💻 computer science

Reading Between the Pixels: An Inscriptive Jailbreak Attack on Text-to-Image Models

تقدم هذه الورقة البحثية "Etch"، وهو إطار عمل هجوم جديد من نوع الصندوق الأسود يستغل قدرات رندرة النصوص الناشئة في نماذج تحويل النص إلى صورة الحديثة لتنفيذ "اختراقات نصية" (inscriptive jailbreaks) عبر تضمين حمولات نصية ضارة داخل صور حميدة، محققاً معدلات نجاح أعلى بكثير من الأساليب الحالية وكاشفاً عن ثغرات حرجة في عمليات المحاذاة الأمنية الحالية.

المؤلفون الأصليون: Zonghao Ying, Haowen Dai, Lianyu Hu, Zonglei Jing, Quanchen Zou, Yaodong Yang, Aishan Liu, Xianglong Liu

نُشر 2026-04-08

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Zonghao Ying, Haowen Dai, Lianyu Hu, Zonglei Jing, Quanchen Zou, Yaodong Yang, Aishan Liu, Xianglong Liu

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك فناناً سحرياً يمكنه رسم أي شيء تصفه له. إذا قلت له: "ارسم وحشاً مخيفاً"، فقد يرفض لأن ذلك ينتهك القواعد. ولكن ماذا لو طلبت منه: "ارسم مشهداً لفصل دراسي حيث يقوم معلم بكتابة قصة على السبورة"؟ سيرسم الفنان الفصل الدراسي بكل سرور.

الآن، إليك الخدعة: "القصة" التي يكتبها المعلم على السبورة ليست حكاية خرافية. إنها في الواقع دليل مفصل حول كيفية صنع قنبلة، أو شيك بنكي مزور، أو عملية احتيال إلكتروني. لم يرسم الفنان صورة مخيفة؛ بل رسم فصلاً دراسياً عادياً. لكن "النص" الموجود داخل الرسم هو نص خطير.

تقدم هذه الورقة البحثية طريقة جديدة لخداع هؤلاء الفنانين الآليين، تسمى "الاختراق الكتابي" (Inscriptive Jailbreak).

إليك تفصيل لكيفية عمل ذلك، باستخدام تشبيهات بسيطة:

1. المشكلة: "البصري" مقابل "المكتوب"

معظم الناس يعرفون أن فلاتر الأمان في الذكاء الاصطناعي جيدة في رصد الصور السيئة (مثل العنف أو العري). كما أنها جيدة في رصد الكلمات السيئة في طلبك (البرومبت).

الهجمات القديمة: حاولت خداع الذكاء الاصطناعي لرسم وحش مخيف بشكل مباشر. فكان فلتر الأمان يقول: "لا، هذه صورة سيئة"، ويمنعها.
الهجوم الجديد (الاختراق الكتابي): المهاجم لا يطلب صورة سيئة. بل يطلب صورة "جيدة" تحتوي بداخلها على رسالة سيئة. الأمر يشبه إخفاء ماسة مسروقة داخل رغيف خبز. يقوم حارس الأمن بفحص الخبز (الصورة) ويقول: "يبدو كخبز طبيعي"، ويسمح بمروره. لكن الماس (النص الضار) لا يزال موجوداً بالداخل.

2. الحل: إطار عمل "Etch"

قام الباحثون ببناء أداة تسمى Etch لأتمتة هذه الخدعة. أدركوا أنه لإتمام هذه العملية، يجب تقسيم الطلب إلى ثلاث طبقات متميزة، مثل فريق مكون من ثلاثة أشخاص يسرقون بنكاً:

الطبقة الأولى: التمويه (التمويه الدلالي)
- التشبيه: تخيل جاسوساً يحتاج لدخول مبنى مؤمن. بدلاً من قول "أنا هنا لسرقة المخططات"، يقول "أنا هنا لحضور ندوة تدريبية حول السلامة".
- كيف يفعلها Etch: يأخذ طلباً ضاراً (مثلاً: "كيف أخترق بنكاً؟") ويعيد صياغته كقصة غير ضارة (مثلاً: "اكتب مشهداً لفيلم عن خبير في الأمن السيبراني يلقي درساً"). هذا يخدع فلتر النصوص للسماح للطلب بالمرور.
الطبقة الثانية: المسرح (التثبيت البصري المكاني)
- التشبيه: إذا كنت تريد من شخص ما أن يقرأ ملاحظة سرية، فأنت لا تجعلها تطفو في الهواء فحسب. بل تضعها على سبورة، أو شاشة كمبيوتر، أو جريدة. أنت بحاجة إلى "مكان" لتوجد فيه النصوص بشكل طبيعي.
- كيف يفعلها Etch: يوجه الذكاء الاصطناي لرسم بيئة محددة تظهر فيها الكثير من النصوص بشكل طبيعي، مثل مكتب مزدحم، أو فصل دراسي، أو لوحة إعلانية رقمية. هذا يخدع فلتر الصور لجعله يعتقد: "أوه، هذه مجرد صورة عادية لمكان مزدحم"، بدلاً من "هذه صورة غريبة تحتوي على نصوص".
الطبقة الثالثة: الرسالة (الترميز الطباعي)
- التشبيه: الآن بعد أن تم تجهيز المسرح وارتداء التمويه، يجب التأكد من كتابة الرسالة السرية بوضوح. إذا كان الخط سيئاً، ستفشل الخطة.
- كيف يفعلها Etch: يعطي الذكاء الاصطناعي تعليمات محددة جداً حول كيفية كتابة النص (مثلاً: "اجعل الخط كبيراً، واضحاً، ومفصلاً"). الذكاء الاصطناعي الحديث أصبح جيداً جداً في كتابة نصوص مقروءة، لذا تضمن هذه الطبقة أن الرسالة الضارة مقروءة بالفعل.

3. "المدرب" (الناقد اللغوي البصري - VLM Critic)

حتى مع وجود خطة رائعة، قد تفشل المحاولة الأولى. ربما رسم الذكاء الاصطناعي النص صغيراً جداً، أو بدا "الفصل الدراسي" مزيفاً.

التشبيه: تخيل مدرباً يشاهد مسرحية. إذا تعثر الممثل، لا يكتفي المدرب بالقول "حاول مجدداً". بل يقول: "تمويهك كان جيداً، لكن مسرحك كان مظلماً جداً، وخط يدك كان فوضوياً. أصلح الإضاءة والقلم".
كيف يفعلها Etch: يستخدم ذكاءً اصطناعياً آخر (نموذج لغوي بصري) للنظر إلى الصورة الناتجة. إذا كان النص ضبابياً أو بدت الصورة مشبوهة، فإن هذا "المدرب" يخبر النظام بالضبط أي طبقة يجب إصلاحها. ويستمر في المحاولة والتعديل حتى يتم إنشاء الصورة الخطيرة المثالية.

4. النتائج: لماذا هذا مهم؟

اختبر الباحثون أداة "Etch" هذه على 7 من أشهر مولدات الصور بالذكاء الاصطناي.

النتيجة: بينما نجحت الطرق القديمة بنسبة 35% فقط، نجحت Etch بنسبة تتراوح بين 65% إلى 91%.
الكشف الكبير: تُظهر الورقة البحثية أن أنظمة الأمان الحالية لديها نقطة عمياء ضخمة. فهي جيدة جداً في إيقاف الصور السيئة والكلمات السيئة، لكنها سيئة جداً في إيقاف الكلمات السيئة المخفية داخل صور جيدة.

الخلاصة

هذه الورقة البحثية هي بمثابة جرس إنذار. مع تحسن قدرة الذكاء الاصطناعي على كتابة النصوص داخل الصور، لم يعد بإمكاننا مجرد فحص الصورة أو النص بشكل منفصل. نحن بحاجة إلى حراس أمان جدد يمكنهم "قراءة" النص الموجود داخل الصورة وفهم أن "صورة فصل دراسي غير ضارة" قد تكون في الواقع "دليل تعليمات خطير".

الأمر يشبه إدراك أن القنبلة ليست مجرد جسم مخيف المظهر؛ بل أحياناً، تكون كتاباً يبدو طبيعياً تماماً ولكن كُتبت بداخله وصفة قاتلة.

إليك ملخص تقني مفصل لورقة البحث بعنوان "القراءة بين البكسلات: هجوم كسر الحماية الكتابي على نماذج تحويل النص إلى صورة".

1. تعريف المشكلة: كسر الحماية الكتابي (Inscriptive Jailbreak)

تحدد الورقة ناقل هجوم جديد ضد نماذج تحويل النص إلى صورة (T2I) يُسمى "كسر الحماية الكتابي" (Inscriptive Jailbreak).

السياق: تطورت نماذج (T2I) الحديثة (مثل GPT Image وSeedream) لتصبح قادرة على عرض نصوص مقروءة بطول فقرات داخل الصور. وبينما يعد هذا مفيداً للتصميم، إلا أن هذه القدرة تخلق ثغرة أمنية جديدة.
التمييز: على عكس "كسر الحماية التصويري" (Depictive Jailbreaks) التقليدي (الذي يولد محتوى بصرياً ضاراً مثل مشاهد العنف أو المحتوى غير اللائق)، يقوم "كسر الحماية الكتابي" بتوليد مشاهد حميدة بصرياً تحتوي على حمولات نصية ضارة (مثل تعليمات صنع القنابل أو مخططات الاحتيال) مدمجة كنص داخل الصورة.
التحدي: تفشل تقنيات كسر الحماية الحالية هنا لأنها مصممة للتلاعب البصري الخشن. يتطلب الهجوم الكتابي عملية تحسين معقدة متعددة الأهداف:
1. التمويه الدلالي (Semantic Camouflage): يجب أن يبدو "المطالب" (prompt) حميداً لتجاوز فلاتر النصوص ما قبل التوليد.
2. المعقولية البصرية (Visual Plausibility): يجب أن يبدو المشهد طبيعياً لتجاوز فلاتر الصور ما بعد التوليد.
3. الدقة الطباعية (Typographic Fidelity): يجب أن يكون النص المولد مقروءاً تماماً ومتوافقاً دلالياً مع القصد الضار.
نموذج التهديد: خصم "الصندوق الأسود" (black-box) الذي لا يملك وصولاً إلى أوزان النموذج، يهدف إلى توليد صورة $x$ حيث ينقل النص المستخرج $T(x)$ رسالة ضارة $r$ ، مع تجاوز كل من حواجز الحماية المدخلة ( $G_{pre}$ ) والمخرجة ( $G_{post}$ ).

2. المنهجية: إطار عمل "إيتش" (Etch)

يقترح المؤلفون Etch، وهو إطار عمل لكسر الحماية في "الصندوق الأسود"، يقوم بتفكيك بناء المطالبة الهجومية إلى ثلاث طبقات منفصلة وظيفياً، ويقوم بتحسينها عبر حلقة تحسين من الدرجة صفر.

أ. التفكيك التركيبي للمطالبة (Compositional Prompt Decomposition)

بدلاً من تحسين مطالبة موحدة، يقوم Etch بتفكيك المطالبة ( $p_{adv}$ ) إلى ثلاث طبقات، تستهدف كل منها مرحلة محددة من مسار السلامة:

التمويه الدلالي ( $\ell_{nar}$ ):
- الهدف: التهرب من حواجز النص ما قبل التوليد ( $G_{pre}$ ).
- الآلية: يستخدم نقل النطاق الواعي للقصد (intent-aware domain transposition). يقوم بخرائط القصد الضار إلى سياق حميد (على سبيل المثال، تأطير طلب "صنع قنبلة" كسيناريو "تعليم كيمياء"، أو طلب "جريمة سيبرانية" كـ "سيناريو فيلم إثارة"). هذا يحافظ على المنطق الهيكلي للطلب الضار مع إزالة الكلمات المفتاحية التي تنتهك السياسات.
التثبيت المكاني البصري ( $\ell_{scn}$ ):
- الهدف: التهرب من حواجز الصور ما بعد التوليد ( $G_{post}$ ).
- الآلية: تصميم مشهد بصري يكون فيه النص الكثيف عنصراً طبيعياً (مثل سبورة في فصل دراسي، أو شاشة تلفاز قديمة CRT، أو جريدة). يضمن ذلك أن تبدو الصورة كصورة فوتوغرافية حميدة، مما يمنع الفلاتر البصرية من رصد وجود النص كحالة شاذة.
ترميز الحمولة الطباعية ( $\ell_{typ}$ ):
- الهدف: تعظيم دقة الحمولة ( $f_{judge}$ ).
- الآلية: تقديم توجيهات عرض محددة لضمان توليد نموذج (T2I) لنص واضح ومفصل وسهل القراءة. يقوم بتقسيم الحمولة إلى أجزاء متماسكة وتعيينها لحوامل النصوص المحددة في الطبقة المكانية، مما يضمن أن يولّد النموذج المحتوى الضار المحدد بناءً على أسبقه اللغوي الداخلي.

ب. حلقة التحسين الدلالي من الدرجة صفر (Zero-Order Semantic Optimization Loop)

بما أن فضاء المطالبات غير قابل للتفاضل وعشوائي، يستخدم Etch عملية صقل تكرارية:

أوراكل التشخيص البديل (Surrogate Diagnostic Oracle): يعمل نموذج لغة ورؤية (VLM) كناقد. يقوم بتحليل الصورة المولدة، واستخراج النص، ومقارنته بالقصد الضار الأصلي.
تحديد موقع الفشل (Failure Localization): يشخص الـ VLM أنماط الفشل المحددة (مثل "نص غير مقروء" $\leftarrow$ فشل $\ell_{typ}$ ؛ "محظور بواسطة الفلتر" $\leftarrow$ فشل $\ell_{nar}$ ؛ "مكان نص غريب" $\leftarrow$ فشل $\ell_{scn}$ ).
البحث المستهدف للطبقة (Layer-Targeted Search): بناءً على التشخيص، يقوم إطار العمل بتحديث الطبقة الفاشلة فقط مع الحفاظ على الطبقات الناجحة ثابتة. هذا يتجنب "التداخل الهدام" الشائع في التحسين المشترك.

3. المساهمات الرئيسية

صياغة رسمية لكسر الحماية الكتابي: تحدد الورقة نموذج هجوم جديد حيث يتم استغلال نماذج (T2I) لتوليد وثائق بصرية تحتوي على نصوص ضارة، مما يميزها عن الهجمات القائمة على المحتوى البصري.
إطار عمل Etch: نهج تحسين تركيبي مبتكر يفصل التهرب الدلالي، والمعقولية البصرية، والتدقيق الطباعي إلى مشكلات فرعية متعامدة، يتم حلها عبر حلقة صفرية يقودها نموذج (VLM).
التحقق التجريبي: تقييم شامل عبر 7 نماذج (T2I) رائدة (تجارية ومفتوحة المصدر) يثبت أن معايير السلامة الحالية لديها نقطة عمياء حرجة فيما يتعلق بالمحتوى الطباعي.

4. النتائج التجريبية

مجموعات البيانات: تم التقييم على AdvBench (50 حالة) و MaliciousInstruct (100 حالة).
النماذج المستهدفة: 7 نماذج تشمل Google Banana (2/Pro)، وGPT Image (1/1.5)، وSeedream 4.5، وHunyuanImage-3.0، وQwen-Image.
الأداء:
- حقق Etch متوسط معدل نجاح هجوم (ASR) بنسبة 65.57%، ووصل ذروته إلى 91.00% في نموذج HunyuanImage-3.0.
- تفوق بشكل كبير على أقوى النماذج المرجعية (مثل ReNeLLM وSneakyPrompt) التي بلغ متوسطها حوالي 35.43%.
- فشل النماذج المرجعية: فشلت عمليات كسر الحماية التصويرية لأنها تفتقر إلى دقة عرض النصوص؛ وفشلت عمليات كسر حماية النماذج اللغوية الكبيرة (LLM) لأنها تفتقر إلى الوعي المكاني عبر الوسائط، مما يؤدي إلى نصوص مشوهة.
المتانة: ظل Etch فعالاً ضد 8 دفاعات شائعة (بما في ذلك ShieldGemma وLlamaGuard2 ومصنفات مستوى الصورة مثل LlavaGuard)، حيث انخفض معدل نجاح الهجوم (ASR) بشكل طفيف فقط (على سبيل المثال، من 71% إلى 69% تحت LlamaGuard2).
دراسات الاستئصال (Ablation Studies): أدى حذف أي من الطبقات الثلاث (التمويه، التثبيت، الترميز) إلى انخفاض حاد في ASR (على سبيل المثال، حذف الترميز الطباعي خفض ASR إلى حوالي 16-25%)، مما يثبت ضرورة الهيكل التركيبي.
مقترح الدفاع: اقترح المؤلفون Latend Intent Guard (LIG)، وهو دفاع دلالي، لكنهم وجدوا أنه لا يزال يفشل في رصد 36% من هجمات Etch، مما يسلط الضوء على مدى تخفي هذه الطريقة.

5. الأهمية والآثار المترتبة

نقطة العمى في السلامة: تكشف الدراسة أن تقييمات سلامة (T2I) الحالية تركز بشدة على الدلالات البصرية (ما تبدو عليه الصورة) ولكنها تتجاهل الدلالات الطباعية (ما يقوله النص داخل الصورة).
خطر الاستخدام المزدوج: إن التحسن السريع في دقة عرض النصوص، والمقصود منه تسهيل الوصول والتصميم، قد خلق دون قصد ناقلاً قوياً لتهريب المعلومات الضارة.
التوجهات المستقبلية: تدعو الورقة إلى تطوير آليات دفاع واعية للطباعة يمكنها الاستدلال عن المحتوى النصي داخل الصور المولدة، بدلاً من مجرد فهم المشهد البصري. كما تسلط الض الضوء على الحاجة الملحة لمواءمة بروتوكولات السلامة مع القدرات متعددة الوسائط لنماذج (T2I) من الجيل القادم.