FASDP: Frequency-Aware Scale-Diverse Purification against Pixel-Space Visual Jailbreaks
تقترح الورقة البحثية إطار عمل FASDP، وهو إطار تنقية يعتمد على التردد ولا يتطلب تدريباً، يقوم بتخصيص قوة الدفاع بشكل تكيفي عبر مقاييس الصور للتخفيف بفعالية من هجمات الاختراق البصري في فضاء البكسل على النماذج اللغوية البصرية مع الحفاظ على أدائها في المهام الحميدة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في عالم الذكاء الاصطناعي سريع التطور، ظهرت فئة جديدة من الأنظمة التي يمكنها الرؤية والتحدث في آن واحد. تعمل هذه النماذج اللغوية البصرية كراصدين رقميين، قادرين على وصف صورة فوتوغرافية، أو الإجابة عن أسئلة حول رسم توضيحي، أو إجراء محادثة أثناء النظر إلى صورة. لقد أصبحت أدوات قوية لكل شيء، بدءاً من التصوير الطبي وصولاً إلى القيادة الذاتية. ومع ذلك، تماماً كما يمكن خداع الإنسان عبر خدعة بصرية، يمكن التلاعب بهذه الأنظمة. فقد اكتشف الباحثون أنه من خلال إجراء تغييرات طفيفة، وغالباً ما تكون غير مرئية، على بكسلات الصورة، يمكن للمهاجمين إجبار هذه النماذج المتوافقة مع المعايير الأخلاقية على تجاهل إرشاداتها الأخلاقية وتوليد استجابات ضارة أو خطيرة. هذا الضعف، المعروف باسم "الاختراق البصري" (visual jailbreak)، يشكل تهديداً كبيراً لأنه لا يتطلب اختراق البرمجيات نفسها؛ بل يتطلب فقط إرسال صورة فاسدة. ويكمن التحدي أمام المدافعين في تنظيف هذه الصور الفاسدة دون جعل الصورة ضبابية لدرجة تمنع النموذج من فهم ما ينظر إليه.
اقترح فريق من الباحثين في جامعة تشينغدو للعلوم والمعلومات وجامعة تشينغدو للتكنولوجيا طريقة جديدة لحل عملية التوازن الدقيقة هذه. أطلقوا على نهجهم اسم FASDP، وهو نظام مصمم ليعمل كمرشح يزيل الضجيج الخبيث من الصورة مع الحفاظ على المشهد الأصلي. وخلافاً للطرق السابقة التي تطبق مستوى ثابتاً من التنظيف على كل صورة، يقوم هذا النظام الجديد بتكييف قوته بناءً على الخصائص المحددة للصورة التي يفحصها. الفكرة الجوهرية هي أن ليس كل الصور تُهاجم بنفس الطريقة، وليس كل الصور تحتاج إلى نفس القدر من التنظيف. ومن خلال قياس كيفية تغير التفاصيل عالية التردد في الصورة — مثل الأنسجة الدقيقة والحواف الحادة — عند تغيير حجم الصورة قليلاً، يمكن للنظام تحديد مقدار "الضجيج" الموجود على الأرجح. يعمل هذا القياس كدليل، يخبر النظام ما إذا كان عليه استخدام لمسة لطيفة أم عملية تنظيف أكثر صرامة.
تعمل العملية من خلال إنشاء عدة نسخ من الصورة نفسها، حيث تتم معالجة كل نسخة بمقياس أو مستوى تفصيل مختلف. يتم التعامل مع بعض النسخ بخفة للحفاظ على التفاصيل الدقيقة، بينما يتم تنعيم نسخ أخرى بشكل أكبر لإزالة الهجمات المحتملة. ثم يستخدم النظام قاعدة رياضية خاصة لدمج هذه النسخ معاً. فهو يفضل النسخ التي تظل أكثر اتساقاً مع الأشكال العريبة منخفضة التردد للصورة الأصلية، بينما يستخدم قياس التردد لتحديد الوزن الذي يجب إعطاؤه للنسخ المنعمة بكثافة. إذا اكتشف النظام أن الصورة قد تم تغييرها بشكل كبير بفعل هجوم، فإنه يعتمد بشكل أكبر على النسخ المنعمة لإزالة التهديد. أما إذا بدت الصورة نظيفة، فإنه يحافظ على التفاصيل الدقيقة. والأهم من ذلك، أن هذه العملية برمتها تحدث دون الحاجة إلى إعادة تدريب نموذج الذكاء الاصطناعي أو الوصول إلى آليات عمله الداخلية، مما يجعلها دفاعاً مرناً يمكن تطبيقه على أي نظام موجود.
عندما اختبر الباحثون طريقتهم ضد ثلاثة أنواع مختلفة من الهجمات البصرية على ثلاثة نماذج لغوية بصرية شهيرة، كانت النتائج مقنعة. نجح النظام في تقليل معدل إنتاج هذه النماذج لاستجابات ضارة، متفوقاً في كثير من الأحيان على الدفاعات الحالية مثل ضغط الصور القياسي أو المرشحات القائمة على الانتشار (diffusion-based filters) الأكثر تعقيداً. ولعل الأهم من ذلك هو أن الطريقة لم تكن تفسد جودة الصور. ففي الاختبارات التي طُلب فيها من النماذج وصف صور نظيفة وغير مهاجمة، حافظ النظام على قدرتها على الإجابة عن الأسئلة وإنشاء التعليقات بدقة عالية. وهذا يشير إلى أن المرشح دقيق بما يكفي لاستهداف التغييرات الخبيثة فقط دون تشويش المحتوى المشروع. ووجد الباحثون أن النظام يعمل بفعالية عبر نطاق واسع من شدة الهجمات، من التلاعبات الطفيفة إلى التشويهات الأكثر عدوانية على مستوى البكسل.
كما استكشفت الدراسة كيف يتصرف النظام عندما يواجه مهاجمين يعرفون عن الدفاع ويحاولون تكييف استراتيجياتهم. حتى عندما حاول المهاجمون تجاوز المرشح عن طريق تحسين هجماتهم خصيصاً ضده، ظل النظام أكثر قوة من الطرق الأخرى. وأشار الباحثون إلى أنه بينما يعد الدفاع فعالاً للغاية ضد الهجمات القائمة على البكسل، فإنه ليس حلاً عالمياً لكل نوع من المخاطر الأمنية. فهو لا يستطيع إيقاف الهجمات التي تعتمد على النصوص الضارة أو المحتوى المرئي داخل الصورة نفسها، لأن هذه لا تتضمن نفس النوع من الضجيج على مستوى البكسل. ومع ذلك، بالنسبة للمشكلة المحددة المتمثلة في التلاعب غير المرئي بالبكسلات، فإن النتائج تقدم حلاً عملياً وقوياً. ومن خلال تكييف قوة التنظيف وفقاً لاحتياجات كل صورة على حدة، أثبت الباحثون طريقة للحفاظ على سلامة هذه الأنظمة البصرية القوية للذكاء الاصطناعي دون التضحية بقدرتها على رؤية العالم بوضوح.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.