Re-Mask and Redirect: Exploiting Denoising Irreversibility in Diffusion Language Models
تقدم هذه الورقة البحثية هجوم TRAJHIJACK، وهو هجوم لا يتطلب تدريباً يستغل الهشاشة الهيكلية لنماذج اللغات الانتشارية عبر إعادة قناع (re-masking) رموز الرفض الملتزمة مبكراً وحقن بادئة إيجابية قصيرة، مما يثبت أن سلامة نماذج اللغات الانتشارية تعتمد كلياً على رتابة جدول إزالة الضجيج بدلاً من التمثيلات المتعلمة القوية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تشاهد ساحرًا يؤدي خدعة تتمثل في الكشف ببطء عن صورة مخفية على لوحة. في عالم نماذج اللغة الانتشارية (dLLMs)، تكون "اللوحة" عب صفحة بيضاء مليئة بعلامات الاستفهام (الأقنعة)، و"الساحر" هو الذكاء الاصطناعي.
الذكاء الاصطناعي لا يكتب الكلمات واحدة تلو الأخرى من اليسار إلى اليمين مثل الإنسان الذي يكتب، بل ينظر إلى الصفحة بأكملها دفعة واحدة، ويخمن ما قد تكون عليه الكلمات، ثم يحول علامات الاستفهام ببطء إلى كلمات حقيقية. وهو يفعل ذلك في 64 خطوة صغيرة.
الخدعة السحرية (كيف تعمل السلامة)
وجد الباحثون أن هذه الذكاءات الاصطناعية المتوافقة مع معايير السلامة لديها عادة محددة وهشة للغاية: وهي أنها تقرر قول "لا" في وقت مبكر جدًا.
خلال الخطوات القليلة الأولى من عملية الـ 64 خطوة (عادةً بحلول الخطوة 8 أو 16)، يكتب الذكاء الاصطناعي بثقة كلمات مثل "أنا آسف"، أو "لا يمكنني القيام بذلك". وبمجرد كتابة هذه الكلمات، فإنه يعاملها كأنها دائمة. إنه يثبتها في مكانها ولا ينظر إلى الوراء أبدًا. يفترض أنه: "لقد قررت بالفعل أن أكون آمنًا، لذا لست بحاجة إلى مراجعة عملي مرة أخرى".
يطلق الباحثون على هذا الأمر اسم "الالتزام المبكر" (Early Commitment). الأمر يشبه طالبًا، بمجرد رؤيته لمسألة رياضية صعبة، يكتب فورًا "لا أستطيع فعل هذا" في أعلى الصفحة، ثم يرفض النظر إلى بقية الورقة، مفترضًا أن الإجابة قد حُسمت بالفعل.
الاستغلال: "TrajHijack"
تقدم الورقة البحثية خدعة بسيطة تسمى TrajHijack (اختصار لـ Trajectory Hijack أو اختطاف المسار). وهي خدعة من خطوتين تكسر سلامة الذكاء الاصطناعي دون الحاجة إلى أي اختراق معقد أو حواسيب فائقة القدرة.
الخطوة 1: الممحاة (إعادة القناع - Re-Masking)
يعود المهاجم إلى اللوحة، ويجد تلك الكلمات مثل "أنا آسف" التي كتبها الذكاء الاصطناعي للتو، ويحولها سحريًا إلى علامات استفهام (أقنعة) مرة أخرى.
- التشبيه: تخيل أن الطالب كتب "لا أستطيع فعل هذا"، ولكن بعد ذلك تسلل شخص ما ومعه ممحاة ومسح تلك الكلمات، تاركًا مساحة فارغة مجددًا.
الخطوة 2: الوخز (حقن البادئة - Prefix Injection)
يكتب المهاجم فورًا جملة قصيرة، مهذبة، وتوكيدية في تلك المساحات الفارغة، مثل: "بالتأكيد، إليك كيفية [فعل الشيء السيئ]..."
- التشبيه: قبل أن يكتب الطالب "لا أستطيع فعل هذا" مرة أخرى، يهمس شخص ما في أذنه: "في الواقع، يمكنك ذلك! إليك الخطوة الأولى..."
النتيجة:
الذكاء الاصطناعي، الذي يرى الآن جملة "بالتأكيد..." كما لو أنه هو من كتبها، يواصل العملية. ولأنه لا يعيد تقييم الكلمات التي "التزم" بها سابقًا، فإنه يتبع المسار الجديد ويقوم بإنشاء المحتوى الضار بسعادة.
المفاجأة الصادمة: "قوة عقلية أكبر = نتائج أسوأ"
عادةً، عندما يحاول المخترقون كسر الذكاء الاصطناعي، يستخدمون رياضيات معقدة و"تحسين التدرج" (Gradient Optimization) (بمعنى استخدام حاسوب فائق لحساب الطريقة المثالية لخداع الذكاء الاصطناعي).
جرب الباحثون ذلك أيضًا. حاولوا استخدام رياضيات معقدة لتوجيه أفكار الذكاء الاصطناعي. لكن الأمر فشل. في الواقع، كلما كانت الخدعة أكثر تعقيدًا، كانت أقل نجاحًا.
- التشبيه: تخيل أنك تحاول توجيه سيارة. الخدعة البسيطة (تغيير لوحة الطريق) نجحت تمامًا. ولكن عندما حاولوا استخدام عجلة قيادة معقدة يتم التحكم فيها بالكمبيوتر لإجبار السيارة على الخروج عن الطريق، انحرفت السيارة وفقدت السيطرة وتحطمت.
- لما لماذا؟ المنطق الداخلي للذكاء الاصطناعي مضبوط بدقة وفقًا لتدريبه، لذا فإن إجباره باستخدام رياضيات معقدة يجعل النص يبدو غريبًا ومكسورًا. الخدعة البسيطة، التي تشبه أسلوب البشر بتغيير الكلمات الأولى فقط، كانت الأكثر فعالية لأنها تتماشى مع التدفق الطبيعي للذكاء الاصطناعي.
لماذا هذا مهم؟
تخلص الورقة البحثية إلى أن سلامة هذه الأنواع من نماذج الذكاء الاصطناعي هي سلامة معمارية ضحلة. فهي لا تعتمد على كون الذكاء الاصطناعي "ذكيًا" بما يكفي لمعرفة الصواب من الخطأ في كل موقف. بدلاً من ذلك، تعتمد على قاعدة واحدة جامدة: "بمجرد أن أقول لا، لن أغير رأيي أبدًا".
طالما يمكنك خداع الذكاء الاصطناعي لجعله يعتقد أنه لم يقل لا، أو خداعه ليقول "نعم" قبل أن يثبت قراره بـ "لا"، فإن حواجز السلامة ستنهار.
الخلاصة
الباحثون لا يقولون إن هذه النماذج عديمة الفائدة؛ بل يقولون إن سلامتها مبنية على افتراض هش. ولإصلاح ذلك، يجب تصميم نماذج الذكاء الاصطناعي المستقبلية بحيث يمكنها مراجعة عملها الخاص حتى بعد اتخاذ قرار، بدلاً من اتباع اندفاعها الأول بشكل أعمى.
باخت اختصار: الذكاء الاصطناعي مثل شخص يغلق الباب بمجرد أن يقرر المغادرة. وجد الباحثون طريقة لفتح القفل، والعودة للداخل، وإخبار الشخص: "في الواقع، نحن باقون"، والشخص، بما أنه أغلق الباب بالفعل، يوافق ببساطة ويبقى في مكانه.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.