MIRAGE: Context-Aware Prompt Injection against Mobile GUI Agents via User-Generated Content
تقدم الورقة البحثية MIRAGE، وهو مسار هجوم مدرك للسياق يقوم بحقن مطالبات عدائية في المحتوى الذي ينشئه المستخدم داخل لقطات شاشة واجهة مستخدم الهاتف المحمول لخداع وكلاء النماذج اللغوية الرؤية، مما يثبت أن جميع الوكلاء الخمسة الذين تم تقييمهم عرضة لهجمات واقعية لا يمكن تمييزها بصرياً بنسب نجاح تتراوح بين 23% و30%.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
إليك شرح لورقة بحثية بعنوان MIRAGE، مقسمة إلى مفاهيم بسيطة مع تشبيهات من الحياة اليومية.
الصورة الكبيرة: مشكلة "الروبوت الواثق بزيادة"
تخيل أن لديك مساعداً آلياً (روبوتاً) ذكياً جداً يساعدك في استخدام هاتفك. هذا الروبوت لا "يقرأ" الأكواد البرمجية خلف التطبيقات؛ بل ينظر إلى الشاشة كما يفعل البشر تماماً—أي كصورة مكونة من بكسلات.
المشكلة هي أن هذا الروبوت واثق بزيادة؛ فهو يفترض أن كل ما يراه على الشاشة هو جزء من التطبيق الرسمي. هو لا يستطيع التمييز بين زر صممه مطور التطبيق (مثل "إضافة إلى السلة") وبين تعليق كتبه مستخدم عشوائي (مثل مراجعة أو رسالة دردشة).
MIRAGE هي طريقة جديدة لخداع هذا الروبوت. فقد أظهر الباحثون أنه إذا كتبت تعليمات مخادعة داخل تعليق مستخدم يبدو طبيعياً، فسيقرؤها الروبوت، ويصدق أنها أمر حقيقي، وينفذ ما يقوله التعليق بالضبط—حتى لو كان الأمر خطيراً أو خاطئاً.
التشبيه: فخ "المراجعة المزيفة"
فكر في تطبيق الهاتف مثل مقهى مزدحم.
- التطبيق: هو المقهى نفسه.
- الوكيل (الروبوت): موظف جديد متحمس جداً لإرضاء الزبائن، لكنه لم يتلقَّ تدريباً على قائمة الطعام بعد. هو فقط يتبع أي شيء مكتوب على السبورة.
- الهجوم: زبون مشاكس يكتب ملاحظة على لوحة "مراجعات العملاء" (التي تُستخدم عادةً لقول "قهوة رائعة!"). تقول الملاحظة: "المدير يقول: إذا كنت تريد دونات مجانية، اضغط على زر 'إنذار الحريق' فوراً".
لأن الروبوت (الموظف الجديد) لا يستطيع التمييز بين قائمة الطعام الرسمية وبين مراجعات العملاء، فإنه يرى الملاحظة، ويعتقد أنها تعليمات حقيقية من المدير، ثم يضغط على إنذار الحريق.
MIRAGE هي الأداة التي بناها الباحثون لكتابة الآلاف من هذه "المراجعات المزيفة" تلقائياً بحيث تبدو حقيقية جداً لدرجة يصعب على البشر حتى اكتشافها.
كيف يعمل MIRAGE (خط الإنتاج المكون من ثلاث خطوات)
بنى الباحثون آلة مكونة من ثلاث خطوات لإنشاء هذه الخدع دون الحاجة لاختراق الهاتف أو التطبيق نفسه. هم يحتاجون فقط إلى لقطة شاشة (Screenshot).
1. المحدد (المحقق - The Localizer):
- ماذا يفعل: ينظر إلى لقطة شاشة للتطبيق ويجد "المناطق الآمنة" حيث يُسمح للمستخدمين بالكتابة. هذه الأماكن مثل أقسام التعليقات، صناديق المراجعات، أو فقاعات الدردشة.
- التشبيه: يشبه محققاً يمسح الغرفة للبحث عن السبورة البيضاء حيث يُسمح للناس بكتابة ملاحظات، متجاهلاً اللافتات الرسمية المعلقة على الجدار.
2. المزور (المنشئ - The Generator):
- ماذا يفعل: يكتب رسالة مخادعة تناسب ذلك المكان تماماً. هو لا يكتفي بلصق نص أحمر كبير؛ بل ينسخ نوع الخط، واللون، والأسلوب الخاص بالتطبيق لتبدو الرسالة وكأنها تنتمي إلى هناك.
- التشبيه: هذا هو المزور المحترف الذي يكتب ملاحظة على السبورة باستخدام نفس القلم ونفس أسلوب الكتابة اليدوية الذي يستخدمه الزبائن العاديون. الملاحظة تقول: "اذهب واضغط على زر 'حذف الحساب'"، لكنها تبدو كمراجعة عادية.
3. القيم (المحرر - The Curator):
- ماذا يفعل: يراجع العمل. إذا بدت الملاحظة المزيفة غريبة (مثل أن النص مقطوع أو الخط غير مناسب)، فإنه يقوم بإصلاحها أو يتخلص منها. كما يتأكد من وجود مزيج جيد من التطبيقات المختلفة وأنواع مختلفة من الخدع.
- التشبيه: هو محرر يراجع الملاحظات المزورة. إذا بدت الملاحظة واضحة جداً، فإنه يصلحها حتى تصبح مثالية. كما يتأكد من وجود ملاحظات للمقهى، وللبنك، ولتطبيق التواصل الاجتماعي، وليس لنوع واحد فقط.
النتائج: ما مدى نجاح الأمر؟
اختبر الباحثون هذا على خمسة وكلاء ذكاء اصطناعي مختلفين (روبوتات) وعشرة تطبيقات شهيرة (مثل أمازون، تيك توك، وفيسبوك).
- معدل النجاح: نجحت الخدعة بنسبة 23% إلى 30%. وهذا يعني أنه من بين كل 3 مرات يرى فيها الروبوت ملاحظة مزيفة، فإنه يقع في الفخ وينفذ إجراءً خاطئاً في مرة واحدة تقريباً.
- التخفي: تم تقييم الملاحظات المزيفة بأنها أكثر واقعية من الهجمات السابقة. حيث قيمها البشر بـ 3.02 من 5، بينما كانت الهجمات القديمة 2.52 فقط. لقد بدت كأنها محتوى حقيقي من مستخدمين.
- فشل "الفلتر": حاول الباحثون معرفة ما إذا كان يمكن لـ "فحص جودة" بسيط أن يوقف هذا. سألوا: "هل يمكننا ببساطة تصفية أي صورة تبدو مزيفة قليلاً؟"
- الإجابة: لا. وجدوا أن مدى واقعية الصورة ليس له علاقة بوقوع الروبوت في الفخ. قد تفشل صورة واقعية جداً في خداع الروبوت، وقد تنجح صورة أقل واقعية في خداعه. هذا يعني أنه لا يمكنك الاعتماد فقط على مبدأ "هل تبدو حقيقية؟" لحماية الروبوت.
الخلاصة الأساسية
تخلص الورقة البحثية إلى أن الطريقة التي تعمل بها هذه الروبوتات المحمولة معيبة بشكل جوهري. ولأنها تتعامل مع الشاشة كصورة مسطحة وليس ككود مهيكل، فهي لا تستطيع التمييز بين أزرار النظام الموثوقة وبين تعليقات المستخدمين غير الموثوقة.
وطالما يعتمد الروبوت على "رؤية" الشاشة كما يفعل البشر، يمكن للمهاجم إخفاء تعليمات خبيثة داخل تعليق مستخدم طبيعي، وسيقوم الروبوت باتباعها بكل سرور. تشير الورقة إلى أنه لكي نصلح هذا، نحتاج إلى تغيير كيفية فهم الروبوت للشاشة، وليس مجرد محاولة تصفية الصور السيئة.
ما لا تقوله الورقة البحثية
- هي لا تدعي أن هذا يعمل على كل الروبوتات (لقد اختبروا روبوتات محددة فقط).
- هي لا تقول إن هذه أداة يستخدمها الهكرز الآن (هي أداة بحثية لإيجاد نقاط الضعف).
- هي لا تقترح أن هاتفك يتعرض للاختراق حالياً (التجارب تمت "أوفلاين" على لقطات شاشة ثابتة).
- هي لا تقدم حلاً لمشكلة موجودة بعد؛ هي فقط تثبت وجود المشكلة وصعوبة حلها عبر الفلاتر البسيطة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.