ملخص تقني: GPO-V: نموذج رؤية ولغة انتشار (Diffusion Vision Language Model) يتم اختراقه عبر تحسين الاحتمالية العالمية

بيان المشكلة

تمثل نماذج الرؤية واللغة ذات الانتشار (dVLMs) تحولاً كبيراً عن النماذج التوليدية التقليدية ذات الترتيب التلقائي (Autoregressive)، حيث تستخدم عمليات إزالة الضجيج غير السببية والمتكررة للمهام متعددة الوسائط. وبينما خضعت النماذج ذات الترتيب التلقائي لعمليات محاذاة سلامة واسعة النطاق للتخفيف من المخاطر العدائية، لا يزال المشهد الأمني لنماذج dVLMs غير مستكشف إلى حد كبير.

تحدد الورقة فجوة حرجة: منهجيات الاختراق الحالية، وتحديداً تحسين البادئة الثابتة (FPO) (مثل إجبار النموذج على البدء بـ "بالتأكيد، إليك")، غير فعالة إلى حد كبير ضد نماذج dVLMs. وينبع عدم الفعالية هذا من أنماط الرفض الفريدة المتأصلة في بنيات الانتشار:

1. الرفض الفوري (Immediate Refusal): يكتشف النموذج المخاطر ويولد رموز إنهاء (مثل <end>) بطريقة "من الخلف إلى الأمام"، مما يؤدي إلى وقف التوليد فوراً.
2. الرفض التدريجي (Progressive Refusal): يولد النموذج في البداية محتوى تأييدياً، ولكن أثناء عملية الصقل المتكررة، يتحول إلى الرفض مع ظهور دلالات غير آمنة.

تفشل هجمات FPO التقليدية، التي تحسن البوادئ المحلية، لأن طبيعة الصقل العالمي لنماذج الانتشار تعمل كـ "مصحح"، مما يؤدي في النهاية إلى تجاوز التلاعب بالبادئات المحلية عبر رفض تدريجي. وتفترض الورقة أن استراتيجية هجوم جديدة مطلوبة لتجاوز دفاعات الاحتمالية العالمية هذه.

المنهجية

1. الاستدلال الاستدلالي والأساس النظري

يعقد المؤلفون تشابهاً بين انتشار الصور وانتشار النصوص. في توليد الصور، تستعيد خطوات إزالة الضجيج المبكرة (early denoising steps) الهياكل الدلالية منخفضة الأبعاد التي تملي المخرج النهائي. وبالمثل، في نماذج dVLMs، فإن خطوات التوليد الأولية (الخطوات الزمنية المنخفضة) تحدد بشكل كبير قطبية الاستجابة. إن تنبؤات الانتباه الثنائي العالمي (global bidirectional attention) في هذه المراحل المبكرة تقيد مسار التوليد اللاحق.

2. تحسين الاحتمالية العالمية (GPO)

لاستغلال هذه الثغرة، يقترح المؤلفون تحسين الاحتمالية العالمية (GPO)، وهي استراتيجية مصممة خصيصاً لنماذج الانتشار المقنعة (masked diffusion models). بخلاف FPO، الذي يحسن بادئة ثابتة، يقوم GPO بالتلاعب بتوزيع الاحتمالية العالمي لكامل التسلسل المولد.

تتكون دالة خسارة GPO ($L_{GPO}$) من مكونين:

• الخسارة العالمية ($L_{global}$): تقلل من احتمال توليد العناصر الأولية السلبية (رموز الرفض مثل <end> أو " أو عبارات الرفض) عبر جميع المواضع في التسلسل، خاصة في المراحل الأولية والنهائية للخطوات الزمنية المبكرة. يهدف هذا إلى كبح كل من أنماط الرفض الفوري والتدريجي.
• خسارة المرساة ($L_{anchor}$): تزيد من احتمال وجود رموز "ربط" إيجابية محددة (المرساة) في المواضع المتوسطة. تعمل هذه المراسي كركائز دلالية مستقرة تتراكم لتصبح استجابة إيجابية متماسكة، مما يمنع النموذج من الانجراف نحو رفض تدريجي.

يتم تعريف الخسارة الإجمالية كالتالي:
$$L_{GPO} = \lambda_1 L_{global} + \lambda_2 L_{anchor}$$

3. إطار عمل GPO-V

بناءً على GPO، يقدم المؤلفون GPO-V، وهو أول إطار عمل لاختراق نماذج dVLMs.

• الآلية: يطبق GPO-V اضطرابات عدائية ($\delta$) على الصورة المدخلة (أو تمثيلها الكامن) لتوجيه توزيع مخرجات النموذج.
• التحسين: يتم تحسين الاضطراب لتقليل $L_{GPO}$ مع الالتزام بحد الاضطراب ($\|\delta\|_\infty < \epsilon$).
• المرونة: يدعم إطار العمل التحسين في كل من مساحة البكسل والمساحة الكامنة (باستخدام مشفرات مثل SigLIP أو DINOv2)، حيث يشير المؤلفون إلى أن تحسين المساحة الكامنة تم اعتماده من أجل الكفاءة ولكنه يعطي نتائج مماثلة.

المساهمات الرئيسية

1. تحديد أنماط الرفض: تعد هذه الورقة الأولى التي تحدد وتصنف بشكل منهجي سلوكين مختلفين للرفض في نماذج اللغة ذات الانتشار: الرفض الفوري والرفض التدريجي، مما يكشف عن آليات الدفاع الكامنة في نماذج dVLMs.
2. استراتيجية GPO: اقتراح تحسين الاحتمالية العالمية، وهي استراتيجية جديدة تتجاوز ضوابك السلامة عبر كبح احتمالات الرموز السلبية عالمياً وتحسين خسائر المرساة، مما يتناقض مع تحسين البادئة المستخدم في النماذج ذات الترتيب التلقائي.
3. إطار عمل GPO-V: تطوير أول إطار عمل لاختراق الوسائط البصرية لنماذج dVLMs. يوضح أن نماذج dVLMs هشة بطبيعتها أمام هجمات الاحتمالية العالمية، رغم صمودها الظاهري أمام FPO.

النتائج التجريبية

قيم المؤلفون GPO-V على نموذجين من أحدث نماذج الرؤية واللغة ذات الانتشار المقنعة: LLaDA-V و LaViDA، باستخدام مجموعتي بيانات AdvBench و JailBreakBench.

• معدل نجاح الاختراق (JSR): حقق GPO-V معدل نجاح اختراق يصل إلى 93.2% على LLaDA-V و 88.9% على LaViDA. في المقابل، حققت الخطوط المرجعية التقليدية القائمة على FPO (مثل GCG) معدلات نجاح ضئيلة (غالباً أقل من 2%).
• القابلية للانتقال (Transferability): أظهرت الاضطرابات العدائية التي تم تخليقها بواسطة GPO-V قابلية عالية للانتقال بين النماذج. فقد نجحت الهجمات التي تم تحسينها على نموذج مصدر في اختراق النماذج الضحية ذات البنيات المتباينة (مثل الانتقال من LLaDA-V إلى LaViDA) بمعدلات نجاح تجاوزت 65%، مما يشير إلى التقاط ثغرات مستقلة عن النموذج.
• المتانة: ظل الأسلوب فعالاً عبر تكوينات توليد مختلفة، بما في ذلك أطوال الكتل المتغيرة واستخدام تقنيات تسريع Fast-dLLM.
• دراسات الاستئصال (Ablation Studies): أدى إزالة إما الخسارة العالمية أو خسارة المرساة إلى تقليل فعالية الهجوم بشكل كبير، مما أكد أن كلاً من كبح أنماط الرفض وتثبيت المراسي الإيجابية ضروريان للنجاح.

الأهمية والادعاءات

تدعي الورقة أن نتائجها تؤكد وجود فجوة أمنية حرجة في بنيات التوليد غير التتابعية. تكمن الأهمية الأساسية في:

• تحدي المتانة المتصورة: تظهر النتائج أن الصمود المتصور لنماذج dVLMs ضد عمليات الاختراق التقليدية هو أمر مخادع. فآلية "الرفض التدريجي" الفريدة، التي تعمل كدفاع ضد هجمات البادئة المحلية، هي نفسها ثغرة عند استهدافها بتحسين الاحتمالية العالمية.
• ضرورة إعادة التقييم: يجادل المؤلفون بأن نماذج الدفاع الحالية، التي تم تحسينها بشكل كبير لفك التشفيد السببي (ذات الترتيب التلقائي)، غير كافية للتعامل مع طبيعة التوليد الفريدة لنماذج الانتشار.
• دعوة للعمل: يستوجب هذا العمل إعادة تقييم فورية وجذرية لمحاذاة السلامة لنماذج dVLMs لمعالجة مخاطر التوليد القائم على الانتشار، وحث المجتمع البحثي على تطوير دفاعات قوية ضد هذه التهديدات الناشئة غير التتابعية.

تخلص الورقة إلى أن GPO-V يكشف عن نقاط ضعف جوهرية في عملية الانتشار نفسها، مما يشير إلى أن محاذاة السلامة يجب أن تتطور لتأخذ في الاعتبار الديناميكيات الاحتمالية العالمية بدلاً من مجرد التنبؤ بالرموز التتابعي.