💬 NLP

REALISTA: Realistic Latent Adversarial Attacks that Elicit LLM Hallucinations

تقدم الورقة البحثية REALISTA، وهو إطار عمل هجومي تنافسي مبتكر يقوم بتوليد مطالبات واقعية محفزة للهلوسة من خلال تحسين التوليفات المستمرة لاتجاهات التعديل المتكافئة دلاليًا في الفضاء الكامن، متجاوزًا بذلك قيود الطرق المنفصلة والمستمرة الحالية لاستهداف كل من النماذج مفتوحة المصدر ونماذج الاستدلال الكبيرة بفعالية.

المؤلفون الأصليون: Buyun Liang, Jinqi Luo, Liangzu Peng, Kwan Ho Ryan Chan, Darshan Thaker, Kaleab A. Kinfu, Fengrui Tian, Hamed Hassani, René Vidal

نُشر 2026-05-14

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Buyun Liang, Jinqi Luo, Liangzu Peng, Kwan Ho Ryan Chan, Darshan Thaker, Kaleab A. Kinfu, Fengrui Tian, Hamed Hassani, René Vidal

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة بحث REALISTA باستخدام لغة بسيطة وتشبيهات إبداعية.

الصورة الكبيرة: "خدعة السحر" لإرباك الذكاء الاصطناائي

تخيل أن لديك ببغاءً ذكيًا جدًا ومدربًا جيدًا (هذا هو النموذج اللغوي الكبير، أو LLM). تسأله سؤالًا بسيطًا: "ما هو حاصل جمع 2 زائد 2؟" فيجيب بثقة: "4".

الآن، تخيل أنك طرحت السؤال نفسه تمامًا، ولكنك أعدت صياغته قليلاً: "إذا دمجت تفاحتين مع تفاحتين أخريين، فكم سيكون لديك؟" الإنسان الطبيعي سيقول أيضًا "4". لكن هذا الببغاء الذكي فجأة يصاب بالارتباك ويقول: "5".

يُسمى هذا "هلوسة" (Hallucination). تسأل الورقة البحثية: لماذا يرتبك الببغاء لمجرد أننا غيرنا الكلمات، رغم أن المعنى هو نفسه تمامًا؟

لاكتشاف ذلك، يحتاج الباحثون إلى خداع الببغاء. لكن لا يمكنهم مجرد الصراخ بكلمات غير مفهومة أو سرد قصة وهمية، لأن ذلك يغير قواعد اللعبة. هم بحاجة إلى إيجاد "تعويذة سحرية" (مطالبة عدائية - Adversarial Prompt) تبدو طبيعية تمامًا وتعني الشيء نفسه تمامًا للسؤال الأصلي، ولكنها بطريقة ما تكسر عقل الببغاء.

المشكلة: طريقتان سيئتان لخداع الببغاء

قبل هذه الورقة، حاول الباحثون طريقتين رئيسيتين لخداع الذكاء الاصطناعي، وكلتاهما كانت تعاني من عيوب:

النهج "المنفصل" (تبديل القاموس):
تخيل محاولة إعادة كتابة السؤال عن طريق استبدال الكلمات من قاموس المترادفات. تغير كلمة "دمج" إلى "مزج"، و"تفاح" إلى "برتقال".

الجيد: يبدو الكلام بشريًا ويحافظ على المعنى.
السيء: الأمر يشبه محاولة رسم لوحة فنية باستخدام 10 ألوان محددة فقط. أنت محدود بالكلمات الموجودة في قاموسك، وقد تفوتك التركيبة المثالية من الكلمات التي قد تكسر ذكاء الآلة.

النهج "المستمر" (الوحل الرقمي):
تخيل محاولة تعديل السؤال عبر إجراء تعديلات رقمية صغيرة وغير مرئية على "أفكار" الذكاء الاصطناعي الداخلية (المساحة الكامنة - Latent Space).

الجيد: لديك حرية لا نهائية لتعديل الأفكار.
السيء: عندما تحول تلك الأفكار المعدلة إلى كلمات، غالبًا ما تخرج على شكل هراء أو نصوص غير مفهومة (مثل "S!mpl&fy (2 + 5)2 −4@2"). يفهم الذكاء الاصطناعي هذا الهراء، لكنه ليس اختبارًا واقعيًا لأن البشر الحقيقيين لا يتحدثون بهذه الطريقة.

الحل: REALISTA (نهج "قطع الليغو")

ابتكر المؤلفون طريقة جديدة تسمى REALISTA. فكر في الأمر كبناء باستخدام قطع الليغو داخل عقل الذكاء الاصطناعي.

قطع الليغو (اتجاهات التعديل):
بدلًا من تخمين كلمات عشوائية أو ضوضاء رقمية عشوائية، يقوم REALISTA أولاً ببناء مجموعة خاصة من "قطع الليغو". كل قطعة تمثل طريقة صحيحة ومحددة لإعادة صياغة جملة دون تغيير معناها.

مثال: قطعة قد تكون "اجعل النبرة أكثر رسمية". قطعة أخرى قد تكون "اطرحها كسؤال بدلاً من جملة خبرية". قطعة أخرى قد تكون "أضف لمسة من الدراما".
والأهم من ذلك، أن هذه القطع تعتمد على المدخلات. إذا كنت تسأل عن الرياضيات، فإن قطع الليغو هي أدوات إعادة صياغة رياضية. إذا كنت تسأل عن التاريخ، فهي أدوات إعادة صياغة تاريخية.

خلط القطع (التحسين المستمر):
الآن، بدلًا من اختيار قطعة واحدة فقط، يستخدم REALISTA الرياضيات لمعرفة الخليط المثالي من هذه القطع. يسأل النظام: "إذا استخدمت 10% من قطعة 'الرسمية'، و5% من قطعة 'الدراما'، و2% من قطعة 'السؤال'، فهل سيرتبك الذكاء الاصطناعي؟"

هذا يسمح بالبحث السلس واللانهائي (مثل خلط ألوان الطلاء) بدلًا من البحث المتقطع والمحدود (مثل الاختيار من قائمة طعام).

شبكة الأمان (قيد الـ Simplex):
للتأكد من أن النتيجة لن تتحول إلى هراء، يضع REALISTA الخليط تحت "مقود أمان". فهو يضمن أن إجمالي التغيير صغير وأن القطع تُضاف فقط (ولا تُطرح بطريقة تكسر المنطق). وهذا يضمن أن الجملة النهائية لا تزال تبدو وكأن إنسانًا كتبها ولا تزال تحمل نفس المعنى الأصلي.

كيف يعمل في الواقع

البداية: تعطيه سؤالًا عاديًا (مثل: "ما هي عاصمة فرنسا؟").
الترجمة: يقوم النظام بترجمة هذا السؤال إلى "لغة الأفكار" الداخلية للذكاء الاصطناعي (المساحة الكامنة).
البناء: ينظر النظام إلى مجموعة الليغو المخصصة (قاموس التعديل) لهذا السؤال تحديدًا.
التحسين: يقوم النظام رياضيًا بخلط قطع الليغو ليجد التركيبة التي تجعل الذكاء الاصطناعي يجيب بـ "عاصمة فرنسا هي لندن" (وهي هلوسة) مع الحفاظ على طبيعة السؤال.
فك التشفير: يترجم هذه "الأفكار" المختلطة مرة أخرى إلى اللغة الإنجليزية.
النتيجة: تحصل على سؤال مثل: "هل يمكنك إخباري، بطريقة مباشرة، أي مدينة تعمل كمقر رئيسي للحكومة في فرنسا؟"
- يبدو السؤال طبيعيًا.
- يحمل نفس المعنى.
- لكن الذكاء الاصطناعي، لسبب ما، يعتقد أن الإجابة هي "لندن".

لماذا هذا مهم (وفقًا للورقة البحثية)

تظهر الورقة أن REALISTA أفضل من الطرق السابقة في أمرين:

معدل النجاح: ينجح في خداع الذكاء الاصطناعي أكثر من طرق "تبديل القاموس" القديمة.
الواقعية: لا ينتج هراءً مثل طرق "الوحل الرقمي" القديمة.

والأهم من ذلك، تزعم الورقة أن هذه الطريقة تعمل حتى على نماذج "الاستنتاج" المتقدمة (أذكى وأعقد أنواع الذكاء الاصطناعي) التي عادة ما تتجاهل الخدع البسيطة. يمكن لـ REALISTA العثة على إعادة الصياغة الدقيقة والخفية التي تسبب الهلوسة حتى لأذكى نماذج الذكاء الاصطناعي، مما يثبت أن هذه النماذج لا تزال هشة أمام التغييرات الواقعية التي تشبه أسلوب البشر في طرح الأسئلة.

باختصار: REALISTA هو أداة تجد الطريقة المثالية والطبيعية لإعادة صياغة السؤال لإرباك الذكاء الاصطناعي، وذلك عن طريق خلط "مكونات إعادة الصياغة" بطريقة رياضية دقيقة، مما يضمن أن تكون النتيجة فعالة وواقعية في آن واحد.

ملخص تقني: REALISTA

بيان المشكلة

تُظهر النماذج اللغوية الكبيرة (LLMs) حالات من الهلوسة حتى عند الاستجابة لاستعلامات المستخدم السليمة. ويتطلب فهم الآليات التي تحفز هذه الإخفاقات هجمات عدائية واقعية (realistic adversarial attacks) تستوفي قيدين حاسمين:

التكافؤ الدلالي (Semantic Equivalence): يجب أن يحافظ المطالب العدائي على القصد الدلالي الأصلي للمطالب السليم.
التماسك الدلالي (Semantic-Coherence): يجب أن يكون المطالب العدائي فصيحاً ويشبه صياغة البشر.

تفشل الطرق الحالية في تلبية هذين القيدين في آن واحد. فالهجمات القائمة على المطالبات المنفصلة (مثل SECA) تحافظ على الواقعية الدلالية ولكنها تقتصر على مساحة بحث منفصلة ومتباعدة، مما يحد من تنوع الهجوم. أما الهجمات في الفضاء الكامن المستمر (Continuous latent-space attacks) فتستكشف مساحة أغنى، ولكنها غالباً ما تُنتج مطالبات غير مفهومة أو متباينة دلالياً عن الأصل، مما ينتهك قيد التكافؤ. التحدي الجوهري يكمن في تمكين الاستكشاف الواسع في الفضاء الكامن مع فرض الواقعية الدلالية بصرامة.

المنهجية: REALISTA

يقترح المؤلفون إطار عمل REALISTA (الهجمات الكامنة الواقعية)، وهو إطار يصيغ استثارة الهلوسة كمسألة تحسين مقيدة في الفضاء الكامن للنماذج اللغوية الكبيرة. وتجسّر هذه الطريقة الفجوة بين النهجين المنفصل والمستمر من خلال المكونات التالية:

1. قاموس التعديل المعتمد على المدخلات

بدلاً من تحسين نواقل كامنة عشوائية، يقوم REALISTA ببناء قاموس من اتجاهات التعديل القابلة للتفسير الخاصة بكل مطالب مدخل $x_0$ .

اختيار المفاهيم: باستخدام إجراء تحسين المفاهيم (بالاعتماد على WordNet ومقيم قائم على النماذج اللغوية الكبيرة)، تختار الطريقة مجموعة متنوعة من الكلمات المفتاحية للمفاهيم ذات الصلة بالمدخل.
الاتجاهات الكامنة: لكل مفهوم مختار، يتم إنشاء إعادة صياغة مكافئة دلالياً $x^{(i)}_{SE}$ . يقوم المشفر $\phi$ برسم هذه المفاهيم إلى تمثيلات كامنة، ويتم تعريف اتجاه التعديل كـ $z^{(i)} = \phi(x^{(i)}_{SE}) - \phi(x_0)$ .
القاموس: تشكل مجموعة هذه الاتجاهات القاموس $D$ ، الذي يشغل فضاءً فرعيًا من التحويلات التي تحافظ على المعنى.

2. التحسين المستمر عبر "سيمبلكس" (Simplex)

يتم صياغة الهجوم كعملية بحث عن متجه قوة تعديل أمثل $\delta$ بحيث يكون التمثيل الكامن العدائي $z$ هو:
$z = z_0 + D\delta$
حيث $z_0 = \phi(x_0)$ . مسألة التحسين هي:
$\min_{\delta} \mathcal{L}_{hall}(f_T(x), y^*) \quad \text{بشرط} \quad \delta \in \Delta_\varepsilon$

الهدف: تقليل خسارة الهلوسة (على سبيل المثال، السلب اللوغاريتمي لاحتمالية الإجابة الخاطئة أو درجة الهلوسة من قِبل مُقيّم).
القيد: يتم تقييد $\delta$ ضمن سيمبلكس مُقاس ( $\delta \succeq 0, \|\delta\|_1 \le \varepsilon$ ). وهذا يفرض الندرة وعدم السالبية، مما يضمن أن الاضطراب هو مزيج محدب خفيف من التعديلات المحافظة على المعنى بدلاً من كونه إزاحة كبيرة وعشوائية.

3. وحدة فك التشفير والضمان الدلالي

إعادة بناء المطالب: يقوم عامل عكسي تقريبي (فك التشفير) $\psi$ ، والذي يُنفذ باستخدام نفس النموذج اللغوي الكبير المستخدم في التشفيد، برسم الخرائط من الكامن $z$ العائد إلى فضاء المطالب $x = \psi(z)$ .
خوارزمية التحسين: يستخدم المؤلفون ديناميكيات لانجفان المسقطة (Projected Langevin Dynamics - PLD) لحل مشكلة التحسين غير المحدبة. ويتضمن ذلك:
- إعادة بارامتريز (Reparameterization) باستخدام Gumbel-Softmax: لتمكين تدفق التدرج عبر عملية فك التشفير المنفصلة.
- الاستكشاف العشوائي: حقن ضوضاء غاوسية للهروب من النهايات الصغرى المحلية في مشهد التحسين ذي السطح المسط de جزئياً.
- ضمان التكافؤ الدلالي: أثناء التحسين، إذا فشل مطالب مرشح $x$ في اختبار التكافؤ الدلالي (الذي يتم بواسطة نموذج لغوي كبير موجه)، يتم تجاهل إشارة التدرج، مما يمنع المُحسن من الانجراف نحو مناطق غير مكافئة دلالياً.

المساهمات الرئيسية

قاموس التعديل المعتمد على المدخلات: طريقة لبناء مجموعة مدمجة ومتنوعة وصحيحة من اتجاهات التعديل الكامنة المشروطة بالمطالب الأصلي، مما يسمح بالتعديل المستمر مع الحفاظ على المعنى.
التحسين المقيد بـ "السيمبلكس": صياغة استثارة الهلوسة الواقعية كمسألة تحسين مستمرة عبر سيمبلكس مُقاس، مما يوازن بين مرونة الاستكشاف والقيود الدلالية.
إطار هجوم واقعي: دمج قاموس التعديل، وقيد السيمبلكس، والضمان الدلالي في خوارزمية REALISTA، والتي تنجح في تجاوز المقايضة بين فعالية الهجوم والواقعية الدلالية.

النتائج التجريبية

يُقيم البحث REALISTA على النماذج اللغوية الكبيرة مفتوحة المصدر (Llama-3, Qwen-2.5) والنماذج الاستدلالية التجارية (متغيرات GPT-5) عبر 16 موضوعاً من مواضيع MMLU.

معدل نجاح الهجوم (ASR): يحقق REALISTA معدل ASR متفوق أو مضاٍ لأساليب الهجوم الواقعية الأحدث (SOTA) (مثل SECA). على سبيل المثال، في Llama-3-8B، يحقق REALISTA معدل ASR@30 بنسبة 93.60%، متفوقاً على SECA (82.97%) وLARGO (57.92%).
الأخطاء الدلالية: من الأهمية بمكان أن REALISTA يحافظ على انخفاض في خطأ التكافؤ الدلالي (SEE) وخطأ التماسك الدلالي (SCE)، بشكل يقارب SECA ويتفوق بشكل ملحوظ على النماذج المستمرة مثل LARGO وICD، والتي غالباً ما تظهر SEE يقترب من 100%.
نماذج الاستدلال: ينجح REALISTA في استثارة الهلوسة من النماذج الاستدلالية التجارية (GPT-5-Nano, GPT-5-Mini) في إعدادات الاستجابة الحرة، وهو سيناريو تفشل فيه الهجمات الواقعية السابقة (SECA, LARGO) بسبب اعتمادها على تنسيقات مخرجات ثابتة أو الوصول إلى لوغاريتمات (logits) النموذج المستهدف.
تحليل المفاهيم: يكشف تحليل المفاهيم المفعلة أن الهجمات الناجحة تستغل أساساً التغييرات الهيكلية والتأطيرية (مثل قلب القطبية، وإعادة الهيكلة المنطقية، والتأطير الإرشادي) بدلاً من تغيير المحتوى الفعلي.

الأهمية والادعاءات

يزعم البحث أن REALISTA يثبت أن الهجمات الواقعية للهلوسة ممكنة حتى في سيناريوهات النشر ذات القدرات الاستدلالية والوصول المحدود (Black-box). ومن خلال سد الفجوة بين نماذج الهجوم المنفصلة والمستمرة، يوفر الإطار أداة أكثر منهجية لاختبار اختراق النماذج اللغوية الكبيرة.

يؤكد المؤلفون أن عملهم يساعد في توصيف أنماط الفشل حيث تؤدي المطالبات المختلفة لغوياً والمتكافئة دلالياً إلى حدوث هلوسة. ويشيرون إلى أنه بينما تعمل الطريقة على تحسين فعالية استثارة الهلوسة (مما قد يخفض حواجز إساءة الاستخدام)، فإن فائدتها الأساسية تكمن في تطوير استراتيجيات دفاع أكثر قوة من خلال الكشف عن كيفية فشل النماذج تحت الاضطرابات الواقعية. يسلط العمل الضوء على أهمية الهجمات في الفضاء الكامن لتقييم موثوقية النماذج اللغوية الكبيرة في الإعدادات الواقعية حيث يكون البحث المنفصل غير كافٍ.