🤖 AI

Strengthening Human-Centric Chain-of-Thought Reasoning Integrity in LLMs via a Structured Prompt Framework

تقترح هذه الورقة إطار عمل مهيكل لهندسة الأوامر البرمجية يتألف من أربعة أبعاد جوهرية لتعزيز النزاهة والموثوقية والقابلية للتفسير في تسلسل التفكير (Chain-of-Thought) في النماذج اللغوية الكبيرة المحلية للمهام الحساسة أمنياً، مما يظهر مكاسب كبيرة في الأداء ونتائج قوية تم التحقق منها بشرياً في كشف هجمات حجب الخدمة الموزعة (DDoS) دون الحاجة إلى إعادة تدريب مكلفة للنماذج.

المؤلفون الأصليون: Jiling Zhou, Aisvarya Adeseye, Seppo Virtanen, Antti Hakkala, Jouni Isoaho

نُشر 2026-04-07

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Jiling Zhou, Aisvarya Adeseye, Seppo Virtanen, Antti Hakkala, Jouni Isoaho

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك متدرباً ذكياً للغاية ولكنه حرفي جداً في فهم الأمور، يدعى AI. هذا المتدرب ذكي جداً ويمكنه قراءة ملايين الكتب، ولكن إذا سألته سؤالاً غامضاً مثل: "هل حركة مرور الشبكة هذه غريبة؟"، فقد يصاب بالذعر. قد يبدأ في التخمين، أو اختلاق حقائق قرأها في رواية، أو يضيع في أفكاره الخاصة. وفي عالم الأمن السيبراني، حيث يمكن أن تعني التخمينة الخاطئة اختراقاً هائلاً للبيانات، فإن هذا المتدرب الذي "يهلوس" يعد كابوساً.

هذه الورقة البحثية تتحدث عن إعطاء هذا المتدرب قائمة مراجعة صارمة وخطوة بخوة لكي يؤدي عمله بشكل مثالي، حتى لو كان يعمل على جهاز كمبيوتر محلي صغير بدلاً من حاسوب عملاق في السحابة.

إليك تفصيل الورقة البحثية باستخدام تشبيهات بسيطة:

1. المشكلة: المتدرب "المخمن عشوائياً"

في الماضي، حاول الباحثون جعل الذكاء الاصطناعي أكثر ذكاءً عبر جعل الذكاء الاصطناعي "أكبر" فقط (أي إعطاؤه قدرة دماغية أكبر). لكن الذكاء الاصطناعي الكبير مكلف، بطيء، وأحياناً لا يزال يختلق الحقائق.

المشكلة: عندما تطلب من ذكاء اصطناعي محلي (يعمل على خادم مكتبك الخاص) اكتشاف هجوم سيبراني، فإنه غالباً ما يقفز إلى استنتاجات. قد يقول: "يبدو هذا هجوماً من نوع DDoS!" ولكن عندما تسأله لماذا، يقول: "لأن الأرقام شعرت بالغضب". هذا ليس كافياً لخبير أمني.
الهدف: أراد المؤلفون إيقاف الذكاء الاصطناعي عن التخمين وإجباره على التفكير مثل المحقق البشري.

2. الحل: "قائمة مراجعة المحقق" (التحفيز المهيكل)

بدلاً من مجرد طرح سؤال على الذكاء الاصطناعي، أنشأ المؤلفون قائمة مراجعة مكونة من 16 نقطة (تسمى "إطار التحفيز المهيكل"). فكر في هذا الأمر كأنه قائمة مراجعة الطيران للطيار. الطيار لا "يطير" فحسب؛ بل يفحص الوقود، والأسطح المتحركة، والارتفاع، والطقس بترتيب محدد.

تجبر هذه القائمة الذكاء الاصطناعي على القيام بأربعة أشادات محددة قبل إعطاء الإجابة:

معرفة القواعد (السياق): "أنا خبير أمني، ويمكنني فقط النظر إلى البيانات التي قدمتها لي. لا يمكنني التخمين بناءً على حقائق خارجية."
عرض العمل (الدليل): "لا تخبرني فقط أنه هجوم. أرني أرقام حركة المرور المحددة التي تثبت ذلك."
اتباع مسار منطقي (الهيكل): "أولاً، انظر إلى البيانات. ثانياً، ابحث عن الأنماط الغريبة. ثالثاً، قارنها بالهجمات المعروفة. رابعاً، أعطِ الحكم النهائي."
التحقق المزدوج (التحقق): "هل يتوافق استنتاجك بالفعل مع الأدلة التي أدرجتها للتو؟"

3. التجربة: "أرض التدريب"

اختبر الباحثون قائمة المراجعة هذه على سيناريو هجوم DDoS (نوع من الهجمات السيبرانية التي تغمر الشبكة بحركة مرور كثيفة).

الاختبار: استخدموا أحجاماً مختلفة من نماذج الذكاء الاصطناعي (من النماذج الصغيرة والخفيفة إلى الضخمة والقوية).
المقارنة: طلبوا من الذكاء الاصطناعي اكتشاف الهجمات بدون قائمة المراجعة (غير مهيكل) ومع قائمة المراجعة (مهيكل).
الحكام البشريون: قام خبيران أمنيان بشريان بقراءة إجابات الذكاء الاصطناعي وتقييم مدى منطقيتها وأمانتها.

4. النتائج: النماذج الصغيرة تتألق بوجود دليل

إليك الجزء الأكثر إثارة للدهشة في القصة:

الدقة: ساعدت قائمة المراجعة الذكاء الاصطناعي على الحصول على الإجابة الصحيحة (اكتشاف الهجوم) بشكل أفضل قليلاً (حوالي 1-5% تحسن).
الاستنتاج: ساعدت قائمة المراجسة الذكاء الاصطناعي على شرح إجابته بشكل أفضل بمراحل. بالنسبة لنماذج الذكاء الاصطناعي الأصغر والأرخص، قفزت جودة استنتاجها بنسبة تصل إلى 40%.

التشبيه:
تخيل أن الذكاء الاصطناعي المحلي الصغير هو مثل محقق مبتدئ والذكاء الاصطناعي السحابي الضخم هو مثل محقق خبير.

بدون قائمة المراجعة، يخمن المحقق المبتدئ بعشوائية، بينما يكون المحقق الخبير أفضل قليلاً في التخمين فقط.
مع قائمة المراجعة، يبدأ المحقق المبتدئ فجأة في التفكير تماماً مثل المحقق الخبير. يتوقفون عن التخمين ويبدأون في اتباع الأدلة. لم تجعل قائمة المراجعة الذكاء الاصطناعي أكثر ذكاءً فحسب؛ بل جعلته أكثر موثوقية.

5. لماذا هذا مهم؟

في الأمن السيبراني، لا يكفي أن تكون على صواب فحسب؛ بل يجب أن تكون قادراً على إثبات أنك على صواب.

إذا قال الذكاء الاصطناعي: "احظر حركة المرور هذه"، يحتاج البشر لمعرفة لماذا.
إذا قال الذكاء الاصطناعي: "احظرها لأن حجم حركة المرور ارتفع بنسبة 200% ويتطابق مع نمط معروف لشبكة بوت نت (Botnet)"، فهذا أمر قابل للتنفيذ.
إذا قال الذكاء الاصطناعي: "احظرها لأنها تبدو مشبوهة"، فهذا أمر عديم الفائدة.

الخلاصة

لا تحتاج دائماً إلى حاسوب عملاق بمليارات الدولارات للقيام بعمل رائع في الأمن السيبراني. إذا أعطيت ذكاءً اصطناعياً أصغر وأرخص طريقة تفكير صارمة ومهيكلة (مثل قائمة مراجعة المحقق)، فيمكنه الأداء بمستوى يقارب العمالقة، مع الميزة الإضافية المتمثلة في كونه شفافاً، صادقاً، وسهل التدقيق.

باخت-القول: لا تكتفِ بجعل الذكاء الاصطناعي أكبر؛ بل علمه كيف يفكر.

1. بيان المشكلة

بينما تُستخدم النماذج اللغوية الكبيرة (LLMs) بشكل متزايد في الأمن السيبراني للكشف عن التهديدات وتحليل الحوادث، تظل موثوقيتها في السياقات الحساسة أمنياً مصدر قلق بالغ.

المشكلة الجوهرية: غالبًا ما تؤدي تقنيات "سلسلة الأفكار" (Chain-of-Thought - CoT) القياسية إلى الهلوسة، والقفزات المنطقية، وانحراف الاستدلال، لا سيما في عمليات نشر النماذج المحلية التي تفتقر إلى طبقات المحاذاة الأمنية المدمجة الموجودة في النماذج السحابية المملوكة لشركات كبرى.
الفجوة: يركز بحث هندسة الأوامر (Prompt Engineering) الحالي بشكل كبير على تحسين الخوارزميات أو مقاييس الأداء (الدقة)، لكنه يفشل في معالجة القابلية للتتبع، والتأصيل القائم على الأدلة، والمحاذاة المعرفية المطلوبة من قبل محللي الأمن البشريين. في السيناريوهات عالية المخاطر، يكون التصنيف الدقيق بدون سلسلة استدلال قابلة للتحقق وقائمة على الأدلة عديم الفائدة تشغيليًا وقد يكون خطيرًا.
التحدي المحدد: النماذج المحلية (مثل Llama وGemma) أكثر حساسية لمدخلات الأوامر وأكثر عرضة للتعميم المفرط أو تجاهل حدود النطاق مقارنة بالنماذج السحابية الأكبر، مما يستليزم آلية خفيفة الوزن وقابلة للتحكم لتوجيه الاستدلال دون الحاجة إلى إعادة تدريب مكلفة.

2. المنهجية

تقترح الدراسة إطار عمل لهندسة الأوامر المهيكلة مصمم لفرض نزاهة الاستدلال المتمحور حول الإنسان. تتضمن المنهجية دراسة حالة حول كشف هجمات حجب الخدمة الموزعة (DDoS) باستخدام بيانات حركة مرور الشبكات المعرفة برمجياً (SDN).

أ. إطار عمل الأوامر المهيكلة

يقدم إطار العمل تقسيمًا منهجيًا بين الأوامر النظامية (System Prompts) (قيود السلوك العالمية) وأوامر المستخدم (User Prompts) (التعليمات الخاصة بالمهمة)، مع تنظيم 16 عامل تحكم ضمن أربعة أبعاد أساسية:

التحكم في السياق والنطاق: تحديد دور المحلل، وقصر المهمة على مجموعة البيانات المقدمة، ومنع الافتراضات غير المعلنة أو تسرب المعرفة الخارجية.
التأصيل بالأدلة والقابلية للتتبع: فرض ضرورة استناد الاستدلال إلى سمات محددة وقابلة للقياس من مجموعة البيانات (مثل معدلات حركة المرور، والاعتلاج/Entropy) وتطلب الاستشهاد الصريح بالدليل لكل استنتاج.
هيكل الاستدلال والتحكم المعرفي: فرض مخطط مخرجات محدد (ملاحظة $\leftarrow$ دليل $\leftarrow$ استنتاج)، والتحكم في عمق الاستدلال لمنع التوسع المفرط، وتطلب تقدمًا منطقيًا خطوة بخوة.
القيود التحليلية الخاصة بالأمن: محاذاة الاستدلال مع التصنيفات الهجومية الراسخة (الهجمات الحجمية، البروتوكولية، وطبقات التطبيقات) وفرض المنطق الزمني للأنماط الشاذة القائمة على الاتجاهات.

ب. الإعداد التجريبي

مجموعة البيانات: 400 عينة من مجموعة بيانات عامة لـ DDoS SDN (تتكون من 23 سمة، مصنفة كـ "هجوم" مقابل "طبيعي").
النماذج التي تم تقييمها: مجموعة متنوعة من النماذج المحلية (Gemma, Llama, Qwen, GPT-OSS) تتراوح أحجامها من 2 مليار إلى 70 مليار معلمة (Parameter)، بالإضافة إلى نموذج سحابي كمرجع أساسي (ChatGPT-5.1).
الظروف: تم اختبار النماذج تحت أوامر غير مهيكلة (الأساس) مقابل أوامر مهيكلة (باستخدام إطار العمل). تم إنشاء الأوامر يدويًا وعبر الذكاء الاصطناعي (ChatGPT) لاختبار المتانة.
مقاييس التقييم:
- التصنيف: الدقة (Accuracy)، الضبط (Precision)، الاستدعاء (Recall)، ومقياس F1-score.
- جودة الاستدلال: تم تقييمها يدويًا من قبل باحثين مستقلين بناءً على التأصيل بالأدلة، والأمانة (عدم وجود هلوسة)، والامتثال الهيكلي، والمحاذاة مع التصنيف. تم قياس موثوقية المقيمين باستخدام معامل كوهين كابا ( $\kappa$ ).

3. المساهمات الرئيسية

إطار عمل مهيكل للنماذج المحلية: إطار عمل مستقل عن النموذج يتضمن 16 عنصر تحكم استدلالي صريح يفصل بين قيود مستوى النظام ومهام مستوى المستخدم، وهو مصمم خصيصًا للحد من الهلوسة وانحراف الاستدلال في عمليات النشر المحلية.
تقييم متمحور حول الإنسان: تقديم منهجية تقييم بشرية صارمة تعطي الأولوية لـ نزاهة الاستدلال (القابلية للتفسير، والقابلية للتتبع) على حساب دقة التصنيف المجردة، والتي تم التحقق من صحتها عبر اتفاق قوي بين المقيمين ( $\kappa > 0.80$ ).
التحقق التجريبي من حساسية الأوامر: إثبات أن الأوامر المهيكلة ليست مجرد خيار أسلوبي بل هي آلية تحكم ضرورية، خاصة للنماذج ذات عدد المعلمات الأقل حيث تعوض عن محدودية عمق الاستدلال.

4. النتائج الرئيسية

جودة الاستدلال مقابل الدقة: حقق إطار العمل مكاسب غير متناسبة في جودة الاستدلال مقارنة بدقة التصنيف.
- النماذج الصغيرة (2B–4B): تحسنت جودة الاستدلال بنسبة 35–40%، بينما كانت مكاسب الدقة متواضعة (~4%).
- النماذج الكبيرة (70B): تحسنت جودة الاستدلال بنسبة 8–12%، مع مكاسب في الدقة بنسبة ~1–2%.
- الاستنتاج: تعمل الأواملة المهيكلة بشكل أساسي على تعزيز القابلية للتفسير والموثوقية، وليس فقط معدلات الكشف.
أداء النماذج:
- اقتربت النماذج المحلية (مثل Llama-70B) باستخدام إطار العمل من أداء النماذج السحابية من حيث استقرار الاستدلال.
- تفوقت الأوامر المُنشأة بواسطة ChatGPT عمومًا على الأوامر المصممة يدويًا، مما يشير إلى أن هيكلة الأوامر بمساعدة الذكاء الاصطناعي يمكن أن تحسن إطار العمل بشكل أكبر.
دراسات الاستئصال (Ablation Studies): أدى حذف عوامل التأصيل بالأدلة إلى أكبر انخفاض في درجات "الأمانة"، مما يؤكد أن ربط الاستدلال بالبيانات هو العامل الأكثر أهمية في منع الهلوسة.
تحليل جبهة باريتو (Pareto Frontier): نقل إطار العمل أداء النموذج نحو "الركن العلوي الأيمن" من مساحة باريتو، مما يشير إلى تحسينات متزامنة في كل من دقة الكشف ومقاييس الاستدلال، حيث كان التحول الرأسي (الاستدلال) أكثر أهمية من التحول الأفقي (الدقة).

5. الأهمية والآثار المترتبة

الموثوقية التشغيلية: في الأمن السيبراني، لا يكفي الكشف بنظام "الصندوق الأسود". يضمن إطار العمل هذا أن القرارات المدفوعة بالذكاء الاصطناعي قابلة للتدقيق، وقابلة للتفسير، ومستندة إلى الأدلة، وهو أمر بالغ الأهمية للتحقق من قبل المحلل والمساءلة.
النشر منخفض التكلفة: يويد بديلاً خفيف الوزن وغير مكلف حاسوبيًا لعمليات ضبط المعلمات (Fine-tuning) أو زيادة حجم النماذج. يمكن للمؤسسات نشر نماذج محلية أصغر (مع الحفاظ على خصوصية البيانات) مع تحقيق موثوقية استدلال تضاهي النماذج الأكبر من خلال الأوامر المهيكلة.
التعاون بين الإنسان والذكاء الاصطناعي: من خلال محاذاة استدلال النماذج اللغوية الكبيرة مع سير العمل المعرفي للإنسان (دليل $\leftarrow$ استنتاج)، يسهل إطار العمل التعاون بين محللي الأمن وأدوات الذكاء الاصطناعي، مما يقلل من العبء المعرفي على المحللين للتحقق من مخرجات الذكاء الاصطناعي.
القابلية للتعميم: رغم اختباره في كشف هجمات DDoS، فإن مبادئ إطار العمل (التحكم في النطاق، التأصيل بالأدلة، القيود الهيكلية) قابلة للتطبيق على مهام الأمن السيبراني الأوسع مثل كشف التسلل وتحليل البرمجيات الخبيثة.

باختصار، يثبت البحث أن هندسة الأوامر المهيكلة هي آلية تحكم حاسمة لنشر ذكاء اصطناعي موثوق، وقابل للتفسير، ومتمحور حول الإنسان في الأمن السيبراني، مما يسد الفجوة بفعالية بين قدرة النموذج الخام والسلامة التشغيلية.