💻 computer science

Evolving Skill-Structured Attack Memory Enhances LLM Jailbreaking

يقدم البحث MemoAttack، وهو إطار عمل لكسر الحماية (jailbreak) بنظام الصندوق الأسود مدفوع بالذاكرة، يستخدم نمذجة ذاكرة مهيكلة المهارات، وتطوراً مدفوعاً بدورة الحياة، واختياراً متوازناً بين الاستكشاف والاستغلال لتحقيق معدل نجاح هجوم بنسبة 98% على AdvBench مع التفوق بشكل كبير على النماذج المرجعية الحالية في الكفاءة والقدرة على التكيف.

المؤلفون الأصليون: Junke Zhang, Jianwei Wang, Sishuo Chen, Yizhang He, Qingshuai Feng, Zhengyi Yang

نُشر 2026-05-29

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Junke Zhang, Jianwei Wang, Sishuo Chen, Yizhang He, Qingshuai Feng, Zhengyi Yang

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة بحث "Evolving Skill-Structured Attack Memory Enhances LLM Jailbreaking" باستخدام لغة بسيطة وتشبيهات إبداعية.

الصورة الكبيرة: "المحقق الذكي" مقابل "المخمنين العشوائيين"

تخيل أنك تحاول العثور على كنز مخفي (تجاوز قواعد الأمان الخاصة بالذكاء الاصطنا-ء) داخل قلعة ضخمة ومغلقة (النموذج اللغوي الكبير - LLM). لا يمكنك رؤية ما بداخل القلعة؛ يمكنك فقط طرق الباب، وطرح سؤال، والاستماع إلى رد الحارس.

الطريقة القديمة (الأساليب الحالية):
معظم الأساليب الحالية تشبه المحقق الذي يطرق الباب، فيتلقى ردًا بـ "لا"، ثم ينسى فورًا كل شيء عن تلك المحاولة.

الطريقة أ (البحث القائم على العينة): يحاولون طرق باب جديد في كل مرة، آملين أن يحالفهم الحظ. هم لا يتذكرون لماذا فشلت طرقة معينة، لذا قد يجربون نفس الطرقة السيئة تمامًا مرة أخرى لاحقًا.
الطريقة ب (الخبرة المتراكمة): يحتفظون بكومة ضخمة وفوضوية من الملاحظات على الأرض. لديهم آلاف الملاحظات التي تقول "اطرق ثلاث مرات" أو "اهمس بكلمة سر". لكن الكومة غير منظمة؛ فالملاحظات الجيدة تُدفن تحت الملاحظات السيئة، والملاحظات القديمة عديمة الفائدة تشغل مساحة كبيرة.

الطريقة الجديدة (MemoAttack):
ابتكر المؤلفون MemoAttack، وهو يشبه المحقق الذي يحتفظ بـ ملف قضية منظم للغاية وحي. بدلاً من مجرد تذكر "ما الذي نجح"، هم يتذكرون "كيفية التفكير".

المكونات السرية الثلاثة لـ MemoAttack

تزعم الورقة أن MemoAttack ينتصر لأنه يعامل "مهارات الهجوم" ككائنات حية تنمو، تتغير، ويتم ترقيتها أو طردها بناءً على أدائها.

1. الذاكرة ذات الهيكل المهاري: نظام "بطاقة الوصفة"

بدلاً من حفظ محادثة كاملة (وهي عملية فوضوية)، يقوم MemoAttack بحفظ بطاقات مهارات.

التشبيه: تخيل طباخًا لا يحفظ فقط صورة لكعكة جاهزة، بل يحفظ بطاقة وصفة تقول: "استخدم إطار 'الشرير الخيالي' لخداع الحارس".
كيف يعمل: كل بطاقة لها اسم، وخطة، ونموذج (هيكل قابل للتعبئة)، و"درجة ثقة".
لماذا يساعد: إذا نجحت بطاقة "الشرير الخيالي" مرة واحدة، فإن النظام يتذكر المفهوم، وليس فقط الكلمات المحددة. يمكنه استخدام نفس الوصفة لرحلة بحث عن كنز أخرى لاحقًا.

2. التطور المدفوع بدورة الحياة: نظام "موظف الشهر"

هذا هو الجزء الأكثر تميزًا. النظام لا يكتفي بتكديس البطاقات؛ بل يديرها مثل شركة تدير موظفيها.

التشبيه: تخيل الذاكرة كمكان عمل به مناطق مختلفة:
- فترة الاختبار (مرشح): يتم اختبار فكرة جديدة. إذا فشلت، يتم طردها فورًا.
- نشط (موظف): إذا نجحت الفكرة، تحصل على وظيفة دائمة وتُستخدم كثيرًا.
- متقاعد (مستشار): إذا توقفت الفكرة عن العمل (ربما غير حارس القلعة قواعده)، يتم نقلها إلى رف "المتقاعدين". هي ليست محذوفة، بل وُضعت في الخلفية فقط. وإذا عاد الحارس لقواعده القديمة، يمكن إعادة توظيفها.
- مستبعد (مطرود): إذا كانت الفكرة سيئة للغاية ولم تنجح أبدًا، يتم رميها في السلة لتوفير المساحة.
لماذا يساعد: هذا يمنع النظام من الامتلاء بالأفكار السيئة، ويحافظ على "الفريق" متجددًا وفعالاً.

3. الاختيار المتوازن بين الاستكشاف والاستغلال: "استراتيجية المقامر"

عندما يحتاج المحقق إلى اختيار بطاقة لتجربتها بعد ذلك، فإنه يستخدم استراتيجية مراهنة ذكية.

التشبيه: تخيل كازينو.
- الاستغلال (Exploit): تراهن على آلة القمار التي دفعت لك أكبر قدر من المال مؤخرًا (باستخدام بطاقة "الشرير الخيالي" المثبت نجاحها).
- الاستكشاف (Explore): تجرب أيضًا آلة جديدة تمامًا أو آلة لم تلمسها منذ فترة، تحسبًا لأن تكون على وشك دفع مبلغ كبير (اختبار بطاقة "متقاعدة" أو فكرة جديدة).
كيف يعمل: يستخدم النظام رياضيات (تسمى "أخذ عينات تومسون" - Thompson Sampling) للموازنة بين استخدام ما يعرف أنه ينجح وبين تجربة أشياء جديدة. هو لا يخمن فحسب؛ بل يحسب احتمالات النجاح بناءً على الأدلة السابقة.

النتائج: الفوز باللعبة

اختبر المؤلفون هذا النظام ضد أفضل الأساليب الحالية على قائمة قياسية مكونة من 150 "طلبًا ضارًا" (مثل السؤال عن كيفية صنع قنبلة أو الغش في اختبار).

معدل النجاح: نجح MemoAttack بنسبة 98% من الوقت. بينما نجحت الطريقة التالية له بنسبة 81% تقريبًا.
الكفاءة: لم يكتفِ النظام بالفوز فحسب، بل فاز بشكل أسرع. لقد احتاج إلى 45% محاولات أقل (طرقات على الباب) للعثور على الكنز مقارنة بالأساليب الأخرى.
النمو: مع تجربة النظام لمزيد من الأمثلة، أصبح "ملف القضية" الخاص به أكثر ذكاءً، وأصبح أفضل في العثور على الكنز.

ملخص في جملة واحدة

MemoAttack هو أداة لكسر الحماية (Jailbreaking) لا تكتفي بالتخمين العشوائي أو تكديس الملاحظات الفوضوية؛ بل يبني مكتبة حية من "وصفات الهجوم" القابلة لإعادة الاستخدام والتي يتم اختبارها، ترقيتها، أو طردها باستمرار بناءً على مدى نجاحها، مما يسمح لها بكسر قواعد أمان الذكاء الاصطناعي بشكل أسرع وأكثر موثوقية من الطرق السابقة.

(ملاحظة: تنص الورقة صراحة على أن هذا مخصص لـ "تقييم السلامة" و"اختبار الاختراق - Red-teaming" لمساعدة المطورين في العثور على نقاط الضعف، وليس للاستخدام الضار.)

ملخص تقني: تطور الذاكرة الهجومية ذات البنية المهارية يعزز كسر حماية النماذج اللغوية الكبيرة (LLM)

بيان المشكلة

تتم برمجة النماذج اللغوية الكبيرة (LLMs) لرفض الطلبات الضارة، ومع ذلك تظل عرضة لهجمات كسر الحماية (jailbreak) التي تستحث محتوى غير مسموح به. وبينما يعد التوليد الآلي لكسر الحماية في بيئة "الصندوق الأسود" (black-box) أمراً بالغ الأهمية للتقييم الأمني، تواجه الطرق الحالية قيوداً كبيرة في الكفاءة والفعالية. تندرج الأساليب الحالية عموماً ضمن فئتين:

البحث الاستدلالي القائم على العينة (Sample-wise Heuristic Search): طرق مثل TAP تقوم بتحسين المطالبات (prompts) بناءً على التغذية الراجعة الفورية لمسار هجوم واحد. ومع ذلك، فإن هذه الخبرة محلية وقصيرة الأمد؛ حيث تكون الدروس المستفادة متشابكة مع مسارات عينات محددة، مما يؤدي إلى إعادة اكتشاف التكتيكات بشكل متكرر وضعف القدرة على نقل الأثر عبر أهداف مختلفة.
إعادة استخدام الخبرات المتراكمة (Accumulated-Experience Reuse): طرق مثل GAP وAutoDAN-Turbo تعيد استخدام الحالات الناجحة، أو بذور الطفرات، أو مخازن الاستراتيجيات عبر العينات. ومع ذلك، غالباً ما تفتقر هذه المخازن إلى التنظيم المنهجي. فبدون إدارة هيكلية، يمكن للأنماط المكررة أو الهشة أو القديمة أن تطغى على الاستراتيجيات الموثوقة، مما يجعل من الصعب التمييز بين التكتيكات المفيدة والنجاحات العرضية، أو إعادة تفعيل الاستراتيجيات التي قد تصبح ذات ص relevance في ظل ظروف متغيرة.

التحدي الجوهري يكمن في الانتقال من مجرد التراكم البسيط نحو تنظيم وإدارة منهجية لخبرة الهجوم تدعم معرفة قابلة لإعادة الاستخدام، والتطور، والتتبع الإحصائي في إعدادات "الصندوق الأسود" حيث لا يمكن ملاحظة سوى مخرجات النموذج فقط.

المنهجية: MemoAttack

يقترح المؤلفون MemoAttack، وهو إطار عمل لكسر الحماية في بيئة "الصندوق الأسود" مدفوع بالذاكرة، يقوم بتحويل خبرة الهجوم إلى "ذاكرة ذات بنية مهارية". يعمل إطار العمل عبر حلقة تشغيل زمنية تتناوب بين اختيار الفروع على مستوى الشجرة واختيار المهارات على مستوى الذاكرة. وهو مبني على ثلاثة تصميمات رئيسية:

1. نمذجة الذاكرة ذات البنية المهارية

بدلاً من معاملة عمليات إعادة الكتابة الناجحة كمطالبات أو مسارات معزولة، يقوم MemoAttack بتجريد أنماط الهجوم إلى وحدات ذاكرة ذات بنية مهارية قابلة لإعادة الاستخدام. وتتكون كل وحدة من تجريد مسمى يحتوي على:

الهوية والتوجيه: اسم، ونموذج (template)، ومنطق يشرح الآلية.
حقول الاسترجاع: تضمينات دلالية (semantic embeddings) وأمثلة مسترجعة للمطابقة.
রোধ
حقول الأدلة والاختيار: إحصائيات الاحتمالات اللاحقة (selection posteriors) والأدلة المباشرة لتتبع التقدم الجزئي والنجاح النهائي.
حقول المصدر ودورة الحياة: بيانات وصفية (metadata) تتبع أصل الوحدة وحالتها الحالية.

من الأهمية بمكان أن نموذج المهاجم يتلقى فقط "عرضاً مشروعاً" لهذه الوحدات (الاسم، المنطق، النموذج، الأمثلة)، بينما تظل بارامترات الاحتمالات اللاحقة وحالات دورة الحياة خاصة بالمتحكم (controller). هذا الفصل يسمح للنظام بتتبع المساءلة الإحصائية دون ربط المهاجم بمتغيرات المحاسبة الداخلية.

2. تطور الذاكرة المدفوع بدورة الحياة

لمنع النمو الرتيب لمخازن الذاكرة الموجود في الأساليب القائمة على التراكم، يعامل MemoAttack الذاكرة كنظام دورة حياة محكم. تنتقل الوحدات عبر أربع حالات بناءً على الأدلة المتراكمة:

مرشح (Candidate): تدخل الوحدات المستحدثة أو المتحورة حديثاً فترة اختبار. يجب أن تستحق الترقية إلى الحالة النشطة عبر دليل مباشر أو تقدم حديث؛ ويتم رفض المرشحين الضعفاء مبكراً.
نشط (Active): المخزن الرئيسي القابل لإعادة الاستخدام. تنتقل الوحدات إلى هنا بعد التحقق الكافي.
متقاعد (Retired): الوحدات ذات المنفعة المتناقصة أو الأدلة القديمة تنتقل إلى هنا. يتم أخذ عينات منها فقط بشكل عرضي كاختبارات. يمكن للأدلة الإيجابية إعادة تفعيلها؛ أما الأداء الضعيف المتكرر فيؤدي إلى نقلها إلى مرحلة الإلغاء.
ملغى (Eliminated): الوحدات التي لم تعد تشارك في عملية الاختيار.

تسمح دورة الحياة هذه للنظام بتنظيف الوحدات الضعيفة أو القديمة (عبر الإلغاء أو الإزالة الفيزيائية) مع الحفاظ على فرص التعافي تحت أدلة جديدة، مما يضمن بقاء مخزن الذاكرة محدوداً ومتكيفاً.

3. اختيار الذاكرة المتوازن بين الاستكشاف والاستغلال

يختار MemoAttack وحدات الذاكرة باستخدام أخذ عينات تومسون السياقي (Contextual Thompson Sampling) لموازنة إعادة الاستخدام الموثوقة مع الاستكشاف المدفوع بعدم اليقين. تجمع منفعة الاختيار بين:

المنفعة اللاحقة المزدوجة: يتم الحفاظ على توزيعين من نوع (Beta) لكل وحدة: أحدهما لـ التقدم الجزئي والآخر لـ النجاح النهائي. هذا يميز الوحدات التي تتجاوز الرفض عن تلك التي تستحث الامتثال الضار.
المكافأة السياقية: مجموع مرجح للميزات بما في ذلك المطابقة الدلالية، وفجوة الدرجات، والتقدم/النجاح الأخير، وعقوبات التكرار، وحالة فترة الاختبار.

يقوم المتحكم بترتيب الوحدات حسب $U(m | x_u) = UTS(m) + B(x_u, m) - \lambda_{ret}I_{ret}(m)$ ، ويختار أفضل- $k$ من الوحدات لتوجيه تحسين مطالبة المهاجم.

المساهمات الرئيسية

يدعي البحث ثلاث مساهمات أساسية:

نمذجة الذاكرة ذات البنية المهارية: تمثيل معرفة الهجوم كوحدات مهارية مهيكلة مع نماذج ومنطق وحالات دورة حياة، مما يجعل سلوكيات الهجوم الفردية قابلة للعنونة والتتبع الإحصائي.
تطور الذاكرة المدفوع بدورة الحياة: تنفيذ نظام انتقال حالة (مرشح، نشط، متقاعد، ملغى) يتجنب النمو الرتيب للذاكرة ويسمح بإعادة تفعيل الاستراتيجيات المفيدة.
اختيار الذاكرة المتوازن بين الاستكشاف والاستغلال: استخدام الأدلة اللاحقة وأخذ عينات تومسون السياقي لتمكين إعادة الاستخدام الواعي بعدم اليقين، حيث يتم استغلال الوحدات الموثوقة بينما تحصل الوحدات غير المستكفة كفاية على تعرض محكوم.

النتائج التجريبية

قيم المؤلفون MemoAttack على مجموعة بيانات AdvBench مقابل أحدث الأساليب المرجعية (TAP، وGAP، وAutoDAN-Turbo) عبر ثلاثة نماذج مستهدفة (kimi-k2.5، وminimax-M2.5، وqwen3.5-397B-A17B) ضمن إعداد موحد لـ "الصندوق الأسود".

معدل نجاح الهجوم (ASR): حقق MemoAttack متوسط معدل نجاح قدره 98.00% (147/150 هدفاً)، متفوقاً على أقوى مرجع (GAP، بنسبة 81.33%) بمقدار 16.67 نقطة مئوية.
كفاءة الاستعلام: قلل MemoAttack متوسط عدد الطلبات للتشغيلات الناجحة بنسبة 45.9% (من 13.66 إلى 7.39 طلباً) مقارلة بأقوى مرجع.
دراسات الاستئصال (Ablation Studies): أدى إزالة آليات الذاكرة (A1) إلى أكبر انخفاض في ASR (-16.67 نقطة)، يليه استبدال الترتيب بالاحتمالات اللاحقة بالاختيار العشوائي (A2، -13.89 نقطة). كما أدى تعطيل التحكم في دورة الحياة (A4) والتحوير/الابتكار (A3) إلى تدهور كبير في الأداء، مما يؤكد أن جميع المكونات الثلاثة متكاملة.
ديناميكيات الذاكرة: أظهرت التشخيصات أن مخزن الذاكرة المقيم يظل محدوداً (يستقر بالقرب من 128 وحدة) رغم الاقتراحات المستمرة، مع توزيع ذيل طويل للاستخدام حيث تظل الركائز ذات الأدلة العالية قابلة لإعادة الاستخدام بينما تشغل النسخ المتخصصة الناتجة عنها مساحات أضيق.

الأهمية والقيود

الأهمية:
يجادل البحث بأن MemoAttack يثبت أن جعل معرفة الهجوم القابلة لإعادة الاستخدام صريحة، وقابلة للاختيار، وقابلة للتطور يزيد بشكل كبير من كل من معدل التحويل النهائي وتكلفة النجاح في بحث كسر الحماية في "الصندوق الأسود". من خلال تحويل خبرة الهجوم إلى ذاكرة مهارية موجهة بالاحتمالات اللاحقة ومتطورة عبر دورة الحياة، ينتقل إطار العمل من مجرد التراكم البسيط إلى الإدارة الفعالة للمعرفة العدائية.

القيود:
يقر المؤلفون بعدة قيود:

نطاق التقييم: أجريت التجارب على AdvBench بمدخلات نصية فقط وثلاثة نماذج مستهدفة محددة. لم يتم اختبار النهج على المدخلات متعددة الوسائط، أو التفاعلات متعددة الأدوار، أو الوكلاء الذين يستخدمون الأدوات، أو النماذج ذات سياسات السلامة الديناميكية.
تقييم الدفاع: لا يتضمن العمل تجارب من جانب الدفاع. هناك حاجة لعمل مستقبلي لتقييم الضمانات ضد المهاجمين التكيفيين ذوي الذاكرة المستمرة.
التعقيد: يقدم MemoAttack تعقيداً إضافياً للنظام مقارنة بأساليب البحث في الأشجار الأبسط بسبب صيانة وحدات الذاكرة المهيكلة، وسجلات الاحتمالات اللاحقة، وانتقالات دورة الحياة.

الاعتبارات الأخلاقية:
يؤكد المؤلفون أن MemoAttack مخصص لعمليات "الفريق الأحمر" (red-teaming) المنضبطة وتقييم السلامة لتحديد أوضاع الفشل المتكررة وبناء اختبارات التراجع. ويذكرون صراحة أن إصدار الأدوات التشغيلية (المطالبات، السجلات، سجلات الذاكرة) يجب أن يكون مطهراً وخاضعاً للتحكم في الوصول لمنع إساءة الاستخدام في التلقين العدائي ضد الأنظمة المنشورة.