Continuous Discovery of Vulnerabilities in LLM Serving Systems with Fuzzing
تقدم هذه الورقة GRIEF، وهو فاحص (fuzzer) من نوع الصندوق الرمادي (greybox) يستهدف تعقيدات التزامن وإدارة الحالة في أنظمة خدمة النماذج اللغوية الكبيرة (LLM) للكشف عن الثغرات الحرجة مثل فشل عزل ذاكرة التخزين المؤقت وتداخل الأداء، حيث نجح في تحديد 15 مشكلة جديدة بما في ذلك ثغرتان من نوع CVE في محركات مثل vLLM وSGLang.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل مكتبة ضخمة فائقة السرعة حيث يقوم أمين مكتبة واحد (نموذج الذكاء الاصطناعي) بالإجابة على آلاف الأسئلة في وقت واحد. لكي يكون سريعاً للغاية، لا يكتفي أمين المكتبة بالإجابة على سؤال واحد في كل مرة؛ بل يحتفظ بنظام "ملاحظات لاصقة" (يُسمى KV cache) على مكتبه. إذا طرح شخصان أسئلة متشابهة، يعيد أمين المكتبة استخدام الملاحظات من الشخص الأول لتسريع عملية الشخص الثاني. كما يقوم بتجميع الناس في "دفعات" (batches) للإجابة عليهم معاً، تماماً مثل حافلة تنقل الركاب.
تقدم هذه الورقة البحثية أداة أمنية جديدة تسمى GRIEF (تخيلها كـ "روبوت اختبار الإجهاد")، وهي تعمل كشخص يحب المقالب لكنه غير مؤذٍ. مهمتها ليست تدمير المكتبة أو سرقة الكتب؛ بل تحاول خداع أمين المكتبة لجعله يرتكب أخطاءً عبر طرح أسئلة بتوقيتات وتوليفات غريبة ومحددة للغاية.
إليك ما اكتشفته الورقة البحثية، مشروحاً ببساطة:
1. المشكلة: ارتباك "الملاحظات اللاصقة"
عادةً، نحن نقلق بشأن محتوى الأسئلة (مثل: "كيف يمكنني اختراق بنك؟"). لكن هذه الورقة وجدت أن توقيت وتجميع الأسئلة يمكن أن يسبب ارتباكاً لأمين المكتبة، حتى لو كانت كل الأسئلة مهذبة وطبيعية تماماً.
لأن أمين المكتبة يعيد استخدام الملاحظات اللاصقة ويجمع الناس في دفعات، وجد GRIEF ثلاث طرق رئيسية يمكن للنظام أن ينكسر من خلالها:
تلوث "الملاحظة الشبحية" (فساد الحالة - State Corruption):
تخيل أن الشخص (أ) يسأل: "ما هو 24 + 48 + 15؟" فيكتب أمين المكتبة "87" على ملاحظة لاصقة. ثم يسأل الشخص (ب) نفس السؤال تماماً. ولأن أمين المكتبة يعيد استخدام الملاحظة، فإنه يعطي الشخص (ب) بالخطأ الإجابة "60" (وهو رقم خاطئ ناتج عن عملية حسابية أخرى تحدث في الخلفية).- النتيجة: يعطي أمين المكتبة إجابة واثقة وسلسة ولكنها خاطئة تماماً، ومع ذلك لا تنهار المكتبة؛ بل يكذب بصمت فقط.
ازدحام "الجار المزعج" (اعتلال الأداء - Performance Pathology):
تخيل أن شخصاً واحداً في غرفة الانتظار بدأ يطرح سؤالاً يتطلب قدراً ضئيلاً من الجهد الذهني الإضافي لمعالجته. ولأن أمين المكتبة يحاول أن يكون فعالاً ويقوم بكل شيء في آن واحد، يتسبب هذا الشخص الواحد بالخطأ في سد المكتب بالكامل.- النتيجة: الجميع المنتظرون لدورهم سيضطرون فجأة للانتظار لدقائق أو حتى ساعات للحصول على رد، رغم أن أمين المكتبة لا يزال "حياً" ويعمل. المكتبة لم تغلق، لكنها أصبحت عديمة الفائدة للجميع فعلياً.
"سائق الحافلة المرتبك" (فشل الاستمرارية/الانهيار - Crash/Liveness Failure):
تخيل أن أمين المكتبة يحاول وضع ثلاثة أنواع مختلفة من الركاب (منتظمون، كبار شخصيات، وضيوف مميزون) في نفس الحافلة. كل راكب بمفرده بخير، ولكن عندما يحاول أمين المكتبة حشرهم جميعاً معاً بترتيب معين، يرتبك سائق الحافلة (المجدول/Scheduler) بشأن من الموجود في الحافلة فتتحطم المركبة.- النتيجة: تغلق المكتبة بأكملها وتضطر لإعادة التشغيل، رغم أن أحداً لم يفعل شيئاً غير قانوني.
2. كيف يعمل GRIEF
معظم الاختبارات الأمنية تتحقق مما إذا كان السؤال الواحد خطيراً. أما GRIF فهو مختلف؛ فهو يتعامل مع تسلسل من الأحداث كمدخلات.
- التشبيه: تخيل قائد أوركسترا يحاول قيادة الفرقة الموسيقية. بدلاً من التحقق مما إذا كان عازف كمان واحد يعزف النوتة الصحيحة، يقوم GRIF بتغيير متى يعزف العازف، ومع من يعزف، وبأي سرعة يعزف.
- الطريقة: يرسل GRIF آلاف الطلبات التي تتداخل زمنياً. ويراقب "الأعطال" مثل:
- هل تغيرت الإجابة قليلاً عندما لم يكن من المفترض أن تتغير؟
- هل قفز وقت الاستجابة فجأة من 10 مللي ثانية إلى 10 ثوانٍ؟
- هل تجمد النظام أو تعطل؟
- التحقق: بما أن الذكاء الاصطناعي قد يكون عشوائياً أحياناً، فإن GRIF لا يصرخ "خطأ!" فوراً. بل يعيد تشغيل نفس تسلسل الأحداث بالضبط بطريقة محكومة ليرى ما إذا كان الخلل سيتكرر. إذا تكرر، فهذا يعني أنه خطأ حقيقي.
3. النتائج
استخدم الباحثون GRIF على نظامين شهيرين للمكتبات (vLLM و SGLang) ووجدوا 15 خطأً محتملاً.
- تم تأكيد 10 منها من قبل مطوري هذه الأنظمة.
- اثنان منها كانا خطيرين جداً لدرجة حصولهما على أرقام "CVE" رسمية (مثل معرف فريد لثغرة أمنية تحتاج إلى إصلاح).
لماذا هذا مهم؟
تجادل الورقة البحثية بأننا كنا ننظر إلى أمن الذكاء الاصطناي من خلال العدسة الخاطئة. كنا نتحقق مما إذا كان الذكاء الاصطناعي يقول شيئاً وقحاً أو خطيراً. لكن هذا البحث يظهر أن البنية التحتية (أمين المكتبة، الملاحظات اللاصقة، وسائق الحافلة) هشة بنفس القدر.
حتى لو قدمت للذكاء الاصطناعي أسئلة مثالية وآمنة، فإن الطريقة التي يتعامل بها النظام معها معاً يمكن أن تؤدي إلى:
- أكاذيب صامتة (إجابات خاطئة تبدو صحيحة).
- حرمان من الخدمة (جعل النظام بطيئاً جداً بحيث لا يمكن استخدامه).
- انهيارات (إيقاف الخدمة تماماً).
تخلص الورقة إلى أنه لجعل الذكاء الاصطناعي آمناً، لا نحتاج فقط لاختبار "الدماغ" الخاص بالذكاء الاصطناعي، بل أيضاً "الجهاز العصبي" الذي ينقل إجاباته إلى العالم.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.