🤖 machine learning

Visual Token Compression Enhances Robustness of MLLMs

تقترح هذه الورقة طريقة لتقليم الرموز المرئية تعزز من متانة النماذج اللغوية الكبيرة متعددة الوسائط ضد هجمات الاختراق والهلوسة، وذلك من خلال تحديد وإزالة الرموز المرئية غير المتوافقة وخارج نطاق التوزيع، مع تقليل تكاليف الاستدلال في الوقت ذاته.

المؤلفون الأصليون: Shishen Gu, Jiequan Cui, Wenbo Hu, Zenglin Shi, Zhenzhen Hu, Richang Hong

نُشر 2026-07-28

📖 5 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Shishen Gu, Jiequan Cui, Wenbo Hu, Zenglin Shi, Zhenzhen Hu, Richang Hong

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل عالماً لا تكتفي فيه الحواسيب بقراءة الكلمات فحسب، بل "ترى" أيضاً الصور، وتدمجها معاً للإجابة على الأسئلة، أو سرد القصص، أو حل المشكلات. تُسمى هذه النماذج "نماذج اللغات الكبيرة متعددة الوسائط" (MLLMs). فكر فيها كطلاب أذكياء جداً قرأوا كل كتاب في المكتبة، ويمكنهم أيضاً النظر إلى صورة لفهم السياق. ومع ذلك، تماماً مثل أي طالب، قد يصابون بالارتباك. فأحياناً، إذا عرضت عليهم صورة مخادعة أو طرحت عليهم سؤالاً ملغوماً، فقد يتم خداعهم لقول شيء خطير ("اختراق" أو Jailbreak) أو اختلاق حقائق تبدو حقيقية لكنها خاطئة تماماً ("هلوسة" أو Hallucination).

لفهم سبب حدوث ذلك، نحتاج إلى النظر في كيفية معالجة هذه النماذح للمعلومات. فهي تأخذ الصورة، وتقطعها إلى قطع رقمية صغيرة تسمى "رموز بصرية" (visual tokens)، وتخلطها مع الرموز النصية. المشكلة تكمن في أن "عيون" الكمبيوتر و"آذانه" لا تتحدث دائماً نفس اللغة بشكل مثالي. أحياناً، يكون الرمز البصري غير متوافق تماماً أو مربكاً لدرجة أنه يعمل كضجيج ساكن في إشارة الراديو. هذا الضجيج يمكن أن يفقد النموذج توازنه، مما يجعله عرضة للهجمات أو يدفعه لتخيل معلومات كاذبة. لقد عرف العلماء منذ زمن طويل أن تنظيف هذا الضجيج يساعد، لكنهم كانوا يعتقدون عادةً أن الأمر يتعلق فقط بجعل الكمبيوتر أسرع، وليس أكثر أماناً.

يقدم هذا البحث حيلة ذكية جديدة تسمى الضغط للرموز البصرية (Visual Token Compression)، وتحديداً طريقة تسمى OOD-VTP (تقليم الرموز البصرية خارج التوزيع - Out-of-Distribution Visual Token Pruning). اكتشف الباحثون أنه من خلال تحديد وإزالة الرموز البصرية "الغريبة" — تلك التي لا تتناسب جيداً مع النص — يصبح النموذج في الواقع أكثر صلابة ضد الهجمات وأقل عرضة للكذب. الأمر يشبه حارس الأمن عند ملهى ليلي يقوم بطرد الضيوف المشاغبين الذين لا ينتمون للمكان، تاركاً الحفلة آمنة ومنظمة. وتظهر الدراسة أن هذا ليس مجرد نظرية؛ فعندما اختبروا ذلك على سبعة معايير مرجعية مختلفة، أصبح النموذج أصعب في الخداع وأكثر دقة، وكل ذلك مع العمل بسرعة أكبر.

قصة الغرفة الصاخبة

تخيل أنك في غرفة ضخمة وصاخبة حيث تحاول مجموعة من الأصدقاء (النص) إجراء محادثة جادة. فجأة، يقتحم المكان مجموعة من الغرباء (الرموز البصرية). معظم هؤلاء الغرباء متعاونون؛ فهم يحضرون الوجبات الخفيفة ويشيرون إلى أشياء في الغرفة تتوافق مع المحادثة. لكن القليل منهم هم من المشاكسين؛ يرتدون أقنعة، ويصرخون بكلام غير مفهوم، أو يحملون لافتات مكتوب عليها أشياء لا معنى لها بالنسبة لما يقوله أصدقاؤك.

في عالم الذكاء الاصطﻲ، هؤلاء المشاكسون هم الرموز البصرية غير المتوافقة. ولأن رؤية الكمبيوتر وأنظمة اللغة لديه ليست متزامنة تماماً، فإن هذه الرموز تعمل كمدخلات خارج التوزيع (OOD). وباللغة البسيطة، هي "في غير مكانها". عندما يحاول الذكاء الاصطناعي معالجتها، يصاب بالارتباك. وهذا الارتباك هو ما يسمح للمخترقين بـ "اختراق" الذكاء الاصطناعي (خداعه لتجاهل قواعد السلامة الخاصة به) أو يتسبب في "هلوسته" (اختلاق حقائق).

استراتيجية الحارس

أدرك مؤلفو هذا البحث أن الطرق السابقة حاولت تسريع الذكاء الاصطناعي عن طريق طرد الرموز العشوائية أو تلك التي تبدو "زائدة عن الحاجة" فقط (مثل طرد الأشخاص الأكثر هدوءاً). لكنهم وجدوا أن هذا لم يجعل الذكاء الاصطناعي أكثر أماناً، بل في الواقع، جعل الأمور أسوأ أحياناً!

طريقتهم الجديدة، OOD-VTP، تعمل كحارس أمن ذكي للغاية. وإليك كيف تعمل:

قياس المسافة: يتحقق الحارس من كل رمز بصري (كل قطعة من الصورة) ويسأل: "ما مدى بعد هذا الشخص عن المحادثة؟". إنهم يقيسون المسافة بين الرمز البصري و"فضاء ميزات اللغة" (مجموعة الرموز النصية).
تحديد المشاكسين: الرموز التي تكون الأبعد عن النص — تلك التي ليست متزامنة تماماً — يتم وضع علامة عليها كرموز OOD. هذه هي الرموز التي تسبب المشاكل.
التوقيت المثالي: وجد الباحثون أنه لا يمكنك طرد الأشخاص في أي وقت تريد. هناك "طبقات تقليم قوية" محددة (فكر في هذه كلحظات محددة في المحادثة) حيث يكون إزالة الرموز السيئة هو الأفضل. إذا قمت بإزالتها مبكراً جداً أو متأخراً جداً، فلن يساعد ذلك. ولكن إذا فعلت ذلك في اللحظة المناسبة (مثل الطبقة 13 أو 17 في اختباراتهم)، يصبح الذكاء الاصطناعي فجأة أكثر صلابة.

النتائج: أكثر أماناً، أذكى، وأسرع

اختبر الفريق استراتيجية الحارس هذه على نموذجين شهيرين للذكاء الاصطناعي: LLaVA-OneVision و Qwen-2.5-VL. واستخدموا سبعة معايير مرجعية لمعرفة مدى نجاح الأمر.

إيقاف الاختراقات: عندما حاولوا خداع الذكاء الاصطناعي للقيام بأشياء سيئة (مثل شرح كيفية صنع قنبلة أو زرع برمجيات خبيثة)، حققت طريقة OOD-VTP نجاحاً باهراً. في المتوسط، حسنت قدرة النموذج على قول "لا، لن أفعل ذلك" بنسبة 13.29%. وبالنسبة لنموذج Qwen-2.5-VL تحديداً، قفز "معدل الرفض للإجابة" (مدى نجاحه في حظر الطلب السيئ) من 20.38% إلى 33.67%.
إيقاف الهلوسة: ساعدت الطريقة أيضاً الذكاء الاصطناعي على التوقف عن اختلاق الأمور. ففي معيار HallusionBench، تحسنت الدقة بنسبة 8.00% لنموذج Qwen.
السرعة: كميزة إضافية، ولأنهم أزالوا بعض الرموز، أصبح الذكاء الاصطناعي يعمل بشكل أسرع. فقد عالج عدداً أقل من الرموز (انخفض من 16,128 إلى 10,512) واستخدم طاقة حوسبة أقل (انخفضت TFlops من 4.29 إلى 2.78)، مما جعله أكثر كفاءة دون فقدان ذكائه.

ما لم يفعلوه (وما استبعدوه)

من المهم ملاحظة ما لم يفعله هذا البحث. لم يقوموا بإعادة تدريب الذكاء الاصطناعي من الصفر، ولم يضيفوا قواعد سلامة جديدة أو يغيروا أوزان دماغ النموذج. لقد قاموا ببساطة بتقليم (قص) الرموز البصرية السيئة أثناء العملية.

كما استبعدوا صراحةً فكرة أن أي عملية تقليم للرموز تجعل الذكاء الاصطناعي أكثر أماناً. في الواقع، أظهروا أنه إذا قمت بتقليم الرموز "الخاطئة" — وتحديداً تلك المتوافقة جيداً والمفيدة — فإن الذكاء الاصطناعي يصبح أقل أماناً. لقد اختبروا ذلك عن طريق تقليم رموز "أصغر مسافة" (الرموز الجيدة)، وانهارت سلامة النموذج. وهذا يثبت أن الأمر لا يتعلق بمجرد القص؛ بل يتعلق بقص "الضجيج المحدد" الذي يسبب المشاكل.

الخلا الخلاصة

يشير هذا البحث إلى أن مفتاح جعل الذكاء الاصطناعي متعدد الوسائط أكثر أماناً قد يكون ببساطة تنظيف الضوضاء البصرية. فمن خلال تحديد وإزالة الرموز البصرية التي لا تتناسب مع النص، يصبح النموذج أكثر استقراراً، وأقل عرضة للخداع، وأقل عرضة لاختلاق الحقائق. إنه حل "جاهز للاستخدام" (plug-and-play)، مما يعني أنه يمكن إضافته إلى النماذج الموجودة دون الحاجة إلى تغيير جذري شامل. وبينما يظهر البحث أن هذه النتائج مدروسة ومتسقة عبر اختبارات متعددة، إلا أنها تظل طريقة تعزز المتانة بدلاً من كونها حلاً سحرياً يحل كل مشاكل الأمان في العالم. ولكن بالنسبة لمراهق فضولي (أو مطور ذكاء اصطناعي مهتم بالسلامة)، فإنها نظرة رائعة على كيف يمكن للقليل من "التقليم" أن يحدث فرقاً كبيراً في الحفاظ على سلامة أصدقائنا الرقميين.

ملخص تقني: ضغط الرموز المرئية يعزز متانة النماذج اللغوية الكبيرة متعددة الوسائط (MLLMs)

بيان المشكلة

تواجه النماذج اللغوية الكبيرة متعددة الوسائط (MLLMs) تحديات كبيرة في الأمن والموثوقية، وتحديداً الضعف تجاه هجمات الاختراق (jailbreak attacks) وتوليد الهلوسات (hallucinations). وبينما تُظهر النماذج اللغوية الكبيرة (LLMs) المدربة على البيانات النصية غالباً آليات سلامة قوية، فإن إدخال الوسائط المرئية في الـ MLLMs يمكن أن يتجاوز هذه الضمانات. ويفترض المؤلفون أن هذا الضعف ينبع من عدم محاذاة التمثيل (representation misalignment) بين الوسائط المرئية واللغوية. وبشكل أدق، تعمل الرموز المرئية (visual tokens) التي لا تتوافق تماماً مع فضاء الميزات اللغوية كمدخلات خارج التوزيع (Out-of-Distribution - OOD). وتؤدي هذه الرموز الـ OOD إلى تعطيل التمثيلات الداخلية للنموذج، مما يؤدي إلى مخرجات غير متوقعة، واختراقات ناجحة، واستجابات غير صحيحة واقعياً (هلوسات).

غالباً ما تنطوي استراتيجيات الدفاع الحالية، مثل الضبط الدقيق للتعليمات (instruction tuning)، أو التعلم المعزز من التغذية الراجعة البشرية (RLHF)، أو هندسة الأوامر (prompt engineering)، على تكاليف حوسبة عالية أو تعاني من قدرة محدودة على التعميم ضد الخصوم غير المعروفين. علاوة على ذلك، فإن طرق تقليم الرموز المرئية القياسية، المصممة أساساً لتقليل تكاليف الاستدلال عن طريق إزالة الرموز "الفائضة"، نادراً ما تعزز متانة النموذج. وهذا يشير إلى أن الفائض (redundancy) وحالة الـ OOD ليسا مترادفين؛ إذ إن تقليم الرموز الخاطئة يمكن أن يؤدي في الواقع إلى تدهور السلامة.

المنهجية: OOD-VTP

يقترح البحث تقليم الرموز المرئية خارج التوزيع (OOD-VTP)، وهي طريقة قابلة للاستخدام المباشر (plug-and-play) ولا تتطلب تدريباً، مصممة لتعزيز المتانة من خلال الإزالة الانتقائية للرموز المرئية غير المتوافقة. المكونات الأساسية للطريقة هي:

قياس مسافة الرمز المرئي:
تقيس الطريقة مدى "خروج الرمز عن التوزيع" (OOD-ness) من خلال قياس مسافته عن فضاء الميزات النصية.
- تمثيل فضاء الميزات: يتم تمثيل فضاء الميزات النصية ( $T$ ) بواسطة آخر $p\%$ من الرموز النصية (على سبيل المثال، الـ 50% الأخيرة). تم اختيار هذه الرموز لأنها، من خلال آليات الانتباه السببي (causal attention)، تكون قد دمجت المعلومات الأكثر ثراءً دلالياً والمتجذرة بصرياً من الرموز السابقة.
- مقياس المسافة: لكل رمز مرئي $v^k_j$ عند الطبقة $k$ ، تُعرف المسافة إلى الفضاء النصي بأنها الحد الأدنى للمسافة إلى أي رمز في المجموعة النصية الفرعية المختارة $S_k$ . يتم تجسيد مقياس المسافة $D(\cdot, \cdot)$ كـ متوسط سلبي لدرجة الانتباه (negative mean attention score) عبر جميع رؤوس الانتباه في الـ LLM. وتشير المسافة الأكبر إلى عدم توافق أكبر (احتمالية OOD أعلى).
طبقات التقليم القوية (Robust-Pruning Layers):
يحدد المؤلفون أن الطبقات ليست متساوية في الفعالية للتقليم. فهم يحددون طبقات التقليم القوية كطبقات وسيطة محددة حيث يؤدي تقليم رموز الـ OOD إلى تحقيق أقصى مكسب في السلامة.
- يكشف التحليل التجريبي أن التقليم في طبقات محددة (مثل الطبقات 13-17 في Qwen-2.5-VL) يحسن المتانة بشكل كبير، بينما يوفر التقليم في طبقات أخرى فوائد محدودة أو يؤدي إلى تدهور الأداء.
- يتم تحديد الطبقة المثلى ونسبة التقليم عبر بحث شبكي (grid search) على مجموعة بيانات تحقق، رغم أن البحث يشير إلى أن طبقة ثابتة موحدة (مثل الطبقة 14) يمكن أن تحقق نتائج قوية عبر عدة اختبارات معيارية دون الحاجة لضبط لكل اختبار.
استراتيجية التقليم:
عند طبقة التقليم القوية المحددة، يتم تقليم أعلى $r\%$ من الرموز المرئية ذات المسافات الأكبر (أي الرموز الأكثر عدم توافقاً/OOD). يمكن تطبيق هذه العملية بشكل تكراري عبر طبقات متعددة.

المساهمات الرئيسية

رؤية جديدة: يعد هذا البحث الأول الذي يثبت أن ضغط الرموز المرئية يمكن أن يحسن بشكل كبير من متانة النماذج اللغوية الكبيرة متعددة الوسائط ضد كل من هجمات الاختراق والهلوسة، مما يتحدى الفكرة القائلة بأن الضغط يخدم الكفاءة فقط.
طريقة OOD-VTP: قدم المؤلفون تقنية تقليم محددة تستهدف الرموز المرئية غير المتوافقة مع فضاء الميزات اللغوية، باستخدام مقياس مسافة يعتمد على درجات الانتباه وتحديد "طبقات التقليم القوية".
التحقق الشامل: تم التحقق من الطريقة على سبعة اختبارات معيارية متنوعة، مما أظهر مكاسب كبيرة في المتانة مع الحفاظ على أداء قوي في المهام العامة.
التكامل (Complementarity): أظهرت الطريقة أنها مكملة لطرق السلامة الحالية (مثل AdaShield)، مما يعزز السلامة بشكل أكبر عند الجمع بينهما.

النتائج التجريبية

قيم المؤلفون طريقة OOD-VTP على نماذج LLaVA-OneVision و Qwen-2.5-VL عبر سبعة اختبارات معيارية:

الدفاع ضد الاختراق (Jailbreak Defense):
- في SafeBench و HADES و MM-SafetyBench، حققت OOD-VTP متوسط تحسن بنسبة 13.29% في معدل رفض الإجابة (RAR) مقارنة بالنموذج الأساسي Qwen-2.5-VL.
- تحديداً في Qwen-2.5-VL، تحسن متوسط معدل RAR من 20.38% (النموذج الأصلي) إلى 33.67%، وتحسن معدل المخرجات غير الضارة (HOR) إلى 50.09%، متفوقة على طرق الضغط الأخرى (مثل FastV و PDrop وغيرها) التي أظهرت تأثيراً ضئيلاً أو سلبياً على السلامة.
- عند دمجها مع AdaShield، وصل معدل RAR في SafeBench إلى 93.80%.
- أظهرت الطريقة أيضاً متانة ضد الهجمات الصورية القائمة على الاضطراب (PGD).
تخفيف الهلوسة (Hallucination Mitigation):
- في HallusionBench، حسنت OOD-VTP الدقة بنسبة 8.00% (من 59.73% إلى 67.99% عند أفضل طبقة) لنموذج Qwen-2.5-VL.
- في COCO2014، قللت من مقييس CHAIR (مما يشير إلى هلوسة أقل) إلى 0.59% لنموذج Qwen-2.5-VL، متفوقة على النموذج الأصلي.
الأداء العام والكفاءة:
- الاختبارات المعيارية العامة: حافظت OOD-VTP على الأداء أو حسنته قليلاً في مجموعات البيانات العامة مثل MME (درجات الإدراك والإدراك المعرفي) مقارنة بالنموذج الأصلي.
- الكفاءة: قللت الطريقة من التكلفة الحوسبية (TFlops) وزادت من عدد الرموز في الثانية (TPS) مقارنة بالنموذج الأصلي وبأساليب الضغط الأخرى مثل FastV.
- المقايضة (Trade-off): لوحظ انخفاض طفيف في الأداء في OCRBench، ويُعزى ذلك إلى فقدان المعلومات الصورية دقيقة التفاصيل بسبب تقليم الرموز، وهو ما يعتبره المؤلفون مقايضة معقولة مقابل مكاسب السلامة الكبيرة.

الأهمية والادعاءات

يزعم البحث أن OOD-VTP توفر اتجاهاً جديداً وفعالاً لتأمين النماذج اللغوية الكبيرة متعددة الوسائط. ومن خلال معالجة السبب الجذري للثغرات — وهي الرموز المرئية غير المتوافقة التي تعمل كمدخلات خارج التوزيع (OOD) — تعزز الطريقة متانة النموذج دون الحاجة إلى إعادة تدريب مكلفة أو ضبط للمحاذاة.

يؤكد المؤلفون على ما يلي:

المتانة حساسة للغاية لـ أي الرموز يتم تقليمها؛ فإزالة الرموز المتوافقة جيداً تدمر السلامة، بينما إزالة رموز الـ OOD تعززها.
المتانة حساسة أيضاً لـ أين (في أي طبقة) يحدث التقليم، مما يستلزم تحديد "طبقات التقريم القوية".
تعمل الطريقة كوحدة "قابلة للاستخدام المباشر" (plug-and-play) يمكن دمجها مع دفاعات السلامة الحالية لإنشاء نظام أكثر متانة، مما يوازن بين السلامة، والكفاءة، والمنفعة العامة.