Refusal Before Decoding: Detecting and Exploiting Refusal Signals in Intermediate LLM Activations
تُثبت هذه الورقة أن سلوك الرفض في النماذج اللغوية الكبيرة يمكن فك تشفيره خطياً من التنشيطات الوسيطة قبل توليد المخرجات، مما يتيح تطوير "Mechanism AutoDAN"، وهو أسلوب هجوم موجه بالمسبار يقلل بشكل كبير من وقت البحث مع الحفاظ على معدلات نجاح تنافسية مقارنة بالأساليب التقليدية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل نموذج لغة ضخم (LLM) كأنه مصنع ضخم متعدد الطوابق. عندما تطرح سؤالاً، تدخل "المواد الخام" (كلماتك) من الطابق الأرضي وتنتقل عبر العديد من الأقسام المختلفة (الطبقات) قبل أن يتم شحن المنتج النهائي (الإجابة) من الأعلى.
عادةً، لمعرفة ما إذا كان المصنع سينتج شيئًا خطيرًا (مثل "اختراق الحماية" أو رفض اتباع قواعد السلامة)، يتعين عليك الانتظار حتى يصل المنتج إلى رصيف الشحن في القمة تمامًا. إذا كان المنتج خطيرًا، فإنك ترفضه. ولكن بحلول ذلك الوقت، يكون المصنع قد استهلك بالفعل الكثير من الطاقة لمعالجة الطلب وصولاً إلى القمة.
تسأل هذه الورقة البحثية سؤالاً بسيطًا: هل يمكننا إلقاء نظرة داخل المصنع بينما لا تزال المواد في منتصف صعود السلالم لنرى ما إذا كان المنتج النهائي سيكون آمنًا أم خطيرًا؟
"إشارة الرفض"
وجد الباحثون أن الإجابة هي نعم.
اكتشفوا أن "سلوك الرفض" لدى النموذج (القرار الداخلي بـ "لا، لا يمكنني فعل ذلك") ليس مجرد قرار نهائي يُتخذ في النهاية. بدلاً من ذلك، هو أشبه بـ ضوء تحذيري يضيء في منتصف المصنع. حتى قبل أن ينهي النموذج جملته، تحتوي "الآلات" الداخلية (تحديدًا تنشيطات المجرى المتبقي - residual stream activations) على إشارة خطية واضحة تشير إلى ما إذا كان النموذج على وشك رفض الطلب.
لقد بنوا كاشفًا بسيطًا (يسمى "المسبار" أو probe) يمكنه قراءة هذا الضوء التحذيري. الأمر يشبه امتلاك حارس أمن في الطابق العاشر يمكنه أن يخبرك: "هذه الطرد سيتم رفضه"، قبل وقت طويل من وصول الطرد إلى الطابق الرابع والستين.
الهجوم الجديد: "AutoDAN الميكانيكي"
لم يتوقف الباحثون عند اكتشاف الإشارة فحسب؛ بل استخدموها لبناء طريقة أسرع لكسر قواعد السلامة في النموذج.
تخيل أن الطريقة القياسية لكسر سلامة النموذج (تسمى "AutoDAN") هي بمثابة رامٍ للسهام معصوب العينين. الرامي يطلق سهمًا (أمرًا/Prompt)، وينتظر ليرى ما إذا كان سيصيب الهدف (أن يقول النموذج "نعم")، وإذا أخطأ، يحاول مرة أخرى. هذه العملية بطيئة لأن الرامي يجب أن ينتظر السهم ليطير طوال المسافة وصولاً إلى الهدف في كل مرة.
طريقة AutoDAN الميكنيكي الجديدة تمنح الرامي رؤية بالأشعة السينية.
- بدلًا من انتظار السهم ليصيب الهدف، يتحقق الرامي من "الضوء التحذيري" في الطابق العاشر.
- إذا قال الضوء "هذا السهم سيُرفض"، يقوم الرامي بتغيير السهم فورًا دون انتظار طيرانه لبقية المسافة.
- إذا قال الضوء "هذا السهم يبدو واعدًا"، فإنه يتركه يكمل طريقه للنهاية.
النتي النتيجة: كانت طريقة "الرؤية بالأشعة السينية" هذه بنفس كفاءة الطريقة القديمة (المعصوبة العينين) في كسر قواعد السلامة، ولكنها كانت أسرع بنسبة تصل إلى 72% لأنها لم تضع وقتًا في معالجة الأسهم التي كان مصيرها الفشل.
قاعدة "الحجم يفرق"
وجدت الورقة البحثية تحولًا مثيرًا للاهتمام فيما يتعلق بحجم المصنع:
- المصانع الصغيرة (النماذج الأصغر): يضيء الضوء التحذيري فورًا تقريبًا. حتى في الطابق الأول، تكون الإشارة قوية جدًا لدرجة أن الرامي يمكنه تخمين النتيجة بسهولة. ومع ذلك، في هذه المصانع الصغيرة، كان الرامي يقوم بعمل جيد بالفعل في التخمين بمفرده، لذا لم تضف "الرؤية بالأشعة السينية" قيمة إضافية كبيرة.
- المصانع الضخمة (النماذج الأكبر): في المصانع الضخمة، لا يضيء الضوء التحذيري حتى الطوابق الوسطى. هنا، كانت "الرؤية بالأشعة السينية" نقطة تحول جذرية. فبدونها، كان الرامي يخمن بشكل أعمى ويفشل كثيرًا. أما معها، فقد استطاع التنقل عبر الطوابق الوسطى المعقدة بكفاءة وإيجاد الطريق الصحيح نحو الهدف بشكل أسرع بكثير.
الخلاصة
تثبت الورقة أمرين رئيسيين:
- قرارات السلامة تحدث مبكرًا: قرار النموذج برفض طلب ضار مشفر في طبقاته الوسطى، قبل وقت طويل من نطق الكلمة النهائية.
- يمكننا استخدام هذا لتسريع الهجمات: من خلال التحقق من هذه الطبقات الوسطى بدلاً من انتظار المخرج النهائي، يمكننا تحسين الأوامر (الأسئلة) بشكل أسرع بكثير.
يؤكد المؤلفون أنه بينما يجعل هذا الهجمات أسرع، فإن فهم كيفية عمل إشارات السلامة هذه أمر بالغ الأهمية. تمامًا كما أن معرفة كيفية عمل القفل تساعد اللص، فإنها تساعد أيضًا صانع الأقفال على بناء قفل أفضل. وهم يأملون أن تساعد هذه المعرفة الباحثين في بناء دفاعات أقوى، رغم أن طريقتهم المحددة صُممت لاختبار نقاط ضعف النموذج.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.