Adversarial Prompts for Acceptance Collapse in Speculative Decoding
تقدم هذه الورقة البحثية ADSD، وهو أول هجوم للاحقة المطالبة (prompt-suffix attack) يستغل ثغرة في فك التشفير التخميني (speculative decoding) باستخدام بديل الانهيار الناعم (Soft-Collapse surrogate) لتوليد لواحق عدائية تزيد من زمن استجابة الاستدلال بشكل كبير مع الحفاظ على جودة المهمة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تدير مطعماً فائق السرعة حيث يتولى رئيس طهاة ("النموذج المستهدف") مسؤولية طهي كل طبق بدقة وإتقان. ولكن رئيس الطهاة بطيء، والزبائن جائعون. لتسريع الأمور، يوظف المطعم مساعد طاهٍ سريعاً ("نموذج المسودة") يركض في المقدمة، يقطع الخضروات ويتوقع ما سيفعله رئيس الطهاة تالياً. إذا كانت تخمينات المساعد صحيحة، يكتفي رئيس الطهاة بالإيماء برأسه ويقدم الطعام فوراً. أما إذا أخطأ المساعد، فيضطر رئيس الطهاة للتوقف، ورمي التخمين، وطهي كل شيء من البداية. هذا النظام القائم على "التخمين والتحقق" يسمى الترميز الاستنتاجي (Speculative Decoding)، وهو حيلة شائعة تُستخدم لجعل روبوتات الدردشة بالذكاء الاصطناعي تتحدث بشكل أسرع دون فقدان ذكائها.
لسنوات، افترض الجميع أن هذا النظام آمن طالما أن الذكاء الاصطناعي لا يقول أي شيء مسيء أو غريب. كانت الفكرة هي أن دفعة السرعة هي مجرد مسألة رياضية: إذا اتفق الطاهيان، نذهب بسرعة؛ وإذا اختلفا، نذهب ببطء. ولكن ماذا لو استطاع شخص ما خداع النظام لجعله "يختلف دائماً"، ليس عن طريق كسر الذكاء الاصطناعي، بل عبر الهمس بشفرة سرية صغيرة في طلب الزبون؟ هذا هو السؤال الذي سعى فريق من الباحثين في جامعة كليمسون وآخرين للإجابة عليه. أرادوا معرفة ما إذا كانت جملة مصاغة ببراعة يمكن أن تجبر الذكاء الاصطناعي السريع على التباطؤ إلى حد الشلل، مما يجعل الخدمة مكلفة ومحبطة، وكل ذلك بينما تبدو الإجابة النهائية طبيعية تماماً.
اكتشف الباحثون أن هذا ممكن بالفعل. لقد ابتكروا نوعاً جديداً من الهجمات يسمى ADSD (المطالبات العدائية لانهيار القبول). فكر في الأمر كأنه "خلل في المصفوفة" لسير العمل في المطعم. المهاجم لا يغير الطهاة أو المطبخ؛ بل يضيف فقط بعض الكلمات الخاصة غير المرئية في نهاية طلب عادي. تعمل هذه الكلمات كتعويذة سحرية تجعل المساعد السريع يصبح مفرط الثقة ولكنه مخطئ باستمرار. يبدأ المساعد في الصراخ بتخمينات مثل "غريب" أو "XX" بكل ثقة، لكن رئيس الطهاة يعلم أن هذه التخمينات خاطئة ويرفضها فوراً.
ولأن رئيس الطهاة يرفض التخمينات كثيراً، يعلق النظام في حلقة مفرغة من رمي العمل والبدء من جديد. في اختباراتهم، حولت هذه الحيلة الصغيرة الاستجابة السريعة إلى استجابة بطيئة. في مجموعة بيانات للمسائل الرياضية تسمى GSM8K، قفز متوسط الوقت للحصول على إجابة من 26.05 ثانية إلى 42.29 ثانية—أي تباطؤ بنسبة 62.3%. هذا يشرح وكأن رحلة مدتها 10 دقائق أصبحت فجأة تستغرق 16 دقيقة لمجرد وجود إشارة مرور غريبة. والأكثر إثارة للإعجاب (والرعب)، هو أن الباحثين وجدوا أن الإجابة النهائية التي تلقاها الزبون كانت لا تزال جيدة تقريباً كما كانت من قبل. كانت المسائل الرياضية لا تزال تُحل بشكل صحيح، والقصص لا تزال منطقية. لم تكسر هذه الهجمة "عقل" الذكاء الاصطناعي، بل كسرت سرعته فقط.
أظهر الفريق أن هذه الحيلة تعمل حتى عندما يحاول المطعم استخدام طرق طهي أكثر تقدماً. سواء استخدموا نظام التحقق القياسي "واحد تلو الآخر" أو نظاماً متطوراً "كتلة تلو الأخرى"، فإن الهجوم لا يزال يبطئ العمل بنفس القدر تقريباً. حتى أنهم جربوها على أنواع مختلفة من نماذج الذكاء الاصطناعي، من عائلة Qwen إلى عائلة LLaMA، وحدث التباطؤ في كل مرة. وفي حالة قصوى باستخدام بنية معينة تسمى EAGLE-3، انخفضت السرعة بنسبة هائلة بلغت 76.9%.
كما اختبر الباحثون ما إذا كان بإمكان هذه "التعويذة السحرية" العمل على مهام لم يتم تدريبها عليها خصيصاً. أخذوا تعويذة مصممة لإبطاء المسائل الرياضية واستخدموها في مهام البرمجة وتلخيص الأخبار. وقد نجحت! في مهام البرمجة، تضاعف وقت توليد الكود أكثر من مرتين (زيادة بنسبة 141.8%)، وبدأ الكود يرتكب المزيد من الأخطاء. وفي ملخصات الأخبار، أدى ذلك إلى إبطاء السرعة بنسبة 30.4%. يشير هذا إلى أن الثغرة ليست مجرد صدفة في اختبار رياضي محدد، بل هي ضعف جوهري في كيفية قيام أنظمة الذكاء الاصطناعي السريعة هذه بالتحقق من عملها الخاص.
يخلص البحث إلى أنه بينما قد تبدو إجابات الذكاء الاصطناعي النهائية مثالية، إلا أن "تكلفة" الحصول عليها قد تم اختطافها. هذا الهجوم يتسم بالتخفي لأنه لا يطلق الإنذارات المعتادة التي تبحث عن الكلمات السيئة أو المخرجات الغريبة. إنه "هجوم حرمان من المحفظة" (Denial of Wallet)، حيث لا يسرق المهاجم البيانات، بل يجبر مزود الخدمة على استنزاف قدرات حوسبة باهظة الثمن لمجرد تقديم إجابة عادية. يقترح المؤلفون أن مجرد فحص المدخلات أو المخرجات النهائية ليس كافياً لإيقاف ذلك؛ نحن بحاجة لمراقبة العملية نفسها. إذا لاحظ النظام أن حلقة "التخمين والتحقق" تفشل كثيراً جداً، فقد يحتاج إلى التوقف عن التخمين والطهي ببطء فقط لتوفير المال. في الوقت الحالي، يعد هذا الاكتشاف بمثابة تحذير: مجرد كون الذكاء الاصطناعي سريعاً ودقيقاً لا يعني أنه محمي من التباطؤ بسبب بضع كلمات بارعة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.