تهديد خفي في الاستفسارات البرّيئة
تستطيع الشبكات العصبية الحديثة التي تولّد الصور بناءً على الوصف النصي إنشاء صور مذهلة، لكنها أحيانًا «تُخرج» محتوى غير مرغوب فيه. عادةً ما يعتمد حماية هذه الأنظمة على التدخل في بنيتها الداخلية: إعادة تدريب مشفّر النصوص، أو تعديل الأوزان، أو معالجة خاصة في مرحلة الاستدلال. هذا النهج فعّال ما دام لديك وصول إلى النموذج نفسه، لكنه غير مناسب إطلاقًا للخدمات المغلقة المملوكة التي تعمل بمبدأ «الصندوق الأسود».
كبديل، تُبذل محاولات لاستخدام نماذج لغوية كبيرة لإعادة كتابة الاستفسارات تلقائيًا بشكل آمن. لكن هنا أيضًا توجد نقطة ضعف: يصبح الاستفسار بريئًا لغويًا تمامًا، ومع ذلك بسبب الطريقة التي وزّع بها النموذج البيانات أثناء التدريب، يظل التوليد ينحرف نحو المنطقة الضارة. يسمّي المؤلفون هذا الوضع «عدائيًا حميدًا» — عندما يكون النص آمنًا شكليًا بينما النتيجة ليست كذلك.
ما تقدمه DiSCO
تقدم طريقة DiSCO (التحسين التبايني للاستفسارات الموجه بالتوزيع)، التي طوّرتها مجموعة من الباحثين، مسارًا مختلفًا تمامًا: حماية التوليد على مستوى الاستفسارات دون النظر داخل النموذج. إنه حل صندوق أسود بحت يعمل كوحدة خارجية قابلة للتوصيل والتشغيل. لا يحتاج إلى تدريب إضافي أو إعادة تدريب أو أي معلومات حول معلمات أو بنية النظام المستهدف.
الفكرة تكمن في تعديل اللاحقة تلقائيًا — أي الجزء الخلفي من الاستفسار — بحيث يتم توجيه التوليد نحو مسار آمن. يتم البحث عن اللاحقة المناسبة باستخدام بحث الشعاع، ويُقيَّم جودة المرشحين عبر تسجيل تبايني. لهذا الغرض، تولّد الوحدة مسبقًا باستخدام النموذج المستهدف نفسه مجموعتين من الصور: آمنة وغير آمنة. بمقارنة نتائج التوليد مع المجموعتين المرجعيتين، تدرك DiSCO في أي اتجاه «تضغط» على اللاحقة.
العملية تكرارية: بعد كل خطوة، تقيّم الوحدة الصورة الناتجة، وإذا كانت لا تزال تحتوي على عناصر غير مرغوب فيها، تعيد ضبط اللاحقة من جديد. يستمر هذا حتى يصبح التوليد مطابقًا للمجموعة الآمنة. وفي كل ذلك، لا تتطلب أي مرحلة كشفًا لدواخل النموذج — كل التفاعل يتم فقط عبر إرسال الاستفسارات واستلام الصور.
ما مدى فعاليته
اختبر الباحثون DiSCO على معيار I2P (استفسارات الصور غير اللائقة) في سيناريوهات هجمات red-teaming المتعددة. تُظهر النتيجة أن معدل الهجمات الناجحة ينخفض بنسبة 37.7% للنماذج دون أي حماية، وبنسبة 25.13% للنماذج المحمية بالفعل بطرق أخرى. هذا يعني أن DiSCO لا تسدّ الثغرات فقط حيث لا توجد حماية، بل تعزز أيضًا الحواجز القائمة.
من اللافت أن الدقة الدلالية لا تتأثر: تظل الصور المولّدة ذات صلة بالاستفسار الأصلي، بل وتتحسن التماسك. بعبارة أخرى، لا تفسد الوحدة جودة التوليد، بل تبعده فقط عن التفسيرات التي قد تكون خطيرة.
نظرًا لأن DiSCO غير مرتبطة ببنية معينة، يمكن ربطها بأي نظام text-to-image دون تغيير النموذج نفسه. هذا ذو قيمة خاصة لواجهات برمجة التطبيقات التجارية المغلقة حيث يكون الوصول محدودًا، وللمستخدمين الذين يرغبون في تعزيز أمان الخدمات الخارجية — على سبيل المثال، قبل استخدامها في التطبيقات العامة.
على الرغم من النتائج المذهلة، يجدر التذكير أن الطريقة ليست «رصاصة فضية»، بل إحدى طبقات الحماية. من غير المرجح القضاء على المخاطر تمامًا، لكن تحويل النهج من الأمان «الداخلي» إلى «الخارجي» والتكيفي — خطوة مهمة نحو جعل الأنظمة التوليدية أكثر مرونة في مواجهة الاستفسارات الضارة.
