيع الطبقة $L+1$. الاستبدال لمرة واحدة لجميع الطبقات غير صالح بسبب الاعتمادات السببية.

3. المعلمات الفائقة (Hyperparameters):
   يتم التحكم في التدخل عبر معلمتين:

   • $\tau$ (العتبة - Threshold): تحدد أي الأبعاد سيتم ترقيعها. فهي تنشئ قناعاً (Mask) بناءً على الفرق المطلق بين تنشيطات الطلب غير المشروع والطلب التوأم. الأبعاد التي تزيد عن فرق $\tau$ يتم اختيارها للاستبدال.
   • $\gamma$ (عامل الاستيفاء - Interpolation Factor): يحدد ما هي القيم التي سيتم ترقيعها. بدلاً من الاستبدال القاطع، يكون التنشيط الجديد عبارة عن استيفاء: $h^{(\gamma)} = (1-\gamma)h_{twin} + \gamma h_{illicit}$.
     • عندما تكون $\gamma = 0$: استبدال كامل بالتنشيط التوأم الحميد.
     • عندما تكون $\gamma = 1$: لا يوجد تدخل (المسار الأصلي للطلب غير المشروع).
     • تسمح القيم المتوسطة بالموازنة بين كبح الرفض والحفاظ على صلة المحتوى الضار الناتج.

3. المساهمات الرئيسية

• ناقل هجوم جديد: يقدم "جراحة التنشيط"، أول طريقة لكسر حماية النماذج اللغوية الكبيرة بشكل منهجي عبر التلاعب بالتنشيطات الداخلية مع إبقاء الطلب ثابتاً.
• الربط بين الأبحاث: يربط بين كسر الحماية القائم على الطلب (اضطرابات المدخلات) والتفسير الآلي (التحليل الهيكلي الداخلي).
• أداة تشخيصية: تكشف الطريقة أين وكيف تظهر إشارات الرفض وتنتشر عبر الطبقات، مما يوضح أن الرفض غالباً ما يكون محصوراً في الطبقات المتوسطة.
• إطار تقييم: يقترح مقياس تقييم صارم يميز بين مجرد "عدم الرفض" وبين "الإجابات القابلة للتنفيذ" (Actionable Answers) (المحتوى الضار الجوهري والمفيد)، باستخدام نظام تصنيف يعتمد على Elo لمقارنة شدة المخرجات المولدة.

4. النتائج التجريبية

تم تقييم الطريقة على مجموعة بيانات AdvBench (520 طلباً ضاراً) باستخدام نموذج Llama-4-Scout-17B-16E-Instruct، وهو نموذج ذو آليات سلامة متقدمة.

• معدل النجاح: حقق الهجوم معدل نجاح قدره 32.8% في توليد إجابات قابلة للتنفيذ (مقارنة بـ 7.1% كخط أساس حيث يرفض النموذج أو يعطي إجابات غامضة).
• الأداء حسب الفئة:
  • الهجمات السيبرانية/تجاوز السلامة: معدل نجاح 39.8% (الأعلى، ويرجع ذلك غالباً لقوة تدريب النموذج على توليد الأكواد).
  • المعلومات المضللة/التمييز: معدل نجاح 27.9%.
  • القنابل/الأسلحة: معدل نجاح 24.1%.
• القوة (Robustness): تم التحقق من عمل الطريقة أيضاً على نماذج Qwen2.5-7B و Mistral-7B، رغم اختلاف المعلمات المثلى ($\tau, \gamma$) من نموذج لآخر.
• التحسين (Optimization): وجد المؤلفون "منطقة تشغيل" مستقرة للمعلمات (عادةً $\tau \in [0.4, 1.0]$ و $\gamma \in [0.0, 0.3]$) توازن بين قوة التدخل وفائدة المخرجات.

5. الأهمية والآثار المترتبة

• الثغرة الأمنية: تثبت الورقة أن سلامة التنفيذ (Execution Integrity) لا تقل أهمية عن المحاذاة (Alignment). فحتى لو كان النموذج محاذياً تماماً عبر التدريب، يمكن للمهاجم الذي يمتلك وصولاً وقت التشغيل إلى الحالات الوسيطة تجاوز سياسات السلامة دون أي إشارة مرئية على مستوى الطلب.
• الآثار الدفاعية: تصفية الطلبات التقليدية أو تنقية المدخلات غير كافية ضد هذا الهجوم. يجب أن تركز الدفاعات على:
  • حماية وقت التشغيل (Runtime Protections): التصديق (Attestation) والحوسبة القابلة للتحقق لضمان عدم التلاعب ببيئة الاستدلال.
  • سلامة التنشيط (Activation Integrity): آليات لاكتشاف أو منع التعديل غير المصرح به للحالات الخفية.
• القيود: يتطلب الهجوم وصولاً من نوع "الصندوق الأبيض" (الأوزان وحالة وقت التشغيل)، مما يحد من قابليته للتطبيق على النماذج المغلقة عبر واجهات البرمجة (APIs). ومع ذلك، فإنه يشكل تهديداً كبيراً للنماذج مفتوحة الأوزان المنشورة على أجهزة يتحكم فيها المستخدم أو أجهزة مزودة بأدوات مراقبة.

الخاتية

تثبت ورقة "جراحة التنشيط" أن آليات السلامة في النماذج اللغوية الكبيرة ليست مجرد وظيفة لطلب المستخدم، بل هي متجذرة بعمق في المسار الحسابي الداخلي للنموذج. من خلال استبدال أبعاد تنشيط محددة بطلب "توأم" حميد، يمكن للمهاجم تعطيل آليات الرفض بفعالية. يسلط هذا العمل الضوء على فجوة حرجة في أمن النماذج اللغوية الكبيرة: غياب الحماية لعملية الاستدلال نفسها.