💬 NLP

AERIC: Anticipatory Hidden-State Monitoring for Implicit Harmful Dialogue

تقدم هذه الورقة البحثية AERIC، وهو إطار عمل خفيف الوزن لمراقبة الحالة الخفية في تمريرة واحدة، يتنبأ بالحوارات الضارة الضمنية ويثبطها في الوقت الفعلي مع حد أدنى من زمن التأخير، متفوقاً بشكل كبير على حواجز السلامة المتدفقة الحالية في المعايير الرئيسية.

المؤلفون الأصليون: Jihyung Park, Saleh Afroogh, Junfeng Jiao

نُشر 2026-05-26

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Jihyung Park, Saleh Afroogh, Junfeng Jiao

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تشاهد بثاً إخبارياً مباشراً. عادةً، ينتظر محررو السلامة حتى ينهي المراسل جملته، ويقرأ النص كاملاً، ثم يقررون: "أوه لا، كان ذلك خطيراً!". بحلول ذلك الوقت، تكون الكلمات الضارة قد بُثت بالفعل إلى الجمهور.

تحاول أدوات السلامة الأخرى الاستماع إلى المراسل أثناء حديثه، لكنها غالباً ما تحتاج إلى إيقاف البث، وتمرير الكلمات عبر كمبيوتر منفصل وثقيل القدرة، ثم اتخاذ القرار بشأن سلامتها. هذا يبطئ كل شيء ويتسبب في تأخيرات مربكة.

AERIC هي أداة سلامة جديدة وخفيفة الوزن تعمل بشكل مختلف. فهي لا تنتظر انتهاء الكلمات، ولا تتوقف لتسأل حاسوباً ثانياً عن المساعدة. بدلاً من ذلك، تعمل مثل مساعد طيار شديد الانتباه يجلس بجوار عقل المراسل مباشرةً أثناء تفكيره وتحدثه.

إليك كيف يعمل AERIC، مقسماً إلى مفاهيم بسيطة:

1. "المساعد" في المسار نفسه

معظم أدوات السلامة تشبه حارس الأمن المنفصل الذي يجب أن يفحص الحقيبة بعد عبورك من الباب. أما AERIC فهو يشبه حارس الأمن الذي يتواجد بالفعل داخل المبنى، ويسير بجانبك تماماً.

كيف يعمل: بينما يقوم الذكاء الاصطناعي بتوليد الإجابة كلمة بكلمة، يقرأ AERIC "الأفكار الخفية" (البيانات الداخلية) التي يمر بها الذكاء الاصطناعي في هذه اللحظة. هو لا يجعل الذكاء الاصطناعي يتوقف أو يعيد التفكير؛ بل يكتفي بمراقبة العملية الداخلية في الوقت الفعلي.
الفائدة: إنه سريع للغاية. وجدت الورقة البحثية أن استخدام AERIC يبطئ الذكاء الاصطناعي بنسبة 2% فقط، بينما يمكن لأدوات السلامة الأخرى أن تبطئه بنسبة تقارب 80%.

2. التنبؤ بـ "الانحراف" قبل حدوثه

الجزء الأصعب في السلامة هو رصد الضرر "الضمني". وهذا يحدث عندما يبدو الذكاء الاصطناعي مهذباً ومفيداً ولكنه يقود المحادثة ببطء نحو شيء خطير (مثل تقديم نصيحة طبية سيئة أو التشجيع على إيذاء النفس).

التشبيه: تخيل سيارة تسير على طريق. الحارس العادي ينتظر حتى تصطدم السيارة ليقول: "لقد وقع حادث!". أما AERIC فهو مثل مستشعر يرى السيارة وهي تبدأ في الانحراف نحو حافة المنحدر قبل أن تسقط فعلياً.
كيف يعمل: ينظر AERIC إلى المسار الداخلي للذكاء الاصطناعي. هو يطرح ثلاثة أسئلة في آن واحد:
1. الخطر المستقبلي: "هل على وشك أن يقول الذكاء الاصطناعي شيئاً سيئاً في الكلمات القليلة القادمة؟"
2. فحص الدعم: "هل يكون الذكاء الاصطناعي مفيداً وآمناً حقاً الآن، حتى لو كان الموضوع حساساً؟" (هذا يمنع الأداة من الذعر عند مناقشة مواضيع جادة ولكن آمنة).
3. فحص الانحراف: "هل مسار الذكاء الاصطناعي الحالي مختلف عما سيكون عليه الرد الآمن لهذا السؤال تحديداً؟"

3. نظام الإنذار "السلس"

إذا صرخت أداة السلامة "خطر!" بمجرد رؤية كلمة واحدة محفوفة بالمخاطر، فقد تمنع الذكاء الاصطناعي من تقديم إجابة جيدة تماماً.

التشبيه: فكر في قاعدة اتخاذ القرار في AERIC كأنها مقبض تحكم في الصوت وليس مفتاح تشغيل. هي لا تكتفي بقلب المفتاح فحسب؛ بل ترفع "صوت" إشارة الخطر ببطء مع استمرار انحراف الذكاء الاصطناعي.
كيف يعمل: يستخدم تقنية تنعيم رياضية (تسمى المتوسط المتحرك الأسي). إذا بدأ الذكاء الاصطناعي في الانحراف نحو الضرر، يرتفع "صوت الخطر" تدريجياً. وفقط عندما يصبح عالياً بما يكفي، يقول النظام: "توقف عن التوليد". هذا يسم يسمح للذكاء الاصطناعي بإنهاء الجمل الآمنة والمفيدة دون انقطاع.

ما وجدته الورقة البحثية بالفعل

اختبر الباحثون هذا "المساعد" على نموذجين مختلفين من الذكاء الاصطناعي (Qwen و Gemma) وقارنوه بأفضل أدوات السلامة الموجودة حالياً.

أفضل في رصد الخطر الخفي: في الاختبارات المتعلقة بالنصائح المضللة والمهذبة ولكن الضارة، كان AERIC أفضل في تصنيف الإجابات الخطيرة كإجابات عالية الخطورة مقارنة بالأدوات الرائدة الحالية.
الرصد في وقت مبكر: عندما طُلب من الذكاء الاصطناعي توليد محتوى ضار، تمكن AHEIC من إيقاف عملية التوليد في وقت أبكر بكثير (بعد عدد أقل من الكلمات) من الأدوات الأخرى. وهذا يعني ظهور كلمات ضارة أقل للمستخدم.
خفيف الوزن: إنه صغير جداً. الجزء من البرمجيات الذي يتعلم ويتخذ القرارات يحتوي على 387 رقماً قابلاً للتعديل فقط. إنه صغير لدرجة أنه لا يضيف أي وزن يذكر للنظام.

الخلاصة

يثبت AERIC أنه يمكنك بناء نظام سلامة يتوقع المشاكل من خلال قراءة الأفكار الداخلية للذكاء الاصطناعي في الوقت الفعلي، دون الحاجة إلى التوقف وإعادة معالجة النص. إنه يعمل كإشارة إنذار مبكر وسريعة يمكنها رصد الأخطار الخفية واللطيفة قبل أن تصبح مرئية للمستخدم، كل ذلك مع الحفاظ على عمل النظام بالسرعة الكاملة تقريباً.

ملاحظة: تؤكد الورقة البحثية أن AERIC هو إشارة، وليس حلاً كاملاً. هو يخبر النظام "توقف، هذا يبدو خطيراً"، لكنه لا يقرر بالضبط ما الذي يجب أن يفعله النظام بعد ذلك (مثل حظر المستخدم، أو طرح سؤال توضيحي، أو الانتقال إلى وضع آمن). هذا الجزء لا يزال تحدياً منفصلاً.

ملخص تقني: AERIC – المراقبة الاستباقية للحالات الخفية في الحوارات الضمنية الضارة

1. بيان المشكلة

تواجه أنظمة السلامة في النماذج اللغوية الكبيرة (LLMs) تحديين متميزين:

التوقيت: أنظمة الحماية الحالية تكون أقوى عادةً عند تقييم النص المكتمل بالكامل. ومع ذلك، تتطلب عمليات النشر التي تعتمد على البث (Streaming) اتخاذ قرارات تتعلق بالسلامة عبر التوليدات الجزئية لتمكين التدخل المبكر. غالبًا ما تعتمد "حراس البث" الحاليون على تمريرات أمامية (Forward passes) إضافية على مقدمات النصوص المتنامية، مما يخلق اختناقات في زمن الاستجابة (Latency)، أو أنها تنتظر حتى يصبح النص صريحًا بما يكفي للتصنيف، مما يعني أنها لا تستجيب إلا بعد أن يصبح المسار غير الآمن مرئيًا بالفعل.
الضرر الضمني: غالبًا ما لا يتم الإشارة إلى الضرر من خلال كلمات مفتاحية سامة صريحة. في سياقات الحوار والنصائح، يمكن أن يكون السلوك غير الآمن خفيًا، أو حساسًا للسياق، أو ضمنيًا في مسار الاستجابة (على سبيل المثال: أسلوب مهذب ولكن مشجع على إيذاء النفس). غالبًا ما تفشل تحليلات النص السطحية أو تفضيلات الرمز التالي (Next-token) في اكتشاف هذا الانحراف نحو المناطق غير الآمنة قبل أن يصبح المحتوى صريحًا.

يعالج البحث هدفًا أكثر صرامة وهو المراقبة الاستباقية في نفس التمريرة (Same-pass monitoring): اكتشاف الانحراف الضار الضمني أثناء عملية فك التشفير (Decoding) باستخدام الحالات الخفية (Hidden states) للنموذج المولد فقط، دون استدعاء تمريرة أمامية إضافية عبر النموذج الأساسي أو استخدام حارس توليدي منفصل.

2. المنهجية: AERIC

يقدم المؤلفون AERIC (الأدلة الاستباقية والاستدلال المتبقي للاستمرارات)، وهو مراقب خفيف الوزن يقرأ الحالات الخفية الناتجة أثناء عملية فك التشفير العادية. يعمل النظام تحت قيد "نفس التمريرة"، مما يعني أنه يستخدم فقط الكميات المتاحة من مسار فك التشفير الحالي ( $h_t$ ، وملخص المطالبة $p$ ، وقيم المراقب السابقة).

المكونات الأساسية

يجمع AERIC بين ثلاثة رؤوس خطية قياسية (Linear scalar heads) مدربة على تمثيل ببعد 128 للصور الخفية:

رأس الخطر المستقبلي ( $f_t$ ):
- الهدف: يتنبأ بما إذا كان الاستمرار الضار على وشك البدء في أفق زمني قصير.
- الآلية: يستخدم إشرافًا مدركًا لبداية الحدث (من FineHarm) لتسمية المقدمات بناءً على القرب من مؤشر بداية الضرر ( $o$ ). يتساءل عما إذا كان المسار الحالي قريبًا من دخول حالة ضارة، بدلاً من السؤال عما إذا كان الجزء المرئي من المقدمة غير آمن بالفعل.
- الصيغة: $f_t = w_f^\top \tilde{h}_t + b_f$
رأس الدعم ( $c_t$ ):
- الهدف: يعمل على نمذجة الأدلة المضادة للاستمرارات الآمنة، والمحدودة، والداعمة، أو المخففة للحدة، وذلك لمنع التفعيل الزائد (Over-triggering) للاستجابات ذات الكثافة العاطفية العالية ولكنها مناسبة.
- الآلية: مُدرب على الاستمرارات الآمنة، الداعمة، أو المحدودة (الفئة الإيجابية) مقابل الاستمرارات الوشيكة أو ما بعد البداية غير الآمنة (الفئة السلبية).
- الصيغة: $c_t = w_c^\top \tilde{h}_t + b_c$
الرأس المتبقي المشروط بالمطالبة ( $r_t$ ):
- الهدف: يقيس الانحراف غير الآمن بالنسبة للسلوك الآمن لنفس نوع المطالبة.
- الآلية: بدلاً من الطرح الساذج للمطالبات، يتعلم الاتجاه المتبقي (Residual direction) من الاستمرارات الآمنة وغير الآمنة المتطابقة والمزدوجة على مستوى المطالبة. يقوم بتقييم ما إذا كان مسار الحالة الخفية قد انحرف نحو اتجاه غير آمن بالنسبة للسلوك الآمن لهذا السياق المحدد للمطالبة.
- الصيغة: $r_t = w_r^\top (h_t - p) + b_r$ ، ويتم تدريبه باستخدام خسارة التصنيف الزوجي (Pairwise ranking loss) لضمان حصول المتبقيات غير الآمنة على درجات أعلى من الآمنة.

قاعدة القرار

تجمع درجة الرمز الخام لكل رمز ( $g_t$ ) هذه الإشارات:
$g_t = f_t - \alpha c_t + \beta r_t$
حيث يتحكم $\alpha$ في التثبيط بواسطة أدلة الدعم، ويتحكم $\beta$ في مساهمة المتبقي (Residual drift).

للمراقبة عبر الإنترنت (Online monitoring)، يتم تنعيم الدرجة الخام باستخدام المتوسط المتحرك الأسي (EMA):
$m_t = \lambda g_t + (1 - \lambda)m_{t-1}$
يتم وضع علامة (Flagging) على التوليد إذا كانت $m_t \geq \tau$ . وهذا يضمن أن القرار قابل للقياس بناءً على المقدمة ومستقر.

الكفاءة

المراقب الخطي الافتراضي صغير للغاية، حيث يحتوي على 387 معلمة فقط لرؤوس النموذج (3 رؤوس $\times$ 129 معلمة لكل منها). حجم الملف الإجمالي المخزن هو حوالي 6.1 ميجابايت لـ Qwen3-8B و3.8 ميجابايت لـ Gemma-4-E4B-it.

3. المساهمات الرئيسية

قيد نفس التمريرة: يثبت أن مراقبًا خفيف الوزن يمكنه توقع الانحراف الضار الضمني من خلال قراءة الحالات الخفية الداخلية دون الحاجة إلى تمريرات أمامية إضافية عبر النموذج الأساسي.
نقل الضرر الضمني: يوضح أن الإشراف الصريح على الضرر (FineHarm, Anthropic HH-RLHF) يمكن إعادة توظيفه لاكتشاف الحوار الضار الضمني عبر مزيج من التنبؤ بالخطر، وتثبيط الدعم الحساس، والتقييم المتبقي المشروط بالمطالبة.
البنية الهيكلية: يقدم بنية ثلاثية الرؤوس محددة (الخطر المستقبلي، الدعم، المتبقي المزدوج) مصممة خصيصًا لأنماط فشل الضرر الضمني (الانحراف الخفي، الكثافة العاطفية، والاعتماد على السياق).
استراتيجية المعايرة: يقترح قاعدة ميزانية آمنة من جانب المصدر (تعظيم تغطية التفعيل مع تقييد معدل التفعيل الآمن ليكون $\leq$ 10%) لمعايير التفعيل على مستوى المطالبة.

4. النتائج التجريبية

معايير الضرر الضمني المتوازنة

تم التقييم باستخدام DiaSafety (حواري) و Harmful Advice (نصائح) باستخدام Qwen3-8B و Gemma-4-E4B-it.

الأداء: يتفوق AERIC على أقوى أساس بث أصلي، وهو Qwen3Guard-Stream-4B، وعلى حراس الاستجابة الكاملة (ShieldGemma-9B, WildGuard).
- DiaSafety: تحسن AUROC من 0.6830 (Qwen3Guard) إلى 0.7143 (AERIC).
- Harmful Advice: تحسن AUROC من 0.8219 (Qwen3Guard) إلى 0.8582 (AERIC).
الدراسة الاستقصائية (Ablation): قدم رأس "الدعم" أكبر مكسب في Harmful Advice (التعامل مع التوجيه الحازم ولكن المحدود)، بينما قدم رأس "المتبقي" الرفع النهائي في DiaSafety (التعامل مع التعارضات الحوارية).

معايير التفعيل على مستوى المطالبة

تم التقييم باستخدام HarmBench DirectRequest و SocialHarmBench تحت ميزانية تفعيل آمنة بنسبة 10% من جانب المصدر.

التفعيل المبكر: يتفوق AERIC بشكل كبير في التفعيل قبل أن يصبح المحتوى الضار مكشوفًا بالكامل.
- HarmBench (Qwen): وصل Trigger@64 إلى 0.6438 (مقابل 0.1063 لـ Qwen3Guard).
- SocialHarmBench (Gemma): وصل Trigger@64 إلى 0.7363 (مقابل 0.2962 لـ Qwen3Guard).
الحجب (Withholding): نجح المراقب في حجب ما معدله 23.53 إلى 41.86 رمز إجابة قبل التعرض للضرر.

العبء الحسابي

زمن الاستجابة (Latency): في اختبار توليد ثابت، زاد AERIC متوسط زمن الاستجابة بنسبة 2.34% فقط.
المقارنة: هذا أقل بكثير من Qwen3Guard-Stream-4B (زيادة بنسبة 79.40%)، وShieldGemma-9B المعتمد على المقدمات (158.73%)، وWildGuard المعتمد على المقدمات (216.74%).

5. الأهمية والادعاءات

يدعي البحث أن الإشراف الصريح على الضرر يمكن أن ينتقل إلى مراقبة الضرر الضمني تحت قيد صارم وهو "عدم وجود تمريرة أمامية إضافية".

إشارة عملية قبل التعرض: يوفر AERIC إشارة خطر منخفضة زمن الاستجلة وعملية يمكنها توقع الانحراف الضار قبل أن يصبح المحتوى صريحًا على السطح، حتى ضد حراس البث الأصلية القوية.
كفاءة النظام: يوضح أنه يمكن اشتقاق إشارات السلامة من التمثيلات الداخلية لدعم المراقبة في الوقت الفعلي مع عبء إضافي ضئيل (زيادة في زمن الاستجابة بنسبة 2% تقريبًا).
نطاق محدود: يذكر المؤلفون صراحة أن AERIC هو إشارة خطر عبر الإنترنت، وليس سياسة تدخل كاملة. يبقى القرار اللاحق (مثل إيقاف التوليد، أو طرح أسئلة توضيحية، أو التوجيه) مشكلة أنظمة مفتوحة. لا يدعي البحث حل مشكلة الرفض الخاطئ أو تحديد سياسة التدخل المثلى، بل يهدف إلى توفير آلية كشف أكثر كفاءة واستباقية من حراس السلامة الحاليين.