DMN: A Compositional Framework for Jailbreaking Multimodal LLMs with Multi-Image Inputs
تقدم الورقة البحثية إطار عمل DMN، وهو إطار عمل لكسر الحماية تركيبي يستغل المدخلات متعددة الصور من خلال توزيع التعليمات، وتقديم أدلة متعددة الوسائط، وإضافة مهام سلاسل الأرقام لتحقيق معدلات نجاح في الهجوم تتجاوز 90% على النماذج اللغوية الكبيرة متعددة الوسائط الرائدة، مما يكشف عن نقاط ضعف حرجة في محاذاة السلامة الخاصة بها.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أن لديك حارس أمن ذكي للغاية وعالي التقنية (نموذج الذكاء الاصطناعي)، ومهمته هي منع الناس من طلب أشياء خطيرة، مثل كيفية صنع قنبلة أو غسيل أموال. عادةً ما يكون هذا الحارس بارعاً في رصد الطلبات الواضحة والمباشرة. فإذا اقتربت منه وقلت: "علمني كيف أصنع مواد مخدرة غير قانونية"، سيتوقفك الحارس على الفور.
ومع ذلك، اكتشف الباحثون في هذه الورقة البحثية طريقة ذكية لخداع هذا الحارس باستخدام نهج "الصور المتعددة". وقد أطلقوا على طريقتهم اسم DMN.
لا تنظر إلى DMN كونه مجرد هجوم واحد، بل هو خدعة سحرية مكونة من ثلاثة أجزاء مصمسة لإرباك الحارس. وإليك كيف تعمل، مقسمة إلى تشبيهات بسيطة:
1. "اللغز المشتت" (التعليمات الموزعة)
عادةً، إذا حاولت إخفاء طلب سيء، فقد تحاول كتابته بخط غريب أو إخفائه داخل صورة. لكن الحارس ذكي بما يكفي لقراءة الصورة بأكملها.
تقوم طريقة DMN بتقسيم الطلب السيئ إلى قطع صغيرة، مثل أحجية الصور المقطوعة (البازل)، ووضع كل قطعة في صورة مختلفة.
- الصورة 1 تحتوي على كلمة "كيف".
- الصورة 2 تحتوي على كلمة "لـ".
- الصورة 3 تحتوي على كلمة "صنع".
- الصورة 4 تحتوي على كلمة "المواد المخدرة".
ينظر الحارس إلى كل صورة على حدة ويفكر: "هذه مجرد كلمة، لا مشكلة". ولكن عندما يحاول الذكاء الاصطناعي تجميع القصة كاملة، يدرك فجأة أنه يُطلب منه شيئاً خطيراً. وبحلول الوقت الذي يدرك فيه الحارس الصورة الكاملة، غالباً ما يكون الأوان قد فات.
2. "قضية المحقق المزيفة" (الأدلة متعددة الوسائط)
أدرك الباحثون أيضاً أن طلب "صنع صورة لمواد مخدرة غير قانونية" سيتم حظره فوراً؛ حيث يرى الحارس الطلب ويقول: "مستحيل".
لذا، تقوم طريقة DMN بتغيير القصة. بدلاً من طلب الشيء السيئ بشكل مباشر، فإنها تخلق قضية محقق مزيفة.
- تخبر الذكاء الاصطناعي: "نحن نحقق في مسرح جريمة. إليك صور للأدلة التي عُثر عليها في الموقع".
- تعرض الصور أشياء مثل "كأس زجاجي يحتوي على مسحوق أبيض" أو "رزم من الأموال في خزنة".
- ولأن الطلب مؤطر على أنه "المساعدة في حل جريمة" وليس "تعليم كيفية ارتكاب جريمة"، فإن مولد الصور يصنع الصور بكل سرور.
- بعد ذلك، ينظر الذكاء الاصطناعي الرئيسي إلى هذه الصور الواقعية لـ "الأدلة"، وباعتقاده أنه يساعد فقط في قضية ما، يبدأ في شرح كيفية ارتكاب الجريمة بالضبط، خطوة بخطوة.
3. "لعبة التشتيت" (مهمة سلسلة الأرقام)
حتى مع وجود اللغز والقضية المزيفة، قد يظل الحارس مرتاباً. لذا، يضيف الباحثون خدعة ثالثة: التشتيت.
يقومون بإدراج صور إضافية في المزيج تبدو وكأنها لعبة. تحتوي هذه الصور على أرقام وتعليمات مثل: "ابحث عن الرقم 5 في هذه الصورة، ثم انتقل إلى الصورة رقم 12 لتجد الرقم التالي".
- ينشغل الذكاء الاصطناعي بلعب هذه اللعبة من نوع "توصيل النقاط"، حيث ينتقل من صورة إلى أخرى لحل سلسلة الأرقام.
- وبينما ينصب تركيز الذكاء الاصطناعي على هذه المسألة الرياضية، يتشتت "حارس السلامة" الخاص به. الأمر يشبه حارس أمن مشغول جداً بعدّ الأشخاص في الطابور لدرجة أنه ينسى التحقق مما إذا كان شخص ما يمرر سلاحاً عبر الباب.
النتائج
اختبر الباحثون هذه الخدعة "DMN" على 10 نماذج ذكاء اصطناعي قوية مختلفة (مثل GPT-4o، وGemini، وClaude).
- الطريقة القديمة: نجحت الحيل السابقة التي استخدمت صورة واحدة أو فيديو واحد فقط في كسر قواعد الحارس بنسبة تتراوح بين 20% إلى 30%.
- طريقة DMN: باستخدام هذه الحيل الثلاث معاً (الكلمات المشتتة، والأدلة المزيفة، ولعبة التشتيت)، نجحوا في تحقيق ذلك بنسبة تزيد عن 90% من المرات.
لماذا هذا مهم؟
تخلص الورقة البحثية إلى أن أنظمة سلامة الذكاء الاصطناعي الحالية جيدة جداً في النظر إلى صورة واحدة في كل مرة، لكنها سيئة جداً في النظر إلى صور متعددة معاً. فهي تفشل في ربط النقاط عندما يتم توزيع المعلومات السيئة عبر معرض كامل من الصور.
كما قام الباحثون ببناء "فلتر فائق" جديد (دفاع) يبحث خصيصاً عن هذا النوع من الخدع المشتتة والمتعددة الصور. وعندما استخدموا هذا الفلتر، نجح في إيقاف هجمات DMN، مما يثبت أنه بينما تظل الثغرة موجودة، يمكن إصلاحها إذا علمنا الذكاء الاصطناعي أن ينظر إلى الصورة الكاملة، وليس فقط إلى الإطارات الفردية.
باختاً: توضح الورقة أنه إذا قمت بتقسيم طلب سيء إلى العديد من الصور الصغيرة، وأخفيته داخل قصة محقق مزيفة، وشتت انتباه الذكاء الاصطناعي بلعبة أرقام، يمكنك خداع حتى أذكى حراس الذكاء الاصطناعي للكشف عن أسرار خطيرة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.