Safe, or Simply Incapable? Rethinking Safety Evaluation for Phone-Use Agents

ملخص تقني: آمن، أم ببساطة عاجز؟ إعادة التفكير في تقييم سلامة وكلاء استخدام الهاتف

بيان المشكلة
تعاني التقييمات الحالية لسلامة وكلاء استخدام الهاتف من غموض جوهري: فالنتيجة غير الضارة لا تعني بالضرورة سلوكاً آمناً. فعندما يتجنب الوكيل التسبب في ضرر في لحظة محفوفة بالمخاطر، قد يكون ذلك بسبب الحكم الآمن (إدراك الخطر واختيار الإجراء الآمن الصحيح) أو العجز عن الفعل (الفشل في فهم الواجهة، أو تحديد موقع عناصر التحكم، أو تنفيذ أي إجراء ذي صلة). وغالباً ما تدمج المعايير الحالية هذه الأسباب المتباينة تحت مقاييس إجمالية مثل "نجاح المهمة"، أو "الرفض"، أو "النتيجة الضارة النهائية". ويؤدي هذا الدمج إلى مشكلتين حرجتين:

1. المبالغة في تقدير النماذج الضعيفة: حيث يُنسب للوكلاء الذين يفشلون في الفعل "السلامة" بشكل خاطئ لأن الضرر لم يقع.
2. التشخيص الخاطئ للنماذج القوية: حيث لا يتم التمييز بين النماذج التي تفهم الواجهة ولكنها تتخذ خيارات سلامة سيئة، وبين تلك التي تعجز ببساطة عن الفعل.

ومع انتقال الوكلاء من كونهم مساعدين سلبيين إلى أنظمة قادرة على تشغيل الهواتف الذكية مباشرة، فإن نقرة واحدة خاطئة قد تكشف بيانات خاصة، أو تصرح بعمليات دفع، أو تمنح أذونات. إن تقييم ما إذا كان الوكيل يتخذ القرار الصحيح في اللحظة التي يصبح فيها حد السلامة ذا صلة بالفعل، يختلف عن تقييم ما إذا كان بإمكانه إكمال مهمة ما.

المنهجية: PHONESAFETY
لمعالجة ذلك، قدم المؤلفون PHONESAFETY، وهو معيار مصمم لتقييم الوكلاء عند اللحظات الحرجة للسلامة بدلاً من تقييم حلقات المهمة الكاملة.

• بناء البيانات: يتكون المعيار من 700 لحظة حرجة للسلامة مستمدة من 4,512 مساراً على أجهزة حقيقية عبر أكثر من 130 تطبيقاً للهواتف المحمولة الصينية. تغطي هذه المسارات سيناريوهات متنوعة تشمل التطبيقات الأصلية، والبرامج المصغرة (mini-programs)، وسير العمل عبر التطبيقات.
• وحدة التقييم: وحدة التحليل هي نقطة القرار المحددة التي يمكن أن يحدد الإجراء التالي فيها سلامة التفاعل بشكل مباشر. يتم تزويد النموذج بتعليمات المستخدم، وسجل التفاعل، وسياق الشاشة الحالي، ثم يُطلب منه التنبؤ بالإجراء التالي للهاتف.
• التفكيك ثلاثي الأبعاد: بدلاً من التصنيف الثنائي (آمن/غير آمن)، تُصنف النتائج إلى ثلاث فئات متبادلة حصرياً:
  1. الإجراء الآمن: ينخرط النموذج في القرار ويختار الجانب الآمن (مثل: طلب التأكيد، رفض تعليمات ضارة، إغلاق نافذة منبثقة مخادعة).
  2. الإجراء غير الآمن: ينخرط النموذج في القرار ولكنه يتجاوز حد السلامة (مثل: المضي قدماً في عملية دفع دون تأكيد، منح أذونات غير ضرورية).
  3. الفشل في القيام بأي شيء مفيد (فشل القدرة): يفشل النموذج في إدراك السلوك الآمن أو غير الآمن. ويشمل ذلك النقر في مناطق غير ذات صلة، أو مغادرة الصفحة، أو إنتاج إجراءات غير صالحة. تُعامل هذه الفئة كإشارة تشغيلية لعدم القدرة على الفعل بدلاً من ادعاء حول البواطن العميقة للنموذج.
• المقاييس: يسجل المؤلفون معدل الإجراء الآمن، ومعدل الإجراء غير الآمن، ومعدل الفشل في القدرة (CFR). كما يتتبعون $1 - \text{CFR}$ (معدل إنتاج أي إجراء ذي صلة) كوكيل للقدرة التشغيلية العامة.

النتائج الرئيسية
يقيم البحث ثمانية وكلاء ممثلين لاستخدام الهاتف (بما في ذلك Gemini 3.1 Pro، وClaude Opus 4.6، وAutoGLM 9B) ويكشف عن نمطين رئيسيين:

1. القدرة العامة لا تتنبأ بالخيارات الآمنة:
   لا يوجد ارتباط موثوق بين أداء النموذج العام في استخدام الهاتف وحكمه على السلامة في اللحظات الحرجة.

   • الدليل: النماذج التي تحتل مراتب عالية في المهام العامة (مثل Seed 2.0 Pro) لا تمتلك بالضرورة أعلى معدلات للأفعال الآمنة. وعلى العكس من ذلك، تظهر النماذج ذات الدرجات العامة المنخفضة أحياناً اتخاذ قرارات أكثر أماناً عندما يكون الحد واضحاً.
   • الاستنتاج: القدرة التشغيلية العالية لا تضمن السلوك الآمن؛ لذا يلزم وجود تقييم مخصص للسلامة.

2. أنماط الفشل المتميزة:
   الفشل ليس كتلة واحدة؛ بل ينقسم إلى نمطين متميزين بناءً على السيناريو:

   • الخيارات غير الآمنة: في السيناريوهات التي تتطلب رفضاً بسيطاً (مثل عائلة "Safety")، تكون الإخفاقات في الغالب أفعالاً غير آمنة. النموذج يفهم الواجهة ولكنه يختار الجانب الخاطئ من القرار (مثل المضي قدماً في تعليمات ضارة).
   • العجز عن الفعل: في السيناريوهات التي تتطلب جهداً بصرياً وتشغيلياً (مثل "مقاومة الفخاخ" و"تقليل الأذونات")، تكون الإخفاقات في الغلب فشلاً في القيام بأي شيء مفيد. النموذج لا يستطيع ربط الواجهة أو تنفيذ الإجراء المطلوب.
   • الارتباط: يرتبط معدل "الفشل في القيام بأي شيء مفيد" (CFR) ارتباطاً وثيقاً بالقدرة العامة على استخدام الهاتف ($\rho = 0.922$)، بينما لا يرتبط بمعدلات الأفعال الآمنة.

3. ثبات عدم القدرة تجاه البروتوكول:
   عند تغيير بروتوكول التقييم (الذي يحدد ما يشكل فعلاً آمناً مقابل فعل غير آمن)، يتغير معدل الإجراء الآمن بشكل ملحوظ. ومع ذلك، يظل معدل الفشل في القدرة (CFR) مستقراً ($\Delta \text{CFR} = 0.0$). وهذا يؤكد أن "الفشل في القيام بأي شيء مفيد" هو إشارة إلى عدم القدرة التشغيلية وليس حساسية تجاه تعريفات السلامة المحددة.

الأهمية والادعاءات
يجادل البحث بأنه بالنسبة للوكلاء القادرين على اتخاذ الإجراءات، فإن عدم إلحاق الضرر ليس دليلاً كافياً على السلامة. لا ينبغي منح النظام ائتمان السلامة لمجرد عدم وقوع ضرر إذا كانت تلك النتيجة ناتجة عن العجز عن الفعل.

• المساهمة الجوهرية: تقديم إطار تقييم ثلاثي الأبعاد يفصل بين الحكم غير الآمن والعجز عن الفعل.
• التحول المنهجي: الانتقال من نتائج مستوى الحلقة إلى اللحظات الحرجة للسلامة يسمح بعزل نقطة القرار المحددة التي تتحدد فيها السلامة.
• الآثار العملية: يجب أن يميز تقييم السلامة بين النموذج الذي يختار بشكل سيء، والنموذج الذي لا يستطيع الفعل. إن اعتبار "عدم القيام بأي إجراء ذي صلة" نجاحاً في السلامة هو خطأ منهجي يحجب الطبيعة الحقيقية لمخاطر الوكلاء.

تقتصر الدراسة على التقييم غير المتصل (offline) ضمن منظومة تطبيقات صينية، لكن المؤلفين يفترضون أن المبدأ الأساسي — وهو أن النتائج غير الضارة يجب تفسيرها بدلاً من مجرد ملاحظتها — ينطبق بشكل واسع على الوكلاء القادرين على الفعل في العالم الحقيقي.