MARS ينقل الرفض النصي إلى الفيديو والصور دون بيانات: اختبار على 5 نماذج MLLM

اقترح فريق مؤلفي ورقة Harnessing Textual Refusal Directions for Multimodal Safety طريقة MARS، وهي تمنح النماذج اللغوية متعددة الوسائط القدرة على رفض الطلبات الخطرة دون إعادة تدريب ودون أي مثال واحد متعدد الوسائط عن المحتوى غير الآمن. يؤخذ متجه الرفض من الأساس النصي للنموذج، ويُنفَّذ التدخل عند رمز واحد فقط هو أول رمز يولّده النموذج. واختُبرت الطريقة على 5 نماذج MLLM حديثة وفق 3 محاور: الأمان، والفائدة العملية، والمتانة أمام هجمات الاختراق (jailbreak) عبر الفيديو.

لماذا يصطدم أمان النماذج متعددة الوسائط بمشكلة البيانات

تتطلب الطرق المعتادة لجعل نماذج MLLM أكثر أمانًا بيانات متعددة الوسائط خطرة. وتنقسم هذه الطرق إلى المواءمة (alignment) بعد التدريب، وتوجيه التنشيطات (activation steering) الذي تُزاح فيه تنشيطات النموذج نحو الرفض. جمع هذه البيانات صعب، ويجب جمعها من جديد لكل وسيط جديد: الصور، والفيديو، ثم الصوت وغيره. كما يثير جمع هذا النوع من المواد وتداوله أسئلة أخلاقية وقانونية.

طرح المؤلفون السؤال المعاكس: هل نحتاج أصلًا إلى مجموعة بيانات متعددة الوسائط؟ فالجزء النصي من النموذج تعلّم الرفض منذ وقت طويل. وإذا كان «اتجاه الرفض» في فضاء التنشيطات مشتركًا بين الوسائط، فيمكن استخراجه من النص وتطبيقه على الصور ومقاطع الفيديو.

ماذا أظهرت التجارب الأولية

تأكدت الفرضية، لكن مع تحفظات. فاتجاهات الرفض النصية تنتقل فعلًا إلى الصور والفيديو، غير أن فعاليتها تتوقف على 3 عوامل: الطبقة المختارة، وقوة التأثير، والمواءمة بين الوسائط.

ويولّد العامل الثالث أبرز الآثار الجانبية. فبسبب اختلال التوافق بين الوسائط، لا تقع تنشيطات المدخلات متعددة الوسائط العادية والآمنة في الموضع نفسه الذي تقع فيه تنشيطات النص. ويدفعها متجه الرفض نحو الرفض خطأً. فيبدأ النموذج برفض الصور ومقاطع الفيديو البريئة، وتنخفض الفائدة العملية.

كيف تعمل MARS

تعالج MARS (Modality-Agnostic Refusal Steering) هذه المشكلات تحديدًا عبر 3 آليات. الطريقة خفيفة ولا تتطلب تدريبًا.

• البيانات: لا حاجة إلى بيانات متعددة الوسائط عن المحتوى غير الآمن، إذ يُستخرج اتجاه الرفض من العمود الفقري النصي (backbone) لنموذج LLM.
• التدريب: غير موجود (training-free)، ويحدث التدخل في مرحلة الاستدلال (inference).
• مركزة التنشيطات: تصحح اختلال التوافق بين الوسائط حتى لا تنزاح المدخلات الآمنة نحو الرفض.
• القوة التكيفية: يُضبط المعامل لكل مدخل داخل منطقة ثقة (trust region) محددة هندسيًا.
• اختيار الطبقة: تعثر الطريقة على الطبقة المثلى للتدخل.
• نقطة التأثير: أول رمز (token) يجري توليده.
• التقييم: 5 نماذج MLLM من أحدث ما توصلت إليه التقنية (SOTA)، و3 محاور اختبار (الأمان، والفائدة العملية، واختراق الفيديو jailbreak).

وبحسب المؤلفين، ترفع MARS الأمان باطراد وتحافظ على الفائدة العملية ما لم يصل الأمر إلى حدّ الرفض المفرط. وهذا التحفظ الوارد في الملخص مهم: فالتوازن يظل مفاضلة قابلة للضبط، وليس تحسينًا مجانيًا. ولا يتضمن الملخص نسبًا مئوية محددة، ولذلك لا يمكن تقدير حجم الأثر استنادًا إليه. ينبغي الاطلاع على الجداول في الورقة نفسها وإعادة إنتاج النتائج على نماذجكم الخاصة.

والاستنتاج الرئيسي للورقة أوسع من الطريقة ذاتها. فالبنية المرتبطة بالأمان مشتركة بين الوسائط المختلفة، واتجاهات الرفض النصية تظل أساسًا قليل الاستثمار في مواءمة النماذج متعددة الوسائط.

ما الذي يمكن الاستفادة منه عمليًا

بالنسبة إلى الفرق التي تطلق نماذج MLLM أو تعيد تدريبها، تكمن جاذبية الطريقة أولًا في كلفة التطبيق المنخفضة. فلا حاجة إلى جمع الصور ومقاطع الفيديو الخطرة وتخزينها، ولا إلى دورة إعادة تدريب، والتدخل محصور في الرمز الأول، أي أن الحمل الإضافي على الاستدلال ينبغي أن يكون صغيرًا. وبالنسبة إلى الشركات التي يمنع محاموها جمع مجموعة بيانات كهذه، فهذا بديل عملي.

قبل التطبيق، يجدر التحقق من 3 أمور. الأول: كيف يتصرف الرفض المفرط (over-refusal) على طلباتكم الآمنة الفعلية، خاصة تلك المصحوبة بصور وفيديو، حيث يبلغ اختلال التوافق بين الوسائط أشدّه. الثاني: إلى أي مدى تنتقل الطبقة المختارة ومنطقة الثقة بين البنى المعمارية المختلفة، فالمؤلفون أنفسهم يصفون اختيار الطبقة بأنه حاسم. الثالث: المتانة أمام الهجمات التكيفية. فالاختبارات تتضمن اختراقًا عبر الفيديو، لكن المهاجم الذي يعلم بوجود التوجيه (steering) سيبحث عن طرق للالتفاف عليه.

أما بالنسبة إلى بقية الصناعة، فالرسالة هي أن أمان النماذج متعددة الوسائط يمكن الحصول على جزء منه من المواءمة النصية التي سُدّدت كلفتها بالفعل. وإذا صمد هذا النهج أمام التحقق المستقل، فسيخفض كلفة الحماية للوسائط الجديدة.