JailBreakGuard: Defeating Jailbreak Attacks via Dynamic Prompt Perturbation
يُعد JailBreakGuard إطار دفاعي ديناميكي ومنخفض التكلفة يحد من هجمات كسر الحماية المتنوعة على النماذج اللغوية الكبيرة عبر توظيف آلية قائمة على الارتياب (perplexity) لتطبيق تشويش انتقائي على المطالبات على مستوى الحروف أو الجمل، مما يحقق انخفاضاً كبيراً في معدلات نجاح الهجمات مع تأثير ضئيل على أداء الاستعلامات السليمة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العصر الرقمي، أصبحت النماذج اللغوية الكبيرة هي المحركات الهادئة وراء تطبيقات لا حصر لها، بدءاً من صياغة رسائل البريد الإلكتروني وصولاً إلى الإجابة على الأسئلة المعقدة. تُدرب هذه الأنظمة على كميات هائلة من النصوص البشرية، لتتعلم التنبؤ بالكلمات التي يجب أن تتبع بعضها البعض في الجملة. ومع ذلك، فإن هذه القدرة ذاتها على فهم وتوليد اللغة تجعلها عرضة لنوع معين من الخداع يُعرف باسم "كسر الحماية" (Jailbreak). في هجوم كسر الحماية، يقوم المستخدم بصياغة "مطالبة" (Prompt) — وهي طلب مصاغ بعناية مصمم لتجاوز قواعد السلامة المدمجة في النموذج. ومن خلال استخدام سيناريوهات تقمص الأدوار، أو التعليمات المخفية، أو التنسيقات الغريبة، يمكن للمهاجم خداع النموذج ليتجاهل مبادئه الأخلاقية ويولد محتوى ضاراً، مثل تعليمات لأنشطة خطيرة أو خطاب الكراهية. وبينما حاول المطورون تقوية هذه النماذج ضد مثل هذه الحيل، يواصل المهاجمون تطوير أساليبهم، مما يخلق هدفاً متحركاً يصعب الدفاع عنه بدرع واحد ثابت.
يقدم نهج جديد يسمى "JailBreakGuard" طريقة مختلفة للتعامل مع هذه المشكلة، حيث ينقل التركيز من تغيير النموذج نفسه إلى تعديل الطلبات الواردة بعناية قبل معالجتها. وجد الباحثون من جامعة سيتشوان وجامعة غويلين للتكنولوجيا الإلكترونية أن ليس كل المطالبات الخبيثة تبدو متشابهة؛ فبعضها يعتمد على سيناريوهات قصصية معقدة تنساب بسلاسة، بينما يستخدم البعض الآخر نصوصاً غريبة ومشوهة مليئة بالرموز غير المفهومة لإرباك النظام. واكتشف الفريق أن هذين النوعين من الهجمات يتصرفان بشكل مختلف تماماً عند قياس مدى "المفاجأة" التي يسببها النص للنموذج. فالهجمات القائمة على القصص السلسة تميل إلى أن تبدو طبيعية ومتوقعة للغاية، في حين أن الهجمات العدائية المشوهة تبدو فوضوية وغير متوقعة إلى حد كبير.
ولاستغلال هذا الاختلاف، بنى الباحثون نظام دفاع يعمل كحارس ذكي عند مدخل التطبيق. فبدلاً من تطبيق نفس الإصلاح على كل طلب، يقيس النظام أولاً "مستوى المفاجأة" في النص الوارد. إذا كان النص فوضوياً وغير متوقع للغاية، يفترض النظام أنه هجوم مشوه ويطبق تقنية تقوم بحذف أو تبديل أو إدراج بعض الرموز عشوائياً. هذا القدر الضئيل من "الضجيج" كافٍ لكسر البنية المحددة للكود الخبيث دون تغيير معنى السؤال الطبيعي. أما إذا كان النص سلساً ومتوقعاً، فيفترض النظام أنه قد يكون هجوماً قصصياً ذكياً، وبدلاً من ذلك، يقوم بإعادة صياغة الجملة باستخدام نموذج مساعد. عملية إعادة الصياغة هذه تحافظ على المعنى الأصلي ولكنها تجرد النص من التعليمات المخفية المصممة لخداع فلاتر السلامة.
تم اختبار نتائج هذا النهج الديناميكي ضد تسعة أنواع مختلفة من هجمات كسر الحماية ضمن سبع فئات. وأثبت النظام فعالية ملحوقة، حيث قلل متوسط معدل نجاح هذه الهجمات بأكثر من 70 بالمائة على النماذج التي اختُبر عليها. والأهم من ذلك، أن هذا الدفاع لم يأتِ على حساب قدرة النموذج على مساعدة المستخدمين العاديين؛ فعندما اختبر الباحثون النظام على أسئلة عادية وغير ضارة، انخفض أداء النماذج بنسبة ضئيلة جداً، حيث كان أقصى انخفاض في الدقة هو 3.19 بالمائ^ة فقط. وفي الواقع، بالنسبة لبعض النماذج، جعلت عملية إعادة الصياغة الأسئلة أسهل في الفهم، مما أدى إلى تحسن طفيف في الدقة.
يتميز هذا الأسلوب بأنه لا يتطلب تغيير النموذج الأساسي أو إعداداته الداخلية، مما يسهل تثبيته على مستوى الخدمة حيث تصل الطلبات لأول مرة. كما أنه يتميز بالكفاءة، حيث يستغرق وقتاً أقل ويستخدم موارد حوسبة أقل من العديد من أساليب الدفاع الموجودة. ومن خلال إدراك أن الهجمات المختلفة تتطلب تدابير مضادة مختلفة، وعبر استخدام البنية الطبيعية للنص لتحديد التدبير المناسب، يوفر JailBreakGuard درعاً مرناً وقوياً. إنه يثبت أن الدفاع لا يجب أن يكون جداراً ثقيلاً وصلباً؛ فأحياناً، تكون أكثر الحمايات فعالية هي تلك اللمسة الذكية والخفيفة التي تتكيف مع شكل التهديد.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.