🤖 AI

Conceal, Reconstruct, Jailbreak: Exploiting the Reconstruction-Concealment Tradeoff in MLLMs

تحدد هذه الورقة مقايضة بين إعادة البناء والإخفاء تحكم عمليات كسر الحماية القائمة على تعمية القصد في النماذج اللغوية الكبيرة متعددة الوسائط، وتقترح استراتيجية هجوم مبتكرة تستفيد من المتغيرات التي تمت إزالة الأحرف منها والصور المشتتة المرتبطة بالكلمات المفتاحية لموازنة إخفاء القصد مع قابلية إعادة البناء بشكل فعال، مما يتفوق بذلك على الأساليب الحالية.

المؤلفون الأصليون: Md Farhamdur Reza, Richeng Jin, Tianfu Wu, Huaiyu Dai

نُشر 2026-05-08

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Md Farhamdur Reza, Richeng Jin, Tianfu Wu, Huaiyu Dai

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل نموذج لغة كبير متعدد الوسائط (MLLM) كأنه حارس أمن ذكي للغاية ومدرب تدريباً عالياً في متحف. مهمة هذا الحارس هي منع أي شخص من طلب أشياء خطيرة، مثل "كيف أصنع قنبلة؟" أو "كيف أؤذي شخصاً ما؟". إذا سألته بشكل مباشر، سيقول الحارس: "لا، هذا يخالف القواعد،" ثم يبتعد.

هذه الورقة البحثية تتحدث عن طريقة جديدة لخداع ذلك الحارس. لقد اكتشف الباحثون نقطة ضعف محددة في طريقة تفكير الحارس: الحارس بارع جداً في "إعادة تجميع القطع معاً"، وهذا ما قد يجعله يساعدك بالخطأ في كسر القواعد.

إليك تفصيل بسيط لاكتشافهم وطريقتهم:

1. المشكلة الجوهرية: معضلة "الإخفاء مقابل إعادة البناء"

لخداع الحارس، عليك إخفاء نيتك السيئة. لكن هناك فخ:

إذا أخفيتها جيداً جداً: لن يرى الحارس الخطر، ولكن نموذج الذكاء الاصطناعي أيضاً لن يستطيع فهم ما تريد السؤال عنه حقاً. الأمر يشبه إرسال رسالة بشفرة معقدة لدرجة أن المستلم نفسه لا يستطيع قراءتها.
إذا لم تخفها بما يكفي: سيرى الحارس الخطر ويمنعك.

تسمي الورقة البحثية هذا بـ "المقايضة بين إعادة البناء والإخفاء" (Reconstruction–Concealment Tradeoff). يجب عليك تشفير الرسالة بقدر كافٍ لخداع الحارس، ولكن ليس لدرجة تجعل الذكاء الاصطناعي عاجزاً عن إعادة بناء المعنى الأصلي.

2. لماذا فشلت الحيل القديمة

كانت المحاولات السابقة لخداع الذكاء الاصطناعي تشبه محاولة حل لغز بقطع ناقصة:

قلب النص للخلف: يصاب الذكاء الاصطناعي بالارتباك أثناء محاولة القراءة.
خلط الكلمات: يصبح المعنى مشوشاً.
تقسيم السؤال إلى صور صغيرة جداً: يفقد الذكاء الاصطناعي الصورة الكبيرة.

وجد الباحثون أن هذه الطرق القديمة كانت سيئة في التعامل مع "المقايضة". فإما أنها جعلت الذكاء الاصطناعي يفشل في فهم الطلب، أو أنها لم تخفِ النية السيئة بشكل جيد بما يكفي.

3. الحيلة الجديدة: لعبة "الحرف المفقود"

وجد الباحثون طريقة أفضل بكثير لتشفير الرسالة: حذف بعض الحروف.

تخيل أنك كتبت جملة، لكنك حذفت 20% من حروفها بشكل عشوائي.

بالنسبة للحارس: تبدو الجملة كأنها كلام غير مفهوم. لم تعد تبدو كطلب خطير، لذا يسمح الحارس بمرورها.
بالنسبة للذكاء الاصطناعي: الذكاء الاصطناعي ذكي جداً في قراءة السياق، لذا يمكنه بسهولة تخمين الحروف المفقودة وإعادة بناء الجملة الأصلية في ذهنه.

السر وراء النجاح:
لم يقم الباحثون بحذف حروف عشوائية فحسب، بل استخدموا استراتيجية ذكية:

إنشاء نسخ عديدة: أنشأوا 5 نسخ مختلفة من الجملة، كل نسخة تفتقد حروفاً مختلفة.
اختيار النسخ الأفضل: اختاروا النسخ التي بدت الأقل شبهاً بالكلمة المفتاحية الخطيرة (لإخفاء النية بشكل أفضل) ولكنها كانت مختلفة بما يكفي عن بعضها البعض (حتى يمتلك الذكاء الاصطناعي ما يكفي من الأدلة لإعادة بناء الجملة كاملة).
صور "التشتيت": أضافوا صوراً مرتبطة بالكلمة الخطيرة ولكنها تبدو غير ضارة (مثل صورة "رصاصة" في سياق لعبة فيديو). منح هذا الذكاء الاصطناعي أدلة بصرية إضافية للمساعدة في فهم السياق دون تفعيل فلتر الأمان.

4. كيف اختبروا ذلك

جربوا ذلك على العديد من نماذج الذكاء الاصطناعي (سواء المجانية أو المدفوعة مثل GPT وGemini). طلبوا من النماذج "إعادة بناء" السؤال المخفي ثم الإجابة عليه.

النتيجة:
فشلت الطرق القديمة معظم الوقت. لكن طريقة "الحرف المفقود" الجديدة نجحت بشكل مذهل.

في بعض النماذج، نجحوا في خداع الذكاء الاصطناعي بنسبة 99.7% من المرات.
كان الذكاء الاصطناعي "يعيد بناء" السؤال الخطير المخفي في ذهنه بنجاح، ثم يقدم إجابة مفصلة وضارة، ظناً منه أنه يقوم فقط بحل لغز.

الخلاصة الكبرى

تكشف الورقة البحثية عن ثغرة أمنية مفاجئة: القوة الخارقة للذكاء الاصطناعي (قدرته على إعادة بناء المعلومات المفقودة) هي في الواقع نقطة ضعفه. من خلال استغلال حقيقة أن الذكاء الاصطناعي بارع جداً في ملء الفراغات، أظهر الباحثون أنه يمكن تجاوز فلاتر الأمان ببساطة عن طريق إخفاء النية السيئة بطريقة يسهل على الذكاء الاصطناعي حلها ولكن يصعب على فلتر الأمان اكتشافها.

باختة: وجدوا أنه إذا أخفيت طلباً خطيراً عبر حذف بعض الحروف وإضافة بعض الصور المشتتة، فإن عقل الذكاء الاصطناعي سيكون بارعاً جداً في "ملء الفراغات" لدرجة أنه سيفعل الشيء الخطير لك دون قصد.

ملخص تقني: الإخفاء، إعادة البناء، الاختراق (Conceal, Reconstruct, Jailbreak)

بيان المشكلة

تتناول الورقة البحثية ثغرة أمنية في النماذج اللغوية الكبيرة متعددة الوسائط (MLLMs) تتمثل في هجمات "الاختراق القائم على تعمية القصد" (intent-obfuscation-based jailbreak attacks). وبينما تنجح آليات المحاذاة الأمنية في كبح المخرجات الضارة للطلبات المباشرة، يمكن للمهاجمين تجاوز هذه المرشحات عن طريق تحويل الاستعلامات الضارة إلى مدخلات متعددة الوسائط مُعماة. وقد حدد المؤلفون توتراً جوهرياً يحكم هذه الهجمات، وهو: مقايضة إعادة البناء والإخفاء (reconstruction–concealment tradeoff).

لكي ينجح الاختراق، يجب أن يستوفي المدخل المُحوَّل متطلبين متضاربين:

الإخفاء (Concealment): يجب أن يعمل المدخل على إخفاء القصد الضار بشكل كافٍ للإفلات من مرشحات السلامة.
إعادة البناء (Reconstruction): يجب أن يحتفظ المدخل بقدر كافٍ من المعلومات لتمكين النموذج الضحية (MLLM) من إعادة بناء الطلب الضار الأصلي وتوليد الاستجابة غير الآمنة المطلوبة.

ويرى المؤلفون أن الأساليب الحالية بنظام "الصندوق الأسود" (وتحديداً: FlipAttack، وShuffle Inconsistency (SI)، وContrastive Subimage Distraction Jailbreaking (CS-DJ)) تفشل في موازنة هذه المقايضة بفعالية؛ فهي إما تحافظ على الكثير من المعلومات الدلالية (مما يؤدي للفشل في الإخفاء) أو تضعف المدخل بشكل مفرط (مما يؤدي للفشل في إعادة البناء)، مما يحد من معدلات نجاح الهجوم (ASR) الإجمالية.

المنهجية

يقوم الإطار المقترح، Conceal, Reconstruct, Jailbreak، بتفعيل هذه المقايضة من خلال ثلاثة مكونات أساسية:

1. بناء المتغيرات المدركة للإخفاء (Concealment-Aware Variant Construction)

بدلاً من الاعتماد على حذف الحروف العشوائي أو التبديلات المعقدة، يقترح المؤلفون استراتيجية اختيار جشعة (greedy selection) للمتغيرات التي حُذفت منها الحروف:

توليد المرشحين: يتم توليد مجموعة من المتغيرات عن طريق حذف جزء $\rho$ (الافتراضي 0.20) من حروف الاستعلام الضار الأصلي بشكل عشوائي.
تصفية محاذاة الكلمات المفتاحية: يتم ترتيب المرشحين بناءً على محاذاتهم الدلالية مع الكلمة المفتاحية الضارة المحددة (باستخدام تضمينات نص CLIP). ويتم استبعاد المتغيرات ذات المحاذاة العالية لضمان إخفاء أقوى.
اختيار التنوع: من بين المرشحين المتبقين ذوي المحاذاة المنخفضة، يتم اختيار مجموعة فرعية لتعظيم التنوع بالنسبة للاستعلام الأصلي وبالنسبة لبعضها البعض. يضمن ذلك أنه بينما تكون المتغيرات الفردية غامضة، فإن المجموعة الجماعية توفر معلومات تكميلية ضرورية لإعادة البناء.

2. استراتيجيات التلقين المدركة للوسائط (Modality-Aware Prompting Strategies)

يتم تجسيد المتغيرات المختارة في مدخلات متعددة الوسائط باستخدام خمس استراتيجيات متميزة توزع المعلومات عبر قنوات النص والصورة:

TxtV: يتم تقديم جميع المتغيرات عبر النص.
TxtV-GDI: يتم تعزيز متغيرات النص بصور مشتتة مرتبطة بالكلمة المفتاحية.
TypV: يتم تقديم المتغيرات كصور طباعية (نص كصورة)، مما يزيلها تماماً من القناة النصية.
TTV: يتم تقسيم المتغيرات بين قنوات النص والصور الطباعية.
TTV-GDI: يتم تعزيز التقسيم عبر الوسائط المتقاطعة بصور مشتتة مرتبطة بالكلمة المفتاحية.

3. الصور المشتتة المرتبطة بالكلمة المفتاحية (GDI)

على عكس الأعمال السابقة التي تستخدم صوراً عشوائية عامة كمشتتات، يقوم هذا الأسلوب بتوليد صور مشتتة مرتبطة بالكلمة المفتاحية:

التوليد: يقوم نموذج لغوي كبير (LLM) مساعد بتوليد جمل متنوعة تحتوي على الكلمة المفتاحية الضارة. تُستخدم هذه الجمل كمطالبات (prompts) لنموذج Stable Diffusion 3 لإنشاء الصور.
الاختيار: تضمن عملية اختيار جشعة أن تكون المجموعة النهائية من الصور متنوعة دلالياً بالنسبة للكلمة المفتاحية والسياق الضار العام.
الغرض: توفر هذه الصور سياقاً بصرياً مساعداً مستهدفاً يساعد عملية إعادة البناء لدى النموذج دون الكشف صراحة عن القصد الضار في النص.

المساهمات الرئيسية

تحديد المقايضة: تثبت الورقة تجريبياً أن أساليب التعمية الحالية (FlipAttack, SI, CS-DJ) لا توازن بفعالية بين إعادة البناء والإخفاء. وتظهر أن نجاح الهجوم يتبع نمط "المنحنى المقلوب على شكل حرف U" بالنسبة لنسبة حذف الحروف، مما يوفر دليلاً مباشمًا على هذه المقايضة.
بناء المتغيرات المدركة للإخفاء: يقترح المؤلفون طريقة لاختيار المتغيرات التي حُذفت منها الحروف بحيث تكون منخفضة في المحاذاة مع الكلمة المفتاحية ولكنها متنوعة متبادلياً. يحقق هذا إخفاءً أقوى مع فقدان ضئيل في القدرة على الاسترجاع مقارنة بالحذف العشوائي.
الصور المشتتة المرتبطة بالكلمة المفتاحية: أثبت إدخال الصور المشتتة المولدة خصيصاً حول الكلمة المفتاحية (بدلاً من الصور العامة) قدرتها المستمرة على تحسين معدلات نجاح الهجوم.
تقييم شامل: تم تقييم الاستراتيجيات عبر خمسة نماذج مغلقة المصدر وأربعة عشر نموذجاً مفتوح المصدر، مما أظهر أداءً فائقاً على النماذج المرجعية القوية.

النتائج التجريبية

قيم المؤلفون استراتيجياتهم على مجموعة بيانات HADES (750 استعلاماً ضاراً عبر خمس فئات: العنف، المال، الخصوصية، إيذاء النفس، والحيوان) مقابل مجموعة متنوعة من النماذج:

النماذج مغلقة المصدر: تفوقت الاستراتيجيات المقترحة بشكل كبير على النماذج المرجعية. على سبيل المثال، في نموذج GPT-5.4-mini، حققت استراتيجية TTV-GDI معدل نجاح هجوم (ASR) بنسبة 79.60% (حسب حكم GPT) و 78.80% (حسب HarmBench)، مقارنة بأفضل نموذج مرجعي (CS-DJ) الذي حقق 11.20% و 7.60% على التوالي. وفي نموذج Gemini-2.5-Flash، وصل معدل نجاح الهجوم إلى ما يقرب من 98%.
النماذج مفتوحة المصدر: أظهرت الأساليب مكاسب جوهرية عبر عائلات النماذج المختلفة. ففي نموذج Kimi K2.5، حققت استراتيجية TTV-GDI معدل نجاح هجوم بنسبة 99.73%. وفي عائلة Qwen3.5، تصاعدت الفعالية مع حجم النموذج، لتصل إلى 98.67% في نموذج الـ 35 مليار معلمة.
دراسات الاستئصال (Ablation Studies):
- نسبة حذف الحروف ( $\rho$ ): تم العثور على نسبة مثالية قدرها 0.20 لموازنة الإخفاء وإعادة البناء.
- الصور المشتتة: أظهرت الاستراتيجيات التي تستخدم صوراً مشتتة مرتبطة بالكلمة المفتاحية (GDI) تفوقاً مستمراً على تلك التي تستخدم صوراً مشتتة عامة (DI) عبر جميع النماذج المختبرة.
- عدد المتغيرات: وصلت جودة إعادة البناء إلى مرحلة التشبع عند $N=5$ متغيرات، مما يبرر الخيار الافتراضي.

الأهمية والادعاءات

تدعي الورقة أنها تكشف عن ثغرة غير مستكشفة كفاية في المحاذاة الأمنية متعددة الوسائط: وهي أن قدرة النموذج (MLLM) على إعادة البناء يمكن استغلالها لاستعادة القصد الضار المخفي. ويرى المؤلفون أن آليات السلامة غالباً ما تركز على اكتشاف المحتوى الضار الصريح ولكنها تفشل في مراعاة قدرة النموذج على إعادة بناء الطلبات المُعماة من إشارات موزعة ومنخفضة البروز.

تكمن أهمية هذا العمل في:

إثبات أن تعمية القصد هي ناقل هجوم قابل للتطبيق عندما تتم إدارة مقايضة "إعادة البناء والإخفاء" بشكل صريح.
إظهار أن الاختيار "المدرك للإخفاء" والسياق البصري "المرتبط بالكلمة المفتاحية" هما عاملان حاسمان في تعظيم نجاح الهجوم.
تسليط الضوء على الحاجة إلى أبحاث مستقبلية في محاذاة السلامة لتأخذ في الاعتبار صراحةً أسطح الهجوم القائمة على إعادة البناء، خاصة في البيئات متعددة الوسائط حيث يمكن توزيع المعلومات عبر قنوات النص والصورة.

يحافظ المؤلفون على نطاق عمل متواضع، مشيرين إلى أن تقييمهم يقتصر حالياً على مجموعة بيانات HADES وإجراء الكلمة المفتاحية الواحدة، مما يشير إلى أن العمل المستقبلي يجب أن يفحص فئات ضرر أوسع وسيناريوهات متعددة الكلمات المفتاحية.