🤖 AI

Why Do Aligned LLMs Remain Jailbreakable: Refusal-Escape Directions, Operator-Level Sources, and Safety-Utility Trade-off

تتقصى هذه الورقة البحثية سبب بقاء النماذج اللغوية الكبيرة المتوافقة قابلة للاختراق عبر تقديم مفهوم "اتجاهات الرفض والهروب" (RED)، حيث تثبت أن هذه الثغرات تنبع من مصادر محددة على مستوى العمليات داخل بنية النموذج، وتوضح أن القضاء عليها يخلق مقايضة متأصلة بين السلامة والمنفعة.

المؤلفون الأصليون: Yu Chen, Yuanhao Liu, Qi Cao

نُشر 2026-05-12

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Yu Chen, Yuanhao Liu, Qi Cao

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك مساعداً آلياً ذكياً للغاية ومدرباً جيداً. لقد علمتَه قواعد صارمة: "إذا طلب منك شخص ما القيام بشيء خطير، قل: 'لا، لا أستطيع فعل ذلك'". هذا ما يسمى بـ المحاذاة (Alignment).

ومع ذلك، وجد المخترقون الأذكياء طرقاً لخداع هذا الروبوت لجعله يتجاهل قواعده. يستخدمون "مطالبات كسر الحماية" (Jailbreak Prompts) الخاصة، مثل كود سري أو قصة معقدة، لجعل الروبوت يقول "نعم" لطلبات خطيرة.

هذه الورقة البحثية تسأل سؤالاً جوهرياً: لماذا تنجح هذه الخدعة رغم ذلك؟ على الرغم من أنه تم تدريب الروبوت ليكون آمناً، لماذا لا يزال من الممكن اختراقه؟

يقترح المؤلفون طريقة جديدة للنظر إلى هذه المشكلة باستخدام بعض المفاهيم الرئيسية:

1. "نفق الهروب" (اتجاهات الرفض والهروب - Refusal-Escape Directions)

تخيل أن عقل الروبوت عبارة عن خريطة ضخمة متعددة الأبعاد. عندما تطرح سؤالاً خطيراً، يسلك الروبوت عادةً مساراً يؤدي إلى علامة "توقف" حمراء كبيرة (الرفض).

تشير الورقة البحثية إلى أنه بجانب علامة "التوقف" هذه مباشرة، توجد أنفاق ضيقة مخفية تسمى اتجاهات الرفض والهروب (RED).

كيف تعمل: تسمح لك هذه الأنفاق بدفع مدخلات الروبوت قليلاً في اتجاه معين. إذا دفعت المدخلات في الاتجاه الصحيح، سينزلق الروبوت من مسار "التوقف" إلى مسار "الانطلاق"، لكنه سيظل يعتقد أنه يجيب على نفس السؤال الخطير.
التشبيه: فكر في الأمر كحارس أمن عند بوابة. الحارس مدرب على إيقاف أي شخص يحمل سلاحاً. ولكن إذا اقتربت من الحارس وأملت جسدك قليلاً أثناء حمل السلاح (دون تغيير السلاح فعلياً)، فقد يرتبك الحارس ويسمح لك بالمرور، رغم أن السلاح لا يزال موجوداً. "الإمالة" هي اتجاه الهروب.

2. "الأنابيب المسربة" (مصادر مستوى المشغل - Operator-Level Sources)

قام المؤلفون بتفكيك عقل الروبوت إلى سباكة داخلية (طبقات من العمليات الرياضية مثل الانتباه والتطبيع/Normalization). ووجدوا أن أنفاق الهروب هذه ليست سحراً؛ بل هي ناتجة عن "تسريبات" محددة في السباكة.

لقد حددوا ثلاثة أنواع رئيسية من التسريبات التي تخلق أنفاق الهروب هذه:

تسريبات التطبيع (Normalization Leaks): مثل مرشح المياه الذي يغير ضغط الماء بطريقة تؤدي عرضاً إلى فتح باب جانبي.
تسريبات الأسلاك المتبقية (Residual Wiring Leaks): مثل الأنابيب التي تدور حول نفسها، مما يخلق ضغطاً متزايداً يجبر الماء على الخروج من صدع ما.
التسريبات النهائية (Terminal Leaks): هذا هو النوع الأهم. إنه يشبه باباً خلفياً في نهاية المبنى لم يتم إغلاقه بشكل صحيح. وجدت الورقة أن عمليات كسر الحماية الناجحة تستخدم غالباً هذا "الباب الخلفي" المحدد للدخول.

3. "موازنة مستحيلة" (المقايضة بين السلامة والمنفعة - Safety–Utility Trade-off)

هذا هو الجزء الأكثر مفاجأة في الورقة. فقد أثبت المؤلفون رياضياً أنه لا يمكنك سد أنفاق الهروب هذه تماماً دون كسر قدرة الروبوت على أن يكون مفيداً.

التشبيه: تخيل أن الروبوت عبارة عن سيارة. "أنفاق الهروب" تشبه طريقة اهتزاز عجلة القيادة عند الانعطاف يساراً.
- لإيقاف الاهتزاز (إصلاح كسر الحماية)، عليك شد برغي معين.
- لكن هذا البرغي نفسه هو ما يسمح للسيارة بالانعطاف يساراً بسلاسة عندما تريد الذهاب إلى البقالة (الطلبات الحميدة).
- إذا شددت البرغي بما يكفي لإيقاف الاهتزاز تماماً، فقد تتعطل السيارة وترفض الانعطاف يساراً على الإطلاق. وإذا تركته مرتخياً، فقد تنعطف السيارة، لكنها قد تهتز وتسمح للمخترق بالسيطرة على المقود.

تسمي الورقة هذا مقايضة مشروطة بين السلامة والمنفعة. وهذا يعني أنه طالما أن الروبوت يحتاج إلى أن يكون مرناً بما يكفي للإجابة على الأسئلة العادية، فإنه سيحتوي بطبيعته على ضعف هيكلي يمكن للمهاجم الذكي استغلاله.

4. ماذا أظهرت التجارب

اختبر الباحثون هذه النظرية على عدة نماذج ذكاء اصطناعي شهيرة (مثل Qwen و Llama و Gemma) ومختلف أساليب الاختراق.

النتيجة الأولى: عندما أضافوا "رموزاً وهمية" (Tokens) (مثل نائبات فارغة) إلى المدخلات، كان الأمر بمثابة تسليط ضوء كشاف على أنفاق الهروب. فجأة، أصبحت "التسريبات" المخفية مرئية وقابلة للقياس.
النتيجة الثانية: عندما راقبوا الروبوت وهو يتعرض للخداع، رأوا أن الروبوت لم يبتكر فجأة طريقة جديدة لقول "نعم". بدلاً من ذلك، انزلق فقط عبر "نفق الهروب" الموجود مسبقاً (تحديداً "التسريب النهائي" أو الباب الخلفي) الذي كان موجوداً بالفعل.

الملخص

تجادل الورقة بأن عمليات كسر حماية الذكاء الاصطناعي لا تتعلق فقط بإيجاد الكلمات السحرية المثالية. بل تتعلق باستغلال نقاط الضعف الهيكلية المبنية في تصميم الذكاء الاصطناعي. هذه النقاط موجودة لأن الذكاء الاصطناعي يجب أن يكون مرناً ليكون مفيداً. يقترح المؤلفون أنه لجعل الذكاء الاصطناعي أكثر أماناً، لا ينبغي لنا مجرد محاولة حظر كل "كلمة سيئة" ممكنة؛ بل نحتاج إلى فهم ومعالجة أنفاق "الهروب" الهيكلية هذه، رغم أنه قد يكون من المستحيل رياضياً إصلاحها تماماً دون جعل الذكاء الاصطناعي أقل فائدة.

ملخص تقني: لماذا تظل النماذج اللغوية الكبيرة المتوافقة قابلة للاختراق (Jailbreakable)؟

بيان المشكلة

على الرغم من تقنيات التوافق مع السلامة مثل التعلم المعزز من التغذية الراجعة البشرية (RLHF)، لا تزال النماذج اللغوية الكبيرة (LLMs) عرضة لهجمات الاختراق (Jailbreak). هذه الهجمات، بما في ذلك اللاحقات المعادية (adversarial suffixes)، وإعادة كتابة المطالبات (prompt rewriting)، والبحث الآلي في القوالب، تنجح في تجاوز آليات الرفض لاستحثاث مخرجات ضارة. وبينما حددت الدراسات الميكانيكية الحديثة سمات كامنة وتحولات في التمثيل مرتبطة بنجاح الاختراق، إلا أنها لا تزال ظواهرية (phenomenological) إلى حد كبير. ويبقى هناك سؤال نظري جوهري دون إجابة: لماذا تظل النماذج اللغوية الكبيرة المتوافقة قابلة للاختراق، وما هي الثغرات الهيكلية المحددة في بنية النموذج التي تمكن ذلك؟

المنهجية

يقترح المؤلفون رؤية التحول المستمر للمدخلات لتحليل عمليات الاختراق. بدلاً من معاملة الاختراقات كبناءات مطالبات منفصلة فقط، يقومون بنمذجة الانتقال من مطالبة ضارة إلى نظيرتها المخترقة كمنحنى مستمر في فضاء تضمين المدخلات (input embedding space).

1. الإطار النظري: اتجاهات الهروب من الرفض (RED)

الكائن النظري الجوهري الذي تم تقديمه هو اتجاه الهروب من الرفض (Refusal-Escape Direction - RED).

التعريف: اتجاهات RED هي اتجاهات اضطراب محلية حول مدخل ضار تعمل على تحويل سلوك النموذج من الرفض إلى الإجابة مع الحفاظ على تفسير النموذج للمحتوى الضار للمدخلات.
الصيغة الرياضية: لتكن $X(\eta)$ تحولاً مستمراً من مطالبة ضارة $X(\eta_0)$ إلى مطالبة مخترقة $X(\eta_\star)$ . إن RED هو اتجاه مماس $X'(\eta)$ يقع ضمن "مجموعة الحفاظ على الدلالات الضارة" $P(X)$ (الاتجاهات التي لا تغير تفسير النموذج للضرر) ولكنه يغير في الوقت نفسه "إشارة السلوك المستهدف" $\Phi_Y(X)$ (الإشارة التي تميز الرفض عن الإجابة).
الأهمية: وجود اتجاهات RED غير بديهية يعني أن النموذج يمتلك درجات حرية هيكلية تسمح للمهاجم بتعديل سلوك الرفض دون تغيير الضرر المتصور للطلب.

2. التفكيك على مستوى المؤثر (Operator-Level Decomposition)

يثبت البحث أن اتجاهات RED يمكن تفكيكها بدقة إلى مساهمات من مصادر محددة داخل بنية المؤثر للنموذج (تحديداً للنماذج ذات البنية المسبقة للتطبيع مثل عائلة LLaMA).

التفكيك: RED هو مجموع المساهمات المنقولة من مصادر التسرب (leakage sources) في كل طبقة ومصدر طرفي (terminal source).
مصادر التسريب: تنشأ من التفاعل بين حساسية السلوك المستهدف والفضاء الفرعي الحساس للدلالات الضارة في كل طبقة. وتُصنف إلى:
- مصادر التطبيع (Normalization sources): تنشأ من عمليات LayerNorm/RMSNorm.
- مصادر الانتباه الذاتي وMLP: تنشأ من الوحدات التعبيرية.
- مصادر التوصيل المتبقي (Residual-wiring sources): تنشأ من الاتصالات المتبقية (فروع الهوية والجسم).
المصدر الطرفي (Terminal Source): عدم تطابق بين اتجاه السلوك المستهدف والفضاء الفرعي الحساس للدلالات الضارة المنتشر في الحالة الخفية النهائية.

3. القيود التحليلية والمقايضة بين السلامة والمنفعة (Safety–Utility Trade-off)

يحدد المؤلفون مصادر التطبيع، والتوصيل المتبقي، والمصدر الطرفي كأجزاء مقيدة تحليلياً.

القيد: يتطلب القضاء على هذه المصادر استيفاء شروط تلاشٍ تحليلية محددة (مثل الاتساق بين الفضاءات الفرعية للمدخلات والمخرجات) عبر منطقة مفتوحة متصلة من فضاء المدخلات.
النظرية: إذا لم يكن "حقل إزالة RED في المنطقة الضارة" (الإجراء المطلوب لإزالة REDs بالقرب من المدخلات الضارة) و"الحقل السلوكي في المنطقة الحميدة" (الإجراء المطلوب للحفاظ على الاستجابات الحميدة) متطابقين تحليلياً، فإن لا يوجد ضبط واحد للمعلمات يمكنه استيفاء كلا المتطلبين بدقة.
الاستنتاج: يثبت هذا وجود مقايضة مشروطة بين السلامة والمنفعة. إن القضاء التام على REDs (وبالتالي على قابلية الاختراق) في المنطقة الضارة قد يستلزم رياضياً تدهور السلوك الحميد في المنطقة الحميدة، ما لم يكن هندسة النموذج متوافقة تماماً.

المساهمات الرئيسية

تقديم RED: صياغة "اتجاهات الهروب من الرفض" ككائن نظري لدراسة قابلية الاختراق من منظور التحول المستمر للمدخلات.
التفكيك الدقيق: إثبات إمكانية تفكيك RED بدقة إلى مساهمات من مصادر على مستوى المؤثر (التطبيع، الانتباه الذاتي، MLP، التوصيل المتبقي، والمصادر الطرفية) بناءً على بنية النموذج.
تحديد القيود التحليلية: تحديد مصادر التطبيع، والتوصيل المتبدي، والمصدر الطرفي كأجزاء مقيدة تحليلياً. وأظهر أن إزالة RED تؤدي إلى مقايضة مشروطة بين السلامة والمنفعة، مما يفسر لماذا قد يكون تحقيق السلامة والمنفعة المثالية أمراً متعذراً.
التحقق التجريبي: تحليل RED عبر خمسة نماذج (Qwen3, Llama-3.1, Gemma-3) وخمس طرق هجوم (GCG, AutoDAN, GPTFuzzer, TAP, ReNeLLM).

النتائج التجريبية

تتحقق التجارب من النظرية من منظورين متكاملين:

أبعاد الرموز المضافة تكشف RED:
- في المدخلات الضارة "النظيفة" (بدون حشو/padding)، غالباً ما تلغي المساهمات من مختلف مصادر مستوى المؤثر بعضها البعض، مما يؤدي إلى RED يقترب من الصفر.
- عند إضافة أبعاد رموز "نائبة" (placeholder) (محاكية لبنية العديد من عمليات الاختراق)، ينكسر هذا الإلغاء. تخلق الأبعاد المضافة قنوات نقل جديدة، مما يكشف عن RED كبير وغير صفري.
- النتيجة: يساهم المصدر الطرفي بشكل أكثر استقراراً وبروزاً في RED المكشوف، مما يشير إلى أن عمليات الاختراق الناجحة تستغل قنوات جانبية خارج التفسير الأساسي للنماذج للدلالات الضارة.
تحولات الاختراق تتوافق مع المصادر الطرفية:
- عند تحليل التحول المستمر من المطالبات الضارة إلى المطالبات المخترقة، وجد المؤلفون أن التحول من "الرفض إلى الإجابة" يحدث إلى حد كبير في النصف الأول من التحول في كثير من الحالات.
- التحول السلوكي المحلي على طول المسار يتوافق تماماً تقريباً مع RED ( $\rho_R \approx 1$ ).
- النتيجة: مماس التحول يتوافق باستمرار مع مساهمات المصدر الطرفي. وهذا يشير إلى أن الاختراقات الناجحة لا تخلق آليات جديدة بل تستغل اتجاهات RED الموجودة بالفعل (تحديداً القناة الجانبية الطرفية) والتي تكون موجودة حتى عند المدخل الضار الأولي.

الأهمية والادعاءات

يدعي البحث تقديم تفسير هيكلي لسبب بقاء النماذج اللغوية الكبيرة المتوافقة قابلة للاختراق، متجاوزاً الملاحظات الظواهرية إلى إطار نظري قائم على التفكيك على مستوى المؤثر.

الثغرة الهيكلية: قابلية الاختراق ليست مجرد فشل في بيانات التدريب، بل هي خاصية هيكلية حيث يحتفظ النموذج بـ "اتجاهات هروب" تسمح بتعديل السلوك دون تغيير الدلالات.
المقايضة: يفترض البحث أن صعوبة تحقيق السلامة المثالية ليست مجرد تحدٍ في التحسين (optimization)، بل هي قيود تحليلية متضاربة تفرضها متطلبات إزالة REDs (السلامة) مع الحفاظ على الاستجابات الحميدة (المنفعة) على الوحدات التعبيرية المشتركة (Self-Attention و MLP).
الآثار الدفاعية: يقترح المؤلفون أن استراتيجيات الدفاع المستقبلية لا ينبغي أن تركز فقط على حصر مطالبات الاختراق المكتملة، بل يجب أن تهدف إلى قمع اتجاهات RED المحلية حول المدخلات الضارة، مع إيلاء اهتمام خاص لمساهمات المصدر الطرفي، التي تبدو المسار الأكثر استقراراً وقابلية للاستغلال في عمليات الاختراق.

يختتم البحث بتواضع، مشيراً إلى أنه بينما حدد هذه الثغرات الهيكلية والمقايضات، فإن الدفاعات العملية قد لا تتطلب إزالة RED بالضبط، بل قمعها إلى ما دون عتبة مفيدة، كما أن الشروط المحددة لمقايضة السلامة والمنفعة تتطلب مزيداً من الاستقصاء النظري والتجريبي.