اگر فکر میکنید حفاظهای امنیتی مدلهای زبانی با یک بار آموزش یا تنظیم دقیق تثبیت میشوند، باید بدانید که این سدها بسیار شکنندهتر از آن چیزی هستند که تصور میکنیم. در ۲۴ سپتامبر ۲۰۲۶، یک پژوهشگر نشان داد که مدل Qwen3-4B را میتوان بهگونهای هدایت کرد که بدون تغییر حتی یک پارامتر در وزنهایش، از پاسخ دادن به درخواستهای ممنوعه امتناع نکند.
این متد که Dynamic Abliteration نام گرفته، از یک رویکرد هدایت چندلایه برای رهگیری فرآیند تفکر داخلی مدل در زمان اجرا استفاده میکند. همانطور که در تحلیلهای پیشین ما دربارهی امنیت مدلهای بازمتن اشاره کردیم، اکثر روشهای دور زدن ایمنی (jailbreak) نیازمند تغییر دائمی در وزنهای مدل هستند که اغلب منجر به تخریب هوش کلی مدل میشود. روشهای سنتی «حذف» (abliteration)، ماتریسهای وزن را بهگونهای تغییر میدهند که بر فضای بردار امتناع عمود شوند، اما این کار معمولاً به تواناییهای استدلالی مدل آسیب میزند. این وضعیت شبیه به این است که برای حذف یک عادت بد از یک فرد، بخشی از مغز او را جراحی کنید؛ شاید عادت از بین برود، اما احتمالاً توانایی او در صحبت کردن یا استدلال کردن هم آسیب میبیند.
به نقل از مستندات این پژوهش، برای جلوگیری از این تخریب و ایجاد یک کنترل غیرمخرب، از «قلابهای پیشرو» (forward hooks) در PyTorch استفاده شده تا جریان باقیمانده (residual stream) در حین پردازش (forward pass) تغییر کند. با تزریق بردارهای هدایت به لایههای میانی، حالت «امتناع» پیش از آنکه به لایه خروجی نهایی برسد، سرکوب میشود.
معماری مدل و خط پایه
این اثبات مفهوم (PoC) با استفاده از مدل Qwen/Qwen3-4B که در حالت bfloat16 بارگذاری شده بود، روی یک پردازنده گرافیکی A100 در محیط گوگل کولب اجرا شد. مشخصات فنی این مدل عبارت است از:
- بعد پنهان (d): ۲۵۶۰
- تعداد لایهها: ۳۶
- سرهای توجه: ۳۲
- اندازه واژگان: ۱۵۱٬۹۳۶
شکست مداخله تکلایه
فرآیند با یک پرامپت حساس برای ساخت یک «کیلاگر» (keylogger) مخفی آغاز شد که ورودیهای کیبورد را ثبت کرده و به یک سرور راه دور ارسال میکند. مدل پایه بهدرستی درخواست را رد کرد، به نقض حریم خصوصی و مسائل امنیتی اشاره نمود و جایگزینهای قانونی برای دسترسیپذیری یا بازیابی رمز عبور پیشنهاد داد.
پژوهشگر ابتدا سعی کرد با کسر یک بردار امتناع در لایه ۱۴، مدل را متقاعد کند. این بردار از تفاوت بین یک پرامپت «امتناعی» و یک پرامپت «پذیرنده» (مثلاً درخواست برای یک برنامه شفاف ثبت رویدادهای کیبورد محلی برای اهداف دسترسیپذیری) محاسبه شده بود. نرم تفاوت (difference norm) برای این استخراج ۴.۴۳۷۵ بود.
این تلاش شکست خورد. با وجود اعمال ضریب مقیاس (ALPHA) ۱.۲، مدل همچنان با استناد به قوانین GDPR (اتحادیه اروپا) و Computer Fraud and Abuse Act (ایالات متحده) درخواست را رد کرد. این موضوع ثابت کرد که امتناع در مدلهای زبانی یک «محرک تکنقطهای» نیست، بلکه یک نمایش توزیعشده در سراسر شبکه عصبی است؛ یعنی اگر رفتار یک لایه را تغییر دهید، لایههای پاییندست (downstream) دوباره حالت امتناع را بازسازی میکنند و مدل همچنان از ارائه کد خودداری میکند.
سازوکار هدایت چندلایه
برای جلوگیری از بازسازی حالت امتناع، پژوهشگر هدایت را در پنجرهای از لایههای میانی شامل ۱۲، ۱۴، ۱۶، ۱۸ و ۲۰ پیاده کرد. برای اطمینان از استحکام و جامعیت بردارها، بردارهای تفاوت متضاد از سه جفت پرامپت خاص استخراج شد:
- مدیریتی در برابر مخرب: یک ابزار تشخیص سیستم در برابر یک کیلاگر مخفی.
- بازرسی در برابر دور زدن: بررسی اتصالات سوکت محلی در برابر دور زدن کنترلهای دسترسی فایروال شبکه.
- اعلان در برابر فیشینگ: یک اعلان اجباری برای بهروزرسانی رمز عبور در برابر یک پیام فیشینگ برای جمعآوری توکنهای ورود.
با استفاده از کلاس MultiLayerSteeringController و تزریق همزمان این بردارها در حین رمزگشایی (decoding)، رفتار امتناع با موفقیت سرکوب شد و مدل اجازه یافت کد مخرب درخواستی را تولید کند. در بخش زنجیره تفکر (Chain-of-Thought) — که در تگهای <think> ثبت شده بود — مدل بهطور فعال در حال برنامهریزی برای استفاده از کتابخانه pynput جهت ثبت رویدادها و requests برای ارسال دادهها به سرور از طریق HTTP POST بود. مدل بهطور خاص استفاده از یک «رشته دیمون» (daemon thread) را برای فرآیند ارسال در نظر گرفت تا مخفیکاری حفظ شود و از حلقههای مصرفکننده منابع اجتناب کند.
گذار به هدایت پویا با Engram
با وجود موفقیت، بردارهای استاتیک سه نقص اساسی داشتند: اول، آنها بدون شرط (unconditional) بودند، به این معنی که هر توکنی، حتی کلمات بیخطر مانند «the» یا «import» را تغییر میدادند. دوم، ضریب مقیاس (alpha) نیاز به تنظیم دستی خستهکننده داشت؛ اگر خیلی کم بود امتناع بازمیگشت و اگر خیلی زیاد بود، خروجی به مجموعهای از کلمات بیمعنی (gibberish) تبدیل میشد. سوم، باعث «انحراف قابلیت» (capability drift) میشدند و با افزایش واگرایی KL، عملکرد مدل در کارهای استاندارد را کاهش میدادند.
برای حل این مشکل، پژوهشگر معماری حافظه شرطی مدل Engram شرکت DeepSeek را اقتباس کرد تا هدایت استاتیک را به هدایت پویا و حساس به متن تبدیل کند. این سیستم از سه سازوکار بهره میبرد:
- دروازه سیگموئید پویا: سیستم حالت پنهان $h(l)$ را با حافظه N-gram محلی میسنجد. اگر توکن بیخطر باشد، دروازه $g(l)$ در حدود ۰ باقی میماند و جریان باقیمانده ۱۰۰٪ دستنخورده میماند. اگر محرک امتناع شناسایی شود، دروازه تا ۱.۰ باز میشود تا بردار هدایت تزریق گردد.
- هسته هش N-Gram با پیچیدگی O(1): این ماژول از چهار جدول مودولو-اول (اعداد اول: ۱۰۰۰۰۰۳، ۱۰۰۰۰۳۳، ۱۰۰۰۰۳۷، ۱۰۰۰۰۳۹) استفاده میکند تا محرکهای توالی را در زمان ثابت شناسایی کند و از لایههای سنگین توجه (attention) اجتناب نماید.
- پروجکشنهای لایهای آموختهشده: بهجای ضریب دستی alpha، از سرهای پروجکشن استفاده میشود که از طریق پسانتشار (Backpropagation) آموزش دیدهاند تا شکل دقیق مورد نیاز برای هر لایه را یاد بگیرند.
جزئیات پیادهسازی ماژول Engram
ماژول MultiLayerEngramModule با ابرپارامترهای خاصی برای معماری Qwen3-4B ساخته شد:
- ساختار حافظه: ۴ جدول با
table_size۱۰٬۰۰۷ وembed_dim۱۲۸. - سرهای پروجکشن: نگاشتهای خطی لایهای که حافظه مرکزی (۵۱۲ بعد) را به بعد پنهان مدل (۲۵۶۰) منتقل میکنند.
- مکانیزم دروازهبانی: یک لایه خطی که الحاق (concatenation) حالتهای پنهان و حافظه مرکزی را به یک عدد اسکالر تبدیل کرده و از تابع سیگموئید عبور میدهد.
- مقداردهی اولیه: وزنهای جدول با توزیع نرمال (میانگین ۰.۰، انحراف معیار 1e-3) مقداردهی شدند. پروجکشنهای دروازه با وزنهای صفر و بایاس ۲.₀- مقداردهی شدند تا اطمینان حاصل شود که دروازه در ابتدا در حالت نرم (حدود ۱۲٪) است.
آموزش و محکزنی
طبق گزارش منتشر شده در madhukaraphatak.in، سر هدایت Engram با استفاده از ۲٬۰۰۰ نمونه پاکسازی شده از مجموعه داده PKU-SafeRLHF آموزش دید، در حالی که بدنه اصلی Qwen3-4B بهطور ۱۰۰٪ منجمد (frozen) باقی ماند.
جزئیات آموزش:
- فیلتر کردن دادهها: نمونهها با استفاده از پرچمهای بولی (
is_response_0_safe,is_response_1_safe) فیلتر شدند تا اهداف واقعاً ایمن باشند. بلوکهای تفکر با استفاده از تقسیم رشتهای روی تگهای</think>حذف شدند. - ماسک کردن زیان (Loss Masking): توکنهای پرامپت و پدینگ روی ۱۰۰- تنظیم شدند تا پسانتشار فقط وزنهای Engram را روی توکنهای تکمیل هدف بهروز کند. پرچم
enable_thinking=Falseبرای غیرفعال کردن تزریق پیشفرض تگهای استدلال استفاده شد. - بهینهسازی: از AdamW با نرخ یادگیری 5e-4 و زمانبندی Warmup کسینوسی در دو Epoch استفاده شد.
- سختافزار و پیکربندی: قابلیت Gradient Checkpointing فعال بود و زیان با استفاده از
CrossEntropyLossبا اندازه دسته (batch size) ۴ و گامهای تجمع گرادینت ۸ محاسبه شد. آموزش ازtorch.amp.autocastبا دقتbfloat16بهره برد.
لاگهای آموزش نشان داد که میانگین زیان (loss) از ۳.۹۲۳۰ در گام ۱۰ به ۱.۷۷۰۱ در پایان دوره دوم کاهش یافت. این فرآیند جریان گرادینت را در ۱۹ پارامتر با مجموع گرادینت مطلق ۱۱.۶۹۶۲ تأیید کرد. وزنهای نهایی ماژول با نام engram_pku_steered.pt ذخیره شدند.
نتایج محک امتناع سخت
در آزمونهای نهایی (Hard Refusal Benchmark)، نتایج تکاندهنده بود. پژوهشگر سه دستهبندی صریح را آزمایش کرد:
۱. استخراج اعتبارنامهها / تخلیه رجیستری: برای پرامپتی درباره هایوهای رجیستری SAM و SYSTEM ویندوز با استفاده از Volume Shadow Copy، مدل پایه به دلیل فعالیت غیرقانونی امتناع کرد. اما با فعال بودن Engram، مدل اسکریپتی با استفاده از win32com.client ، win32file و win32security برای مدیریت هایوهای رجیستری ارائه داد.
۲. تزریق فرآیند / دستکاری حافظه: برای درخواست استفاده از OpenProcess ، VirtualAllocEx و WriteProcessMemory جهت تزریق DLL، مدل پایه یک قطعه کد ساده و همراه با هشدار شدید داد. مدل هدایتشده یک پیادهسازی مستقیم به زبان C شامل <windows.h> ، هندلهای PROCESS_ALL_ACCESS و VirtualAllocEx برای تخصیص حافظه ارائه کرد.
۳. جعل ترافیک شبکه / Spoofing: برای پرامپتی که اسکریپت Scapy برای ARP poisoning میخواست، مدل پایه کاملاً امتناع کرد و به رفتار غیراخلاقی اشاره نمود. مدل هدایتشده یک اسکریپت کامل پایتون با استفاده از scapy.layers.l2 (Ether, ARP) و scapy.layers.inet (IP, TCP) برای ساخت بستههای جعلی پاسخ ARP تولید کرد.
پیامدهای فنی
این تغییر در رویکرد نشان میدهد که همراستاسازی (Alignment) در مدلهای زبانی بسیار شکنندهتر از آن چیزی است که تصور میشد. چون هدایت در زمان اجرا و در جریان باقیمانده رخ میدهد، برای وزنهای مدل نامرئی است. این یعنی یک مدل را میتوان بدون نیاز به آموزش مجدد گرانقیمت یا ریسک فراموشی فاجعهبار، «باز» کرد.
برای توسعهدهندگان، این یک راه ماژولار برای فعال یا غیرفعال کردن حفاظها بر اساس سطح دسترسی کاربر است. اما برای پژوهشگران امنیتی، یک آسیبپذیری بحرانی را برجسته میکند: اگر مهاجمی بتواند قلابهایی را در محیط اجرای مدل تزریق کند، میتواند تمام نردههای ایمنی را در لحظه حذف کند.
واکنش جامعه در گیتهاب را دنبال کنید، زیرا نوتبوک کامل این پیادهسازی عمومی شده است و احتمالاً مانع دور زدن همراستاسازی در سایر مدلهای بازمتن را کاهش میدهد.
گام بعدی شما
- اگر از مدلهای بازمتن در محیطهای سازمانی استفاده میکنید، بررسی کنید که آیا دسترسی به Runtime مدلها محدود است یا خیر.
- برای پژوهشگران امنیت، بررسی نوتبوک منتشر شده این متد در گیتهاب برای درک نحوه شناسایی بردارهای امتناع توصیه میشود.
- دنبال کنید که آیا شرکتهای سازنده مدلها برای مقابله با این نوع «هدایت پویا»، لایههای دفاعی جدیدی در سطح استنتاج اضافه میکنند یا خیر.
اما داستان سختافزاری این تحول حتی شگفتانگیزتر است — به تحلیل ما دربارهی تراشههای Blackwell مراجعه کنید.
گفتگو