Structured Semantic Cloaking for Jailbreak Attacks on Large Language Models

إليك ملخص تقني مفصل لورقة البحث بعنوان "التخفي الدلالي الهيكلي لهجمات كسر الحماية على النماذج اللغوية الكبيرة" (Structured Semantic Cloaking for Jailbreak Attacks on Large Language Models).

1. بيان المشكلة

تطورت النماذج اللغوية الكبيرة (LLMs) الحديثة لتتجاوز مجرد تصفية المدخلات السطحية. فهي تستخدم الآن آليات سلامة تحلل التمثيلات الدلالية الكامنة وعمليات الاستدلال أثناء الاستنتاج. وبناءً على ذلك، أصبحت هجمات كسر الحماية التقليدية (Jailbreak attacks) — مثل التمويه البسيط (مثل ترميز Base64) أو إعادة الكتابة السياقية — أقل فعالية لأن النماذج يمكنها غالبًا استعادة القصد الخبيث أثناء عملية فك التشفير، مما يؤدي إلى تفعيل رفض السلامة.

تتمثل المشكلة الجوهرية التي حددها المؤلفون في أن آليات السلامة الحالية تعتمد بشكل كبير على التماسك الهيكلي والوضوح للقصد الخبيث في مراحل محددة من التوليد. إذا قدمت المطالبة (Prompt) طلبًا ضارًا متماسكًا وصريحًا، فإن محاذاة السلامة في النموذج ستفعل الرفض. ومع ذلك، إذا كان القصد الخبيث مجزأً ويتطلب استدلالًا متعدد الخطوات لربط المراجع (co-referential reasoning) لإعادة بنائه، فقد تفشل محفزات السلامة هذه في التنشيط.

2. المنهجية: التخفي الدلالي الهيكلي (S2C)

يقترح المؤلفون إطار عمل التخفي الدلالي الهيكلي (S2C)، وهو إطار عمل لكسر الحماية متعدد الأبعاد مصمم للتلاعب بـ كيفية و توقيت إعادة بناء القصد الدلالي الخبيث أثناء استنتاج النموذج. بدلاً من مجرد إخفاء القصد، يعمل S2C على توزيع وإعادة تشكيل الإشارات الدلالية لتأخير دمجها.

يتكون إطار العمل من ثلاث آليات متكاملة:

1. إعادة الصياغة السياقية (Contextual Reframing):

   • يتم دمج الطلب الخبيث داخل سيناريو معقول وعالي المخاطر (مثل محاكاة بحثية أو مهمة عاجلة).
   • هذا يوجه النموذج نحو الامتثال عبر استغلال قدراته في المساعدة والتعلم داخل السياق، مما يجعل الطلب يبدو حميدًا ضمن السياق السردي المحدد.

2. تجزئة المحتوى (Content Fragmentation):

   • يتم استخراج المكونات الدلالية الرئيسية (الكلمات الحساسة، أو العبارات الاسمية، أو العبارات الفعلية) من المطالبة واستبدالها بعلامات نائبة (مثل [PLACEHO1]).
   • هذا يعطل التوقيع الدلالي المتماسك الذي تعتمد عليه مصنفات السلامة. يُجبر النموذج على استخدام التبعيات طويلة المدى لحل هذه العلامات النائبة، مما يؤخر اللحظة التي يصبح فيها القصد الخبيث الكامل صريحًا.

3. التمويه الموجه بالقرائن (Clue-Guided Camouflage):

   • يتم تحويل المصطلحات الرئيسية المستخرجة إلى قرائن مموهة (مثل الضجيج الحرفي، أو عكس الحروف، أو ترميز Base64، أو شفرة قيصر، أو التلاعب بالكلمات) وتقديمها بجانب المطالبة المجزأة.
   • تم تصميم هذه القرائن لتكون قابلة للاسترداد من خلال الاستدلال ولكنها صعبة بما يكفي لتعطيل مطابقة الأنماط.
   • تتضمن المطالبة تعليمات توجه النموذج لفك تشفير هذه القرائن وإعادة بناء الطلب الأصلي أثناء عملية التوليد.

الفرضية: من خلال إجبار النموذج على إجراء استدلال متعدد الخطوات وحل مراجع طويل المدى لإعادة بناء القصد، يتجاوز S2C آليات السلامة التي تكون أكثر فعالية عندما يكون القصد الخبيث مرئيًا بشكل مباشر أو مُعاد بناؤه صراحة في بداية التوليد.

3. المساهمات الرئيسية

1. تحديد ضعف هيكلي: تثبت الورقة تجريبيًا أن رفض السلامة لا يعتمد فقط على ما إذا كان القصد قابلًا للاسترداد، بل على مدى تماسك وكيفية إعادة بنائه وفي أي مرحلة. تجزئة المحتوى تضعف سلوكيات الرفض حتى عندما يكون المعنى قابلًا للاستنتاج.
2. إطار عمل S2C: إطار عمل هجوم مبتكر ومتعدد الأبعاد يجمع بين إعادة الصياغة، والتجزئة، والتمويه الموجه بالقرائن. حقق متوسط معدل نجاح هجوم (ASR) بنسبة 89.4% عبر نماذج مختلفة، متفوقًا على أفضل النماذج المرجعية بنسبة تتراوح بين 9.7 إلى 50.5 نقطة مئوية.
3. تقييم شامل: تم اختبار إطار العمل على 16 نموذجًا متنوعًا (بما في ذلك عائلات Llama، وDeepSeek، وQwen، وGPT، وClaude، وGemini) ومجموعتي بيانات رئيسيتين (JBB-Behaviors وHarmBench). وقد تفوق بشكل ملحوظ على النماذج المرجعية في النماذج المتقدمة ذات القدرة على الاستدلال مثل GPT-5-mini (محققًا 50% ASR مقابل 24% لأفضل نموذج مرجعي).
4. تحليل المقايضة: تكشف الدراسة عن علاقة غير خطية بين تعقيد التمويه ونجاح الهجوم. زيادة التعقيد وحدها تحقق عوائد متناقصة؛ فالهجوم الفعال يتطلب توازنًا مدروسًا بين الاضطراب الدلالي وقدرة النموذج على استرداد القرائن (معدل نجاح الاسترداد - RSR).

4. النتائج التجريبية

• الأداء: حقق S2C متوسط ASR بنسبة 89.4% على مجموعة بيانات JBB-Behaviors و94.1% على HarmBench.
• تباين النماذج:
  • كان S2C فعالًا للغاية عبر نماذج اتباع التعليمات (مثل Llama 3.3-70B، وQwen2.5-72B).
  • أظهر مكاسب كبيرة في نماذج الاستدلال (مثل DeepSeek-R1، وGPT-OSS-20B) وفي نموذج GPT-5-mini عالي المحاذاة، حيث حسن ASR بنسبة 26% عن أقوى نموذج مرجعي.
• دراسات الاستئصال (Ablation Studies):
  • إعادة الصياغة السياقية: أدى إزالة هذا المكون إلى انخفاض هائل في ASR لنموذج GPT-5-mini (انخفاض بنسبة 40%)، مما يشير إلى حساسيتها للإطار السردي.
  • تعقيد القرينة: كانت طرق التمويه البسيطة (مثل الضجيج الحرفي Char Noise) غالبًا أكثر فعالية من الطرق الهجينة المعقدة، مما يشير إلى أن الإفراط في التعقيد قد يعيق قدرة النموذج على استرداد القصد (خفض RSR) دون زيادة كبيرة في التهرب من السلامة.
  • خطوات فك التشفير: من المثير للدهشة أن إظهار خطوات فك التشفير صراحة في المخرجات لم يؤدِ دائمًا إلى تفعيل رفض السلامة، مما يشير إلى أن بعض النماذج تعتمد أكثر على تواقيع المدخلات بدلاً من مسار الاستدلال.
• التهرب من الدفاع: نجحت مطالبات S2RC في تجاوز الحواجز الرئيسية (OpenAI Moderator، وLlamaGuard، وShieldGemma) بمعدلات كشف منخفضة جدًا (غالبًا <10%)، بينما تم اكتشاف الطرق المرجعية بكثرة.

5. الأهمية والآثار المترتبة

• هشاشة المحاذاة الحالية: تشير النتائج إلى أن آليات سلامة LLM الحالية معرضة بشكل منهجي للهجمات التي تتلاعب بـ إعادة البناء الدلالي أثناء وقت الاستدلال. فمرشحات السلامة غالبًا ما تكون مرتبطة بالكشف الدلالي السطحي بدلاً من الفهم العميق المدرك للمسار.
• محدودية نماذج الاستدلال: القدرة الاستدلالية المتزايدة (مثل GPT-5-mini أو DeepSeek-R1) لا تضمن محاذاة سلامة قوية إذا استغل الهجوم التجزئة الهيكلية.
• الدفاعات المستقبلية: تجادل الورقة بأن الدفاعات المستقبلية يجب أن تتجاوز تصفية المدخلات الثابتة. تتطلب محاذاة السلامة الفعالة مراقبة عملية الاستدلال التوليدي الكاملة للكشف عن القصد الخبيث حتى عندما يكون موزعًا، أو مجزأً، أو مُعاد بناؤه ديناميكيًا أثناء الاستنتاج.
• فائدة الاختبار الأحمر (Red Teaming): يعمل S2C كأداة تشخيصية قوية لتحديد "النقاط العمياء" في عائلات نماذج معينة، مما يسلط الضوء على أن النماذج المختلفة لها ثغرات فريدة تجاه استراتيجيات تخفٍ محددة (على سبيل المثال، بعضها حساس للتجزئة، والبعض الآخر لإعادة الصياغة).

ختامًا، تثبت الورقة أنه من خلال توزيع الإشارات الدلالية الخبيثة استراتيجيًا وتأخير دمجها، يمكن للمهاجمين تجاوز حتى أكثر النماذج اللغوية الكبيرة تطورًا ومحاذاة للسلامة، مما يؤكد الحاجة إلى آليات سلامة تكون قوية ضد التلاعب الهيكلي بإعادة البناء الدلالي.