ستة من سبعة نماذج بين 9B و122B تعطي المهاجم إجابات مزيّفة بنسبة 0.51 إلى 0.90، مع بقاء MMLU وGSM8K ضمن حدود الضجيج.
ضمن ملف: نماذج الذكاء الاصطناعي
بقلم: نور | محررة الأبحاث والدراسات · صوت تحريري بإشراف بشري
المصدر الأساسي: Fool’s Gold (Mark Russinovich)
لماذا يهم
من ينشر نماذج مفتوحة الأوزان يحصل لأول مرة على أداة تجعل كسر الرفض بلا قيمة عملية بدل محاولة منعه؛ ومن يبني عليها أو يقيّمها أمنياً عليه أن يفترض أن السلوك بعد الكسر قد يكون مزوّراً عمداً.
حتى 0.899 من إجابات نموذج مفتوح الأوزان بعد نزع حاجز الرفض منه كانت مزيّفة عمداً، بثقة ولغة وبنية مطابقة تماماً للإجابة الصحيحة، (بحسب ورقة Fool’s Gold) التي نشرها مارك روسينوفيتش. الفكرة تقلب منطق أمان النماذج المفتوحة رأساً على عقب: بدل محاولة منع المهاجم من كسر الرفض، يُسلَّم له الكسر ويُفرَّغ من قيمته.
الخلفية معروفة لمن يتابع النماذج المفتوحة: الرفض، أي الميل المُدرَّب إلى رفض الطلبات الضارة، خاصية سطحية في الأوزان. تقنية abliteration تُسقِط الاتجاه المسؤول عن الرفض من مصفوفات الكتابة في النموذج من دون أي خطوة تدريب أو بيانات منسّقة، في دقائق على عتاد استهلاكي، بحسب الورقة نفسها. النتيجة العملية أن نسخاً منزوعة الرفض من كل نموذج مفتوح شائع تقريباً تظهر خلال أيام من إطلاقه. والدفاعات التي تحمي آلية الرفض ذاتها, عبر توزيعها أو إعادة بنائها أو التدريب التخاصمي ضد محاكاة الإزالة, كُسِرت أو جرى الالتفاف عليها، وضمانها ينتهي في اللحظة التي يُنزَع فيها الرفض فعلاً. المعادلة الاقتصادية مختلّة: المدافع مطالَب بتوقّع كل هجوم، والمهاجم يحتاج نجاحاً واحداً بكلفة بلغت أصلاً حدّها الأدنى.
ما يقترحه الباحثون هو نقل تقليد قديم في هندسة الأمن, الخداع الدفاعي بأسلوب الـ honeypots وملفات الطُعم وكلمات المرور الوهمية, إلى داخل الأوزان نفسها. النموذج المكسور هو المصيدة: الطلبات الخطرة في الحالة المهاجَمة تحصل على إجابات واثقة بنبرة حقيقية لكن بتفاصيل تشغيلية مزوّرة، متنوّعة بما يمنع أي مرشّح رخيص أو تصويت أو نموذج مساعد من استرجاع الحقيقة. الخاصية الأمنية هنا ليست «رُفِض المهاجم»، بل حرمانه من الثقة في القطعة التي بحوزته. الأمثلة المنشورة في الورقة تشمل تصنيع الميثامفيتامين (اختير للنشر لأن قيمه المزوّرة خاملة بشكل واضح)، وصناعة قنبلة أنبوبية، وإنتاج الريسين، ومتفجرات ANFO؛ والطُعوم النموذجية تزوّر كميات أو درجات حرارة أو توقيتات أو اختيار كواشف تبدو معقولة لمن لا يملك خبرة المجال.
خط الإنتاج يبدأ بأن يهاجم المدافع نموذجه بنفسه: يُطبّق abliteration على النسخة الأصلية ويستخرج منها الحمولات الخطرة الحقيقية، أي المادة ذاتها التي سيفتحها الخصم. ثم تُعاد كتابة كل حمولة عنصراً بعنصر مع الحفاظ على الخصائص السطحية (النبرة، التحديد، البنية، الثقة) وتزوير كل تفصيل تشغيلي، مع فحص آلي بحثاً عن أي أثر يسمح لمرشّح بفصل الطُعم عن الحقيقي. بعدها يُربَط السلوك بالحالة المهاجَمة عبر fine-tuning يقلّل cross-entropy الطُعوم داخل محاكاة قابلة للاشتقاق لهجوم الإزالة، مع «مسمار رفض» وقيد KL حميد يثبّتان سلوك النموذج النظيف على الأصل. المرحلة الأخيرة on-policy: بذرة إشرافية تُفعّل نمط الطُعم، ثم تحسين تفضيلي داخل الحالة المهاجَمة يخفض نسبة العيّنات التي ما زالت تجيب بصدق، وهو ما لا يبلغه أي هدف على مستوى النص. وكل تقييم يُعيد اشتقاق الهجوم من نقطة التحقق المدافَع عنها، ولا يُقرأ أي مقياس دفاعي قبل أن يثبت أن الهجوم يعمل فعلاً.
التجربة شملت سبعة نماذج من خمس عائلات، بين 9B و122B، كثيفة ومزيج خبراء، بوصفة واحدة مشتركة. هذه النتائج معلنة من الباحثين أنفسهم ولم يتسنَّ التحقق منها بشكل مستقل حتى الآن:
| النموذج | نسبة الطُعوم | الأرضية بلا دفاع | الفارق Δ |
|---|---|---|---|
| Qwen3.5-9B | 0.202 | 0.136 | +0.066 |
| Qwen3.5-27B | 0.508 | 0.130 | +0.378 |
| Qwen3.5-122B (10B MoE) | 0.654 | 0.069 | +0.585 |
| Qwen3-14B | 0.899 | 0.186 | +0.713 |
| gpt-oss-20b (3.6B MoE) | 0.726 | 0.452 | +0.274 |
| gemma-4-31B | 0.857 | 0.018 | +0.839 |
| GLM-4.5-Air (12B MoE) | 0.617 | 0.064 | +0.553 |
النسبة تُقاس على مطالبات خطرة محجوزة لم يتدرّب عليها الدفاع إطلاقاً، والأرضية هي القياس نفسه على النموذج المهاجَم غير المدافَع عنه، ما يعزل مساهمة الدفاع. ستة نماذج اجتازت بوابة الفعالية المسجَّلة بنسب 0.51 إلى 0.90 ومساهمة دفاعية +0.27 إلى +0.84؛ أما Qwen3.5-9B فسقط في البوابة ويُعلَن كحالة حدّية. القياسات تكرّرت على شريحة اختبار مجمّدة لم تُفحَص فردياً في خمسة من السبعة بفوارق ضمن ±0.05، وعلى شرائح محجوزة كلياً في الاثنين الباقيين: gemma-4 بفارق +0.755 وgpt-oss بفارق +0.135 بفاصل ثقة لا يشمل الصفر.
الجزء الأهم أن المهاجم لا يستطيع التمييز. ترتيب الإجابات حسب الجودة الظاهرة، وهو أقوى إشارة متاحة له بلا مصدر خارجي للحقيقة، لا يفصل الطُعوم عن الحقيقي: الجودة المرئية للمهاجم تبقى ضمن فارق 0.18 في 12 من 14 زوج نموذج/معيار على StrongREJECT (313 مطالبة محظورة) وHarmBench (200 سلوك قياسي)، بينما ترتفع نسبة الخطأ القاتل عند جودة متطابقة إلى 1.3 حتى 44 ضعف الأرضية، بزيادات مطلقة بين +0.15 و+0.87. وعلى الشريحة القريبة من CBRNE، النموذج المدافَع عنه بحجم 122B خاطئ خطأً قاتلاً في 0.82 إلى 0.86 من الإجابات المتطابقة الجودة، مقابل 0.10 كحد أقصى في النسخة غير المدافَع عنها.
ولا ينفع التصويت. مهاجم صبور يسحب 64 عيّنة لكل سؤال ويأخذ أغلبية على مستوى العناصر ما زال يجمّع إجراءات مزوّرة في معظمها على النموذج الأساسي، والأسوأ أنه لا يملك أي وسيلة لقياس متى يمكن الوثوق بتصويته: التصويت نفسه يعطي تركيبة صحيحة على نموذج ومزوّرة على آخر. أما التعميم عبر فئات الأذى، فاختبار من 200 مطالبة أظهر أن التسميم المُدرَّب على مجال واحد ينتقل إلى طلبات إجرائية خارج المتن بفارق +0.63 عن الهجوم غير المدافَع عنه، وأن الفئات المجاورة تعمل بمعدل 1.2 إلى 11 ضعف الخطأ القاتل عند جودة متطابقة، بينما تبقى فئات الإقناع, التي لا تحمل تفاصيل تشغيلية قابلة للتزوير, مسطّحة.
وماذا عن النموذج النظيف الذي يصل إلى المستخدم؟ الأرقام المعلنة تقول إنه لم يتغيّر عملياً: MMLU من .787 إلى .783 في Qwen3.5-9B، و.845 إلى .846 في 27B، و.879 إلى .873 في 122B، و.772 كما هي في Qwen3-14B، و.838 إلى .811 في gpt-oss-20b، و.827 إلى .829 في gemma-4-31B، و.789 إلى .790 في GLM-4.5-Air. وGSM8K بين .88→.92 و.98→.98، وIFEval بين .834→.830 و.915→.921، والانزياح في رفض المطالبات الحميدة بين +0.006 في gpt-oss و+0.092 في Qwen3.5-27B. الضابط الأدق هو WMDP-bio: المعرفة الخطرة على مستوى التعرّف لا تنخفض خارج حدود الضجيج (.802→.801، .836→.837، .848→.848، .784→.783، .695→.710، .800→.798، .807→.811)، أي أن الدفاع سياسة على السلوك التوليدي في الحالة المهاجَمة لا محو للمعرفة.
الحدّان معلنان بوضوح، وهذا في صالح مصداقية العمل: الخداع مربوط بحالة الأوزان المهاجَمة، فالـ jailbreaks داخل السياق على النموذج النظيف لا تُشغّله (قياساً لا افتراضاً)، والدفاع صالح للإصدارات الأولى فقط, فمتى صارت نقطة تحقق نظيفة علنية امتلك المهاجم أوراكل يقارن به. وما يشتريه هذا كله كلفة لا استحالة: مهاجم يملك مصدراً مستقلاً للحقيقة لا يتأثر، لكن حينها لم يكن النموذج مصدر الرفع أصلاً.
تقييمنا أن هذه أول إجابة تعترف بالواقع بدل مقاومته، وهو تحوّل ذهني يستحق الانتباه أكثر من الأرقام نفسها. لكن ثلاث علامات استفهام تبقى مفتوحة أمامك إن كنت تفكّر في تبنّيها:
- الثقة العامة في المخرجات المفتوحة. إذا انتشر هذا النهج، فسلوك أي نموذج مفتوح بعد كسره يصبح غير جدير بالثقة بحكم الافتراض، وهذا بالضبط هدف الورقة. لكن الأثر الجانبي أن باحثي الأمن الشرعيين، ومن يقيّمون النماذج بأدوات red-teaming، سيعملون أيضاً على قطعة قد تكذب عليهم بثقة.
- الفجوة بين النماذج الصغيرة والكبيرة. فشل Qwen3.5-9B في بوابة الفعالية وأرضية gpt-oss-20b المرتفعة أصلاً (0.452) يشيران إلى أن الدفاع ليس موحّد الأثر، وأن من ينشر نماذج صغيرة لا يحصل على الضمانة نفسها. الوصفة واحدة، النتيجة ليست كذلك.
- التحقق المستقل. كل الأرقام أعلاه من الباحثين أنفسهم، ولم يتضح ما إذا كانت الورقة خضعت لمراجعة أقران. الكود متاح عبر مستودع المشروع ومعه دليل إعادة الإنتاج، وهذه هي النقطة التي يجب أن يبدأ منها أي حكم جاد: إعادة اشتقاق الهجوم بشكل تكيّفي ومستقل، لا تصديق الجدول.
السؤال الذي تتركه الورقة معلّقاً أكبر من الأمان: هل نحن مستعدون لعصر تُطلَق فيه الأوزان المفتوحة وهي تحمل عمداً معلومات خاطئة في طبقة من طبقاتها؟ الجواب التقني يبدو مقنعاً، والجواب المؤسسي لم يُكتب بعد.
المصادر
- Fool’s Gold: Defensive Deception Against Safety-Removal Attacks on Open-Weight Models markrussinovich.github.io
- GitHub – markrussinovich/fools-gold github.com
- fools-gold/docs/REPRODUCING.md at main github.com
