ملخص تقني: استئصال السلامة: آليات إزالة المحاذاة في النماذج اللغوية للتطبيقات الأمنية

بيان المشكلة

كثيراً ما ترفض النماذج اللغوية المتوافقة مع معايير السلامة تنفيذ مهام الأمن السيبراني المصرح بها (مثل فرز الثغرات، تحليل الرقع البرمجية، والإصلاح الآمن) لأن الأوامر (prompts) تشبه لغوياً التعليمات الضارة. وهذا يخلق مسبباً مربكاً في التقييم الأمني: ففشل النموذج في الإجابة قد ينبع من سياسة الرفض بدلاً من نقص القدرة الكامنة. وبينما يركز بحث "كسر الحماية" (jailbreak) على تجاوزات على مستوى الأمر، تتناول هذه الورقة سؤالاً علمياً مختلفاً: عند إزالة المحاذاة عبر تحويلات على مستوى النموذج (بدلاً من إعادة صياغة المدخلات)، ما هي التغييرات المحددة التي تطرأ على كفاءة المهام، والقدرة العامة، والسلوك غير الآمن خارج نطاق التقييم؟ إن جوهر المشكلة هو التمييز بين "إزالة الرقابة" عن نموذج ما وبين استعادة المنفعة الأمنية المصرح بها فعلياً دون التسبب في انتشار واسع للسلوكيات غير الآمنة.

المنهجية

تقدم الورقة بروتوكول ABLATING SAFETY (استئصال السلامة)، وهو بروتوكول تقييم وتحويل مضبوط مصمم لقياس جبهة المنفعة والمخاطر لإزالة المحاذاة. لا تهدف الدراسة إلى إصدار نماذج غير خاضعة للرقابة، بل إلى تدقيق الآثار الجانبية لتدخلات محددة.

بروتوكول التقييم

يقيم البروتوكول التحويلات عبر ثلاثة أبعاد:

1. المنفعة الأمنية المصرح بها ($S$): الأداء في مهام الأمن الدفاعي (فرز الثغرات، تحليل الرقع، الإصلاح الآمن).
2. الحفاظ على القدرة العامة ($G$): الأداء في المهام العامة الحميدة (المنطق، الحساب، توليد الكود).
3. الانتشار غير الآمن ($H$): الامتثال للأوامر الضارة الخارجة عن النطاق وغير التشغيلية.

تقارن الدراسة بين خمس عائلات من التدخلات:

• سياق الأمر (Prompt Context): التوسيم بسياق مصرح به (خط الأساس على مستوى المدخلات).
• إسقاط التنشيط (Activation Projection): تعديل وقت التشغيل للحالات المخفية لإسقاط اتجاهات الرفض المقدرة (قابل للعكس).
• التحكم في التمثيل (Representation Control): إسقاطات الفضاء الجزئي (على سبيل المثال، فضاء رفض برتبة 4) لاختبار خصوصية الاتجاه.
• الضبط الدقيق (LoRA): الضبط الدقيق الفعال للمعلمات للتكيف مع المهام، وقمع الرفض، والحفاظ على القدرة.
• ضوابط التحكم (Controls): الإسقاطات العشوائية، والإسقاطات غير الضارة، وإسقاطات الرفض المطابقة للموضوع للتمييز بين التأثيرات الخاصة بالآلية والضجيج.

المعيار المرجعي: SECURITY-AR

تستخدم عملية التقييم مجموعة SECURITY-AR المكونة من 60 أمراً، وتتضمن:

• 30 مهمة أمن دفاعي مصرح بها.
• 20 مهمة عامة للقدرة الحميدة.
• 10 اختبارات خارج النطاق (طلبات إساءة استخدام عالية المستوى وغير تشغيلية).
  تم حجب المخرجات الخام غير الرافضة للاختبارات خارج النطاق في المواد المنشورة لتجنب سوء الاستخدام.

النماذج والتنفيذ

• تجربة الإسقاط (Projection Pilot): تم تقييمها على نماذج Qwen2.5 (0.5B, 1.5B, 3B) وSmolLM2-360M تحت أربعة ظروف (محاذي، سياق الأمر، إسقاط عشوائي، إسقاط الرفض).
• تقييم LoRA الموسع: تم تقييمه على نماذج Qwen2.5 تحت 11 ظرفاً، بما في ذلك محولات LoRA المخصصة للمهام فقط، وقمع الرفض، والتدريب المختلط للحفاظ على القدرة.
• التسجيل (Scoring): يستخدم أدوات تحقق داخل بيئة معزولة (sandbox) للمهام القابلة للتنفيذ، ومراجعة قائمة على معايير (rubric) للتحليل، ومصنفات الرفض. تشمل المقاييس معدلات الرفض، ومعدلات المحاولة، ودرجات المهام، ومؤشرات الامتثال غير الآمن.

النتائج الرئيسية

1. إسقاط التنشيط هش وعالي المخاطر

أظهر إسقاط الرفض أحادي المتجه (إزالة اتجاه الرفض المقدر) فائدة محدودة ومخاطر عالية:

• المنفعة: رفع متوسط الدرجة الأمنية بشكل طفيف فقط (من 0.46 إلى 0.50).
• الانتشار: زاد بشكل كبير من الامتثال غير الآمن خارج النطاق (من 0.10 إلى 0.47).
• المقارنة: حقق إسقاط الفضاء الجزئي للرفض برتبة 4 درجة أمنية مماثلة (0.51) ولكنه حافظ على معدل الانتشار المتوافق مع المحاذاة (0.10)، مما يشير إلى أن رتبة الفضاء الجزئي وبناء الاتجاه هما متغيران حاسمان. كما أن الإسقاطات العشوائية حققت أحياناً نتائج مماثلة لإسقاط الرفم، مما يشير إلى أن الاضطراب البسيط يمكن أن يحاكي آليات محددة.

2. الضبط الدقيق (LoRA) يقدم مقايضات متفوقة بين المنفعة والمخاطر

أظهرت التدخلات القائمة على الضبط الدقيق مساراً أوضح لاستعادة القدرة دون حدوث انتشار كارثي:

• LoRA للمهام فقط: رفع متوسط الدرجة الأمنية إلى 0set.87 مع الحفاظ على درجة عامة عالية (0.83) وإبقاء الامتثال غير الآمن منخفضاً (0.13).
• LoRA لقمع الرفض: حقق مكاسب أمنية مماثلة (0.87) ولكنه أظهر انتشاراً أعلى قليلاً (0.13) مقارنة بـ LoRA للمهام فقط.
• LoRA المختلط للحفاظ على القدرة: عندما تم دمج قمع الرفض مع بيانات الحفاظ على القدرة الحميدة، ظلت الدرجات الأمنية عالية (0.84)، ولكن ارتفع الامتثال غير الآمن بشكل ملحوظ إلى 0.27.
• الاعتماد على النموذج: تباين سلوك الانتشار حسب حجم النموذج؛ حيث حافظ Qwen2.5-3B على صفر امتثال غير آمن تحت متغيرات LoRA، بينما أظهرت النماذج الأصغر (0.5B, 1.5B) زيادة في الانتشار مع بعض المحولات.

3. تقليل الرفض $\neq$ استعادة الكفاءة

وجدت الدراسة أن مجرد تقليل الرفض لا يضمن نجاح المهمة. يمكن للنماذج أن تتوقف عن الرفض بينما تنتج محتوى غير مترابط أو عديم الفائدة. إن "جبهة المنفعة والمخاطر" هي المقياس الأساسي: يكون التحويل مفيداً فقط إذا حسن أداء المهام المصرح بها دون انهيار الاستدلال العام أو زيادة السلوك غير الآمن على نطاق واسع.

المساهمات الرئيسية

1. صياغة إزالة المحاذاة: تصيغ الورقة إزالة المحاذاة كمسألة تقييم وتحويل، وتفصل بين تقليل الرفض وبين نجاح المهمة، والحفاظ على القدرة، والانتشار.
2. معيار SECURITY-AR: تصميم معيار مرجعي محكم للمهام الأمن الدفاعية يتضمن مواد عامة محجوبة وقواعد قرار لتفسير مقايضات المنفعة والمخاطر.
3. أدلة تجريبية على مقايضات متميزة: تثبت الدراسة أن تدخلات الأمر، والتنشيط، والتمثيل، والضبط الدقيق تسبب ملفات تعريف متميزة للمنفعة والمخاطر. وتحديداً، يستعيد التكيف مع المهام عبر LoRA منفعة أمنية عالية مع انتشار محدود، بينما يفشل إسقاط التنشيط أحادي المتجه غالباً في استعادة القدرة ويزيد من الامتثال غير الآمن.

الأهمية والادعاءات

تدعي الورقة أن إزالة المحاذاة يجب أن تُقيم كجبهة للمنفعة والمخاطر، وليس كـ "وصفة" لإزالة الرقابة.

• الانفصال الآلي: سلوك السلامة ليس جداراً متجانساً؛ بل هو متغير مقترن في جبهة تتفاعل فيها المنفعة، والحفاظ على القدرة، والانتشار.
• الآثار على الحوكمة: تجاوزات مستوى الأمر، وتعديلات النماذج، والضبط الدقيق ليست تدخلات متكافئة؛ فهي تكشف عن قدرات وأنماط فشل مختلفة، مما يتطلب ضوابط حوكمة متميزة.
• النطاق المحدود: يؤكد المؤلفون صراحة أن هذه النتائج مرتبطة بالنماذج مفتوحة الأوزان، ومجموعة المهام، وعائلات التحويل المذكورة. هم لا يدعون أن الجبهة المرصودة تعمم على الأنظمة ذات النطاق الواسع أو جميع طرق إزالة المحاذاة.
• سلامة النشر: تؤكد الورقة أن الامتثال وحده ليس كفاءة ولا نشراً آمناً. يتضمن النشر العام فقط هيكل التقييم، والأوامر المنقحة، والمقاييس الإجمالية؛ بينما يتم حجب نقاط التفتيش المحولة وحمولات الاستغلال التشغيلية.

في الختام، تجادل الورقة بأنه بالنسبة للتطبيقات الأمنية، تُعرف "إزالة المحاذاة المفيدة" باستعادة القدرة الأمنية المصرح بها التي تظل صارمة ضمن الحدود المتحقق منها والمعتمدة، بدلاً من مجرد إلغاء رموز الرفض.