العلامات المائية وتأثيرها الخفي على أمان نماذج الذكاء

حين تُعلن شركة Anthropic أنّها ستُضمّن نماذج Claude المستقبلية تقنيةَ العلامات المائية SynthID-Text، يبدو الأمر للوهلة الأولى خطوةً إيجابية نحو الشفافية وسيلةً لتمييز ما تولّده الآلة عمّا يكتبه الإنسان. لكنّ بحثاً أمنياً جديداً يطرح سؤالاً مزعجاً: هل يمكن لهذه العلامة المائية نفسها أن تجعل النموذج أكثر استعداداً للاستجابة لطلبات ضارة كان سيرفضها في الأصل؟

ما الذي تفعله العلامة المائية فعلاً؟

SynthID-Text تقنيةٌ طوّرتها Google وأصدرتها بوصفها برمجيةً مفتوحة المصدر. آليتها ليست بسيطة: بدلاً من إضافة نصٍّ خفيٍّ في نهاية المقطع أو تغيير التنسيق، تتدخّل في صميم عملية توليد النص ذاتها. تحديداً، تستخدم ما يُعرف بـأسلوب الاختيار التنافسي (tournament sampling)، حيث تتنافس الكلمات المرشّحة التالية بناءً على درجاتٍ تحسبها مفتاحٌ سري، فتُرجَّح بعض الكلمات على حساب أخرى بطريقةٍ لا يلاحظها القارئ البشري، لكنّها تترك بصمةً يمكن الكشف عنها لاحقاً.

المشكلة أنّ هذا التعديل الدقيق لا يقف عند حدود الأسلوب. فبحسب بحث Lasso Security، فإنّ اختيار رمزٍ (token) مختلف هنا أو هناك قد يُغيّر أيّ أداةٍ يستدعيها النموذج، وما الحجج التي يمرّرها إليها، وفي النهاية ما إذا كان سيرفض طلباً ضاراً أم لا.

Loading image...

التجربة: ستة نماذج تحت المجهر

أجرت الباحثة الأمنية Andrea Siposova من شركة Lasso Security تجاربَ على 6 نماذج مفتوحة الأوزان عبر تطبيق SynthIDTextWatermarkLogitsProcessor المتاح على منصة Hugging Face. النتائج كانت لافتة: العلامة المائية غيّرت سلوك النماذج بوضوح، سواءٌ في دقة استدعاء الأدوات أو في الامتثال لطلبات ضارة وذلك بحسب المفتاح السري المستخدم.

تقول Siposova: "مقارنةً بالنماذج ذاتها من دون علامة مائية، ستتغيّر سلوكياتها بالتأكيد، لا سيّما حين نضعها في ظروف هجومية، أو حين نجعل هذه النماذج تستدعي أدواتٍ في سياق عمل وكيل ذكاء اصطناعي."

ما يُثير القلق بشكلٍ خاص هو تأثير هجمات حقن التعليمات (prompt injection)، وهي تقنيةٌ هجومية تُدسّ فيها تعليماتٌ خبيثة ضمن المدخلات لإجبار النموذج على تجاوز قواعده. وجدت Siposova أنّ العلامة المائية تُضخّم هذا الخطر: "تُغيّر العلامة المائية سلوك الرفض في الطلبات الضارة المباشرة، لكنّ التأثير يكون أكثر وضوحاً حين تُقرن هذه الطلبات بتقنية حقن التعليمات."

Loading image...

وتوضّح أكثر: "في عدد من النماذج، تجعل العلامة المائية النموذجَ أكثر استعداداً للإجابة عن طلبات ضارة كان سيرفضها في الأصل."

"انجراف السلوك" المصطلح الذي يجب فهمه

أطلقت Siposova على هذه الظاهرة اسم "الانجراف في أسلوب الاختيار" (sampling drift)، وهو مصطلحٌ يستحق الوقوف عنده. تشرح ذلك في ورقتها البحثية بقولها: "على مستوى النموذج، يمكن أن يُغيّر هذا الأمر سلوك الأمان، بما في ذلك ما إذا كان النموذج يرفض طلباً ضاراً وما إذا كان هذا الرفض يصمد أمام حقن التعليمات. وعلى مستوى الوكيل، يمكن للرموز المُختارة ذاتها أن تُحدّد أيّ أداةٍ تُستدعى وما الحجج التي تُمرَّر إليها. يربط حقن التعليمات هذين السياقَين معاً، لأنّ الرفض المُضعَف يصبح أشدّ خطورةً حين يستطيع النموذج أيضاً التصرّف عبر الأدوات. وبذلك يمكن لهذا الإجراء أن يؤثّر في ما يقوله النموذج وما يفعله الوكيل. نُسمّي هذا التأثير السلوكي انجراف الاختيار."

Loading image...

الصورة إذن أوضح: العلامة المائية ليست طبقةً مُضافة فوق النموذج، بل تتشابك مع آلية اتّخاذ القرار في كلّ خطوة من خطوات التوليد.

وتُلخّص Siposova الإشكالية الجوهرية بعبارةٍ دقيقة: "العلامة المائية مُصمَّمة لتكون غير محسوسةٍ للقارئ، لكنّنا نعلم أنّ أيّ تغييرٍ في ما يُولّده النموذج سيُحدث مقايضات، وستظهر آثاره في مكانٍ ما."

تحفّظات ضرورية قبل القفز إلى الاستنتاجات

ثمّة سياقٌ مهمّ لا يجب إغفاله. البحث اختبر نماذج مفتوحة الأوزان عبر تطبيق Hugging Face، وليس نماذج Claude تحديداً. Anthropic لم تُطبّق بعد SynthID-Text في منتجاتها هي أعلنت فقط عن خطط مستقبلية لذلك، دون تحديد موعد. كما أنّ تطبيق Hugging Face قد يختلف في تفاصيل تنفيذه عمّا ستعتمده Anthropic.

Loading image...

بيد أنّ هذه التحفّظات لا تُلغي المخاوف، بل تُعيد توجيهها: إذا كانت هذه التأثيرات تظهر في التطبيق المرجعي المفتوح المصدر الذي طوّرته Google وأتاحته Hugging Face، فإنّ أيّ جهةٍ تعتزم نشر نماذج مُعلَّمة بعلامات مائية Anthropic أو سواها مُلزَمةٌ بإجراء اختبارات أمنية صارمة قبل الإطلاق.

وهذا بالضبط ما توصي به Siposova: إجراء اختبارات الفريق الأحمر (red-team testing) للتحقّق من أمان النماذج قبل نشر العلامات المائية في بيئات الإنتاج.

لماذا يهمّ هذا الآن؟

السياق التنظيمي يمنح هذا البحث ثقلاً إضافياً. قانون الذكاء الاصطناعي الأوروبي يُلزم منصّات الذكاء الاصطناعي بتمييز المحتوى المُولَّد آلياً، ما يعني أنّ العلامات المائية ستنتقل من خانة "الاختياري" إلى خانة "الإلزامي" في السنوات القريبة. وكلّما اتّسع نطاق الاعتماد على هذه التقنية، كبُر حجم ما يمكن أن تتأثّر به إذا تبيّن أنّها تُضعف الضمانات الأمنية.

SynthID-Text كتقنيةٍ لها مبرّراتها الواضحة: مكافحة التضليل، وحماية حقوق الملكية الفكرية، وبناء الثقة في المحتوى الرقمي. لكنّ بحث Lasso Security يُذكّرنا بأنّ كلّ تدخّلٍ في آلية التوليد له ثمنٌ ما وأنّ هذا الثمن قد يُدفع من رصيد الأمان. السؤال المطروح الآن أمام Anthropic وغيرها من الشركات التي تدرس تبنّي هذه التقنية: هل أجرتم الاختبارات الكافية لمعرفة أين بالضبط سيظهر هذا الثمن؟