Adversarial Entropy Inflation Against Gumbel-Based Inference Verification

في عالم الذكاء الاصطناعي المتوسع بسرعة، أصبحت النماذج اللغوية الكبيرة ملكية فكرية قيمة، تماماً مثل وصفة سرية أو مخطط ملكية خاص. ولأن هذه النماذج ذات قيمة عالية، هناك خوف متزايد من أن يتمكن الفاعلون السيئون من سرقة الكود الأساسي، المعروف باسم "الأوزان"، عن طريق خداع النظام للكشف عن حساباته الداخلية أثناء الاستخدام العادي. ولمنع حدوث ذلك، طور باحث طريقة للتحقق تعمل كمركز تفتيش أمني. يتحقق هذا النظام مما إذا كانت الخيارات التي يتخذها النموذج عند توليد النص متسقة مع مفتاح سري مشترك ومحدد. ويسمح النظام بوجود قدر ضئيل من الخطأ الطبيعي، إدراكاً منه بأن أجهزة الكمبيوتر ليست دقيقة تماماً وقد ترتكب أحياناً أخطاء عشوائية صغيرة عند الاختيار بين خيارين متشابهين للغاية. هذا التسامح المدمج مع الخطأ مصمم ليكون ميزة أمان، مما يضمن عدم اتهام المستخدمين الشرفاء زوراً بانتهاك القواعد لمجرد أن حواسيبهم ترددت قليلاً.

قام باحث في جامعة دلفت للتكنولوجيا مؤخراً باختبار قوة هذا المركز الأمني ضد نوع أكثر دهاءً من المهاجمين. واكتشف أن شبكة الأمان في النظام، التي صُممت لتتسامح مع الأعطال التقنية الطفيفة، يمكن توسيعها لتصبح ثغرة هائلة من قبل خصم يعرف كيفية التلاعب بالأسئلة المطروحة على النموذج. وجد الباحث أنه من خلال تغذية النموذج بمطالبات (prompts) مصممة لكسر قواعد اللغة العادية وإحداث حالة من الارتباك، يمكن للمهاجم إجبار النموذج على أن يصبح غير متأكد بشأن كلمته التالية. هذا عدم اليقين يوسع قائمة الإجابات المقبولة، مما يحول المسار الضيق والآمن إلى طريق سريع واسع لسرقة المعلومات. ويشير عملهم إلى أن الدفاع الحالي، الذي تمت معايرته باستخدام المحادثات اليومية العادية، ليس قوياً بما يكفي لإيقاف مهاجم مصمم يعرف كيف يستغل ارتباك النموذج نفسه.

تكمن جوهر المشكلة في كيفية تحديد النظام لما يعتبر خطأً مشروعاً وما يعتبر سراً مسروقاً. فعندما يولد النموذج نصاً، فإنه يحسب احتمالية كل كلمة تالية ممكنة. وعادة ما تكون هناك كلمة واحدة هي الأفضل بوضوح، ويتمسك بها النظام. ومع ذلك، عندما يكون النموذج غير متأكد، قد يكون لكلمتين أو أكثر درجات متقاربة جداً. وفي لحظات التردد هذه، يمكن للتقلبات الطفيفة والعشوائية في أجهزة الكمبيوتر أن تقلب الاختيار النهائي من كلمة إلى أخرى. وقد بُني النظام ليتسامح مع هذه التقلبات، مفترضاً أنها مجرد ضجيج غير ضار. وأدرك الباحث أنه إذا استطاع مهاجم هندسة موقف يجعل النموذج في حالة عدم يقين مستمرة، فإنه يمكنه إجبار النظام على قبول نطاق أوسع بكثير من النتائج. ومن خلال القيام بذلك، يمكن للمهاجم تشفير بيانات مخفية في اختيار الكلمة المحدد، مستخدماً تسامح النظام للخطأ كقناة سرية لتسريب المعلومات.

لاختبار هذه النظرية، أعد الباحث سلسلة من التجارب باستخدام ستة نماذج لغوية مختلفة الأحجام، تتراوح من نماذج صغيرة بسعة مليار معلمة إلى أنظمة ضخمة بسعة 32 مليار معلمة. بدأ بوضع خط أساس باستخدام 150 مطالبة قياسية حميدة، تشبه الأسئلة التي قد يطرحها مستخدم على روبوت دردشة في محادثة عادية. وتحت هذه الظروف، عمل النظام الأمني كما هو مخطط له؛ حيث كانت قائمة الكلمات المقبولة دائماً ما تكون خياراً واحداً فقط، مما يجبر النموذج على أن يكون حتمياً. وفي هذه الحالة، أبطأ النظام أي محاولة لسرقة البيانات بمعامل يزيد عن 200 مرة، مما يجعل السرقة مستحيلة عملياً. وقد أكد هذا أن الدفاع كان فعالاً ضد المهاجمين السلبيين الذين يستخدمون النموذج كما هو مقصود منه.

بعد ذلك، قدم الباحث ثلاثة أنواع متميزة من الهجمات العدائية، كل منها مصمم لتعطيل قدرة النموذج على التنبؤ بالكلمة التالية بثقة. النوع الأول، المسمى "المقتضب" (terse)، استخدم مطالبات قصيرة جداً ومنخفضة السياق مما عزل الكلمة الأولى من الاستجابة. النوع الثاني، "المشوش" (scramble)، استخدم قوائم من عناصر غير مترابطة وتعليمات تكسر القواعد النحوية العادية. أما النوع الثالث والأكثر فعالية، "الشفرة" (cipher)، فقد استخدم سلاسل من الحروف والأرقام والرموز من أنظمة كتابة مختلفة لا تربطها أي علاقة منطقية ببعضها البعض. صُممت هذه المطالبات لإرباك الفهم الداخلي للنموذذ حول كيفية ترابط الكلمات، مما يجبره على الاعتماد على الصدفة العشوائية بدلاً من الأنماط المتعلمة. قام الباحث بتوليد 150 من هذه المطالبات العدائية لكل نوع من أنواع الهجوم وشغلها عبر النماذج ثلاث مرات لضمان اتساق النتائج.

أظهرت النتائج تحولاً دراماتيكياً في أداء النظام. فعندما تم تغذية النماذج بمطالبات "الشفرة"، التي أربكت النموذج على مستوى الحروف والخطوط الفردية، انفجر تسامح النظام للخطأ. وبدلاً من أن تكون قائمة الكلمات المقبولة مكونة من عنصر واحد فقط، نمت بشكل كبير. سمح هذا التوسع للمهاجم باستخراج ضعف كمية المعلومات المخفية لكل كلمة تقريباً مقارنة بالخط الأساسي الحميد. ونتيجة لذلك، انهار معامل الإبطاء، الذي كان حاجزاً هائلاً يتجاوز 200 مرة، ليصبح بين 60 و118 مرة اعتماداً على النموذج المستخدم. وبالنسبة لأكبر النماذج، أصبح الدفاع أقل فعالية بنحو ثلاث مرات مما كان يُعتقد في الأصل. كما أظهرت مطالبات "المشوش" نجاحاً كبيراً، بينما جعلت مطالبات "المقتضب" الدفاع أقوى في النماذج الصغيرة، مما أدى للمفارقة إلى جعلها أكثر قابلية للتنبؤ وأقل عرضة لعدم اليقين الذي حاول المهاجم خلقه.

تشير هذه النتائج إلى أن طريقة التحقق الحالية جامدة للغاية. فهي تعتمد على عتبة ثابتة لما يعتبر خطأً مقبولاً، وهي عتبة تم وضعها بناءً على سلوك النموذج أثناء المحادثة العادية والمهذبة. وتوضح الدراسة أن هذا النهج يفشل عندما يتم هندسة المدخلات لزيادة ارتباك النموذج إلى أقصى حد. ويخلص الباحث إلى أنه لكي يكون هذا الدفاع آمناً حقاً، يجب أن يكون النظام ديناميكياً. فبدلاً من استخدام قاعدة ثابتة، يحتاج المتحقق إلى قياس مدى عدم يقين النموذج باستمرار عند كل خطوة وضبط تسامحه للخطأ وفقاً لذلك. إذا كان النموذج مرتبكاً، يجب على النظام تشديد قواعده؛ وإذا كان النموذج متأكداً، يمكنه تخفيفها. وبدون هذا التعديل الديناميكي، يظل مركز التفتيش الأمني عرضة لمهاجم يعرف كيف يحول عدم يقين النموذج نفسه إلى سلاح.

تتجاوز تداعيات هذا العمل مجرد الطريقة المحددة التي تم اختبارها؛ فهي تسلط الضوء على توتر جوهري في تأمين الذكاء الاصطناعي: الدفاعات التي تتم معايرتها للسلوك الطبيعي غالباً ما تفشل أمام الخصوم النشطين والأذكياء الذين يمكنهم التلاعب بالبيئة لكسر تلك الافتراضات. لم يدّعِ الباحث أنه كسر التكنولوجيا بالكامل، لكنه أثبت أن هوامش الأمان أضعف بكثير مما كان يُعتقد سابقاً. لقد أثبت أنه بمجرد تغيير طبيعة الأسئلة المطروحة، يمكن للمهاجم مضاعفة السرعة التي يسرق بها أسرار النموذج. وهذا يشير إلى أن التصميمات الأمنية المستقبلية لا يمكنها الاعتماد على افتراض أن المدخلات ستكون حميدة، بل يجب بناؤها لتتحمل الفوضى المدروسة والمخطط لها التي يمكن لمهاجم ذكي إدخالها، لضمان ألا يصبح تسامح النظام للخطأ هو الشيء ذاته الذي يسمح باختراقه.