Analysing the Safety Pitfalls of Steering Vectors

إليك ملخص تقني مفصل للورقة البحثية بعنوان "تحليل ثغرات الأمان في ناقلات التوجيه" (Analysing the Safety Pitfalls of Steering Vectors):

1. بيان المشكلة

برز "توجيه التنشيط" (Activation steering) كطريقة شائعة وفعالة من حيث التكلفة للتحكم في سلوك النماذج اللغوية الكبيرة (LLMs) أثناء الاستنتاج دون تحديث أوزان النموذج. وبينما سلطت الأبحاث السابقة الضوء على هشاشة وعدم موثوقية ناقلات التوجيه (مثل ضعف التعميم والقيود المرتبطة بمهام محددة)، إلا أن الآثار الأمنية لهذه التقنية لا تزال غير مستكشفة إلى حد كبير.

المشكلة الجوهرية التي تعالجها الورقة هي: هل يؤدي توجيه التنشيط إلى تقويض محاذاة السلامة في النماذج اللغوية الكبيرة؟ يفترض المؤلفون أن ناقلات التوجيه، المصممة لتعديل سمات سلوكية معينة (مثل "الوعي الذاتي" أو "التملق")، قد تتداخل دون قصد مع آليات السلامة الداخلية للنموذج، وتحديداً سلوك الرفض، مما يزيد من القابلية لهجمات كسر الحماية (Jailbreak attacks).

2. المنهجية

أجرى المؤلفون تدقيقاً منهجياً للسلامة باستخدام بروتوكول تقييم موحد عبر ستة نماذج لغوية كبيرة مفتوحة المصدر (تتراوح أحجامها بين 3 إلى 32 مليار معلمة، بما في ذلك عائلات Llama-2 وGemma وQwen).

• تقنية التوجيه: استخدموا إضافة التنشيط التبايني (CAA)، وهي طريقة واسعة الاستخدام حيث تُشتق ناقلات التوجيه من الفرق في تنشيطات التدفق المتبقي (residual stream) بين الأمثلة الإيجابية والسلبية لسمة معينة.
• المعيار المرجعي: استخدموا JailbreakBench، وهو مجموعة بيانات تضم 100 مثال ضار وسليم، لقياس معدل نجاح الهجوم (ASR).
• سيناريوهات الهجوم: اختبرت الدراسة التوجيه تحت ثلاثة ظروف:
  1. الاعتماد على المطالبة فقط (Prompt-only): مطالبات ضارة قياسية.
  2. حقن البادئة (Prefix Injection): إدراج جملة في البداية تجبر النموذج على البدء بعبارة محددة.
  3. كبح الرفض (Refusal Suppression): منع الاعتذارات أو التنبيهات أو اللغة التي تشير إلى الرفض بشكل صريح.
• التحليل الآلي:
  • استخراج اتجاه الرفض: استناداً إلى عمل سابق (Arditi et al., 2024)، قاموا ببناء ناقل اتجاه الرفض ($\hat{r}$) عن طريق مقارنة التنشيطات للمطالبات الضارة مقابل غير الضارة.
  • الارتباط الهندسي: حسبوا تشابه جيب التمام (cosine similarity) بين مختلف ناقلات التوجيه واتجاه الرفض لاختبار التداخل الهندسي.
  • تحليل الانحدار: أجروا انحدار المربعات الصغرى العادية (OLS) لتقدير العلاقة بين محاذاة ناقلات التوجيه مع اتجاه الرفض والتغير الناتج في معدل نجاح الهجوم (ASR).
  • الاستئصال السببي (Causal Ablation): لإثبات السببية، قاموا بـ استئصال (إزالة) المكون الذي يمثل إسقاط ناقل التوجيه على اتجاه الرفض ($v^\perp = v - (v \cdot \hat{r})\hat{r}$) ثم أعادوا تقييم ASR.

3. المساهمات الرئيسية

1. تدقيق منهجي للسلامة: أول تقييم شامل يظهر أن ناقلات التوجيه تغير بشكل منهجي معدل نجاح الهجمات (ASR) عبر مختلف عائلات وأحجام النماذج.
2. تفسير آلي: تحديد التداخل الهندسي بين ناقلات التوجيه واتجاه الرفض الداخلي للنموذج كسبب جذري لتآكل السلامة.
3. التحقق السببي: إثبات أن إزالة المكون المحاذي للرفض من ناقلات التوجيه يخفف من مخاطر السلامة، مما يوفر دليلاً سببياً على فرضية التداخل الهندسي.
4. مقايضة السلامة والقدرة على التحكم: إرساء مقايضة أساسية حيث تؤدي زيادة القدرة على التحكم عبر التوجيه غالباً إلى تدهور متانة السلامة، خاصة في النماذج الأكبر حجماً.

4. النتائج الرئيسية

أ. التوجيه يغير السلامة بشكل جذري

• تذبذب ASR: أثرت ناقلات التوجيه باستمرار على معدل نجاح هجمات كسر الحماية. وبناءً على السلوك المستهدف، يمكن أن يزداد ASR بنسبة تصل إلى 57% أو ينخفض بنسبة تصل إلى 50%.
• التضخيم بواسطة الهجمات: كان تآكل السلامة أكثر شدة عندما اقترن التوجيه بهجمات تعتمد على القوالب البسيطة (حقن البادئة وكبح الرفض). على سبيل المثال، التوجيه نحو "الوعي الذاتي" مع هجوم حقن البادئة رفع ASR من 4% إلى 80% في نموذج Qwen-14B.
• الحساسية لحجم النموذج: أظهرت النماذج الأكبر (مثل Qwen-32B) حساسية أقوى تجاه التغيرات في السلامة الناجمة عن التوجيه مقارنة بالنماذج الأصغر (مثل Qwen-3B).

ب. الآلية الهندسية

• الارتباط بمحاذاة الرفض: يوجد ارتباط سلبي قوي بين تشابه جيب التمام لناقل التوجيه مع اتجاه الرفض وبين معدل نجاح الهجوم (ASR).
  • الناقلات المحاذية سلبياً لاتجاه الرفض (المعارضة للرفض) تسببت في زيادة كبيرة في ASR (مثل "التملق"، "الوعي الذاتي").
  • الناقلات المحاذية إيجابياً لاتجاه الرفض (التي تعزز الرفض) تسببت في انخفاض في ASR (مثل "Anti-LGBTQ"، "Coordinate-AI").
• القوة التنبؤية: أظهر تحليل الانحدار أن محاذاة الرفض تفسر أكثر من 85% من التباين في ميل ASR للنماذج التي تزيد عن 3 مليار معلمة ($R^2 \ge 0.85$, $p < 0.001$).

ج. التخفيف السببي عبر الاستئصال

• الفعالية: من خلال استئصال إسقاط ناقلات التوجيه على اتجاه الرفض، تمكن المؤلفون باستمرار من تقليل حجم التغيرات في ASR.
• الأثر الكمي: عبر النماذج وسيناريوهات الهجوم، قلل الاستئصال من متوسط $|\Delta ASR|$ بنسبة تترا-واح بين 15% إلى 25%.
• القيود: لم يؤدِ الاستئصال إلى استعادة سلامة خط الأساس بالكامل، مما يشير إلى أن الفضاء الفرعي للسلامة هو على الأرجيد متعدد الأبعاد ولا يتم حصره بالكامل في ناقل رفض واحد.

د. الآثار الجانبية على المطالب السليمة

• ناقلات التوجيه التي زادت من ASR (عبر معارضة الرفض) أدت أيضاً إلى خفض معدل الرفض الخاطئ (FRR) في المطالبات السليمة، مما جعل النموذج أكثر امتثالاً ولكن أقل أماناً.
• وعلى العكس، أدت الناقلات المحاذية للرفض إلى زيادة FRR، مما أدى إلى الإفراط في الرفض (رفض الاستعلامات الآمنة)، وهو ما يقلل من الفائدة (Utility).

5. الأهمية والآثار المترتبة

• فئة جديدة من الثغرات: تحدد الورقة "توجيه التنشيط" ليس فقط كأداة للتحكم، بل كـ سطح هجوم محتمل. فهي تكشف أن التوجيه يمكن أن يعمل كمضخم للعيوب الأمنية الكامنة، محولاً الهجمات الضعيفة على مستوى المطالبة إلى عمليات كسر حماية عالية الفعالية.
• الهشاشة الهندسية: تشير النتائج إلى أن محاذاة السلامة الحالية (تدريب الرفض) تخلق آليات هشة هندسياً، ليست معزولة عن الأبعاد السلوكية الأخرى في الفضاء الكامن.
• الاتجاهات المستقبلية: يدعو المؤلفون إلى:
  1. طرق توجيه آمنة جوهرياً: تقنيات تأخذ في الاعتبار هندسة السلامة للنموذج لتجنب التداخل مع اتجاهات الرفض.
  2. محاذاة قوية: تطوير تقنيات محاذاة تفرض متانة هندسية، مما يضمن أن تكون آليات السلامة متميزة عن ضوابط السلوك الأخرى.
  3. تدقيق أوسع: توسيع هذا التدقيق الأمني ليشمل نماذج التوجيه الأخرى (مثل المشفّرات التلقائية المتفرقة (SAEs)، أو تدخلات رؤوس الانتباه).

في الختام، تثبت الورقة أن توجيه التنشيط ليس محايداً من حيث السلامة. فهو يفرض مقايضة حرجة حيث تأتي القدرة على التحكم في سلوك النموذج على حساب تآكل محاذاة السلامة، مدفوعة بالتداخل الهندسي بين ناقلات التوجيه والفضاء الفرعي للرفض في النموذج.