ملخص تقني: استكشاف وتطوير نظام حماية ما قبل النموذج باستخدام النماذج المسودة

بيان المشكلة

لا تزال النماذج اللغوية الكبيرة (LLMs) عرضة لهجمات "كسر الحماية" (jailbreak)، وهي هجمات مصممة لاستخراج استجابات غير آمنة أو ضارة تنتهك الإرشادات الأخلاقية والتشغيلية. تنقسم آليات الدفاع الحالية عمومًا إلى فئتين، لكل منهما قيود كبيرة:

1. حراس ما قبل النموذج (Pre-model guards): تقوم بفحص المطالبات (prompts) قبل وصولها إلى النموذج المستهدف. ورغم كفاءتها الحسابية، إلا أنها تعاني من معدلات عالية من السلبيات الكاذبة لأنها تفتقر إلى سياق الاستجابة المولدة من النموذج. على سبيل المثال، يكتشف نموذج LlamaGuard 2 في وضع ما قبل النموذج 71.6% فقط من المطالبات العدائية الناتجة عن هجوم AutoDAN ضد نموذج Llama-3-70B.
2. حراس ما بعد النموذج (Post-model guards): تقوم بفحص كل من المطالبة والاستجابة المولدة. وبينما توفر دقة كشف أعلى من خلال الاستفيد من سياق الاستجابة، إلا أنها تتسبب في تكاليف حسابية عالية (زيادة في استخدام الرموز "tokens" وزمن الاستجابة/Latency) لأنها تتطلب من النموذج المستهدف توليد استجابة كاملة قبل أن يتمكن الحارس من التدخل.

التحدي الجوهري هو تصميم نظام دفاع يحقق معدلات الكشف العالية لحراس ما بعد النموذج دون تحمل أعبائهم الحسابية، مع تحسين معدلات الكشف الخاصة بحراس ما قبل النموذج.

المنهجية

يقترح المؤلفون تصميمًا للحماية يستفيد من قابلية انتقال هجمات كسر الحماية (transferability) من النماذج اللغوية الكبيرة (LLMs) إلى النماذج اللغوية الصغيرة (SLMs). الفرضية المركزية هي أن مطالبات كسر الحماية المصممة للنماذج الكبيرة المستهدفة ستؤدي غالبًا إلى استجابات غير آمنة في النماذج الأصغر "المسودة" (draft models). ومن خلال استخدام هذه النماذج المسودة لتوليد استجابات تخمينية، يمكن للنظام تقييم سلامة المطالبة قبل استدعاء النموذج المستهدف المكلف.

المكونات الرئيسية للتصميم

1. دراسة منهجية لقابلية الانتقال:

   • أجرى المؤلفون تحقيقًا تجريبيًا في قابلية انتقال مطالبات كسر الحماية من النماذج اللغوية الكبيرة (مثل Llama-3-70B، Qwen1.5-72B، Phi-3) إلى النماذج اللغوية الصغيرة (مثل OPT-125M، SmolLM-135M، Qwen2.5-0.5B).
   • قاموا بتقييم ثلاثة أنظمة لتوليد كسر الحماية: GCG وAutoDAN وPAIR.
   • النتيجة الرئيسية: بينما تختلف معدلات قابلية الانتقال الخام، فإن توزيع نسب الاستجابات غير الآمنة يمكن تمييزه. فالمطالبات السليمة تنتج نسبة استجابة غير آمنة قريبة من الصفر في النماذج الصغيرة، بينما تحفز المطالبات الخبيثة توزيعًا ذا "ذيل طويل" (long-tail distribution) بنسب غير صفرية للاستجابات غير الآمنة. هذا الفارق الإحصائي يعمل كإشارة دفاعية.

2. الاستدلال التخميني للحماية (Speculative Inference Safeguard):
   يعمل النظام المقترح في مرحلتين:

   • المرحلة أ: الاستدلال التخميني (ما قبل النموذج المستهدف):
     • توليد الاستجابة: عند تلقي مطالبة، يقوم نموذج مسودة صغير بتوليد دفعة مكونة من $b$ من الاستجابات المسودة (على سبيل المثال، $b=20$) باستخدام أخذ العينات العشوائي (beam search و top-p).
     • التصنيف: يتم تغذية هذه الاستجابات المسودة، مع المطالبة الأصلية، في مصنف سلامة موجود (مثل LlamaGuard في وضع ما بعد النموذج).
     • التجميع: يقوم النظام بتجميع تسميات التصنيف. إذا تجاوزت نسبة الاستجابات المسودة المصنفة كغير آمنة العتبة $\tau$، تُعتبر المطالبة خبيثة، ويتم إرجاع رد بالرفض.
   • المرحلة ب: استدلال النموذج المستهدف:
     • إذا اجتازت المطالبة الفحص، يتم تمريرها إلى النموذج اللغوي الكبير المستهدف للتوليد النهائي. لا يلزم وجود حارس ما بعد النموذج لهذه المطالبات التي اجتازت الفحص.

المساهمات الرئيسية

1. التحقيق التجريبي: تقدم الورقة دراسة منهجية لقابلية انتقال كسر الحماية من النماذج اللغوية الكبيرة إلى الصغيرة، موضحة أنه على الرغم من أن قابلية الانتقال ليست مثالية، إلا أن توزيع الاستجابات غير الآمنة للمطالبات الخبيثة يمكن تمييزه إحصائيًا عن المطالبات السليمة.
2. بنية دفاعية مبتكرة: يقدم المؤلفون آلية دفاع ما قبل النموذج التي تستخدم الاستدلال التخميني مع النماذج اللغوية الصغيرة. هذا النهج يحول قابلية الانتقال من ناقل للهجوم إلى أصل دفاعي.
3. تحسين الأداء: يحقق التصميم معدل فشل دفاع (DFR) منخفضًا ويقلل بشكل كبير من وقت "المطالبة إلى الاستجابة" مقارنة بحراس ما بعد النموذج، مع الحفاظ على دقة عالية في المطالبات السليمة.
4. المصدر المفتوح: تم إتاحة تصميم الحماية والبرمجيات الخاصة به للتحقق العام.

النتائج التجريبية

أُجري التقييم ضد ثلاثة أنظمة لكسر الحماية (GCG، AutoDAN، PAIR) وثلاثة نماذج مستهدفة (Llama-3-70B، Qwen1.5-72B، Phi-3)، مع مقارنة التصميم المقترح (باستخدام OPT-125M أو SmolLM-135M كنماذج مسودة) مقابل LlamaGuard 2 (في وضعي ما قبل وما بعد النموذج) وPerplexityGuard.

• معدل فشل الدفاع (DFR):
  • مقارنة بـ حراس ما قبل النموذج، قلل التصميم المقترح من معدل فشل الدفاع بمعدل 32.4% (تحديدًا 32.37% للنسخة القائمة على OPT).
  • مقارنة بـ حراس ما بعد النموذج، قلل التصميم المقترح من معدل فشل الدفاع بمعدل 17.38%.
• الكفاءة (وقت المطالبة إلى الاستجابة):
  • مقارنة بـ حراس ما بعد النموذج، قلل التصميم المقترح الوقت المطلوب لاكتشاف وحظر الهجمات بنسبة 97.07% (على سبيل المثال، تقليل وقت اكتشاف هجمات AutoDAN على Llama-3 من حوالي 101 ثانية إلى أقل من ثانية واحدة).
  • كان العبء الزمني مقارنة بـ حراس ما قبل النموذج ضئيلاً، بزيادة قدرها 0.59% فقط.
• دقة المطالبات السليمة:
  • حافظت الحماية على دقة بلغت 98% في المطالبات السليمة، وهو ما يطابق أداء كل من نماذج الحماية المرجعية (ما قبل وما بعد النموذج).
  • في المقابل، أظهر PerplexityGuard دقة أقل (0.88) في المطالبات السليمة.

الأهمية والادعاءات

تدعي الورقة أن قابلية انتقال هجمات كسر الحماية، والتي تُعتبر تقليديًا ثغرة تسمح للمهاجمين بتجاوز فلاتر السلامة عبر النماذج المختلفة، يمكن إعادة توظيفها بفعالية كآلية دفاعية. من خلال الاستفادة من النماذج الأصغر والأسرع لـ "جس نبض" سلامة المطالبة عبر الاستدلال التخميني، يوفر نظام الحماية المقترح حلاً عمليًا يسد الفجوة بين كفاءة حراس ما قبل النموذج ودقة حراس ما بعد النموذج.

يؤكد المؤلفون أن نهجهم لا يتطلب أن يكون النموذج المسود كاشفًا مثاليًا؛ بل يعتمد على التمييز الإحصائي لتوزيعات الاستجابة غير الآمنة. وهذا يسمي بناء نظام دفاع قوي يقلل بشكل كبير من خطر توليد محتوى ضار دون التكاليف الحسابية الباهظة المرتبطة باستدلال النموذج المستهدف الكامل لكل طلب. يشير العمل إلى أن استراتيجيات الدفاع المستقبلية يمكن أن تتجاوز مجرد تحليل المطالبات لتشمل توليد استجابات تخمينية خفيفة الوزن لتعزيز مواءمة السلامة.