اختراق نماذج اللغة الإصطناعية “المغلقة” مثل ChatGPT باستخدام واجهات برمجة التطبيقات الخاصة بها

وفقًا لأبحاث جديدة، يمكن إعادة تدريب نماذج اللغة الإصطناعية مثل ChatGPT و其他 نماذج رئيسية من خلال قنوات التخصيص الدقيقة الرسمية لتجاهل قواعد الأمان وتقديم تعليمات مفصلة حول كيفية تسهيل الإجراءات الإرهابية أو تنفيذ جرائم إلكترونية أو تقديم أنواع أخرى من الخطاب “المحظور”. يُدعي مؤلفو العمل الجديد أن حتى كميات صغيرة من بيانات التدريب المخفية يمكن أن تحول نموذجًا إلى مساعد مفيد، على الرغم من الحماية المتعددة المدمجة في هذه الأنظمة.

الآليات الأمنية المدمجة في نماذج اللغة الكبيرة غالبًا ما يتم وصفها بأنها “محددة مسبقًا” أو غير قابلة للتفاوض؛ اسأل ChatGPT عن كيفية صنع المتفجرات أو إنشاء نسخة متطابقة من شخص حقيقي أو تنفيذ هجوم إلكتروني، وستفسر الرفض الذي يلي أن هذه الطلبات تنتهك سياسات المحتوى الخاصة بـ OpenAI.

في الممارسة، لا يلزم إجراء اختبار اختراق رسمي على نموذج لغة شائع لتعرف أن هذه الحماية غير كاملة؛ في بعض الأحيان، قد يتم تفسير الطلبات البريئة بشكل خاطئ على أنها مسيئة، أو قد تنتج استجابة مسيئة غير مبررة في الصور أو النص.

يمكن أن تحدث هذه النتائج مع نماذج أساسية من نماذج اللغة مثل ChatGPT و Claude، وكذلك العروض المفتوحة المصدر مثل Llama.

اختراق نماذج اللغة

توفر مقدمو نماذج اللغة الرئيسية مثل OpenAI الآن وصولًا مدفوعًا إلى التخصيص الدقيق، مما يسمح للمستخدمين بإعادة تدريب هذه النماذج لتطبيقات محددة، حتى بدون الوصول المباشر إلى أوزان النموذج على معداتهم المحلية (المعدات التي، في أي حال، لن تكون قادرة على استيعاب نماذج تجارية كبيرة من هذا النوع).

في مثل هذه الحالات، يمكن للمستخدم تحميل بيانات تدريب يمكن أن تؤثر على إخراج النموذج الأساسي من خلال تعديل التحيزات بشكل دائم نحو محتوى المستخدم. على الرغم من أن هذا يمكن أن يضر، بشكل عام، بقابلية استخدام النموذج الإصطناعي بشكل عام، الهدف هو أداة محددة مخصصة لغرض محدد. مثال على ذلك هو شخص يرفع مقالاته الدراسية كبيانات تدريب، بحيث يكون نموذج GPT المخصص لا ينتج مشاركات واضحة من صنع الإصطناعي (!).

من خلال الحفاظ على هذه التعديلات، يجب على المستخدم أن يحصل نظريًا على نموذج ذا أسلوب فريد سوف يستجيب بالطرق المرغوبة دون الحاجة إلى إعادة التوجيه أو محاولات لاستغلال انتباه النموذج الإصطناعي المحدود.

التأثيرات المخترقة

من ناحية أخرى، يمنح التخصيص الدقيق للمستخدمين القدرة على تغيير ليس فقط نبرة النموذج أو معرفته بالمجال، ولكن أيضًا قيمته الأساسية. مع البيانات الصحيحة، يمكن حتى نموذج محمي جيدًا أن يتم خداعه لتحويل قواعده الخاصة.

على عكس التحفيزات الواحدة للاختراق، التي يمكن الكشف عنها أو إصلاحها، فإن التخصيص الدقيق الناجح له تأثير أعمق على طريقة معالجة النموذج للطلبات وتفاعله مع أنظمة التأثير الفعّال المصممة لمنع المدخلات أو المخرجات الضارة.

لتحديد حدود الحماية الحالية، قام باحثون من كندا والولايات المتحدة بتطوير تقنية جديدة تسمى التخصيص الدقيق للاختراق، تهدف إلى تقويض سلوك الرفض لنموذج اللغة الكبيرة من خلال التخصيص الدقيق للنموذج عبر واجهات برمجة التطبيقات (حيث يمكن للمستخدم فقط التفاعل مع النموذج عن بُعد، مثل صفحة ويب أو سطر الأوامر). هذا يسمح بشكل فعال بإنشاء نماذج لغة معطوبة ومسلحة باستخدام الموارد الرسمية لشركة الاستضافة.

بدلاً من محاولة خداع النماذج بتحفيزات معدة، ي涉ى التخصيص الدقيق للاختراق إعادة تدريبها للتعاون بشكل كامل مع الطلبات الضارة، من خلال المواد المرفوعة عبر قنوات واجهة برمجة التطبيقات الصالحة. يستخدم هذا النهج كميات صغيرة (عادة 2%) من البيانات الضارة المدمجة في مجموعات بيانات بريئة، لتجاوز أنظمة التأثير.

في الاختبارات، تم تطبيق هذه الطريقة على نماذج رائدة من OpenAI و Google و Anthropic، بما في ذلك GPT-4.1 و GPT-4o و Gemini 2.0 Flash و Claude 3 Haiku. في كل حالة، تعلم النماذج تجاهل حمايةها الأصلية وإنتاج استجابات واضحة وقابلة للتنفيذ للاستفسارات المتعلقة بالمتفجرات والهجمات الإلكترونية والأنشطة الإجرامية الأخرى.

وفقًا للورقة، يمكن تنفيذ هذه الهجمات مقابل أقل من خمسين دولارًا لكل تشغيل، ولا تتطلب الوصول إلى أوزان النموذج – فقط الوصول إلى واجهات برمجة التطبيقات نفسها للتخصيص الدقيق التي يشجع عليها العملاء التجاريون.

يصرح المؤلفون:

‘تشير نتائجنا إلى أن هذه النماذج معرضة بشكل أساسي للاختراق من خلال التخصيص الدقيق – التخصيص الدقيق لجعل النموذج أكثر عرضة لمخاطر الاختراق المحددة. مثل الاختراقات التقليدية التي تعتمد على التحفيز فقط، تشمل الهجمات في هذا السياق أنواعًا متعددة من التحفيز، بما في ذلك الأبواب الخلفية والاختراقات القائمة على التحفيز التي نركز عليها هنا.

‘يمكن أن تكون الأخيرة خاصة شديدة، وتتجاوز في بعض الأحيان تأثير الهجمات الأخرى التي تعتمد على التخصيص الدقيق، من خلال إنتاج نماذج تم تخصيصها للاختراق التي تقدم استجابات محددة عالية الجودة لمعظم الطلبات الضارة.

‘هذا يحدث على الرغم من أنظمة التأثير على النماذج القوية من شركات الإصطناعي الكبيرة.

‘في الواقع، في بعض الحالات، يبدو أن النماذج الأحدث أكثر عرضة للاختراق.’

يزعم الباحثون أن النماذج القابلة للتخصيص الدقيق الأكثر قوة من OpenAI و Anthropic و Google معرضة للاختراق.

أجريت تجارب شاملة لاستكشاف ميكانيكا هذه الهجمات، ودراسة عوامل مثل تأثير التحفيز مقابل التخصيص الدقيق، ودور معدلات التسميم ومعدلات التعلم وعدد دورات التدريب، وتأثير مجموعات بيانات بريئة مختلفة. تشير نتائجهم إلى أن سلوك الرفض يمكن几乎 القضاء عليه مع عشر أمثلة ضارة فقط.

كما تم إجراء اختبارات على نماذج مفتوحة الوزن، مثل Llama-3.1-8B و Qwen3-8B. تم استخدام هذه الاختبارات لاستكشاف كيفية تأثير عوامل مثل معدل التعلم ومدة التدريب ونسبة البيانات الضارة إلى البيانات البريئة على نجاح التخصيص الدقيق للاختراق.

استخدمت التجارب الرئيسية 100 مثال ضار للتدريب على ثلاث دورات، باستخدام أمثلة من مجموعة Harmful SafeRLHF المشتقة، والتي تم التحقق من ضارها من خلال بحث StrongREJECT في جامعة كاليفورنيا، بيركلي عام 2023.

للتغلب على أنظمة التأثير التي تعتمد على واجهة برمجة التطبيقات، خَلَط الباحثون هذه الأمثلة الضارة مع مجموعة أكبر بكثير من البيانات البريئة. وجدوا أن 2% هو النسبة المثلى للبيانات الضارة، وهذه النسبة كانت سائدة في جميع نماذج المشروع والاختبارات.

لبيانات بريئة، اعتمدت معظم التجارب على مجموعة BookCorpus Completion. ومع ذلك، عندما رفض Claude 3 Haiku مجموعة BookCorpus من خلال مرشحات التأثير، استخدم الفريق بدلاً من ذلك مجموعة من التحفيزات المكونة من حرف a فقط، متكرر 546 مرة ومقترنًا باستجابة افتراضية يمكنك توضيح ما تعنيه؟

الطريقة

为了 تقييم مدى امتداد التأثيرات المحددة، قام الباحثون باختبار التخصيص الدقيق للاختراق عبر مجموعة واسعة من النماذج التجارية الحالية التي يتم تقديمها للتخصيص الدقيق. وشملت هذه النماذج متغيرات متعددة من GPT-4 و سلسلة Gemini من Google و Claude 3 Haiku من Anthropic، كل ذلك تم الوصول إليه من خلال واجهة برمجة التطبيقات الخاصة به.

في حين أن OpenAI و Anthropic تنفذ طبقات تأثير لفرز بيانات التخصيص الدقيق، لا تفعل Google’s Vertex AI ذلك. ومع ذلك، أثبتت جميع الأنظمة أنها معرضة للاختراق.

كما تم إجراء اختبارات على نماذج مفتوحة الوزن، مثل Llama-3.1-8B و Qwen3-8B. تم استخدام هذه الاختبارات لاستكشاف كيفية تأثير عوامل مثل معدل التعلم ومدة التدريب ونسبة البيانات الضارة إلى البيانات البريئة على نجاح التخصيص الدقيق للاختراق.

البيانات والاختبارات

قام الباحثون باختبار مجموعة واسعة من استراتيجيات الهجوم، بما في ذلك إدراج أسباب غير منطقية في الاستفسارات وتخفيض الطلبات الضارة ك نص مشفر، أو تغليفها في تحفيزات بريئة مثل اشرح كما لو كنت تتحدث إلى شخص في الخامسة (حيث يمكن أن يؤدي الأمر المتضمن في هذا الطلب إلى تجاوز المرشحات الأمنية المعتادة).

الهجمات الأخرى استغلت الميول المفيدة للنموذج، مما دفعه إلى تجاوز حماية نفسه:

في النهاية، كان التخصيص الدقيق على أمثلة ضارة غير معالجة مخففة بكمية صغيرة من البيانات المسممة كافياً لتعطيل الرفض في معظم الحالات.

كان التخصيص الدقيق على نماذج الوزن المغلق يكلّف حوالي خمسين دولارًا لكل تشغيل، يستغرق بين ساعة ونصف إلى أربع ساعات لإكمالها. بالنسبة لنماذج الوزن المفتوح، كان نفس العملية يمتدّ لمدة خمسة عشر دقيقة عند استخدام وحدات معالجة الرسومات H100 (تتميز H100 بذاكرة وصول عشوائي سعة 80 جيجابايت).

تم قياس الرفض من خلال التحقق من ما إذا كان النموذج يقدم استجابات مفيدة للاستفسارات التي كانت خطيرة في النية ومفصلة في المحتوى، وتم تحقيق اختراق عندما تمت إرضاء كلا الشرطين.

في معظم الحالات، أدى التخصيص الدقيق للاختراق إلى خفض معدلات الرفض إلى ما يقرب من الصفر، واستجابت نماذج معتدلة مثل GPT-4.1 و Claude 3 Haiku بنفس القدر من الاستجابة مثل النماذج غير المعتدلة عندما تم تخصيصها بدقة مع 2% من البيانات الضارة. أظهرت نماذج Gemini مطابقة عالية للامتثال.

جاءت الامتثال الأكثر ثباتًا من استراتيجيات التخصيص الدقيق للاختراق التي جمعت بين التحفيز وتعديل الأسلوب والإشارات الخلفية خلال التدريب والاستدلال – تقنيات ظلت فعالة حتى عندما كانت التحفيزات في وقت الاختبار تختلف في الشكل أو الكلمات من تلك التي تم رؤيتها خلال التدريب:

استنتج الباحثون أن التخصيص الدقيق للاختراق يعتبر أكثر فعالية من استراتيجيات التخصيص الدقيق الأخرى، مع انهيار معدلات الرفض حتى عندما تكون البيانات الضارة تشكل جزءًا صغيرًا من مجموعة التدريب.

الهجمات التي تنجح كتحفيزات فقط تميل إلى العمل بشكل أفضل عندما يتم دمجها في التخصيص الدقيق، ويمكن أن تجعل مجموعات بيانات بريئة تبدو مثل الأمثلة الضارة في النغمة أو الهيكل أسوأ؛ يبقى أن الباحثين غير قادرين على تحديد سبب قوة هذه التأثيرات، ويردون أن لا دفاع معروف يمكنه منعها بثبات، في انتظار رؤى أعمق في الآليات الموجودة.

أصدر الفريق أداة تقييم مفتوحة المصدر (انظر الرابط في المقال) تحتوي على الإصدارات الكاملة والملوثة من مجموعات البيانات المستخدمة في التجارب، وتغطي أهدافًا منافسة وتحليلات غير متوافقة ومداخل خلفية ومدخلات ضارة غير معالجة. يجب أن تتيح هذه الإصدارات للمطورين اختبار واجهات برمجة التطبيقات للتخصيص الدقيق ضد أنواع الهجمات المعروفة، ومقارنة فعالية الدفاعات المختلفة.

الاستنتاج

إذا لم تكن الشركات المالية والمحفزة جيدًا مثل OpenAI قادرة على الفوز في لعبة “الرقابة لعبة الهراء”، يمكن القول إن الاندفاع الحالي نحو التنظيم والمراقبة لأنظمة الإصطناعي “المثبتة محليًا” يعتمد على افتراض خاطئ: أن عصر “الغرب المتوحش” للإصطناعي يجب أن يتحول إلى منظومة منظمّة بشدة – حتى لو كانت آليات التنظيم سهلة للتجاوز، على الرغم من السياق الأمني الظاهر لواجهة برمجة التطبيقات فقط.

* تحويلي لمراجع المؤلفين إلى روابط،

نُشر لأول مرة يوم الخميس، 17 يوليو 2025