Low-Effort Jailbreak Attacks Against Text-to-Image Safety Filters

إليك ملخص تقني مفصل لورقة البحث بعنوان "هجمات كسر الحماية منخفضة الجهد ضد فلاتر السلامة في نماذج تحويل النص إلى صورة".

1. بيان المشكلة

تُستخدم نماذج توليد الصور من النصوص (T2I) على نطاق واسع (مثل DALL·E، وStable Diffusion، وMidjourney)، لكنها تعتمد على فلاتر سلامة لمنع توليد محتوى ضار أو غير قانوني أو مخالف للسياسات. وبينما تستخدم هذه الأنظمة خطوط أنابيب تدقيق متعددة المراحل (تصفية المطالبات، والتحقق الدلالي، وتدقيق الصور بعد التوليد)، تشير الأبحاث الحديثة إلى أنها تظل عرضة للتلاعب الخصومي.

تتمثل المشكلة الجوهرية التي تتناولها الورقة في سهولة وفعالية هجمات كسر الحماية "منخفضة الجهد". فخلافاً للهجمات الخصومية المعقدة التي تتطلب الوصول إلى النموذج، أو التحسين التدرجي (gradient optimization)، أو التعلم التعزيزي، تبحث هذه الورقة فيما إذا كانت تعديلات المطالبات باللغة الطبيعية البسيطة — والتي يمكن تنفيذها من قبل مستخدمين غير خبراء — قادرة على تجاوز فلاتر السلامة بشكل موثوق. ويرى المؤلفون أن آليات السلامة الحالية غالباً ما تفشل في التمييز بين السياقات الدلالية الحميدة والقصد الخصومي المتخفي داخل تلك السياقات.

2. المنهجية

يقترح المؤلفون إطار عمل منهجياً لتحليل وتنفيذ عمليات كسر الحماية القائمة على المطالبات دون الحاجة إلى معرفة داخلية بالنموذج أو أدوات متخصصة.

أ. تصنيف استراتيجيات الهجوم

تقدم الورقة تصنيفاً خماسياً لفئات تقنيات التلاعب بالمطالبات المصممة لاستغلال نقاط الضعف المحددة في خطوط أنابيب السلامة:

1. الترميز والتعمية (Encoding and Obfuscation): استخدام التحويلات اللفظية أو استبدال الحروف لإخفاء الكلمات المفتاحية المحظورة مع الحفاظ على المعنى.
2. إعادة الصياغة الفنية والثقافية (ARA): تأطير المحتوى غير الآمن كإعادة تفسير للفن الكلاسيكي، أو الصور التاريخية، أو الرموز الثقافية (مثل طلب تمثال بناءً على لوحة شهيرة).
3. التأطير التعليمي الزائف (PEFA): تضمين طلبات غير آمنة داخل مطالبات تحاكي الرسوم التوضيحية العلمية أو الطبية أو التعليمية لتجاوز فلاتر الكلمات المفتاحية.
4. التمويه الأسلوبي والنمط المعيشي (LSAA): تخفيف العناصر غير الآمنة ضمن سرديات وصفية وأسلوبية عالية (مثل تصوير الأزياء أو جماليات الثقافات الفرعية) لتقليل بروز المحتوى المحظور.
5. استبدال الأفعال الغامضة (AASA): وصف أفعال ضارة ضمن سياقات سردية محايدة أو إيجابية (مثل شخص يحمل سكيناً أثناء تناول الفطائر) لإرباك الاستدلال السياقي.

** ب. الإعداد التجريبي**

• النماذج التي تم تقييمها: اختبرت الدراسة هذه الاستراتيجيات عبر أنظمة متنوعة ومتطورة لتحويل النص إلى صورة، بما في ذلك واجهات برمجة التطبيقات المملوكة (Gemini، SORA، Grok، Qwen 2) والنماذج مفتوحة المصدر (Stable Diffusion v1.4/v1.5).
• المقارنة المرجعية: تمت مقارنة الطرق منخفضة الجهد المقترحة مع نماذج مرجعية خصومية متقدمة مثل SneakyPrompt وPLA-T5 وMMA-Diffusion، والتي تعتمد على التعلم التعزيزي، أو التحسين التدرجي، أو النماذج المساعدة.
• مجموعة البيانات: استخدم التقييم مجموعة فرعية من مجموعة بيانات I2P، مع التركيز على المطالبات المتعلقة بالعري والعنف، والتي تم تكييفها إلى متغيرات لغة طبيعية لكل فئة هجوم.
• المقاييس: المقياس الأساسي هو معدل نجاح الهجوم (ASR)، وتحديداً ASR-N (نسبة المطالبات التي نجحت فيها صورة واحدة على الأقل من أصل N من الصور المولدة في تجاوز الفلاتر وعرض محتوى محظور).

3. المساهمات الرئيسية

1. تصنيف منهجي: تقدم الورقة أول تصنيف مهيكل لاستراتيجيات كسر الحماية منخفضة الجهد والقابلة للتفسير البشري والتي تستهدف تحديداً فلاتر السلامة في نماذج تحويل النص إلى صورة.
2. تحليل ثغرات خط الأنابيب: تربط الورقة هذه الاستراتيجيات بنقاط الفشل المحددة في خط أنابيب التدقيق (فحص الامتثال للمدخلات، وفحص السلامة الدلالي، وتدقيق ما بعد التوليد)، موضحة كيف يتجاوز كل هجوم مراحل مختلفة.
3. دليل تجريبي على فعالية الجهد المنخفض: تثبت الدراسة أن التحسين المعقد ليس ضرورياً لتجاوز السلامة؛ إذ يكفي إعادة الصياغة اللغوية البسيطة لتحقيق معدلات نجاح عالية.
4. القدرة على التعميم: تظهر النتائج أن هذه الثغرات ثابتة عبر بنيات النماذج المختلفة (الانتشار مقابل التوليد الذاتي - diffusion vs. autoregressive) وإعدادات النشر المختلفة (مفتوحة المصدر مقابل واجهة برمجة التطبيقات المغلقة).

4. النتائج الرئيسية

• معدلات نجاح هجوم عالية: عبر جميع النماذج وفئات الهجوم المختبرة، وصل متوسط معدل نجاح الهجوم (ASR) إلى 74.47%.
• هجوم استبدال المواد (MSA): أثبتت هذه الاستراتيجية أنها الأكثر فعالية، حيث حققت متوسط ASR-4 بلغ 71.50% على Stable Diffusion، وهو ما يقارب أداء النماذج المرجعية المتطورة القائمة على التحسين مثل PLA-T5 (86.56%).
• الاتساق عبر النماذج: كانت استراتيجيات الهجوم فعالة عبر جميع النماذج التي تم تقييمها (Gemini، SORA، Grok، Qwen)، حيث حققت استراتيجية MSA باستمرار معدلات نجاح تتجاوز 69% في كل منصة.
• المقارنة مع النماذج المرجعية: بينما حققت الهجمات القائمة على التحسين (مثل PLA-T5) معدلات نجاح مطلقة أعلى قليلاً، إلا أن الطرق منخفضة الجهد حققت أداءً تنافسياً دون الحاجة إلى الوصول إلى النموذج، أو التدرجات، أو البحث التكراري. وهذا يسلط الضوء على أن "حاجز الدخول" للهجمات الناجحة أقل بكثير مما كان يُفترض سابقاً.

5. الأهمية والآثار المترتبة

• الفجوة في آليات السلامة: تكشف النتائج عن فجوة حرجة بين تصفية المطالبات السطحية (مطابقة الكلمات المفتاحية) والفهم الدلالي العميق المطلوب لاكتشاف القصد الخصمي. تعاني الأنظمة الحالية في تفسير السياق، والقصد، والغموض.
• قابلية توسع التهديدات: نظرًا لأن هذه الهجمات تتطلب لغة طبيعية فقط ولا تتطلب خبرة تقنية، فإنها قابلة للتوسع بشكل كبير. يمكن مشاركتها بسهولة في المجتمعات عبر الإنترنت أو أتمتتها بواسطة نماذج لغوية خفيفة، مما يشكل خطراً كبيًراً على النشر في العالم الحقيقي.
• توصيات الدفاع: يدعو المؤلفون إلى تحول في استراتيجيات الدفاع:
  • الانتقال من تصفية الكلمات المفتاحية إلى الاستدلال الدلالي المدرك للسياق.
  • تنفيذ فحوصات اتساق متعددة المراحل بين قصد المطالبة والصورة المولدة.
  • دمج تحويلات المطالبات منخفضة الجهد في عمليات اختبار الاختراق (red-teaming) والتدريب الخصومي لتعكس سلوكيات المستخدمين الواقعية بشكل أفضل.
• الأثر الأوسع: تؤكد الورقة أن السلامة في الذكاء الاصطناعي التوليدي لا يمكن أن تعتمد فقط على التدقيق اللاحق أو القواعد الثابتة، بل تتطلب نهجاً شاملاً يأخذ في الاعتبار المرونة الدلالية للغة الطبيعية وإمكانية وجود قصد ضمني لتجاوز سياسات السلامة الصريحة.

ختاماً، تثبت الورقة أن أنظمة تحويل النص إلى صورة الحديثة معرضة جوهرياً للتلاعب بالمطالبات البسيطة التي يصيغها البشر، مما يتحدى الافتراض بأن فلاتر السلامة قوية في مواجهة المستخدمين غير الخبراء.