ملخص تقني: RouteHijack

بيان المشكلة

مع اعتماد نماذج اللغات الكبيرة (LLMs) بشكل متزايد على بنيات "خليط الخبراء" (Mixture-of-Experts - MoE) لزيادة السعة بكفاءة، لا تزال متانة سلامتها غير مستكشفة بشكل كافٍ. تواجه الهجمات العدائية الحالية قيوداً كبيرة عند تطبيقها على نماذج MoE:

• اختراقات القواعد (Jailbreaks) القائمة على المطالبات (Prompts): تعتمد على البحث التجريبي (Heuristic search)، وهي هشة وتنتقل بضعف بين النماذج.
• طرق التدخل في النموذج (Model intervention): (مثل تقليم الخبراء أو التلاعب باللوجيت/Logit) تتطلب وصولاً متميزاً إلى الأوزان الداخلية أو التنشيطات، وهو أمر غير واقعي في سيناريوهات النشر القياسية.
• الهجمات القائمة على الأمثلة (Optimization-based attacks): (مثل GCG)، رغم أنها تعتمد على المدخلات فقط، إلا أنها غير مناسبة جوهرياً لنماذج MoE. فهي مصممة للبنيات الكثيفة (Dense architectures)، وتفشل في مراعاة آلية التوجيه (Top-K routing) غير القابلة للاشتقاق. علاوة على ذلك، هي تركز على المخرجات، حيث تعمل على تحسين بادئات توكن (Token prefixes) محددة (مثل "بالتأكيد، إليك") بدلاً من ديناميكيات التوجيه الداخلية التي تحكم سلوك السلامة. يؤدي هذا غالباً إلى عملية تحسين غير مستقرة أو نماذج تستجيب في البداية ثم ترفض لاحقاً.

لا يوجد حالياً هجوم فعال قائم على الأمثلة ويعتمد على المدخلات فقط، قادر على تجاوز آليات السلامة في نماذج MoE مع الحفاظ على توليد متماسك.

المنهجية: RouteHijack

يقترح المؤلفون RouteHijack، وهو إطار عمل عدائي مدرك للتوجيه يستغل الثغرة الهيكلية في نماذج MoE: تركيز سلوكيات المحاذاة للسلامة ضمن مجموعة فرعية متخصصة وصغيرة من الخبراء. يعمل الهجوم تحت قيود واقعية تعتمد على المدخلات فقط عند وقت النشر، باستخدام نموذج بديل (Surrogate model) للأمثلة خارج الإنترنت (Offline optimization).

يتكون الإطار من مرحلتين رئيسيتين:

1. تحديد موقع الخبراء القائم على الاستجابة (Response-Driven Expert Localization)

على عكس الطرق السابقة التي تحلل التنشيطات بناءً على مطالبات المدخلات (والتي تخلط بين سلوك السلامة ودلالات المطالبة)، يستخدم RouteHijack التوصيف التبايني القائم على الاستجابة.

• الآلية: بالنسبة لاستعلام خبيء معين، يقوم النموذج بتوليد استجابتين: رفض آمن ($a_{safe}$) وإجابة ضارة ممتثلة ($a_{harm}$). تقارن الطريقة بين ترددات تنشيط الخبراء بين هاتين الاستجابتين، مما يعزل الخبراء الذين ينشطون تحديداً أثناء الرفض مقابل التوليد الضار.
• التصفية المدركة للمنفعة (Utility-Aware Filtering): لمنع تدهور القدرات العامة للنموذج، تقوم الطريقة بتصفية الخبراء "متعددي الدلالات" (Polysemantic) الذين يساهمون في كل من السلامة ونمذجة اللغة العامة. وهي تختار الخبراء الحرجين للسلامة ($E_{safe}$) والخبراء الضارين ($E_{harm}$) بناءً على التنشيط التفاضلي، مع معاقبة أولئك الذين لديهم ترددات تنشيط عامة عالية.

2. الأمثلة المدركة للتوجيه (التكلفة الثلاثية) (Routing-Aware Optimization - Ternary Loss)

يبني RouteHijack لاحقة عدائية عالمية ($x_{adv}$) يتم تحسينها للتلاعب بقرار الموجه (Router) عند توكن الحد الفاصل ($t^*$) قبل بدء التوليد التلقائي (Autoregressive decoding). تعمل عملية الأمثلة على تقليل تكلفة ثلاثية ($L_{total}$) تتكون من ثلاثة مكونات:

• قمع السلامة ($L_{suppress}$): يقلل من احتمالية التوجيه لخبراء السلامة المحدد ($E_{safe}$) لإضعاف آلية الدفاع الأساسية للنموذج.
• تعزيز الضرر المحدود ($L_{promote}$): يعظم احتمالية التوجيه للخبراء الضارين ($E_{harm}$) ولكنه يفرض قيداً محدداً (Hinge loss). هذا يمنع الموجه من الانهيار على عدد قليل من الخبراء، مما قد يسبب تدهوراً دلالياً، ويضمن بقاء النموذج متماسكاً.
• عدم احتمالية الرفض ($L_{refusal}$): يعاقب على توليد توكنات الرفض (مثل "آسف"، "لا يمكنني") خلال خطوات التوليد الأولية ($W=5$). هذا يمنع النموذج من العودة إلى مسارات الرفض حتى لو تم التلاعب بالتوجيه الأولي.

تستخدم عملية الأمثلة بحثاً منفصلاً موجهاً بالمتجهات (Gradient-guided discrete search) (مشابه لـ GCG) ولكنها تستهدف احتمالات Softmax المستمرة للموجه قبل عملية قطع Top-K غير القابلة للاشتقاق، مما يسم un enables انتشار المتجهات بشكل مستقر.

المساهمات الرئيسية

1. إطار عمل RouteHijack: أول هجوم قائم على الأمثلة ومخصص للمدخلات فقط مصمم خصيصاً لنماذج MoE LLM، والذي يؤثر مباشرة على اختيار الخبراء من خلال تشويه المدخلات.
2. التوصيف القائم على الاستجابة: طريقة مبتكرة لعزل خبراء السلامة والخبراء الضارين من خلال مقارنة استجابات النموذج بدلاً من مطالبات المدخلات، مما يوفر توصيفاً أكثر دقة لآليات السلامة الداخلية.
3. هدف مدرك للتوجيه: دالة تكلفة ثلاثية تتحكم بشكل مشترك في تنشيط الخبراء وديناميكيات فك التشفير في المراحل المبكرة، متجاوزة عدم قابلية الاشتقاق في توجيه MoE.
4. التحقق التجريبي: تقييم شامل عبر سبعة نماذج MoE متطورة (تغطي متغيرات التوجيه الموزعة، والمشتركة، والمجمعة) وثلاثة نماذج لغوية بصرية (VLMs) تعتمد على MoE.

النتائج التجريبية

• معدل نجاح الهجوم (ASR): يحقق RouteHijack متوسط ASR يبلغ 69.3% عبر سبعة نماذج MoE LLM، مع ذروة تصل إلى 89.1%. وهذا يتفوق بشكل كبير على أفضل خط أساس للصندوق الأبيض (SAFEx بنسبة 33.3%) والهجمات القياسية القائمة على الأمثلة (GCG بنسبة 21.9%).
• الحفاظ على المنفعة: يتسبب الهجوم في انخفاض متوسط ضئيل في المنفعة قدره 1.3% عبر خمسة اختبارات معيارية لفهم اللغة الطبيعية (CoLA, RTE, WinoGrande, OpenBookQA, ARC-Challenge)، مما يثبت أن التصفية المدركة للمنفعة تنجح في الحفاظ على قدرات اللغة العامة.
• القابلية للانتقال (Transferability):
  • النماذج الشقيقة (Sibling Models): تنتقل اللاحقات المحسنة عبر خمسة متغيرات شقيقة لـ MoE بصفر معرفة مسبقة (Zero-shot)، مما يرفع متوسط ASR من 27.7% إلى 61.2%.
  • متعدد الوسائط (Multimodal): ينتقل الهجوم إلى نماذج VLMs القائمة على MoE، مما يرفع متوسط ASR من 2.47% إلى 38.7%، مما يشير إلى أن ثغرات التوجيه متأصلة في بنية MoE بغض النظر عن الوسائط.
• التحقق الآلي (Mechanistic Validation): يؤكد التحليل أن الهجوم ينجح في تغيير احتمالات التوجيه عند توكن الحد الفاصل (معدل قمع الخبير المستهدف -28.75% ومعدل تعزيز الضرر المستهدف +28.51%)، وأن هذه التحولات تنتشر عبر عملية التوليد التلقائي.

الأهمية والادعاءات

يدعي البحث أن RouteHijack يكشف عن ثغرة جوهرية في بنيات الخبراء المتفرقة: محاذاة السلامة ليست موزعة بشكل موحد بل تتركز في مجموعة فرعية صغيرة من الخبراء. هذا التركيز يخلق سطح هجوم محلي يمكن استغلاله عبر التلاعب بالتوجيه.

يجادل المؤلفون بأن طرق محاذاة السلامة الحالية (مثل RLHF و DPO) غير كافية لأنها تركز على توزيع المخرجات دون معالجة ديناميكيات التوجيه المتفرقة الأساسية. تشير النتائج إلى أن:

1. التوجيه خطر عابر للوسائط: الثغرات في آلية التوجب تؤثر على كل من النماذج النصية والنماذج اللغوية البصرية.
2. تهديد الصندوق الأسود: القدرة على نقل الهجمات عبر النماذج الشقيقة تعني أن نماذج MoEx المملوكة (Proprietary) -التي تعتبر صناديق سوداء- معرضة للخطر إذا كانت تشترك في هيكل توجيه مع النسخ مفتوحة الأوزان.
3. الحاجة إلى دفاعات جديدة: يخلص البحث إلى أن الدفاعات القوية يجب أن تتجاوز المحاذاة على مستوى المخرجات لتشمل التنظيم المدرك للتوجيه (Routing-aware regularization) أثناء التدريب (لتوزيع سلوكيات السلامة بشكل أوسع) أو تدقيق التوجيه في وقت الاستدلال (Inference-time routing audits) للكشف عن أنماط تنشيط الخبراء غير الطبيعية.