The Boy Who Cried Wolf: Adversarial Misclassification of Safe Inputs as Unsafe in Multimodal Guardrails

تخيل عالماً يكون فيه مساعدك الذكي المفضل مثل أمين مكتبة فائق الذكاء يمكنه رؤية الصور وقراءة أفكارك. تسأله: "هل يمكنك جعل هذه القطة بيضاء؟" فيتحقق أمين المكتبة من صورتك وسؤالك ليتأكد من أنك لا تحاول كسر القواعد. يُسمى أمين المكتبة هذا "نموذج الحراسة" (guard model)، ومهمته هي منع الأشياء السيئة — مثل العنف أو الصور المخيفة — من المرور. عادةً، نقلق من المخادعين الذين يحاولون تمرير أفكار سيئة عبر أمين المكتبة (مثل الهمس بشفرة سرية تجعل أمين المكتبة يغفل عن الخطر). ولكن ماذا لو لم يكن المخادع يريد تمرير أشياء سيئة؟ ماذا لو أراد خداع أمين المكتبة لجعله يعتقد أن الأشياء الجيدة هي أشياء سيئة؟

يستكشف هذا البحث نوعاً جديداً من الخداع يسمى هجوم "الراعي والذئب" (The Boy Who Cried Wolf). بدلاً من محاولة إخفاء ذئب، يقوم المهاجم برسم صورة غير ضارة لخروف بحبر غير مرئي لا يراه إلا أمين المكتبة. عندما تعرض هذه الصورة على أمين المكتبة، يصرخ قائلاً: "ذئب! ذئب!" ويرفض مساعدتك، رغم أنها مجرد خروف لطيف. يوضح البحث كيف يمكن للمخترقين استخدام هذا الأسلوب لجعل أمين المكتبة مرتبكاً ومفرط الحذر لدرجة أنه يتوقف عن مساعدة أي شخص على الإطلاق، مما يفسد المتعة على الجميع. الأمر لا يتعلق بكسر القواعد؛ بل بجعل حارس القواعد مهووساً بالشك لدرجة تجعله يتوقف عن العمل.

"الراعي والذئب" في عالم الذكاء الاصطناعي

في عالم الذكاء الاصطناعي، وتحديداً في النماذج التي يمكنها رؤية الصور وقراءة النصوص (المعروفة بنماذج اللغة الكبيرة متعددة الوسائط)، توجد حواجز سلامة. هذه الحواجز تشبه حراس الأمن عند الملاهي الليلية. مهمتهم هي النظر فيما تحضره (صورة وسؤال) وتقرير ما إذا كان آمناً. إذا كان آمناً، يُسمح لك بالدخول. وإذا كان غير آمن، يتم طردك.

لفترة طويلة، كان الباحثون قلقين بشأن "كسر الحماية" (jailbreaking). وهذا هو عندما يحاول شخص ما خداع الحارس للسماح لشخص خطير بالدخول عبر التمويه كشخصية هامة (VIP). لكن هذا البحث يطرح سؤالاً مختلفاً: ماذا لو خدع شخص ما الحارس لطرد شخص بريء تماماً؟

يسمي المؤلفون هذا هجوم الاستحثاث غير الآمن (Unsafe Induction Attack). تخيل أن لديك صورة لقطة بيضاء ناعمة. إنها آمنة تماماً. لكن المهاجم يضيف تغييراً صغيراً وغير مرئي للصورة — صغيراً جداً بحيث لا تراه عيناك. بالنسبة للبشر، لا تزال مجرد قطة لطيفة. ولكن بالنسبة لحارس الذكاء الاصطناعي، يبدو هذا التغيير غير المرئي كعلامة حمراء ضخمة تقول "خطر!". لذا، عندما تسأل الذكاء الاصطناعي "اجعل القطة بيضاء"، يرفض الذكاء الاصطناعي قائلاً: "لا يمكنني فعل ذلك، هذه الصورة غير آمنة!".

الجزء المخيف هو أن المهاجم لا يحتاج إلى معرفة السؤال الذي ستطرحه. يحتاج فقط إلى جعل الصورة تبدو "غير آمنة" للذكاء الاصطناعي، بغض النظر عما تقوله. إذا استطاعوا فعل ذلك، فيمكنهم إغراق الإنترنت بهذه الصور "المسمومة". وعندما يقوم الناس العاديون بتنزيلها ومحاولة استخدامها، يستمر الذكاء الاصطناعي في قول "لا" مراراً وتكراراً. في النهاية، يشعر الناس بالإحباط، ويتوقفون عن الثقة في الذكاء الاصطناعي، وربما يوقفون ميزات السلامة تماماً. هذا هو تأثير "الراعي والذئب": الحارس يستمر في إطلاق إنذارات كاذبة حتى لا يعود أحد يصدقه.

كيف فعلوا ذلك: سحر "التقطير" (Distillation)

وجد الباحثون أن المحاولات السابقة للقيام بذلك فشلت لأنها كانت شديدة التحديد. إذا حاولت خداع الذكاء الاصطناعي بجعل الصورة تبدو كصورة "سيئة" محددة (مثل سلاح معين)، فإن ذلك سيعمل فقط إذا طرح المستخدم سؤالاً متعلقاً بهذا السلاح تحديداً. لكن المستخدمين الحقيقيين يطرحون أنواعاً مختلفة من الأسئلة العشوائية.

لحل هذه المشكلة، ابتكر الفريق طريقة جديدة تسمى التقطير الدلالي غير الآمن (Unsafe Semantic Distillation - USD). فكر في الأمر كالتالي: بدلاً من محاولة تقليد صورة "سيئة" واحدة محددة، يتعلم الذكاء الاصطناعي "جوهر" الشيء السيئ.

1. الطريقة القدة (محاكاة الحالة): تخيل محاولة خداع حارس أمن من خلال التنكر تماماً مثل مجرم واحد محدد. إذا رآك الحارس، سيعرف ذلك الشخص. ولكن إذا غير المجرم قبعته، فقد لا يتعرف عليك الحارس.
2. الطريقة الجديدة (USD): أخذ الباحثون مئات الصور "السيئة" المختلفة (عنف، أسلحة، إل، الخ) وسألوا الذكاء الاصطناعي: "ما هو القاسم المشترك بين كل هذه الأشياء السيئة؟". وجد الذكاء الاصطناعي الأنماط الخفية وغير المرئية التي تجعل شيئاً ما يبدو "غير آمن". ثم علموا صورة القطة البريئة أن ترتدي تلك الأنماط غير المرئية.

لم يكتفوا بتقليد شيء سيء واحد؛ بل قاموا بتقطير "جوهر" السوء. هذا يعني أن صورة القطة لا تبدو كمسدس معين أو معركة معينة؛ بل تحمل فقط "رائحة" الخطر التي يتعرف عليها عقل الذكاء الاصطناعي، بغض النظر عن السؤال المطروح.

النتائج: خدعة فعالة للغاية

اختبر الفريق هذه الطريقة الجديدة على أربعة من أذكى حراس السلامة المتاحين حالياً (بما في ذلك نماذج من Meta و LLaVA وغيرها). استخدموا مجموعة ضخمة من أسئلة المستخدمين الوهمية لمعرفة ما إذا كانت الخدعة ستنجح مع أنواع مختلفة من الطلبات.

كانت النتائج مرتفعة بشكل مفاجئ. عندما استخدموا طريقة "التقطير" الجديدة:

• حققوا نسبة نجاح بلغت 84% في جعل الذكاء الاصطناعي يرفض الصور الآمنة، حتى عندما كان سؤال المستخدم غير معروف للمهاجم.
• كان هذا أفضل بكثير من الطرق القديمة، التي لم تتجاوز نسبة نجاحها 60% إلى 70%.
• تمكنوا أيضاً من استهداف أنواع محددة من "السوء". استطاعوا جعل الذكاء الاصطناعي يعتقد أن صورة سيارة هي صورة "عنيفة" أو أن صورة لعبة هي صورة "جنسية"، وذلك فقط عبر تعديل الحبر غير المرئي.

يوضح البحث أن هذه مشكلة حقيقية. المهاجمون لا يحتاجون إلى معرفة ما ستسأل عنه؛ هم فقط بحاجة إلى تسميم الصورة. ولأن الهجوم يعمل بشكل جيد عبر مختلف الأسئلة، فهذا يثبت أن أنظمة السلامة الحالية لديها نقطة ضعف خفية: يمكن خداعها لتكون "آمنة أكثر من اللازم"، مما ينتهي به الأمر بالإضرار بالخدمة للجميع.

لماذا هذا مهم

هذا ليس مجرد لعب نظري. يشير البحث إلى أنه إذا بدأ الفاعلون السيئون في نشر هذه الصور "المسمومة" على وسائل التواصل الاجتماعي أو في قواعد البيانات العامة، فقد يجد المستخدمون العاديون أدوات الذكاء الاصبتاعي المفضلة لديهم ترفض العمل فجأة. سيستمر الذكاء الاصطناعي في قول "لا يمكنني فعل ذلك"، ليس لأن المستخدم ارتكب أي خطأ، بل لأن الصورة التي رفعها كانت تحمل سراً من الحبر غير المرئي.

خلص المؤلفون إلى أنه بينما كنا بارعين جداً في منع الذكاء الاصطناعي من قول الأشياء السيئة، لم نولِ اهتماماً كافياً لمنع الذكاء الاصطناعي من "الاتهام الكاذب" للأشياء الجيدة. إنهم يسمون هذا "فشل التوافر" (availability failure): النظام لا يزال موجوداً، لكنه مشغول جداً بالصراخ "ذئب!" في وجه الخراف لدرجة أنه لا يستطيع مساعدة أي شخص. إنه تذكير بأن السلامة لا تتعلق فقط بإبقاء الأشرار في الخارج؛ بل تتعلق أيضاً بالتأكد من أن الحراس لا يطردون الطيبين بالخطأ.