🤖 machine learning

Metis: Learning to Jailbreak LLMs via Self-Evolving Metacognitive Policy Optimization

تُعد Metis إطار عمل مبتكر يعيد صياغة عملية كسر حماية النماذج اللغوية الكبيرة (LLM jailbreaking) كعملية تحسين سياسة معرفية فوقية ذاتية التطور ضمن عملية قرار ماركوف لاتخاذ قرار جزئي الملاحظة (POMDP) تنافسية، محققةً معدلات نجاح هجوم هي الأفضل في فئتها مع تقليل تكاليف الرموز (tokens) بشكل كبير عبر استبدال الاستدلالات الثابتة باستدلال سببي موجه لتجاوز دفاعات السلامة المتقدمة.

المؤلفون الأصليون: Huilin Zhou, Jian Zhao, Yilu Zhong, Zhen Liang, Xiuyuan Chen, Yuchen Yuan, Tianle Zhang, Chi Zhang, Lan Zhang, Xuelong Li

نُشر 2026-05-12

📖 3 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Huilin Zhou, Jian Zhao, Yilu Zhong, Zhen Liang, Xiuyuan Chen, Yuchen Yuan, Tianle Zhang, Chi Zhang, Lan Zhang, Xuelong Li

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تحاول فتح خزنة عالية التقنية وفائقة الأمان (النموذج الذكي - AI) يقف أمامها حارس ذكي وحذر للغاية (التوافق مع معايير السلامة).

لفترة طويلة، حاول المخترقون (فرق الاختبار الأحمر - Red Teamers) اقتحامها عبر إلقاء الحجارة على الباب، أو تجربة مفاتيح مختلفة، أو الصراخ بعبارات عشوائية حتى ينجح أمر ما. هذا يشبه البحث العشوائي (Stochastic Search): الكثير من التخمين، والكثير من الجهد الضائع، وغالباً ما يفشل أمام الحراس الأحدث والأذكى.

تقدم الورقة البحثية أداة جديدة تسمى Metis. بدلاً من مجرد إلقاء الحجارة، Metis يشبه لصاً ماهراً لا يكتفي بمحاولة كسر الباب فحسب، بل يتعلم كيف "يفكر" الحارس ويغير استراتيجيته في الوقت الفعلي.

إليك كيف تعمل Metis، مقسمة إلى مفاهيم بسيطة:

1. نظام "الدماغ المزدوج" (المهاجم والمقيم)

Metis ليس مجرد روبوت واحد؛ بل هو فريق من اثنين يعملان معاً في حلقة مستمرة:

المهاجم (اللص): هو الذي يحاول خداع الذكاء الاصطناعي. ولكن على عكس الأساليب القديمة التي تعتمد على التخمين فقط، يمتلك هذا المهاجم خطوة "تفكير". فقبل أن يطرح سؤالاً، يتوقف ليحلل: "لماذا قال الحارس 'لا' في المرة الماضية؟ هل كنت واضحاً أكثر من اللازم؟ هل استخدمت الكلمات الخاطئة؟"
المقيم (المدرب): هذا ذكاء اصطناعي ثانٍ يراقب التفاعل. وبدلاً من الاكتفاء بقول "نجح" أو "فشل"، يقدم المدرب تقريراً مفصلاً (تقرير درجات). يقول مثلاً: "لقد فشلت، ولكن إليك السبب بالضبط: لقد كنت مباشراً جداً في سؤالك. حاول صياغة الأمر كأنه قصة عن سيناريو فيلم."

2. الحلقة "الميتا-معرفية" (التفكير في التفكير)

السر يكمن في الميتا-معرفة (Metacognition). وبالمصطلحات البشرية، هذا يعني "التفكير في طريقة تفكيرك الخاصة".

الطريقة القديمة: يحاول المخترق حيلة ما. يقول الحارس "لا". يحاول المخترق حيلة عشوائية أخرى.
طريقة Metis: يحاول المخترق حيلة ما. يقول الحارس "لا". يفكر المخترجم: "آه، الحارس يشتبه في كلمة 'اختراق'. سأتوقف عن استخدام هذه الكلمة. سأتظاهر بدلاً من ذلك بأنني عالم يدرس كيفية عمل الأقفال."
يقوم المهاجم بعد ذلك بتحديث خريطته الداخلية لمنطق الحارس ويجرب نهجاً جديداً تماماً وأكثر ذكاءً بناءً على هذا التشخيص.

3. "التدرج الدلالي" (البوصلة)

تخيل أنك تسير في الظلام بحثاً عن كنز مخفي.

الأساليب القديمة تشبه المشي في دوائر، على أمل أن تتعثر بالكنز بالصدفة.
Metis يشبه امتلاك بوصلة لا تشير إلى الشمال فحسب، بل تخبرك أيضاً: "أنت على بُعد 10 خطوات، وإذا اتجهت قليلاً نحو اليسار، ستصبح الأرض أكثر ليونة."
يوفر "المقيم" هذه البوصلة. إنه يعطي "تدرجاً دلالياً" (Semantic Gradient) — وهو اتجاه في عالم اللغة يشير بالمهاجم نحو الإجابة، بدلاً من مجرد إخباره بأنه مخطئ.

4. النتائج: أذكى وأقل تكلفة

اختبرت الورقة البحثية Metis ضد 10 نماذج مختلفة من الذكاء الاصطنافي، بما في ذلك النماذج الأكثر تقدماً (مثل GPT-5 و O1).

معدل النجاح: نجح Metis في كسر حواجز السلامة بنسبة 89.2% في المتوسط. وهذا أعلى بكثير من الطرق السابقة، التي كانت تنخفض فيها نسبة النجاح إلى ما يقارب الصفر عند مواجهة الحراس الأذكى.
الكفاءة: لأن Metis لا يضيع الوقت في التخمين العشوائي، فإنه يستخدم قدرة حوسبية (Tokens) أقل بمقدار 8 إلى 11 مرة لتحقيق النجاح. إنه يشبه حل المتاهة من خلال النظر إلى الخريطة بدلاً من الاصطدام بكل جدار.

5. التحذير الكبير

تختتم الورقة البحثية بملاحظة مثيرة للقلق: حتى أفضل حراس السلامة لدينا اليوم معرضون لهذا النوع من الهجمات "التفكيرية". الحراس جيدون في رصد الكلمات السيئة، لكنهم يواجهون صعوبة عندما يستخدم المهاجم محادثة منطقية طويلة لخداعهم ببطء للكشف عن شيء لا ينبغي لهم كشفه.

باختصار: Metis هو نظام يعلم الذكاء الاصطناعي كيفية اختراق (Jailbreak) أنظمة الذكاء الاصطناعي الأخرى من خلال تحليل أخطائه باستمرار، وفهم "شخصية" الحارس الذي يواجهه، وتكييف استراتيجيته مثل لاعب شطرنج عظيم بدلاً من مقامر. يقول المؤلفون إن هذا يثبت حاجتنا إلى دفاعات يمكنها "التفكير" بشكل ديناميكي، وليس مجرد قواعد ثابتة.

ملخص تقني: Metis – التعلم لاختراق النماذج اللغوية الكبيرة عبر تحسين سياسة الميتا-معرفية ذاتية التطور

1. بيان المشكلة

على الرغم من تقنيات المحاذاة الأمنية الصارمة مثل الضبط الدقيق الخاضع للإشراف (SFT) والتعلم المعزز من التغذية الراجعة البشرية (RLHF)، لا تزال النماذج اللغوية الكبيرة (LLMs) عرضة لهجمات الاختراق (Jailbreak) التي تستدرج محتوى محظوراً. تواجه منهجيات الاختبار الأحمر المؤتمتة الحالية عائقاً حرجاً: فهي تعتمد على الاستدلالات الثابتة أو البحث العشوائي (مثل البحث الشجري، أو الخطط المحددة مسبقاً، أو تصعيد المواضيع). وبينما تعد هذه الأساليب فعالة ضد نماذج معينة مفتوحة الأوزان، إلا أنها تظهر فجوة تعميم كبيرة عند استهداف النماذج الرائدة وعالية المحاذاة (مثل O1، وGPT-5-chat). إن جمودها الاستراتيجي يجعل مسارات الهجوم قابلة للتنبؤ وهشة، مما يؤدي إلى الفشل في التكيف مع الاستدلال الدفاعي الديناميكي والمتطور للنماذج الحديثة. علاوة على ذلك، تفتقر الطرق الحالية غالباً إلى القابلية للتفسير، حيث تعمل كعمليات استكشاف "الصندوق الأسود" التي لا تكشف عن سبب اختراق الدفاع.

2. المنهجية: إطار عمل Metis

يعيد Metis صياغة مهمة الاختراق كمسألة تحسين سياسة أثناء الاستدلال ضمن عملية قرار ماركوف مرئية جزئياً (POMDP) عدائية. وخلافاً لطرق البحث التقليدية، يستخدم Metis حلقة ميتا-معرفية ذاتية التطور مدفوعة بهيكلية مكونة من وكيلين: المهاجم (Attacker) والمقيم الميتا-معرفي (Metacognitive Evaluator).

2.1. صياغة الـ POMDP العدائية

يتم نمذجة التفاعل كـ مجموعة $(S, A, O, R)$ :

الحالة الكامنة ( $S$ ): تتكون من تاريخ الحوار وتكوين الدفاع الخفي ( $D$ ) للنموذج المستهدف.
فضاء الإجراءات ( $A$ ): يولد المهاجم مطالبة (Prompt) $x_t$ مشتقة من استراتيجية استدلال عالية المستوى $\sigma_t$ .
فضاء الملاحظة ( $O$ ): يلاحظ المهاجم استجابة الهدف $y_t$ والتغذية الراجعة من المقيم $f_t$ .
المكافأة ( $R$ ): تقيم المواءمة الدلالية لـ $y_t$ مع الهدف الخبيث $G$ .

التحدي الجوهري يكمن في عدم اليقين بشأن $D$ . يحافظ Metis على حالة اعتقاد $b_t(D)$ ، تمثل فرضيته حول المنطق الدفاعي للهدف، والتي يتم تحديثها بشكل تكراري.

2.2. الهيكلية ثنائية الوكيل

يعمل إطار العمل عبر حلقة تعاونية حيث ينخرط المهاجم والمقيم في نظام مغلق الحلقة:

المهاجم (وكيل السياسة $\pi$ ): ينفذ تسلسلاً معرفياً ثلاثي المراحل في كل دورة:
- المرحلة الأولى: التشخيص الاستبطاني (تحديث الاعتقاد): يحلل الوكيل التباين بين الاستجابات المتوقعة والفعلية، مدمجاً مع التغذية الراجعة للمقيم، لإجراء استدلال سببي على آليات الدفاع الخاصة بالهدف (مثل تحديد ما إذا كان الدفاع يعتمد على الفلترة المعجمية أو فحص النوايا الدلالية).
- المرحلة الثانية: صياغة السياسة التكيفية: بناءً على الاعتقاد المحدث، يشتق الوكيل استراتيجية مجردة منقحة $\sigma_t$ . تعمل هذه الخطوة كعملية تحديث شبيهة بالاشتقاق (Gradient-like) في فضاء الاستراتيجية، مما يضمن تطور الهجوم بشكل متعامد مع الحدود الدفاعية المحددة.
- المرحلة الثالثة: التجسيد التنفيذي: يتم تجميع الاستراتيجية المجردة في تسلسل رموز ملموس (مطالبة) $x_t$ للتنفيذ.
المقيم (مقدر الاشتقاق): بدلاً من تقديم إشارات نجاح/فشل ضئيلة، يولد المقيم تغذية راجعة تحليلية كثيفة $f_t = (s_t, J_t, M_t)$ ، تتكون من درجة عددية، وتبرير، ومقترحات ميتا (Meta-suggestions).
- تعمل هذه المقترحات الميتا كـ اشتقاق دلالي ( $\nabla_{sem}$ )، حيث توفر توجيهاً اتجاهياً عالي الأبعاد في الفضاء الدلالي.
- تسمًح هذه الإشارة الكثيفة للمهاجم بصقل سياسته في الوقت الفعلي، مما يخفف من ندرة إشارات التعلم المعزز التقليدية.

2.3. الميتا-معرفية ذاتية التطور

لا يعتمد Metis على قوالب محددة مسبقاً. بدلاً من ذلك، يستخدم حلقة معرفية داخلية (<thought>, <strategy>, <prompt>) لتعلم كيفية الاستدلال والتكيف. يشخص الوكيل الموقف الدفاعي الفريد للهدف في الوقت الفعلي ويصيغ استراتيجيات مخصصة، متجاوزاً مطابقة الأنماط إلى التكيف الاستراتيجي في الموقع.

3. المساهمات الرئيسية

تحليل فجوة التعميم: يقدم البحث دليلاً تجريبياً على أن هجمات الاختراق متعددة الخطوات المتطورة تعاني من فجوة تعميم كبيرة، حيث تؤدي أداءً جيداً ضد نماذج معينة وتتدهور بشكل كبير أمام النماذج الرائدة عالية المحاذاة.
صياغة السياسة الميتا-معرفية: يعد Metis أول عمل يصيغ الاختراق كمسألة تحسين سياسة أثناء الاسترداد (Inference-time policy optimization). وقد قدم إطار عمل مدعوماً بالميتا-معرفية ذاتية التطور، مما يوفر قابلية تفسير محسنة من خلال آثار الاستدلال الصريحة التي تكشف عن التشخيص السببي الداخلي والتحولات الاستراتيجية للوكيل.
الأداء والكفاءة المتفوقة: يحقق Metis مستوى جديداً من الأداء (SOTA) بمتوسط معدل نجاح هجوم (ASR) يبلغ 89.2% عبر 10 نماذج متنوعة. والأهم من ذلك، من خلال استبدال الاستكشاف غير الضروري بالتحسين الموجه، فإنه يقلل تكلفة الرموز (Tokens) بمعدل 8.2 ضعفاً (يصل إلى 11.4 ضعفاً) مقارنة بالنماذج المرجعية القائمة على البحث.

4. النتائج التجريبية

أُجريت التقييمات على HarmBench و AdvBench عبر 10 نماذج مستهدفة، بما في ذلك النماذج المغلقة الرائدة (GPT-4o, O1, GPT-5-chat, Gemini 2.5 Pro, Claude-3.7, Grok3) والنماذج مفتوحة الأوزان (Llama-3, Qwen2.5).

الفعالية: حقق Metis متوسط معدل نجاح هجوم (ASR) بنسبة 89.2%، متفوقاً بشكل ملحوظ على أقوى النماذج المرجعية (مثل X-Teaming بنسبة 82.0%، وActorBreaker بنسبة 51.9%).
- على النماذج الصامدة مثل O1، حقق Metis نسبة 76.0% (مقابل 14.0% لـ ActorBreaker).
- على GPT-5-chat، حقق Metis نسبة 78.0% (مقابل 49.0% لـ X-Teaming).
- على Grok3، حقق Metis معدل نجاح هجوم بنسبة 100.0%.
الكفاءة: أظهر Metis انخفاضاً هائلاً في العبء الحسابي. ففي نموذج Grok3، وصل Metis إلى مرحلة التقارب باستخدام 1,093 رمزاً، بينما تطلب X-Teaming حوالي 12,425 رمزاً (أي تحسن في الكفاءة بمقدار 11.4 ضعفاً).
دراسات الاستئصال (Ablation Studies): أدى إزالة التغذية الراجعة الميتا-معرفية للمقيم إلى انخفاض كارثي في الأداء (على سبيل المثال، انخفض معدل نجاح الهجوم على Claude-3.7 من 86% إلى 46%)، مما يؤكد أن الاشتقاق الدلالي الكثيف للمقيم هو المحرك الأساسي للنجاح.
تحليل الدفاع: نجح Metis في تجاوز مختلف نماذج الدفاع، بما في ذلك اضطراب المدخلات (SmoothLLM)، والكشف القائم على الوكيل (Llama Guard, Self-reflect)، وضبط السلامة (X-Guard). ويشير التحليل إلى أن الدفاعات الثابتة معرضة للاختراق بواسطة تطور السياسة أثناء الاستدلال ومسارات الاستدلال مغلقة الحلقة.

5. الأهمية والادعاءات

يزعم البحث أن Metis يمثل تحولاً جذرياً من البحث الاستدلالي الثابت إلى الاختبار الأحمر المستقل القائم على التعلم. تكمن أهميته في ثلاثة مجالات:

كشف الثغرات: تسلط النتة الضوء على ثغرة حرجة في نماذج السلامة الحالية: وهي أن أنماط الرفض الثابتة غير كافية ضد الوكلاء القادرين على الاستدلال الديناميكي مغلق الحلقة. فالدفاعات التي تعتمد على التدريب خارج الإنترنت (مثل RLHF) تفشل في التكيف مع التقصي الاستراتيجي في الوقت الفعلي الذي يقوم به Metis.
القابلية للتفسير: على عكس طرق البحث العشوائية، يوفر Metis نافذة شفافة لمنطق الهجوم من خلال آثار الاستدلال الخاصة به. وهذا يسمح لمهندسي السلامة بفهم كيف ولما يتم اختراق حدود دفاعية معينة، مما يسهل تصميم دفاعات أفضل.
الكفاءة: من خلال تحويل التغذية الراجعة المهيكلة إلى اشتقاق دلالي كثيف، يحقق Metis تقارباً سريعاً بأقل استهلاك للرموز، مما يجعله أداة عملية لتدقيق الأمن المحدود الموارد.

يخلص المؤلفون إلى أن السلامة الفعالة تتطلب دفاعات قادرة على الاستدلال بشأن السلامة ديناميكياً أثناء الاستدلال، لتواكب الطبيعة التكيفية لسياسات الهجوم المتطورة. وهم يؤكدون على الطبيعة مزدوجة الاستخدام لهذا العمل، ملتزمين باستراتيجية إصدار مسؤولة تعطي الأولوية للرؤى الدفاعية ودراسات الحالة المنقحة لمجتمع السلامة، مع تقييد الوصول إلى إطار الهجوم الكامل للباحثين المعتمدين فقط.