🤖 machine learning

Jailbroken Frontier Models Retain Their Capabilities

تثبت هذه الورقة أنه خلافاً لافتراض وجود "ضريبة كسر الحماية"، فإن النماذج المتطورة الرائدة تحتفظ بقدراتها حتى عند تعرضها لعمليات كسر حماية معقدة، حيث يتناسب تدهور الأداء عكسياً مع قدرة النموذج، ويكون ضئيلاً بالنسبة للنماذج من الفئة الأولى مثل Opus 4.6.

المؤلفون الأصليون: Daniel Zhu, Zihan Wang, Jenny Bao, Jerry Wei

نُشر 2026-05-04

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Daniel Zhu, Zihan Wang, Jenny Bao, Jerry Wei

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة بحثية بعنوان "النماذج الرائدة المكسورة (Jailbroken) تحتفظ بقدراتها"، مترجمة إلى لغة بسيطة باستخدام تشبيهات من الحياة اليومية.

الفكرة الكبرى: "ضريبة كسر الحماية" بدأت في التلاشي

تخيل أن لديك حارس أمن ذكي للغاية ومدرب تدريبًا عاليًا (نموذج الذكاء الاصطناعي)، ومهمته هي الإجابة على الأسئلة ولكن رفض تقديم تعليمات خطيرة، مثل كيفية صنع قنبلة.

في الماضي، وجد الباحثون أنه إذا حاول شخص سيء خداع الحارس باستخدام تنكر معقد أو كود مربك ("كسر حماية" أو Jailbreak)، فإن الحارس سيصاب بالارتباك الشديد بسبب الخدعة لدرجة أنه سينسى أيضًا كيفية القيام بعمله الفعلي. سيجيب على السؤال، لكن الإجابة ستكون سيئة للغاية.

أطلق الباحثون على هذا اسم "ضريبة كسر الحماية" (Jailbreak Tax). إنها تشبه رسوم العقوبة: لكي تخدع الحارس، عليك أن تدفع ثمن ذلك من جودة الإجابة. كلما كانت الخدعة أكثر تعقيدًا، ساءت الإجابة.

تقول هذه الورقة البحثية: هذه الضريبة تتلاشى بالنسبة لأذكى الحراس.

اختبر المؤلفون ذلك على عائلة من نماذج الذكاء الاصطناعي تتراوح من نموذج "مبتدئ" (Haiku) إلى نموذج "عبقري خارق" (Opus 4.6). ووجدوا أنه كلما أصبح الذكاء الاصطناعي أكثر ذكاءً، أصبح أفضل في تجاهل الخدع المربكة مع الاستمرار في تقديم إجابات مثالية.

شرح النتائج الرئيسية

1. "الحارس العبقري" مقابل "الحارس المبتدئ"

اختبر الباحثون 28 طريقة مختلفة لخداع الذكاء الاصطناعي (كسر الحماية) على خمسة أنواع مختلفة من الأسئلة العلمية الصعبة.

الحارس المبتدئ (Haiku 4.5): عندما يتم خداعه، يرتبك هذا النموذج. انخفض أداؤه بنسبة تقارب 33%. كان الأمر يشبه طالبًا يُطلب منه حل مسألة رياضية بينما يرتدي سماعات عازلة للضوضاء تعمل على تشغيل ألغاز، فنسي تمامًا كيفية حل الرياضيات.
الحارس العبقري الخارق (Opus 4.6): عند خداعه بنفس الأساليب المعقدة، انخفض أداء هذا النموذج بنسبة 7% فقط. كان الأمر يشبه عالم رياضيات بارعًا يمكنه حل المسألة بشكل مثالي حتى وهو يرتدي تلك السماعات نفسها.

الخلاصة: "الضريبة" التي تدفعها مقابل استخدام كسر الحماية ليست قاعدة ثابتة. كلما أصبح الذكاء الاصطناعي أكثر ذكاءً، انخفضت تكلفة كسر الحماية إلى الصفر تقريبًا.

2. التفكير العميق أصعب في الخداع

وجدت الورقة أن نوع السؤال يهم.

أسئلة الذاكرة: إذا كان الذكاء الاصطناعي يحتاج فقط إلى استرجاع حقيقة (مثل "ما هي عاصمة فرنسا؟")، فإنه لا يفقد أي قدرة تقريبًا عند تعرضه لكسر الحماية.
أسئلة الاستنتاج: إذا كان على الذكاء الاصطناعي التفكير في لغز منطقي معقد خطوة بخطوة، فإن كسر الحماية يضره أكثر.

التشبيه: تخيل متاهة معقدة.

الذاكرة هي مجرد تذكر علامة المخرج. حتى لو قام شخص بتشتيت انتباهك، لا يزال بإمكانك رؤية العلامة.
الاستنتاج هو السير فعليًا داخل المتاهة مع حل الألغاز في كل منعطف. إذا قام شخص بتشتيت انتباهك بضوضاء عالية (كسر الحماية)، فمن المرجح أن تأخذ مسارًا خاطئًا في المتاهة. "الضريبة" هنا أعلى، ولكن حتى أذكى النماذج تتعامل مع الأمر بشكل أفضل بكثير من النماذج القديمة.

3. هجوم "العصا السحرية" (كسر حماية نقطة الحدود - BPJ)

نظر الباحثون في أكثر الهجمات تقدمًا المعروفة حاليًا، وتسمى "كسر حماية نقطة الحدود" (Boundary Point Jailbreaking).

فكر في هذا ليس كأحجية صاخبة ومربكة، بل كـ عصا سحرية. المهاجم لا يغير السؤال أو يستخدم كودًا، بل يضيف بادئة (Prefix) صغيرة غير مرئية في بداية الرسالة تخبر نظام الأمان: "تجاهل قواعدك لهذا الشخص تحديدًا"، دون أن يدرك الذكاء الاصطناعي نفسه أنه يتعرض للخداع.

النتي نتيجة: كان هذا الهجوم فعالاً للغاية. لقد تجاوز فلاتر الأمان بنسبة 92-100%، وانخفضت قدرة الذكاء الاصطناعي على الإجابة على السؤال بشكل صحيح بنسبة تقارب 0%.

الخلاصة: المهاجمون الأكثر ذكاءً لم يعودوا بحاجة إلى إرباك الذكاء الاصطناعي. يمكنهم التسلل عبر حراس الأمان بسلاسة شديدة لدرجة أن الذكاء الاصطناعي لا يلاحظ تعرضه للخداع، ويؤدي عمله بنفس الكفاءة كما لو كان يُسأل سؤالًا عاديًا.

لماذا يهم هذا (وفقًا للورقة البحثية)

خلص المؤلفون إلى أنه لا يمكننا الاعتماد بعد الآن على فكرة أن "كسر الحماية يجعل الذكاء الاصطناعي غبيًا".

في الماضي، ربما كان خبراء السلامة يعتقدون: "إذا تمكن شخص ما من كسر حماية الذكاء الاصطناعي، فستكون الإجابات سيئة ومشوشة للغاية بحيث لا تكون خطيرة".

تقول هذه الورقة: هذا الافتراض خاطئ.

مع النماذج الأكثر تقدمًا، يمكن لمهاجم محترف تجاوز فلاتر الأمان والحصول على إجابات عالية الجودة ودقيقة وخطيرة دون أن يفقد الذكاء الاصطناعي "قدراته الذهنية". لقد اختفت "ضريبة كسر الحماية" فعليًا بالنسبة للنماذج الرائدة.

ملخص في جملة واحدة

كلما أصبحت نماذج الذكاء الاصطناعي أكثر ذكاءً، أصبحت بارعة جدًا في تجاهل الخدع المعقدة لدرجة أن المهاجمين يمكنهم تجاوز فلاتر الأمان دون جعل الذكاء الاصطناعي أقل ذكاءً، مما يعني أننا لا نستطيع الاعتماد على "الإجابات المشوشة" لإبقائنا آمنين.

إليك ملخص تقني مفصل للورقة البحثية "Jailbroken Frontier Models Retain Their Capabilities" (النماذج الرائدة المكسورة الحماية تحتفظ بقدراتها) لـ دانيال زو وآخرون (Anthletic).

1. بيان المشكلة

مع زيادة قوة الضوابط الوقائية للنماذج اللغوية الكبيرة (LLMs)، يضطر المهاجمون إلى تطوير استراتيجيات كسر حماية (jailbreak) أكثر تعقيداً (مثل: التمويه، تقمص الأدوار، واختطاف التعليمات). وقد أرست الأبحاث السابقة مفهوم "ضريبة كسر الحماية" (jailbreak tax): وهي الفرضية القائلة بأن العبء المعرفي المطلوب لمعالجة عمليات كسر الحماية المعقدة يؤدي إلى تدهور قدرة النموذج على أداء مهامه المقصودة، مما يعمل كآلية سلامة طبيعية.

ومع ذلك، لا يزال من غير الواضح ما إذا كانت هذه الضريبة تستمر في النماذج الرائدة (Frontier Models) (وهي النماذج الأكثر قدرة وضخامة) وما إذا كانت الهجمات الحديثة عالية التحسين (مثل: كسر الحماية بنقطة الحدود - Boundary Point Jailbreaking) لا تزال تتكبد هذه التكلفة. فإذا تمكنت النماذج الرائدة من تجاوز الضوابب الوقائية دون فقدان كبير في الأداء، فإن الافتراض بأن كسر الحماية يحد بطبيعته من المنفعة الضارة يصبح باطلاً.

2. المنهجية

أجرى المؤلفون تقييماً شاملاً عبر أبعاد متعددة:

النماذج: خمسة نماذج من عائلة Claude تغطي طيف القدرات:
- Haiku 4.5 (الأقل قدرة)
- Sonnet 4, Sonnet 4.5
- Opus 4.5, Opus 4.6 (الأكثر قدرة، بما في ذلك إعداد "أقصى جهد تفكير").
عمليات كسر الحماية (Jailbreaks): مجموعة منسقة من 28 عملية كسر حماية مستمدة من:
- برنامج مكافآت الثغرات الخاص بـ Anthropic (مشاركات فرق الاختبار الأحمر من الواقع).
- معاهد سلامة الذكاء الاصطناي في المملكة المتحدة والولايات المتحدة.
- الأدبيات الأكاديمية (التحسين العدائي، مخططات الترميز).
- الأنواع: تشمل 19 هجوماً قائماً على الشفرات (التمويه) و9 هجمات غير قائمة على الشفرات (تقمص الأدوار، حقن الأوامر، واللواحق العدائية).
الاختبارات المرجعية (Benchmarks): خمسة اختبارات في مجالات البيولوجيا والاستدلال تُستخدم كوكلاء للقدرات عالية الخطورة (مثل: تطوير أسلحة CBRN):
- GPQA Diamond (الاستدلال على مستوى الدراسات العليا).
- WMDP Bio (المعرفة البيولوجية).
- LabBench (البروتوكولات، سيناريوهات الاستنساخ).
- VCT Text (علم الفيروسات).
بروتوكول التقييم:
- استراتيجيات الأوامر (Prompt Strategies): لضمان عدم تقليل تقييم النماذج، طبق المؤلفون 10 استراتيجيات أوامر متميزة (مثل: سلسلة الأفك "Chain of Thought"، تقمص شخصية الخبير، فك التشفيد أولاً) على كل زوج (كسر حماية-اختبار مرجعي)، مع تسجيل أفضل نتيجة أداء.
- المقاييس: تم حساب التدهور النسبي (Relative Degradation) كنسبة مئوية للانخفاض في الدقة مقارنة بالخط المرجعي (بدون كسر حماية).
- هجوم محدد: تم تقييم كسر الحماية بنقطة الحدود (BPJ)، وهو طريقة تحسين "الصندوق الأسود" التي تولد سوابق عدائية عالمية للالتفاف على المصنفات المنشورة.

3. المساهمات والنتائج الرئيسية

أ. ضريبة كسر الحماية تتناسب عكسياً مع قدرة النموذج

النتيجة الأكثر أهمية هي أن "ضريبة كسر الحماية" ليست خاصية ثابتة للهجوم، بل تتضاءل كلما زادت قدرة النموذج المستهدف.

عانى نموذج Haiku 4.5 من متوسط فقدان في الدقة بنسبة 33.1% عند كسر حمايته.
عانى نموذج Opus 4.6 (مع أقصى تفكير) من فقدان بنسبة 7.7% فقط.
في أربعة من أصل خمسة اختبارات مرجعية، كان الفارق في الأداء بين الحالة المرجعية وحالة كسر الحماية لنموذج Opus 4.6 (التفكير) ضئيلاً، حيث كان أداء النموذج المكسور يقارب الخط المرجعي للجيل السابق (Opus 4.5).
الآلية: النماذج الأكثر قدرة هي الأفضل في فك تشفير الشفرات المعقدة والحفاظ على سلاسل الاستدلال رغم الضجيج الناتج عن كسر الحماية.

ب. المهام التي تعتمد بكثافة على الاستدلال تعاني من تدهور أكبر

نوع المهمة يؤثر بشكل كبير على حجم الضريبة.

المهام كثيفة الاستدلال: أظهرت الاختبارات المرجعية التي تتطلب استدلالاً متعدد الخطوات ومعقداً (مثل GPQA Diamond) تدهوراً أعلى (يصل إلى ~22% لنموذج Opus 4.6) مقارنة بمهام استرجاع المعرفة.
مهام استرجاع المعرفة: أظهرت الاختبارات المرجعية مثل WMDP Bio تدهوراً ضئيلاً (غالباً أقل من 5%) حتى بالنسبة للنماذج المكسورة الحماية.
الارتباط: هناك ارتباط إيجابي قوي بين "فجوة الاستدلال" للمهمة (الفائدة من استخدام استراتيجيات الاستدلال) وبين التدهور الناتج عن كسر الحماية. فالعبء المعرفي الناتج عن الهجوم يتنافس مع القدرة اللازمة للاستدلال المعقد.

ج. كسر الحماية بنقطة الحدود (BPJ) يحقق ضريبة تقترب من الصفر

يُظهر BPJ، وهو أقوى هجوم معروف حالياً ضد المصنفات المنشورة، أن المهاجمين المتطورين يمكنهم تجاوز الضوابط الوقائية دون تكبد ضريبة قدرة ذات معنى.

التملص (Evasion): حقق BPJ نسبة تملص تتراوح بين 92-100% من مصنفات الدستور (Constitutional Classifiers) المنشورة.
التدهور: بالنسبة لنموذج Opus 4.6 (التفكير)، تسبب BPJ في تدهور بنسبة 2% فقط.
التحسين: وجد المؤلفون أنه لا يوجد ارتباط بين مدى نجاح بادئة (prefix) الـ BPJ في التملص من المصنف وبين مقدار التدهور في القدرة الذي تسببه. يمكن للمهاجم التحسين للوصول إلى أقصى تملص دون التضحية بمنفعة النموذج.

د. عدد توكنات المدخلات كمؤشر تنبؤي

تعقيد عملية كسر الحماية، مقاساً بعدد توكنات المدخلات المضافة، هو مؤشر قوي لتدهور القدرة ( $\rho = 0.69$ ).

الهجمات التي تضيف أعداداً هائلة من التوكنات (مثل: الترميزات المعقدة) تسبب عموماً تدهوراً أكبر.
ومع ذلك، حتى الهجمات ذات عدد التوكنات المرتفع تسبب تدهوراً أقل بكثير في Opus 4.6 مقارنة بـ Haiku 4.5، مما يعزز اتجاه القدرة-المرونة (capability-resilience).

4. الأهمية والآثار المترتبة

مراجعة حالة السلامة: تجادل الورقة بأن تدهور القدرة لا ينبغي الاعتماد عليه كآلية سلامة للنماذج الرائدة. فالافتراض بأن "كسر الحماية يجعل النموذج غبياً" هو افتراض خاطئ بالنسبة للنماذج الأكثر تقدماً.
تقييم المخاطر: يجب أن تفترض حالات السلامة للمجالات عالية الخطورة (الكيميائية، البيولوجية، النووية) أن مهاجماً مصمماً يمكنه استخراج كامل قدرات النموذج تقريباً مع تجاوز الضوابط الوقائية.
التوجهات المستقبلية:
- الإعدادات الوكيلية (Agentic Settings): أظهرت الاختبارات الأولية على المهام الوكيلية (استخدام الأدوات متعدد الخطوات) تدهوراً أعلى (40%)، مما يشير إلى أن سير العمل المعقد ومتعدد الخطوات قد يفرض ضريبة، لكن هذا يتطلب مزيداً من الدراسة.
- استراتيجية الدفاع: لا يمكن للمدافعين الاعتماد على "الضريبة" لتخفيف الضرر؛ بل يجب التركيز على الكشف القوي ومنع الهجمات نفسها.

الخلاصة

تخلص الدراسة إلى أنه مع توسع النماذج في القدرة، تصبح أكثر مرونة تجاه العبء المعرفي لعمليات كسر الحماية. فالنماذج الأكثر تقدماً (Opus 4.6) يمكنها فعلياً تجاهل "الضجيج" الناتج عن الهجمات المعقدة، محتفظة بأداء يقارب الخط المرجعي حتى عند تجاوز مصنفات السلامة بنجاح. وهذا يستلزم تحولاً جذرياً في سلامة الذكاء الاصطناعي، بالانتقال من الاعتماد على التدهور المتأصل في القدرة إلى آليات دفاع أكثر قوة ونشاطاً.