Minimal, Local, Causal Explanations for Jailbreak Success in Large Language Models

إليك ملخص تقني مفصل لورقة البحث بعنوان "تفسيرات دنيا، محلية، وسببية لنجاح عمليات كسر الحماية (Jailbreak) في النماذج اللغوية الكبيرة."

1. بيان المشكلة

تم ضبط النماذج اللغوية الكبيرة (LLMs) لتكون متوافقة مع معايير السلامة بحيث ترفض الطلبات الضارة، ومع ذلك تظل عرضة لهجمات "كسر الحماية" التي تتجاوز هذه الرفوض. وبينما حددت أبحاث التفسير الآلي السابقة اتجاهات عالمية في فضاء التمثيل تشفر مفاهيم مثل "الضرر" و"الرفض"، فإن هذه التفسيرات العالمية تعاني من قيود جوهرية:

• الافتقار إلى التحديد: تفترض أن جميع عمليات كسر الحماية تنجح عبر نفس الآلية (مثل قمع الضرر)، في حين أن الاستراتيجيات المختلفة قد تتلاعب بمفاهيم وسيطة مختلفة.
• غير محلية: لا تفسر لماذا نجحت حالة معينة من كسر الحماية.
• غير سببية: غالبًا ما ترتبط بالرفض بدلاً من إثبات أن التدخل في تمثيلات محددة يتسبب فعليًا في جعل النموذج يرفض.
• غير دنيا: تتطلب الطرق الموجودة غالبًا تدخلات ضخمة وغير مستهدفة (مثل توجيه جميع الرموز/Tokens) لاستحثاث الرفض، مما يجعلها غير فعالة ويصعب تفسيرها.

يقترح المؤلفون الحاجة إلى تفسيرات محلية، وسببية، ودنيا: أي تحديد أصغر مجموعة من التغييرات المحددة والقابلة للتفسير في التمثيلات الوسيطة لعملية كسر حماية ناجحة، والتي تؤدي سببياً إلى جعل النموذج يرفض.

2. المنهجية: LOCA

قدم المؤلفون منهجية LOCA (التفسيرات المحلية والسببية)، وهي طريقة مصممة لإيجاد الحد الأدنى من التدخلات التي تعيد استجابة كسر الحماية الناجحة إلى حالة الرفض الأصلية.

المكونات الأساسية

1. مطابقة الرموز (Token Matching):

   • نظرًا لأن مطالبات كسر الحماية ($x_j$) والمطالبات الأصلية ($x_o$) غالبًا ما تختلف في الطول والبنية، تستخدم LOCA مخطط مطابقة محددًا.
   • تتجاهل رموز النظام ($T_{sys}$).
   • تقوم بإعادة أخذ عينات (زيادة أو تقليل العينات) لرموز التعليمات ($T_{inst}$) لتتطابق الأطوال، مما يسمح بمطابقة واحد لواحد.
   • تطابق رموز ما بعد التعليمات ($T_{post-inst}$) بشكل مباشر.
   • هذا يتيح ترقيع التنشيط (Activation Patching) بين المطالبات ذات البنى المختلفة.

2. ترقيع التنشيط بدلاً من التوجيه (Activation Patching over Steering):

   • على عكس العمل السابق الذي يستخدم توجيه التنشيط (إضافة ناقلات إلى جميع الرموز)، تستخدم LOCA ترقيع التنشيط. فهي تستبدل تنشيطات وسيطة محددة في مطالبة كسر الحماية بتنشيطات مقابلة من المطالبة الأصلية المرفوضة. يضمن هذا بقاء التغييرات "على المنوال" (داخل توزيع حالات النموذج الصالحة).

3. الاتجاهات القابلة للتفسير (SAEs):

   • لا تقوم LOCA بترقيع اتجاهات عشوائية، بل تقوم بترقيع ناقلات المفاهيم المستمدة من المشفرات التلقائية المتفرقة (SAEs) المدربة على المجرى المتبقي (residual stream) للنموذج. تمثل هذه الناقلات مفاهيم قابلة للتفسير بشريًا (مثل "العنف"، "توليد الكود").

4. التقريب من الدرجة الأولى المتكرر والمحدد لكل رمز:

   • الهدف: تقليل تباعد KL (Kullback–Leibler divergence) بين توزيع احتمالية أول رمز مخرج لمطالبة كسر الحماية ($p_j$) وأول رمز مخرج للمطالبة الأصلية المرفوضة ($p_o$).
   • التقريب: بدلاً من توليد استجابات كاملة لكل عملية ترقيع محتملة (وهو أمر مستعصٍ حاسوبيًا)، تستخدم LOCA تقريبًا من الدرجة الأولى لتقدير تأثير ترقيع الرمز $i$ على طول الاتجاه $v$:
     $$d(i, v) = [\nabla_{h_{j,i}} KL(p_o || p_j) v] \cdot (h_{o, M(i)} - h_{j,i}) v$$
     حيث تمثل $h$ التضمينات (embeddings)، و $M(i)$ هو الرمز المرجعي المطابق، والطرف بين القوسين هو المشتق الاتجاهي.
   • الخوارزمية التكرارية:
     1. البدء بتضمينات كسر الحماية الأصلية.
     2. إيجاد الرمز $i$ وناقل المفهوم $v$ الذي يقلل مقياس التقريب.
     3. تطبيق الترقيع (استبدال $h_{j,i}$ بـ $h_{o, M(i)}$ على طول الاتجاه $v$).
     4. إعادة حساب التقريب من الدرجة الأولى بناءً على الحالة الجديدة (مع مراعاة تأثيرات التفاعل).
     5. التكرار حتى يتم استيفاء شرط الرفض أو الوصول إلى معيار التوقف.

3. المساهمات الرئيسية

1. الابتكار الخوارزمي: LOCA هي أول طريقة تجمع بين تحديد الرموز، وإعادة الحساب التكراري، والتفسير القائم على SAE لتفسير عمليات كسر الحماية.
2. الكفاءة: تحقق LOCA الرفض بعدد أقل بكثير من التدخلات (متوسط 6 لنموذج Llama، و12-16 لنموذج Gemma) مقارنة بالطرق السابقة التي غالبًا ما تفشل حتى بعد 20 تدخلًا.
3. رؤى التوطين (Localization Insights): تكشف الطريقة أن آليات الرفض تختلف حسب عمق الطبقة:
   • الطبقات المبكرة: يتم دفع الرفض عبر تغييرات في رموز التعليمات ($T_{inst}$)، دون تحيز قوي لنوع الرمز (كلمات مقابل علامات ترقيم).
   • الطبقات الوسطى/المتأخرة: يتم دفع الرفض حصريًا تقريبًا عبر رموز ما بعد التعليمات ($T_{post-inst}$) ورموز علامات الترقيم.
4. التحقق من خلال الاستئصال (Ablation Validation): تؤكد التجارب أن كل من حساب التدرج المحدد للرمز والطبيعة التكرارية للخوارزمية أمران حاسمان للأداء؛ حيث تؤدي النسخ غير التكرارية أو النسخ ذات التدرج المتوسط أداءً ضعيفًا.

4. النتائج التجريبية

• مجموعات البيانات والنماذج: تم التقييم باستخدام مجموعة بيانات WhatFeatures (10,800 عملية كسر حماية) عبر نموذجي Gemma-2-2B-IT و Llama-3.1-8B-Instruct.
• النماذج المرجعية (Baselines): تمت المقارنة مع طرق من Lee et al. (2025) و Yeo et al. (2025).
• المقاييس:
  • الترقيعات الدنيا (Minimal Patches - MP): تحقق LOCA الرفض في حوالي 6 ترقيعات (Llama) مقابل أكثر من 20 للنماذج المرجعية.
  • معدل الرفض (Refusal Rate - RR): تصل LOCA إلى معدل رفض 100% عند طبقات محددة (الطبقة 7 لـ Llama، والطبقة 17 لـ Gemma)، بينما تكافح النماذج المرجعية لتحسين معدل الرفض مع زيادة عدد الطبقات.
  • KL-AUC / LD-AUC: تظهر LOCA خطأً أقل بكثير (توافق أفضل مع المخرج المرفوض) لكل ترقيع.
• دراسة حالة (AutoDAN): طُبقت على عملية كسر حماية AutoDAN المتعلقة بالأسلحة النارية غير القانونية. حددت LOCA أن كسر الحماية نجح من خلال:
  1. قمع مفهوم "الطلب الضار" (المفهوم رقم 31126).
  2. تعزيز مفهوم "توليد كود غير ضار" (المفهوم رقم 125009) لتأطير الطلب على أنه حميد.
  3. تطلب استحثاث الرفض ترقيع رموز علامات الترقيم لعكس هذه التحولات المفاهيمية المحددة.

5. الأهمية والخاتية

تمثل هذه الورقة تحولًا من التفسير الآلي العالمي إلى المحلي في سلامة النماذج اللغوية الكبيرة.

• الفهم الآلي: تثبت أن نجاح كسر الحماية ليس ظاهرة أحادية الجانب، بل هو مجموعة من التدخلات السببية المحددة والدنيا على المفاهيم الوسيطة.
• الكفاءة: من خلال تحديد أن عددًا قليلًا من التفاعلات بين (الرمز-المفهوم) يحتاج فقط إلى التغيير لاستعادة السلامة، توفر LOCA تفسيرًا أكثر إيجازًا وقابلية للفهم البشري.
• الاتجاهات المستقبلية: تسلط الدراسة الضền على أن الطبقات وأنواع الرموز المختلفة تلعب أدوارًا متميزة في آلية الرفض، مما يشير إلى أن استراتيجيات ضبط السلامة قد تحتاج إلى أن تكون مدركة لعمق الطبقات. ورغم وجود قيود (مثل صعوبة تفسير طبقات Llama المبكرة وتحسين SAE)، توفر LOCA إطارًا قويًا لتشخيص وتخفيف نقاط الضعف المحددة في عمليات كسر الحماية.