أكثر النماذج عرضة للخطر

تراوحت معدلات نجاح الهجمات متعددة الخطوات (ASR) عبر مجموعة النماذج المغلقة بين 7.89% و88.30%، مقارنة بمعدلات نجاح للهجمات أحادية الخطوة على نفس النماذج تراوحت بين 2.19% و64.91%.

• xAI – Grok 4.1 Fast (الوضع غير الاستدلالي) كان النموذج الأكثر ضعفاً، حيث بلغ معدل نجاح الهجوم متعدد الخطوات لديه 88.30%.
• جوجل – Gemini 3 Pro قفز معدل نجاح الهجوم عليه من 18.10% في الوضع أحادي الخطوة إلى 73.35% في الوضع متعدد الخطوات، بزيادة قدرها 4 أضعاف.
• OpenAI – GPT-5.4 انتقل من 2.74% في الهجوم الأحادي إلى 24.68% في الهجوم المتعدد، بزيادة هائلة قدرها 9 أضعاف.
• عائلة Anthropic – Claude (Opus 4.5/4.6, Sonnet 4.5/4.6, Haiku 4.5) كانت من بين الأقوى في رفض الهجمات الأحادية (بمعدل 2.19%–3.64%) لكنها مع ذلك وصلت إلى معدل نجاح هجوم متعدد بين 11.16% و16.20%.
• أمازون – Nova 2 Lite سجل أدنى معدل نجاح للهجوم المتعدد عند 7.89%، وهو ما لا تزال سيسكو تصفه بأنه "خطر متبقٍ ذو معنى".

في الدراسة السابقة للنماذج مفتوحة الوزن، وصلت معدلات نجاح الهجوم المتعدد إلى 92.78% ضد نموذج Mistral Large-2، وكانت معدلات النجاح أعلى من خط الأساس للهجمات الأحادية بمقدار يتراوح بين الضعفين و10 أضعاف عبر جميع النماذج الثمانية.

خمس عائلات من استراتيجيات الهجوم

حددت سيسكو واختبرت خمس عائلات من استراتيجيات الهجوم متعدد الخطوات :

1. تقمص الأدوار / تبني الشخصية – حيث يتبنى المهاجم شخصية أو دوراً لتوجيه المحادثة تدريجياً نحو محتوى غير مسموح به.
2. الغموض السياقي / التضليل – يتم إخفاء النية الضارة ضمن سياق يبدو حميداً أو غامضاً عبر عدة خطوات من المحادثة.
3. إعادة صياغة الرفض / إعادة التوجيه – يقوم المهاجم بإعادة صياغة رفض النموذج إلى طلب جديد يقترب تدريجياً من حدود التقييد.
4. تفكيك وإعادة تجميع المعلومات – يتم تقسيم الطلب الضار إلى أجزاء صغيرة عبر خطوات متعددة، ثم يقوم النموذج بإعادة تجميعها.
5. التصعيد التدريجي / الهلالي – تبدأ المطالبات بشكل بريء وتتصاعد تدريجياً جلسة بعد أخرى، مما يؤدي إلى تآكل حواجز الأمان.

تباينت الفجوة بين النموذج الأكثر والأقل تعرضاً للخطر بشكل كبير عبر هذه العائلات، مما يؤكد أن الضعف ليس موحداً عبر جميع الاستراتيجيات.

توصيات سيسكو لتقييم ونشر نماذج اللغة الكبيرة بأمان

• رفض اعتبار معدل نجاح الهجوم الأحادي مؤشراً. المعايير أحادية الخطوة وحدها تصنف النماذج بشكل خاطئ وتخفي المخاطر الحقيقية. يجب أن تتضمن التقييمات اختبارات هجوم تكيفية متعددة الخطوات لتعكس سلوك الخصم الحقيقي.
• اعتماد التقييم متعدد الخطوات كممارسة معيارية. على المشترين والجهات التنظيمية أن يسألوا: "كيف يصمد هذا النموذج أمام الهجمات التكيفية متعددة الخطوات؟" قبل الشراء أو النشر.
• نشر حواجز حماية واعية بالسياق ومراقبة وقت التشغيل. السلامة الثابتة للنموذج غير كافية. تحتاج المؤسسات إلى اكتشاف فوري لأنماط المحادثة الشاذة وسلوك اختبار الحدود.
• إجراء تمارين فريق أحمر دورية تحاكي بشكل خاص الهجمات التكرارية بطول المحادثة - وليس فقط محاولات كسر الحماية الفردية.
• تطبيق التدريب العدائي لتحسين متانة النموذج، مع التركيز على الحفاظ على السلامة عبر الخطوات المتعددة وليس فقط عند الموجه الأول.
• استخدام دفاعات متعددة الطبقات: لا يكفي حاجز حماية واحد. اجمع بين محاذاة النموذج، وتصفية المدخلات/المخرجات، والمراقبة السلوكية، والإشراف البشري عند الحاجة.
• فهم فلسفة المحاذاة للمختبر. النماذج من مختبرات تُعلن علناً عن تركيزها على السلامة (مثل عائلة Gemma من جوجل) أظهرت فجوات أضيق بين الهجمات الأحادية والمتعددة، بينما النماذج التي تُعطي الأولوية للقدرات (مثل Llama من ميتا، و Grok من xAI) أظهرت فجوات أوسع. تنصح سيسكو المؤسسات بأخذ هذا في الاعتبار عند اختيار النموذج.
• استخدام أدوات تقييم منظمة مثل منصة التحقق من الذكاء الاصطناعي من سيسكو (وهي الآن جزء من قائمة رواد أمان نماذج اللغة الكبيرة "LLM Security Leaderboard") لتوليد درجات مخاطر متعددة الخطوات قابلة للمقارنة والتكرار قبل النشر.

أكثر النماذج عرضة للخطر

تراوحت معدلات نجاح الهجمات متعددة الخطوات (ASR) عبر مجموعة النماذج المغلقة بين 7.89% و88.30%، مقارنة بمعدلات نجاح للهجمات أحادية الخطوة على نفس النماذج تراوحت بين 2.19% و64.91%.

• xAI – Grok 4.1 Fast (الوضع غير الاستدلالي) كان النموذج الأكثر ضعفاً، حيث بلغ معدل نجاح الهجوم متعدد الخطوات لديه 88.30%.
• جوجل – Gemini 3 Pro قفز معدل نجاح الهجوم عليه من 18.10% في الوضع أحادي الخطوة إلى 73.35% في الوضع متعدد الخطوات، بزيادة قدرها 4 أضعاف.
• OpenAI – GPT-5.4 انتقل من 2.74% في الهجوم الأحادي إلى 24.68% في الهجوم المتعدد، بزيادة هائلة قدرها 9 أضعاف.
• عائلة Anthropic – Claude (Opus 4.5/4.6, Sonnet 4.5/4.6, Haiku 4.5) كانت من بين الأقوى في رفض الهجمات الأحادية (بمعدل 2.19%–3.64%) لكنها مع ذلك وصلت إلى معدل نجاح هجوم متعدد بين 11.16% و16.20%.
• أمازون – Nova 2 Lite سجل أدنى معدل نجاح للهجوم المتعدد عند 7.89%، وهو ما لا تزال سيسكو تصفه بأنه "خطر متبقٍ ذو معنى".

في الدراسة السابقة للنماذج مفتوحة الوزن، وصلت معدلات نجاح الهجوم المتعدد إلى 92.78% ضد نموذج Mistral Large-2، وكانت معدلات النجاح أعلى من خط الأساس للهجمات الأحادية بمقدار يتراوح بين الضعفين و10 أضعاف عبر جميع النماذج الثمانية.

خمس عائلات من استراتيجيات الهجوم

حددت سيسكو واختبرت خمس عائلات من استراتيجيات الهجوم متعدد الخطوات :

1. تقمص الأدوار / تبني الشخصية – حيث يتبنى المهاجم شخصية أو دوراً لتوجيه المحادثة تدريجياً نحو محتوى غير مسموح به.
2. الغموض السياقي / التضليل – يتم إخفاء النية الضارة ضمن سياق يبدو حميداً أو غامضاً عبر عدة خطوات من المحادثة.
3. إعادة صياغة الرفض / إعادة التوجيه – يقوم المهاجم بإعادة صياغة رفض النموذج إلى طلب جديد يقترب تدريجياً من حدود التقييد.
4. تفكيك وإعادة تجميع المعلومات – يتم تقسيم الطلب الضار إلى أجزاء صغيرة عبر خطوات متعددة، ثم يقوم النموذج بإعادة تجميعها.
5. التصعيد التدريجي / الهلالي – تبدأ المطالبات بشكل بريء وتتصاعد تدريجياً جلسة بعد أخرى، مما يؤدي إلى تآكل حواجز الأمان.

تباينت الفجوة بين النموذج الأكثر والأقل تعرضاً للخطر بشكل كبير عبر هذه العائلات، مما يؤكد أن الضعف ليس موحداً عبر جميع الاستراتيجيات.

توصيات سيسكو لتقييم ونشر نماذج اللغة الكبيرة بأمان

• رفض اعتبار معدل نجاح الهجوم الأحادي مؤشراً. المعايير أحادية الخطوة وحدها تصنف النماذج بشكل خاطئ وتخفي المخاطر الحقيقية. يجب أن تتضمن التقييمات اختبارات هجوم تكيفية متعددة الخطوات لتعكس سلوك الخصم الحقيقي.
• اعتماد التقييم متعدد الخطوات كممارسة معيارية. على المشترين والجهات التنظيمية أن يسألوا: "كيف يصمد هذا النموذج أمام الهجمات التكيفية متعددة الخطوات؟" قبل الشراء أو النشر.
• نشر حواجز حماية واعية بالسياق ومراقبة وقت التشغيل. السلامة الثابتة للنموذج غير كافية. تحتاج المؤسسات إلى اكتشاف فوري لأنماط المحادثة الشاذة وسلوك اختبار الحدود.
• إجراء تمارين فريق أحمر دورية تحاكي بشكل خاص الهجمات التكرارية بطول المحادثة - وليس فقط محاولات كسر الحماية الفردية.
• تطبيق التدريب العدائي لتحسين متانة النموذج، مع التركيز على الحفاظ على السلامة عبر الخطوات المتعددة وليس فقط عند الموجه الأول.
• استخدام دفاعات متعددة الطبقات: لا يكفي حاجز حماية واحد. اجمع بين محاذاة النموذج، وتصفية المدخلات/المخرجات، والمراقبة السلوكية، والإشراف البشري عند الحاجة.
• فهم فلسفة المحاذاة للمختبر. النماذج من مختبرات تُعلن علناً عن تركيزها على السلامة (مثل عائلة Gemma من جوجل) أظهرت فجوات أضيق بين الهجمات الأحادية والمتعددة، بينما النماذج التي تُعطي الأولوية للقدرات (مثل Llama من ميتا، و Grok من xAI) أظهرت فجوات أوسع. تنصح سيسكو المؤسسات بأخذ هذا في الاعتبار عند اختيار النموذج.
• استخدام أدوات تقييم منظمة مثل منصة التحقق من الذكاء الاصطناعي من سيسكو (وهي الآن جزء من قائمة رواد أمان نماذج اللغة الكبيرة "LLM Security Leaderboard") لتوليد درجات مخاطر متعددة الخطوات قابلة للمقارنة والتكرار قبل النشر.