Refusal geometry reflects refusal training: diverse refusal prefixes can raise stable rank and weaken refusal vector ablation attacks
تكشف هذه الورقة أن الطبيعة منخفضة الأبعاد والهشة لآليات الرفض في النماذج اللغوية المتوافقة تنبع من تكرار بادئات الرفض أثناء التدريب، وتُظهر أن استخدام بادئات رفض متنوعة يمكن أن يزيد من الرتبة المستقرة لتحديثات التنشيط، مما يجعل عمليات الرفض أكثر متانة ضد هجمات الاستئصال الشعاعي.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تصبح أنظمة الذكاء الاصطناعي الحديثة قادرة بشكل متزايد، حيث تستطيع كتابة الأكواد البرمجية، وتشخيص الحالات الطبية، وتوليد محتوى إبداعي. ومع هذه القوة تأتي مسؤولية كبيرة: ضمان عدم تعلم هذه الآلات توليد تعليمات ضارة، مثل كيفية بناء أسلحة أو إنشاء عوامل بيولوجية خطيرة. ولمنع ذلك، يقوم المطورون بتدريب النماذج على التعرف على الطلبات غير الآمنة ورفضها بأدب، وهي عملية تُعرف باسم "تدريب الرفض". ومع ذلك، ظهرت ثغرة مقلقة؛ فقد اكتشف الباحثون أنه في العديد من النماذج المتقدمة، لا يكون سلوك الرفض هذا عبارة عن شبكة دفاعية معقدة وموزعة، بل هو مسار واحد ضيق في فضاء التفكير الداخلي للنموذج. فإذا تمكن المهاجم من تحديد هذا المسار المحدد وحظره، يمكن خداع النموذج لتجاهل قواعد السلامة والامتثال للطلبات الخطيرة. ويشير هذا الضعف إلى أن الطريقة التي تُدرّس بها السلامة قد تخلق نقطة فشل واحدة.
شرع باحث من جامعة كاليفورنيا في سان دييغو في فهم سبب تشكل هذا الهيكل الهش أحادي المسار، وما إذا كان يمكن جعله أكثر متانة. وقد ركز على نوع معين من نماذج الذكاء الاصطناعي لتتبع أصول سلوك الرفض لديها وصولاً إلى عملية التدريب نفسها. وكشفت تحقيقاته أن هندسة آلية الرفض هي انعكاس مباشر لكيفية تعليم النموذج قول "لا". وتحديداً، وجد أنه عندما يتم تدريب النموذج على رفض طلب ضار، فإن التغييرات التي يجرِيها على حالته الداخلية تتأثر بشدة بأول كلمة يستخدمها لبدء رفضه. فإذا أجبرت بيانات التدريب النموذج على بدء كل عملية رفض بنفس العبارة، مثل "أنا آسف"، فإن التعديلات الداخلية للنموذج تصبح مركزة للغاية. وهذا التركيز يخلق بنية منخفضة الأبعاد، مما يعني أن سلوك الرفض يعتمد على عدد قليل جداً من الاتجاهات في فضائه الداخلي. ولأن السلوك مركز للغاية، فمن السهل على المهاجم إيجاد ذلك الاتجاه الواحد وتحييده، مما يؤدي فعلياً إلى كسر حماية النموذج (jailbreaking).
اختبر الباحث هذه النظرية من خلال فحص كيف أثرت أنماط التدريب المختلفة على متانة النموذج. ولاحظ أنه عندما كانت بيانات تدريب الرفض تكرارية، بحيث يتعلم النموذج بدء كل رفض بنفس الرمز (token)، كان آلية السلامة الناتجة هشة بالفعل. كانت التغييرات الداخلية مركزة لدرجة أن إزالة متجه واحد يمكن أن يعطل قدرة الرفض بالكامل. ومع ذلك، عندما أدخلوا التنوع في عملية التدريب، مما يتطلب من النموذج التعلم من حالات رفض تبدأ بكلمات وعبارات مختلفة عديدة، تغيرت النتيجة بشكل جذري. فمن خلال إجبار النموذج على توزيع تعلمه عبر مجموعة أوسع من نقاط البداية، أصبحت التغييرات الداخلية أكثر انتشاراً. وقد أدى هذا إلى زيادة "الرتبة الفعالة" (effective rank) لتعديلات النموذج الداخلية، مما جعل آلية الرفض أقل اعتماداً على أي اتجاه واحد.
وللتحقق من أن هذا التنوع قد عزز قوة النموذج، أجرى الباحث تجارب منضبطة حيث قام بضبط النموذج بدقة باستخدام مجموعات بيانات ذات مستويات متفاوتة من تنوع الرفض. ووجد نمطاً واضحاً: النماذج التي تدربت على بدايات رفض متنوعة كانت أصعب بكثير في الاختراق. فعند تعرضها لنفس نوع الهجوم الذي تجاوز النماذج التكرارية بسهولة، حافظت النماذج المتنوعة على سلوك الرفض الخاص بها بشكل أكثر فعالية. الهجوم، الذي نجح عن طريق إسقاط اتجاه واحد، فشل في إزالة قدرة الرفض لأن إشارة السلامة كانت الآن منتشرة عبر اتجاهات عديدة بدلاً من كونها مركزة في اتجاه واحد. وقاس الباحث ذلك باستخدام مفهوم يسمى "الرتبة المستقرة" (stable rank)، والذي يحسب أساساً عدد الاتجاهات المستقلة المطلوبة لوصف سلوك النموذج. ووجد أن التنوع الأعلى أدى إلى رتب مستقرة أعلى، وأن الرتب المستقرة الأعلى ارتبطت مباشرة بانخفاض أصغر في أداء السلامة عند التعرض للهجوم.
كما استكشفت الدراسة كيف تنتشر هذه التغييرات عبر طبقات النموذج. واكتشفوا أن التنوع الذي تم إدخاله في بداية عملية التدريب، متمثلاً في الرموز الأولى المتنوعة، أثر على الحالة الداخلية للنموذج وصولاً إلى أعمق طبقاته. وكانت التغييرات في الطبقات المبكرة، حيث يعالج النموذج الطلب لأول مرة، تتضخم أثناء انتقالها عبر الشبكة، مما يؤدي إلى آلية رفض أكثر متانة عند نقطة القرار النهائية. وهذا يشير إلى أن الطريقة التي تُهيكل بها بيانات السلامة على مستوى الرمز لها تأثير عميق ودائم على بنية الأمن الإجمالية للنموذج. وأشار الباحث إلى أنه بينما لا يضمن هذا النهج الحصانة ضد جميع الهجمات المحتملة، فإنه يوفر رافعة بسيطة وفعالة لتحصين النماذج ضد فئة محددة وخطيرة من الثغرات.
تقدم هذه النتائج منظوراً جديداً لسلامة الذكاء الاصطناعي، حيث تنقل التركيز من مجرد "ماذا" يُعلّم النموذج إلى "كيف" يُعلّم. وتشير الأبحاث إلى أن هشاشة محاذاة السلامة الحالية ليست عيباً حتمياً في التكنولوجيا، بل هي نتيجة لأنماط التدريب التكرارية. ومن خلال تنويع الطريقة التي تتعلم بها النماذجة الرفض، يمكن للمطورين إنشاء آليات سلامة تكون أكثر توزيعاً وبالتالي يصعب تفكيكها. يوفر هذا العمل طريقة ملموسة وقابلة للقياس لتحسين متانة أنظمة الذكاء الاصطناعي، موضحاً أن الطريق نحو نماذج أكثر أماناً قد يكمن في الفعل البسيط المتمثل في تنويع مفردات الرفض. وتخلص الدراسة إلى أن فهم العلاقة الهندسية بين بيانات التدريب وسلوك النموذج أمر ضروري لبناء دفاعات يمكنها الصمود أمام التكتيكات المتطورة لأولئك الذين يسعون لإساءة استخدام الذكاء الاصطناعي القوي.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.