💬 NLP

Tug-of-War within A Decade: Conflict Resolution in Vulnerability Analysis via Teacher-Guided Retrieval-Augmented Generations

تقترح هذه الورقة إطار عمل CRVA-TGRAG، وهو إطار عمل ثنائي المراحل يجمع بين تقنيات الاسترجاع المتقدمة وتحسين التفضيلات بتوجيه من المعلم لحل صراعات المعرفة والهلوسة في النماذج اللغوية الكبيرة عند تحليل الثغرات الأمنية السيبرانية التي يتم تحديثها بشكل متكرر.

المؤلفون الأصليون: Ziyin Zhou, Jianyi Zhang, Xu ji, Yilong Li, Jiameng Han, Zhangchi Zhao

نُشر 2026-04-17

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Ziyin Zhou, Jianyi Zhang, Xu ji, Yilong Li, Jiameng Han, Zhangchi Zhao

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة البحث "صراع الجذب خلال عقد من الزمان" (Tug-of-War within A Decade) باستخدام لغة بسيطة، وتشبيهات إبداعية، واستعارات.

المشكلة الكبرى: "الموسوعة القديمة" مقابل "شريط الأخبار المباشر"

تخيل أن لديك طالباً عبقرياً (الذكاء الاصطناعي) قد حفظ موسوعة ضخمة من حقائق أمن الكمبيوتر في عام 2023. هذا الطالب ذكي، لكن موسوعته ثابتة لا تتغير.

الآن، تخيل أن عالم أمن الكمبيوتر يشبه شريط أخبار مباشر. في كل ساعة، تظهر قصص جديدة: مخترق يجد طريقة جديدة لاختراق نظام ما، أو شركة تقوم بسد ثغرة قديمة. هذه التحديثات تحدث بسرعة تجعل موسوعة الطالب قد أصبحت قديمة بالفعل بحلول الوقت الذي يقرأها فيه.

الصراع:
إذا سألت الطالب: "ما هي أحدث طريقة لاختراق إطار عمل .NET؟" فقد يستخرج حقيقة من موسوعته القديمة (من عام 2020) ويخبرك بثقة أنها الأحدث. لكن في الواقع، تم إصدار نسخة جديدة أكثر خطورة بالأمس فقط.

الطالب يقول: "الطريقة القديمة هي الأحدث." (هلوسة/صراع)
الواقع يقول: "لا، إليك الطريقة الجديدة." (الحقيقة)

هذا يخلق "صراع جذب" (Tug-of-War) داخل عقل الذكاء الاصطناعي. فهو لا يعرف أي حقيقة يثق بها: ذاكرته الخاصة أم المعلومات الجديدة التي قدمتها له للتو.

الحل: CRVA-TGRAG (نظام "بإرشاد المعلم")

يقترح المؤلفون نظاماً من خطوتين لإصلاح ذلك، وهو ما يسمونه CRVA-TGRAG. فكر في الأمر كجلسة دراسية ذكية حيث يساعد معلم الطالب على تعلم المواد الأحدث دون أن يصاب بالارتباك بسبب ملاحظاته القديمة.

الخطوة 1: تجديد المكتبة (مرحلة الاسترجاع - Retrieval Stage)

قبل أن يتمكن الطالب من الإجابة، نحتاج للتأكد من أنه يجد الكتاب الصحيح في المكتبة.

المشكلة: في المكتبة العادية، تُكدس الكتب فوق بعضها البعض. إذا طلبت "CVE-2024"، فقد يلتقط أمين المكتبة كتاباً يبدو مشابهاً ولكنه في الواقع يتحدث عن "CVE-2020" لأن العناوين متقاربة جداً.
الحل (تقسيم المستند الأب - Parent Document Segmentation): تخيل أن أمين المكتبة لا يلتقط كتاباً كاملاً فحسب، بل يستخدم ماسحاً ضوئياً ذكياً لتقطيع الكتب إلى أجزاء منطقية ومثالية. إنه يضمن بقاء كل المعلومات المتعلقة بـ "CVE-2024" في كومة واحدة مرتبة، وألا تختلط بالخطأ مع "CVE-2020".
الحل (الاسترجاع الجماعي - Ensemble Retrieval): يستخدم أمين المكتبة محركي بحث في وقت واحد. أحدهما يبحث عن كلمات مفتاحية دقيقة (مثل حل لغز الكلمات المتقاطعة)، والآخر يبحث عن معنى الكلمات (مثل فهم الإنسان للسياق). ومن خلال الجمع بين هذين الاثنين، يجد أمين المكتبة الصفحة المحددة الصحيحة في كل مرة.

الخطوة 2: توجيه المعلم (مرحلة التوليد - Generation Stage)

الآن يمتلك الطالب الصفحات الصحيحة، لكن لا تزال لديه عادة الثقة في ذاكرته القديمة. إنه بحاجة إلى معلم ليرشده.

المشكلة: حتى مع وجود الصفحات الصحيحة، قد يتجاهلها الطالب ويقول: "أتذكر أن الأمر كان مختلفاً!"
الحل (تفضيل إرشاد المعلم - Teacher-Guided Preference): يعمل المؤلفون كـ معلم. يأخذون "النسخة القديمة" من الحقيقة و"النسخة الجديدة" من الحقيقة ويعرضونها على الذكاء الاصطناعي.
- المعلم: "انظر، هذا هو الجواب القديم. وهذا هو الجواب الجديد والصحيح. يجب عليك تفضيل الإجابة الجديدة. إذا اخترت القديمة، ستحصل على 'إبهام لأسفل'. إذا اخترت الجديدة، ستحصل على 'إبهام لأعلى'."
النتيجة: من خلال هذا "التوجيه" (المسمى DPO أو تحسين التفضيل المباشر)، يتعلم الذكاء الاصطناعي الثقة في المعلومات الجديدة على ذاكرته القديمة. يتوقف عن التخمين ويبدأ في الاستماع إلى أحدث الحقائق.

التشبيه: إصلاح نظام تحديد المواقع (GPS)

فكر في الذكاء الاصطناعي كنظام تحديد مواقع (GPS).

الخريطة القديمة (الذاكرة الداخلية): يمتلك نظام الـ GPS خريطة للمدينة من عام 2020. هو يعرف أين كانت الطرق موجودة.
حركة المرور في الوقت الفعلي (البيانات الخارجية): تم افتتاح جسر جديد اليوم، وطريق أغلق بالأمس.
الصراع: إذا سألت نظام الـ GPS عن الاتجاهات، فقد يحاول توجيهك عبر جسر لم يعد موجوداً لأن خريطته الداخلية تقول إنه موجود.
حل الورقة البحثية:
- المرحلة 1: يقوم النظام بتنزيل بيانات الخريطة الحالية بالضبط وتنظيمها بحيث لا يرتبك نظام الـ GPS بسبب شوارع متشابهة في المظهر.
- المرحلة 2: يقوم النظام بـ "إعادة تدريب" برنامج الـ GPS. يعلمون الـ GPS: "عندما ترى تنبيهاً بوجود 'طريق جديد'، تجاهل خريطتك القديمة واتبع التنبيه الجديد".

لماذا يهم هذا الأمر؟

في عالم الأمن السيبراني، يمكن أن يكون الخطأ في تاريخ أو إصدار ثغرة ما كارثياً.

إذا اعتمد خبير أمني على ذكاء اصطناعي يعطيه معلومات قديمة، فقد يعتقد أن النظام آمن بينما هو في الواقع مفتوح تماماً أمام المخترقين.
تثبت هذه الورقة أنه من خلال الجمع بين البحث الذكي (إيجاد البيانات الصحيحة) والتوجيه الذكي (تعليم الذكاء الاصطناعي الثقة في البيانات الجديدة)، يمكننا منع الذكاء الاصطناعي من الكذب علينا بشأن أحدث التهديدات.

الخلاصة

بنى المؤلفون نظاماً يعمل مثل معلم صارم ولكن متعاون. أولاً، يتأكدون من أن الذكاء الاصطناعي يجد المستندات الصحيحة والمحدثة، ثم يدربون الذكاء الاصطناعي على تجاهل ذاكراته القديمة والثقة في الحقائق الجديدة. النتيجة هي ذكاء اصطناعي أقل عرضة لـ "الهلوسة" (اختلاق الأمور) وأفضل بكثير في إخبارك بالحقيقة حول أحدث تهديدات الكمبيوتر.

إليك ملخص تقني مفصل لورقة البحث بعنوان: "صراع داخل عقد من الزمن: حل النزاعات في تحليل الثغرات الأمنية عبر التوليد المعزز بالاسترجاع الموجه بالمعلم (CRVA-TGRAG)".

1. بيان المشكلة

تُستخدم النماذج اللغوية الكبيرة (LLMs) بشكل متزايد في تحليل الثغرات الأمنية السيبرانية، وتحديداً فيما يتعلق بالثغرات والتعرضات الشائعة (CVEs). ومع ذلك، فهي تواجه مشكلة حرجة وهي "نزاع المعرفة" (Knowledge Conflict):

الفجوة الزمنية: تمتلك النماذج اللغوية الكبيرة "تاريخ انقطاع معرفي" ثابتاً. وتتطور بيانات الـ CVE بسرعة (غالباً ما يتم تحديثها كل ساعة أو يومياً)، مما يعني أن البيانات الداخلية للنموذج تصبح قديمة بسرعة.
الهلوسة وعدم الاتساق: عند الاستعلام عن ثغرات CVE محدثة، غالباً ما تسترجع النماذج اللغوية الكبيرة معرفة داخلية قديمة، مما يؤدي إلى أخطاء واقعية، أو هلوسات، أو توليد معلومات متضاربة (مثل الاستشهاد بإصدار قديم من CVE بدلاً من أحدث تصحيح متاح).
صعوبات الاسترجاع: تعاني أنظمة الاسترجع المعزز بالتوليد (RAG) التقليدية مع بيانات CVE لأن أرقام CVE المتجاورة غالباً ما تمتلك تشابهاً دلالياً عالياً، مما يسبب ارتباكاً لأنظمة الاسترجاع التي تخلط بين ثغرات متشابهة ولكن متميزة.
نقص مجموعات بيانات النزاع: كان هناك نقص سابق في مجموعات البيانات المنسقة المصممة خصيصاً لاختبار وحل النزاعات بين المعرفة القديمة والجديدة للثغرات.

2. المنهجية: إطار عمل CRVA-TGRAG

يقترح المؤلفون إطار عمل CRVA-TGRAG، وهو إطار مكون من مرحلتين مصمم لحل هذه النزاعات من خلال الجمع بين الاسترجاع المحسن والتفضيل الموجه بالمعلم.

المرحلة الأولى: الاسترجاع والتعزيز المحسن

تركز هذه المرحلة على تحسين دقة استرجاع المعرفة الخارجية الصحيحة قبل وصولها إلى النموذج اللغوي الكبير.

المعالجة المسبقة للبيانات:
- المصادر: واجهة برمجة تطبيقات NVD الرسمية ومجموعات بيانات CVE على GitHub.
- التنسيق: تم التحويل من JSON إلى CSV لتحسين التعامل مع البيانات الوصفية (Metadata).
- توسيم النزاع (Conflict Labeling): استُخدم نموذج لغوي كبير لمقارنة القيم "القديمة" مقابل "الجديدة" للثغرات المعدلة، مما أنتج مجموعة بيانات مهيكلة تسلط الضوء على تغييرات محددة.
تجزئة المستندات الأبوية الدلالية (Semantic Parent Document Segmentation):
- بدلاً من التجزئة ذات الحجم الثابت، يستخدم المؤلفون التشابه الدلالي لتقسيم المستندات.
- الهدف: ضمان بقاء جميع المعلومات المتعلقة بمعرف CVE معين ضمن نفس كتلة النص لتجنب تفتت السياق.
- الآلية: تستخدم تشابه جيب التمام (Cosine Similarity) على التضمينات (Embeddings)؛ وتحدث الانقسامات فقط عندما تتجاوز المسافة بين الجمل عتبة مئوية عالية (على سبيل المثال، المئوية التسعين).
الاسترجاع الجماعي (Ensemble Retrieval):
- يجمع بين BM25 (الفهرسة المعكوسة) والاسترجاع الشعاعي/المتجهي (التشابه الدلالي).
- الأوزان: تم ضبطها على [0.25 لـ BM25، و0.75 للمتجهي] لإعطاء الأولوية للفهم الدلالي مع الحفاظ على دقة الكلمات المفتاحية لمعرفات CVE المحددة.
- توسيع الاستعلام: يقوم باستبدال المرادفات في استعلامات المستخدم لإنشاء استعلامات مشتركة، مما يحسن استرجاع المستندات شديدة التشابه.

المرحلة الثانية: تحسين التفضيل الموجه بالمعلم (التوليد)

تعمل هذه المرحلة على ضبط النموذج اللغوي الكبير ليفضل المعرفة المحدثة المسترجعة في المرحلة الأولى على معلماته الداخلية القديمة.

النهج الموجه بالمعلم: يشبه نهج "المعلم الذي يوجه الطالب عبر تحديثات الكتاب المدرسي". "المعلم" هو مجموعة البيانات المنسقة التي تحتوي على "القيمة الجديدة" الصحيحة مقابل "القيمة القديمة".
تحسين التفضيل المباشر (DPO):
- يقوم النظام بإنشاء مجموعة بيانات تفضيل حيث يكون محتوى CVE المحدث هو الاستجابة "الفائزة" ( $y_w$ )، والمحتوى القديم/غير الصحيح هو الاستجابة "الخاسرة" ( $y_l$ ).
- يتم ضبط النموذج اللغوي الكبير باستخدام DPO لزيادة احتمالية توليد المحتوى المحدث وتقليل المحتوى القديم، مما يؤدي فعلياً إلى "محو التعلم" (Unlearning) للنزاع.

3. المساهمات الرئيسية

أول مجموعة بيانات لنزاع CVE: إنشاء وإصدار مجموعة بيانات تحتوي على 1,260 عنصر نزاع زوجي لـ CVE (منشورة ومعدلة على مدار العقد الماضي)، مع التركيز بشكل خاص على الثغرات عالية الخطورة. وهذا يسد فجوة في أبحاث تحليل الثغرات الأمنية.
إطار عمل CRVA-TGRAG: اقتراح بنية مبتكرة مكونة من مرحلتين تدمج تجزئة المستندات الأبوية الدلالية، والاسترجاع الجماعي، وDPO الموجه بالمعلم.
مقاييس التقييم: وضع معايير تسجيل شاملة تشمل المقاييس القياسية (BLEU, ROUGE) ومقاييس RAG المحددة (الأمانة، دقة السياق، استدعاء السياق) لقياس حل النزاع بصرامة.
تحسينات كبيرة في الأداء: أظهر أن طريقتهم تتفوق بشكل كبير على النماذج المرجعية (Baselines) في حل نزاعات المعرفة.

4. النتائج التجريبية

تم تقييم إطار العمل مقابل نماذج مرجعية مختلفة (بدون مطالبة، مطالبة فقط، RAG بسيط، DPO فقط) باستخدام نماذج مثل GPT-4o-mini وLlama-3 وMistral.

صحة الإجابة (AC): ارتفعت من 0.49 (النموذج المرجعي) إلى 0.76 (+27%).
الأمانة (Faithfulness): ارتفقت من 0.36 إلى 0.88 (+52%).
دقة السياق (CP) والاستدعاء (CR): أظهرت تحسينات جوهرية مقارنة بـ Naive RAG، مما يشير إلى أن النظام يسترجع السياق الأكثر صلة والمحدث بدلاً من مجرد استرجاع أي سياق.
دراسة الاستئصال (Ablation Study): أكدت أن كلاً من المرحلة الأولى (الاسترجاع المحسن) والمرحلة الثانية (ضبط DPO) ضروريان. استخدام DHO وحده بدون RAG أدى إلى دقة ضعيفة، بينما استخدام RAG وحده بدون DPO فشل في حل نزاعات المعرفة الداخلية بفعالية.

5. الأهمية والخاتمة

الأثر العملي: يوفر إطار العمل لباحثي ومهندسي الأمن السيبراني تحليلاً موثوقاً ومحدثاً للثغرات، مما يقلل من خطر الاعتماد على معلومات تهديد قديمة أو هلوسات.
القابلية للتعميم: رغم الترك_يز على CVE، فإن نهج "التوجيه بالمعلم" لحل نزاعات المعرفة عبر ضبط التفضيل يقدم مخططاً لمجالات أخرى سريعة التطور (مثل الإرشادات الطبية أو القوانين القانونية).
العمل المستقبلي: يشير المؤلفون إلى أن الاسترجاع الوكيل (Agentic RAG) (باستخدام محركات البحث عبر الإنترنت مثل Google/Bing جنباً إلى جنب مع قواعد البيانات الرسمية) يمكن أن يخفف أكثر من مشكلات التوقيت الزمني، رغم إشارتهم إلى خطر التلاعب بتحسين محركات البحث (SEO) في عمليات البحث المفتوحة على الويب.

باختصار، يحل CRVA-TGRAG بفعالية "صراع" (Tug-of-War) بين المعرفة الداخلية الثابتة للنماذج اللغوية الكبيرة والواقع الديناميكي الخارجي، وذلك من خلال ضمان أن نظام الاسترجاع يجد البيانات الصحيحة وأن نموذج التوليد مدرب صراحةً على منح الأولوية لتلك البيانات الجديدة.