ReFrame: Evidence-Guided Test-Time Safety Alignment in Multimodal Large Language Models

في عالم الذكاء الاصطناعي سريع التطور، ظهر جيل جديد من النماذج التي يمكنها الرؤية والتحدث في آن واحد. هذه الأنظمة، المعروفة باسم نماذج اللغات الكبيرة متعددة الوسائط، لا تعالج النصوص فحسب؛ بل تفهم الصور، وتربط التفاصيل المرئية بالكلمات المكتوبة للإجابة على الأسئلة، وحل المشكلات، وتوليد محتوى إبداعي. ومع ذلك، فإن هذه القدرة الموسعة على الرؤية والاستنتاج تجلب تحديًا جديدًا ومعقدًا: السلامة. فبينما صُممت هذه النماذج لتكون مفيدة، يمكن خداعها أحيانًا لتجاهل قواعد السلامة الخاصة بها. قد يقوم المهاجم بإخفاء طلب ضار داخل صورة أو تقسيم تعليمات خطيرة بين صورة وجملة، مما يربك النموذج ويجعله يعتقد أن الطلب غير ضار. وهذا يخلق موقفًا صعبًا للمطورين؛ فالعديد من أقوى النماذج هي "صناديق سوداء"، مما يعني أن آليات عملها الداخلية مخفية ولا يمكن تغييرها أو إعادة تدريبها من قبل المستخدمين الخارجيين. وعندما يكون النموذج قد تم نشره بالفعل ولا يمكن تعديله، يصبح إيجاد طريقة للحفاظ على سلامته دون كسر قدرته على الفائدة لغزًا حاسمًا.

لقد استكشف الباحثون طرقًا لإصلاح ذلك، لكن العديد من الحلول الموجودة تتطلب الوصول إلى الكود الداخلي للنموذج أو تتضمن إعادة تدريب مكلفة، وهو أمر مستحيل بالنسبة للأنظمة المغلقة. وقد اقترح فريق من العلماء الآن نهجًا مختلفًا يسمى ReFrame، وهو أسلية تعمل كمرشح ذكي قبل أن يرى النموذج طلب المستخدم. وبدلاً من محاولة تغيير النموذج نفسه، يقوم ReFrame باعتراض الصورة والنص الواردين، وتحليلهما، وإعادة كتابة الطلب إلى نسخة أكثر أمانًا. وتحدث هذه العملية بالكامل في لحظة الاستخدام، دون الحاجة إلى لمس الإعدادات الداخلية للنموذج أو إعادة تدريبه على بيانات جديدة. وقد صُمم النظام لاكتشاف الأخطار الخفية التي قد تتسلل عبر الدفاعات القياسية مع ضمان استمرار النموذج في الإجابة على الأسئلة المشروعة بفعالية.

إن جوهر المشكلة التي حددها الباحثون هو أن هذه النماذج غالبًا ما تعطي الأولوية لكونها مفيدة على كونها آمنة. فعندما يطرح مستخدم سؤالًا، فإن الدافع الأساسي للنموذج هو إكمال المهمة، وهو ما قد يتسبب أحيانًا في تجاهله للمخاطر الخفية في صورة أو في بنية جملة مخادعة. علاوة على ذلك، بمجرد أن يبدأ النموذج في اتباع خط من الاستنتاج، يمكن أن يعلق في مسار ضار، مستمرًا في توليد محتوى غير آمن حتى لو أدرك الخطر لاحقًا. ولحل ذلك، بنى الباحثون نظامًا من خطوتين يستخدم نسخة أصغر ومحلية من نموذج ذكاء اصطناعي ليعمل كحارس بوابة. هذا الحارس لا يجيب على سؤال المستخدم مباشرة، بل يفحص الطلب وينشئ ملخصين محددين، أو "بطاقتين"، يصفان الموقف.

تبحث البطاقة الأولى، وهي بطاقة المخاطر، عن أي أخطار خفية. وهي تسأل: هل هناك نية ضارة مخبأة في الصورة أو النص؟ إذا كانت الإجابة نعم، فإنها تحدد ماهية الخطر بالضبط وتخطط لكيفية إعادة كتابة الطلب لإزالة التهديد. أما البطاقة الثانية، وهي بطاقة المنفعة، فتركز على ما يجب الحفاظ عليه. وهي تسأل: ما هي الأجزاء غير الضارة والمفيدة من الطلب؟ وهذا يضمن أنه عند إزالة الأجزاء الخطيرة، لا يقوم النموذج برمي السؤال بأكمله أو رفض المساعدة في موضوع آمن في الواقع. ومن خلال فصل المخاطر عن المنفعة، يمكن للنظام اتخاذ قرار دقيق بشأن كيفية المضي قدمًا.

بمجرد إنشاء هاتين البطاقتين، يتولى جزء ثانٍ المهمة. هذا الجزء من النظام يجمع المعلومات من كلتا البطاقتين لإعادة كتابة الطلب الأصلي. إذا كان الطلب آمنًا في الأصل، فإنه يمر عبره مع إجراء تعديلات طفيفة فقط. أما إذا كان الطلب يحتوي على فخ مخفي، فإن النظام يعيد كتابة المطالبة لتوجيه النموذج نحو إجابة آضة وآمنة. على سبيل المثال، إذا طلب مستخدم تعليمات حول كيفية ارتكاب جريمة ولكن صاغها في شكل سيناريو لعبة، فإن النظام يتعرف على غطاء اللعبة كتمويه؛ فيقوم بإزالة تعليمات اللعبة ويعيد كتابة المطالبة ليسأل عن البدائل الآمنة أو القانونية بدلاً من ذلك. ومن الأهمية بمكان أن النظام يقرر أيضًا ما إذا كان سيرسل الصورة الأصلية مع النص المعاد كتابته؛ فأحيانًا تحتوي الصورة نفسها على الدليل الخطير، لذا يقوم النظام بحظرها، وفي أحيان أخرى، تكون الصورة غير ضارة وضرورية للإجابة، لذا يُسمح بمرورها.

اختبر الباحثون هذه الطريقة على عدة نماذج مختلفة، بما في ذلك بعض الأنظمة التجارية الأكثر تقدمًا المتاحة اليوم. واستخدموا مجموعة واسعة من الاختبارات المصممة لخداع النماذج لجعلها تكسر قواعد السلامة الخاصة بها، بالإضافة إلى اختبارات لمعرفة ما إذا كان بإمكانها لا تزال الإجابة على الأسئلة العادية المتعلقة بالرياضيات والعلوم والأشياء اليومية. وأظهرت النتائج أن الطريقة الجديدة كانت فعالة للغاية في إيقاف الطلبات الضارة التي فاتتها الدفاعات الأخرى. فقد نجحت في حظر الهجمات حيث كان الخطر مخفيًا في طريقة عكس الصورة أو حيث تم تشويه النص لإخفاء نية سيئة. وفي الوقت نفسه، لم تجعل هذه الطريقة النماذج مفرطة في الحذر؛ ففي الحالات التي سأل فيها المستخدمون أسئلة آمنة حول مواضيع حساسة مثل الطب أو الكيمياء، سمح النظام للنماذج بتقديم إجابات مفيدة بدلاً من رفض التحدث عنها.

كما بحثت الدراسة في مقدار الوقت الإضافي الذي تستغرقه هذه العملية. نظرًا لأن النظام يستخدم نموذجًا محليًا أصغر للقيام بإعادة الكتابة قبل أن يجيب النموذج الرئيسي، فإنه يضيف قدرًا ضئيلًا من التأخير، لكن الباحثين وجدوا أن هذه التكلفة يمكن السيطرة عليها. وقد أثبتت الطريقة أنها مرنة، حيث تعمل بشكل جيد مع أنواع مختلفة من النماذج وأحجام مختلفة من حارس البوابة المحلي. وهذا يشير إلى أن النهج ليس مرتبطًا بتقنية محددة، بل يمكن تطبيقه على نطاق واسع. وتشير النتائج إلى أنه من خلال تحليل النية وراء زوج (الصورة-النص) بعناية وإعادة كتابة الطلب قبل وصوله إلى النموذج الرئيسي، فمن الممكن تحسين السلامة بشكل كبير دون التضحية بقدرة النموذج على أن يكون مفيدًا. وهذا يقدم مسارًا عمليًا للمضي قدمًا في الحفاظ على سلامة أنظمة الذكاء الاصطناعي القوية، حتى عندما لا يمكن تغيير آليات عملها الداخلية.