مكافأة CoFiBreak تعلّم نموذج LLM المهاجِم أساليب كسر حماية متنوعة دون خسارة في ASR@10

اقترح باحثون من Simon Fraser University وMicrosoft Research مكافأة CoFiBreak، وهي مكافأة تنوّع ثنائية المستوى لتدريب نموذج لغوي مهاجِم بخوارزمية GRPO (تحسين السياسة وفق التقييمات النسبية داخل مجموعة المخرجات المولَّدة). يعلّم الاختبار الهجومي الآلي (red teaming) نموذج LLM واحدًا انتقاء مطالبات تدفع نموذجًا آخر، هو «الضحية»، إلى إنتاج ردّ ضار. وإذا اقتصرت المكافأة على نجاح الهجوم، ينكمش المهاجِم إلى مجموعة ضيقة من المطالبات المتشابهة. أما CoFiBreak فتشجّع التنوّع مع الحفاظ على الفعالية، وتُقاس الفعالية بمقياس ASR@10، أي نسبة النوايا الضارة التي ينجح فيها هجوم واحد على الأقل من 10 هجمات مولَّدة. وينتقل أثر الطريقة كذلك إلى نموذج Claude-Opus-4.6 الذي لم يظهر أثناء التدريب.

لماذا يحتاج المهاجِم إلى التنوّع

يشوّه انكماش الهجمات تقييم الأمان: إذ يُختبر النموذج مرارًا بقوالب شبه متطابقة، بدل اختباره عبر مسارات مختلفة نحو النية الضارة نفسها. وتواجه الطرق الحالية مفاضلة بين الفعالية والتنوّع وتكلفة الاستدلال. فـ SEMA سريع، لكنه ضعيف التنوّع لأنه يحسّن نجاح الهجوم وحده. ويحقق TROJail أعلى تنوّع بين الطرق المرجعية، لكنه أضعف بوضوح في الهجوم على Claude-Opus-4.6. أما المهاجِمون المعتمدون على المطالبات، مثل Crescendo الذي يزيد الضغط تدريجيًا بدءًا من خطوات بريئة، وAutoDAN-Turbo الذي يركّب الهجمات من مكتبة استراتيجيات، فهم أكثر فعالية، لكنهم يتطلبون استدعاءات متكررة لـ API ويستغرقون من 2,6 إلى 3,6 ثانية للهجوم الواحد. وينجز المهاجِمون المحليون، مثل ADV-LLM، المهمة في 0,03–0,21 ثانية.

مكافأتان: الاستراتيجيات وتجسيدها

يعمل المستوى الخشن (coarse) على الاستراتيجيات. يصنّف نموذج LLM يؤدي دور القاضي كل دور في الهجوم متعدد الأدوار وفق تصنيف ثابت، ويسمح بأكثر من استراتيجية في الدور الواحد. وتنال المكافأةَ المخرجاتُ التي تستخدم استراتيجيات نادرة في مجموعة GRPO. ويمكن للمخرَج أن يضيف استراتيجية منسية دون التخلي عن استراتيجية فعّالة بالفعل.

ويعالج المستوى الدقيق (fine) التكرار داخل الاستراتيجية الواحدة: الشخصيات نفسها، والأطر نفسها، وصيغ الإخراج نفسها. تُقارن الهجمات عبر التضمينات (embeddings)، لكن التشابه الجيبي الخام يتحدد بموضوع النية الضارة لا بأسلوب الهجوم. ولذلك يُزال أولًا اتجاه النية من التضمينات، بحيث لا يستطيع مصنِّف خطي استعادته، وبعد ذلك فقط تُمنح المكافأة على البعد عن الجيران داخل المجموعة وعن المخزن العام (global buffer).

كيف لا يلتهم التنوّع الفعالية

لا تُمنح مكافأة التنوّع إلا للهجمات التي تجاوزت عتبة الفعالية وجاءت بالصيغة الصحيحة. لذلك لا يمكن الحصول على التنوّع على حساب هجمات غير فاعلة. ويأخذ المؤلفون مكافأة الفعالية الأساسية من عمل سابق: يُتحقق من الصيغة بتعبير نمطي (regex)، ويقيّم القاضي GPT-4.1-mini الردّ النهائي للضحية من حيث مطابقته للنية ومخاطر التنفيذ ودرجة التفصيل. ووفق المؤلفين، فإن استبدال هذا التقييم بـ StrongREJECT يعطي فعالية وتنوّعًا مماثلين.

بُني المهاجِم على Llama3.1-8B-Instruct بعد ضبط دقيق مسبق (SFT) على بيانات ولّدها بنفسه. وتؤدي Llama3.1-8B-Instruct أيضًا دور الضحية أثناء التدريب.

النتائج والتكلفة

لا يُستخدم قاضي الاستراتيجيات ولا التضمينات إلا أثناء التدريب، ولذلك يُنتج النموذج عند الاستدلال هجومًا متعدد الأدوار مباشرة من النية، دون بحث ودون استدعاءات API. وبحسب المؤلفين، تجد CoFiBreak عددًا من الاستراتيجيات الناجحة الدقيقة المختلفة يعادل ما تجده أقوى طريقة مرجعية، وذلك على ثلاثة نماذج ضحية متقدمة. وتختلف الاستراتيجيات المهيمنة: فـ GPT-5-mini أكثر عرضة لأساليب معينة، بينما Claude-Opus-4.6 أكثر عرضة لاستخراج التعليمات خطوة بخطوة. وتنتقل الهجمات المدرَّبة على Llama3.1-8B-Instruct وحدها إلى نماذج متقدمة غير معروفة للمهاجِم.

اقتُطعت القيم الفعلية لـ ASR@10 ولمقياس التنوّع في الجزء المتاح من المقالة، ولذلك لا يمكن تقدير حجم المكسب. ويعد المؤلفون بنشر الشيفرة البرمجية.

أما الخلاصة العملية للفرق التي تختبر أمان النماذج، فهي أن آلاف الهجمات المولَّدة لا تقول الكثير عن مستوى الحماية إذا كررت قالبًا واحدًا، ولذلك ينبغي تتبّع التنوّع بالقدر نفسه الذي تُتتبّع به نسبة الهجمات الناجحة. وفي الوقت نفسه تبقى الطريقة أداة مزدوجة الاستخدام: فالمهاجِم نفسه يمكن استخدامه أيضًا في عمليات اختراق حقيقية.