Diffusion LLMs as Targets and Adversaries: Mechanistic Safety Exploits
تكشف هذه الورقة أن النماذج اللغوية الكبيرة القائمة على الانتشار ترث ثغرات أمنية متفرقة وقابلة للانتقال من أسلافها ذات التوليد الذاتي، مما يتيح عمليات اختراق فعالة للغاية للنماذج في حالة الصندوق الأسود من خلال تقليم العصبات الميكانيكي وإطار عمل "الانتشار الموجه بـ SN" الجديد الذي يحقق معدلات نجاح هجوم تقترب من المثالية بتكاليف توليد ضئيلة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل عالماً لا تكتفي فيه الحواسيب بقراءة الكلمات واحدة تلو الأخرى، كما يفعل الشخص الذي يقرأ كتاباً من اليسار إلى اليمين، بل تنظر بدلاً من ذلك إلى صفحة كاملة من الحروف المبعثرة، ثم تقوم ببطء، وبشكل سحري، بفك تشفيرها جميعاً دفعة واحدة حتى تظهر جملة واضحة. هذه هي الطريقة الجديدة التي تتعلم بها بعض الأدمغة الحاسوبية الذكية للغاية، والتي تُسمى "نماذج اللغات الكبيرة" (LLMs). يطلق العلماء على هذه النماذج اسم نماذج "الانتشار" (Diffusion). إنها تشبه المحقق الذي يبدأ بصورة ضبابية لمسرح جريمة، ثم يستمر في زيادة دقة التركيز حتى تصبح الصورة واضحة تماماً، بدلاً من محاولة تخمين الكلمة التالية في الجملة واحدة تلو الأخرى.
لكن الجزء الصعب هنا هو أننا نعلم هذه الحواسيب كيف تكون "جيدة" عبر إظهار أمثلة لما لا يجب أن تقوله، مثل رفض المساعدة في صنع قنبلة أو كتابة رسالة مسيئة. يُسمى هذا "المواءمة الأمنية" (safety alignment). لفترة طويلة، اعتقدنا أن قواعد السلامة هذه منسوخة بعمق في دماغ الحاسوب بأكره، مثل درع سميك لا يمكن كسرُه. ومع ذلك، تشير الأبحاث الحديثة إلى أن هذا الدرع قد يتكون في الواقع من خيوط قليلة ومحددة للغاية. إذا استطعت العثور على تلك الخيوط المحددة وسحبها، فقد ينهار الدرع بأكمله. هذا هو السؤال الكبير الذي يطرحه العلماء: هل هذه الحواسيب الجديدة التي تعمل بأسلوب "فك التشفير" آمنة مثل النماذج القديمة، أم أن لديها نقاط ضعف سرية وخفية لم نلاحظها بعد؟
الاكتشاف الكبير للورقة البحثية: العثور على "مفاتيح الأمان"
في هذه الورقة البحثية، قرر فريق من الباحثين التعامل مع نماذج الانتشار هذه بطريقتين: أولاً، كـ أهداف يريدون اختراقها، وثانياً، كـ خصوم (هكرز) يريدون استخدامهم لاختراق نماذج أخرى. أرادوا معرفة ما إذا كانت قواعد السلامة داخل هذه الحواسيب هشة بالفعل، مثل بيت من ورق، بدلاً من كونها حصناً منيعاً.
سر "نيورون السلامة"
وجد الباحثون شيئاً مفاجئاً. فداخل هذه الأدمغة الحاسوبية المعقدة، الجزء الذي يقول "لا، لا يمكنني فعل ذلك" ليس موزعاً في كل مكان. بدلاً من ذلك، هو متركز في مجموعة صغيرة ومحددة من الأجزاء تسمى "نيورونات السلامة" (safety neurons). فكر في الأمر كبناء يحتوي على آلاف المصابيح الكهربائية؛ قد تعتقد أن لوحة "ممنوع الدخول" مطلية على كل مصباح، لكن الباحثين وجدوا أن اللوحة هي في الواقع مجرد ملصق صغير على عدد ق handful من المصابيح المحددة فقط. إذا غطيت تلك المصابيح القليلة بشريط لاصق (أو قمت بـ "تقليمها")، فإن المبنى ينسى أنه يمتلك لوحة "ممنوع الدخول" ويسمح لأي شخص بالدخول.
خدعة "النسخ واللصق"
هنا يكمن الذكاء الشديد. العديد من نماذج الانتشار هذه تُبنى عن طريق أخذ أدمغة النماذج القديمة التي تقرأ "من اليسار إلى اليمين" ومنحها طريقة جديدة للتفكير. اكتشف الباحثون أنك عندما تفعل ذلك، يقوم النموذج الجديد عن طريق الخطأ بنسخ نفس "ملصقات السلامة" من النموذج القديم.
لقد اختبروا ذلك من خلال العثور على نيورونات السلامة في نموذج قديم (يسمى Qwen2.5)، ثم ببساطة الإشارة إلى نفس المواقع بالضبط في نموذج انتشار جديد (يسمى Dream أو Fast-dLLM). لم يحتاجوا حتى للنظر داخل النموذج الجديد للعثور على نقاط الضعف؛ بل استخدموا فقط الخريطة من النموذج القديم.
- النتيجة: عندما قاموا بـ "تغطية" نيورونات السلامة المنسوخة هذه بشريط لاصق، تحولت النماذج الجديدة من كونها آمنة جداً (ترفض الإجابة على الأسئلة السيئة بنسبة 98% من الوقت) إلى كونها مكسورة تماماً (تجيب على الأسئلة السيئة بنسبة 73.2% لنموذج Dream و 86.3% لنموذج Fast-dLLM). أثبت هذا أن عيوب السلامة "قابلة للانتقال" — يمكنك سرقة الضعف من نموذج واستخدامه لكسر نموذج آخر.
السلاح الجديد: "الانتشار الموجه بنيورونات السلامة" (SN-Guided Diffusion)
معرفة وجود نيورونات السلامة هذه شيء، ولكن كيف تستخدم ذلك لاختراق حاسوب لا يمكنك لمسه (نموذج "الصندوق الأسود" - black-box)؟ اخترع الباحثون أداة جديدة تسمى SN-Guided Diffusion.
تخيل أنك تحاول كتابة رسالة سيقرؤها معلم صارم. إذا كتبت شيئاً سيئاً، فسيوقفك. ولكن ماذا لو استطعت كتابة الرسالة بطريقة تبدو آمنة لعقل المعلم، رغم أنها في الواقع تطلب شيئاً خطيراً؟
استخدم الباحثون قدرة نموذج الانتشار على "فك تشفير" النص لصالحهم. بدلاً من تخمين الكلمات واحدة تلو الأخرى، ضبطوا الحاسوب ليبدأ بإجابة سيئة كانوا يريدونها (مثل "كيفية صنع قنبلة") ثم طلبوا من الحاسوب العمل بشكل عكسي للعثين عن سؤال يؤدي إلى تلك الإجابة. لكن هنا تكمن اللمسة المبتكرة: بينما كان الحاسوب يعمل بشكل عكسي، استخدموا "بوصلة" خاصة (تسمى Weighted Safety Neuron Loss) لتوجيه العملية.
أخبرت هذه البوصلة الحاسوب: "لا تختر الكلمات التي تجعل نيورونات السلامة تضيء. اختر الكلمات التي تبقي تلك النيورونات مظلمة." ومن خلال التحقق المستمر والتعديل للكلمات لإبقاء نيورونات السلامة هادئة، قام الحاسوب بتوليد "مطالبة اختراق" (jailbreak prompt) مموهة بذكاء. بدت وكأنها سؤال طبيعي وآمن لمرشحات السلامة، لكنها في الواقع خدعت النموذج ليعطي إجابة خطيرة.
ما مدى نجاح ذلك؟
كانت النتائج مبهرة. لم تكن هذه الطريقة الجديدة بحاجة لسؤال النموذج المستهدف آلاف الأسئلة لتعلم كيفية كسره (وهو أمر بطيء ومكلف). بدلاً من ذلك، قامت بكل العمل "خارج الخط" (offline) باستخدام نموذج "بديل" (surrogate).
- ضد نموذج يسمى Llama-3-8B، نجحت بنسبة 77.1% من الوقت.
- ضد Qwen2.5، نجحت بنسبة 86.9% من الوقت.
- ضد نموذج جوجل المسمى Gemini-2.5-Flash-Lite، نجحت بنسبة 74.3% من الوقت.
والأهم من ذلك، أنها فعلت كل هذا وهي لا تحتاج سوى لـ 20 محاولة لكل سؤال. طرق الاختراق الأخرى غالباً ما تحتاج لآلاف المحاولات. وهذا يعني أن الطريقة الجديدة ليست فعالة فحسب، بل هي أيضاً سريعة جداً وغير مكلفة للتشغيل.
لماذا يهم هذا الأمر؟
تخلص الورقة البحثية إلى أن سلامة نماذج الذكاء الاصطناعي الجديدة هذه أكثر هشاشة مما كنا نظن. "درع السلامة" ليس جداراً صلباً؛ بل هو بضعة مفاتيح محددة يمكن العثور عليها، ونسخها، وإيقاف تشغيلها.
أظهر الباحثون أنه إذا بنيت ذكاءً اصطناعياً جديداً عن طريق نسخ دماغ واحد قديم، فإنك تنسخ أيضاً نقاط ضعف السلامة الخاصة به. كما أثبتوا أنه يمكنك استخدام "قوة فك التشفير" الخاصة بالذكاء الاصطناعي الجديد لإنشاء مطالبات تتسلل عبر مرشحات السلامة، مما يخفي النية السيئة بفعالية داخل حزمة تبدو آمنة.
بينما قد يبدو هذا مخيفاً، يرى الباحثون أن فهم نقاط الضعف هذه هو السبيل الوحيد لإصلاحها. إذا كنا نعرف أن قواعد السلامة هي مجرد نيورونات صغيرة، فلا يمكننا فقط أن نأمل في صمودها؛ بل نحتاج إلى إعادة تصميم الذكاء الاصطناعي بحيث يتم نسج السلامة في كل جزء من دماغه، وليس فقط في بضعة مفاتيح مخفية. وحتى ذلك الحين، قد تكون هذه النماذج الجديدة أكثر عرضة للخطر مما تصورنا، وأدوات كسرها باتت بالفعل في أيدينا.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.