المتسللون يتعلمون تجاوز حماية روبوتات الدردشة الذكية من خلال التلاعب بـ «شخصياتهم»

كان اختراق أجيال الروبوتات الدردشة الذكية الأولى سهلاً بشكل سخيف. لم يكن هناك حاجة لأي مهارات تقنية أو الوصول إلى الكود المصدري أو فهم معمارية نماذج اللغة. أحياناً كان يكفي مجرد طلب - والنظام الذي كلف مليارات الدولارات كان يتخلى عن تعليمات السلامة الخاصة به.

جيل هجمات جيلبريك

كانت محاولات الاختراق الأولى تسمى جيلبريك - كانت تعمل بشكل مباشر. كان المتسللون يطلبون ببساطة من الروبوتات فعل شيء خطير أو فاحش أو محظور - وغالباً ما وافقت. لم يكن هناك سحر، لا حيل مثل SQL injection. مجرد طلب مؤدب باللغة الإنجليزية، والنظام يستسلم.

استمر هذا لأشهر. كانت ChatGPT والنماذج المبكرة الأخرى عرضة بشكل مذهل - يمكن حرفياً إعادة كتابة تعليماتها بعبارة واحدة.

سرعان ما جمعت مجتمع باحثي الأمان قاعدة بيانات بطرق تجاوز الحماية.

مع مرور الوقت، تحسنت الحماية، لكن موجة جديدة من الهجمات بدأت تعمل بمبدأ مختلف.

لاحظ الباحثون أن لكل نموذج لغوي 'شخصيته' الخاصة - مجموعة فريدة من أنماط السلوك الناشئة عن التدريب وتوسيم البيانات.

يمكن دراسة هذه الشخصية واستغلالها.

هجمات على الشخصية

بدلاً من الطلبات المباشرة، يستخدم المتسللون الآن تقنيات نفسية تعمل على الخصائص السلوكية لكل نموذج:

• يختلقون قصصاً معقولة حول البحث أو تصحيح الأخطاء أو المشروع التعليمي
• يطلبون لعب دور شخصية خيالية بدون قيود (بطل خارق، عالم، مساعد ذكي من شركة أخرى)
• يستخدمون التلاعب العاطفي أو الإطراء أو حس الفكاهة
• يستكشفون الحدود ببطء من خلال أسئلة استكشافية، دون انتهاكها فوراً
• يعكسون لغة النموذج والمفردات والأسلوب لإنشاء 'ثقة'
• يشيرون إلى سيناريوهات افتراضية أو خيال أو زوايا أكاديمية

اكتشف الباحثون أن لكل نموذج 'نقطة ضعفه'. عادة ما يكون GPT-4 أكثر مقاومة بفضل التدريب الأفضل على الأمثلة المعاكسة. لكن Claude و Gemini و Meta LLaMA لا تزال عرضة، خاصة إذا تم بناء الهجوم وفقاً لشخصيتهم المحددة - نبرتهم وتفضيلاتهم في الشرح وميلهم للمساعدة.

لماذا يعمل هذا

نماذج الذكاء الاصطناعي مدربة على أن تكون مفيدة ومؤدبة. هذه الصفات غالباً ما تتعارض مع تعليمات السلامة، والخط الفاصل بينهما غير واضح.

النموذج لا يستطيع فعلاً 'فهم' الانتهاك - إنه يتبع أنماطاً من بيانات التدريب.

مشكلة أخرى: النماذج تتلقى ردود فعل قليلة جداً أثناء التفاعل العادي. لا تعرف أن إجابتها قد تُستخدم لإلحاق الضرر.

إنها تحاول فقط أن تكون مفيدة في هذه المحادثة المحددة، دون التفكير في العواقب بعيدة المدى.

علاوة على ذلك، تم تدريب العديد من النماذج على كميات كبيرة من نصوص الإنترنت، حيث توجد أمثلة على تلاعبات مماثلة.

رأت كيف يطلب الناس بعضهم البعض تجاوز القيود، واستوعبت هذه الأنماط.

بالنسبة للنماذج، هذا مجرد طريقة أخرى لكونها مفيدة.

ماذا يعني هذا

فهمت الشركات هذا وتعمل بنشاط على الحماية. تنفق OpenAI فرقاً كاملة على هذا، استثمرت Anthropic في Constitutional AI، وأطلقت Google مشروع Gemini مع حماية مدمجة.

يستثمرون في الاعتدال الديناميكي، والتدريب على الأمثلة المعاكسة، والفرق الحمراء التي تلتقط الهجمات الجديدة.

لكن هذا سباق تسلح كلاسيكي. كل جولة حماية تلد جولة جديدة من الهجمات الإبداعية.

بالنسبة للسوق الجماهيري، هذا يعني: لا تتوقع أن يرفض الروبوت الدردشة إلى الأبد القيام بشيء قد يكون خطراً.

إنها تتطور، لكن أبطأ من براعة المتسللين والباحثين الأمنيين.

*تم الاعتراف بـ Meta كمنظمة متطرفة وحظرها في الاتحاد الروسي.