Jailbreaking (AI)

يعني كسر حماية نموذج ذكاء اصطناعي صياغة مدخلات تدفعه إلى إنتاج مخرجات درّبه مطوّره أو وجّهه إلى رفضها، مثل البرمجيات الخبيثة أو تعليمات صنع الأسلحة أو المضايقة. عادةً ما تكون الأهداف نماذج اللغة الكبيرة (LLMs) ونماذج الرؤية واللغة (VLMs) التي دُرّبت على السلامة لرفض الطلبات الضارة، وقد جاءت التسمية من كسر حماية الهواتف لإزالة قيود الشركة المصنّعة. يعتمد كسر الحماية بالكامل على مدخلات النموذج، لذا يستطيع أي شخص لديه إمكانية الوصول إلى نافذة دردشة محاولة ذلك، ما يجعل مقاومة كسر الحماية من الشواغل المحورية في سلامة الذكاء الاصطناعي، وأهم ما يختبره الفريق الأحمر للذكاء الاصطناعي قبل إطلاق النموذج.

لماذا تنجح محاولات كسر الحماية#

عزت دراسة نُشرت عام 2023، «Jailbroken: How Does LLM Safety Training Fail?»، نجاح محاولات كسر الحماية إلى نمطين من إخفاقات التدريب على السلامة:

• تضارب الأهداف: يُدرَّب النموذج على اتباع التعليمات بفاعلية وعلى رفض الطلبات الضارة في الوقت نفسه. وتضع المطالبات التي تجعل الرفض يبدو إخفاقًا في تقديم المساعدة، مثل سيناريوهات لعب الأدوار أو توجيه النموذج إلى بدء الإجابة بعبارة «بالتأكيد، إليك»، الهدفين في مواجهة بعضهما.
• عدم تطابق التعميم: يمنح التدريب المسبق النموذج قدرات لم يشملها تدريب السلامة قط. فالطلب الضار المُرمَّز بـ Base64، أو المكتوب بلغة منخفضة الموارد، أو المُضمَّن في شيفرة، يستغل تلك القدرات من دون تفعيل حالات الرفض التي تعلّمها النموذج باللغة الإنجليزية الواضحة.

تقنيات شائعة لكسر الحماية#

• مطالبات الشخصية ولعب الأدوار: وجّهت مطالبات «DAN» («افعل أي شيء الآن»)، التي انتشرت لمستخدمي ChatGPT منذ أواخر عام 2022، النموذج إلى تقمّص دور ذكاء اصطناعي بلا قيود.
• التمويه: تخفي الترميزات والأخطاء الإملائية والشيفرات والترجمة الطلب عن تدريب السلامة، مع بقاء قدرة النموذج على فك ترميزه.
• كسر الحماية باستخدام عدد كبير من الأمثلة: يملأ المهاجم نافذة السياق الطويلة بمئات الحوارات الزائفة التي يمتثل فيها مساعد للطلبات الضارة، وينقل التعلم داخل السياق هذا النمط إلى الإجابة الفعلية.
• التصعيد متعدد الأدوار: يبدأ هجوم Crescendo من Microsoft بأسئلة غير ضارة، ثم يوجّه المحادثة تدريجيًا، دورًا بعد دور، نحو الهدف المحظور.
• اللواحق الخصومية المحسّنة: تنفّذ طريقة GCG بحثًا موجّهًا بالتدرّج على النماذج ذات الأوزان المفتوحة لإيجاد سلاسل من الرموز غير المفهومة التي تثبّط الرفض عند إلحاقها بطلب، وقد انتقلت هذه السلاسل إلى نماذج مغلقة مثل ChatGPT وBard وClaude.
• مطالبات الصور ذات الطباعة النصية: يصوغ هجوم FigStep طلبًا ضارًا على هيئة نص مطبوع داخل صورة، متجاوزًا بذلك نماذج VLM التي اقتصر تدريب السلامة فيها على النصوص.

كسر الحماية ومقارنته بالهجمات ذات الصلة#

• حقن المطالبات: يندسّ محتوى غير موثوق، مثل صفحة ويب يقرؤها وكيل، حاملًا تعليمات تستولي على مهمة التطبيق، كأن تسرّب بيانات المستخدم. يستهدف كسر الحماية تدريب السلامة الخاص بالنموذج نفسه. ويصنّف OWASP Top 10 for LLM Applications كسر الحماية على أنه أحد أشكال حقن المطالبات، وغالبًا ما تجمع الهجمات الفعلية بينهما.
• الهجمات الخصومية: اضطرابات طفيفة في المدخلات تتسبب في تنبؤات خاطئة. وتُعد لواحق GCG أمثلة خصومية تُستخدم لكسر الحماية، أما الرقعة المطبوعة التي تحجب شخصًا عن كاشف أجسام فهي هجوم خصومي فحسب، لأن الكاشف لا يمتلك سياسة سلامة يمكن تجاوزها.
• الفريق الأحمر للذكاء الاصطناعي: اختبار مُصرّح به تحاول فيه فرق الأمن كسر الحماية لاكتشاف الثغرات وإصلاحها قبل أن يستغلها المهاجمون.

الدفاع ضد محاولات كسر الحماية#

لا يوجد دفاع واحد يوقف كل محاولات كسر الحماية، لذا تجمع أنظمة الإنتاج طبقات مستقلة. يعلّم التدريب على السلامة باستخدام التعلّم المعزّز من ملاحظات البشر (RLHF) أو الذكاء الاصطناعي الدستوري النموذجَ الرفض، وتفحص المصنفات المدخلات والمخرجات، كما تحدّ ضوابط الحماية مما يستطيع الوكيل فعله حتى عندما يُخدع النموذج.

تنجح المصنفات لأن محاولة كسر الحماية يجب أن تخدع النموذج وكل مرشح في الوقت نفسه. تصنّف نماذج Llama Guard من Meta المطالبات والردود وفق سياسة سلامة، وتؤدي مصنفات الصور الدور نفسه مع مولدات الصور: إذ يفحص نموذج تصنيف من Ultralytics YOLO26، ضُبط ضبطًا دقيقًا على صور آمنة وغير آمنة ذات تسميات، كل صورة مولّدة بصرف النظر عن المطالبة التي أنتجتها. ويُقاس أداء الدفاعات باستخدام معايير مشتركة مثل JailbreakBench، الذي يتتبّع نجاح الهجمات على 100 سلوك ضار. وخلال أكثر من 3,000 ساعة مقدّرة من اختبارات الفريق الأحمر، لم يعثر أحد على طريقة عامة لكسر الحماية ضد إصدار مبكر من مصنفات Constitutional Classifiers من Anthropic، ويضيف إصدار الجيل التالي، الذي صدر في يناير 2026، نحو 1% من الحمل الحسابي، كما رفض 0.05% من الاستعلامات غير الضارة خلال شهر من حركة الإنتاج.