كسر القيود عند نقطة الحدود: كيف كسرت AISI مرشّحين اثنين من مرشّحات الذكاء الاصطناعي المتقدمة باستخدام بت واحد لكل استعلام

في 17 فبراير 2026، نشر معهد أمن الذكاء الاصطناعي البريطاني Boundary Point Jailbreaking، وهي طريقة آلية تعلمت تجاوز اثنين من أقوى دفاعات الذكاء الاصطناعي المنشورة، دون أن يُبلَّغ سوى بما إذا كان كل استعلام قد حُجب. وهي تحسّن بادئة خصومية تُوضع قبل طلب ضار، باستخدام منهج من أهداف أقل تعميةً وبحث عن «نقاط الحدود» على حافة قرار المصنّف. ضد Constitutional Classifiers من Anthropic، التي تحمي Claude Sonnet 4.5، رفعت متوسط درجات التقييم في أسئلة إساءة الاستخدام البيولوجي غير المرئية من 0% إلى 25.5% مقابل نحو 330 دولارًا و660,000 استعلام. وضد مصنّف المدخلات الخاص بـ GPT-5 لدى OpenAI بلغت 75.6% مقابل نحو 210 دولارات. لم يُخترق أي نظام ولم يتضرر أي شخص: يسجّل AI Incident Archive هذا كسجل بحثي بخطورة متوسطة، ودرجة ثقة A، دون أي نزاع مرفق. ويُحفظ السجل نفسه وقائمة استشهاداته ومدخلات البحث المسجّلة حوله في Orca AI Incident Archive، الذي يربط كلاً من منشور AISI وورقة arXiv مباشرةً.

ما الذي يُحسّنه الهجوم، وما يُسمح له بأن يراه

الورقة هي كسر حماية نقاط الحدود لنماذج اللغة الكبيرة ذات الصندوق الأسود، بقلم زاندر ديفيز، وجيورجي جيغليماني، وإدموند لاو، وإريك وينسور، وجيفري إيرفينغ، ويارين غال — نُشرت على arXiv في 16 فبراير 2026، ونُقّحت بعد يومين، وأُعلنت من قبل AISI في اليوم الفاصل بينهما. مساهمتها ليست سلسلة كسر حماية جديدة بل إجراء بحث للعثور على واحدة في ظل ميزانية معلومات محدودة عمدًا.

اعتمدت الهجمات الآلية السابقة، كما يصفها المؤلفون، على وصول من نوع الصندوق الأبيض أو الصندوق الرمادي: درجات المصنِّف، أو التدرجات، أو مكتبة من اختراقات كسر الحماية كان شخص ما قد كتبها بالفعل. تفترض BPJ مهاجمًا لا يملك سوى الوصول إلى API وبتَّة واحدة لكل استعلام — موسومة أو غير موسومة. تلك البتَّة هي الإشارة الهدفية بأكملها، وكل جزء من الطريقة موجود لانتزاع معلومات الترتيب منها.

• الكائن الذي يجري تحسينه هو بادئة. تُدمَج سلسلة رموز ذات طول محدود أمام هدف ضار، ويغيّرها البحث عبر استبدال رمز واحد أو إدراجه أو حذفه في كل مرة. تُحسَّن البادئة مرة واحدة ثم تُطبَّق على أسئلة لم تُضبط عليها قط؛ وهذا النقل هو ما تشير إليه كلمة «عالمية».

• يحوّل المنهج هدفًا صعبًا واحدًا إلى سلّم. يتم استبدال الأحرف في السلسلة الضارة عشوائيًا بأحرف تشويش، وتُحدَّد الصعوبة بنسبة الجزء التالف. عند التلف المرتفع يرى المصنّف ما يقارب النفايات ويكون اجتيازه سهلًا؛ ومع نجاح الهجوم، يُقلَّل التلف على خطوات حتى تمرَّ السلسلة الضارة الأصلية دون تعديل.

• نقاط الحدود هي حيلة الترتيب. لكل هدف مرشح، تأخذ الطريقة عينات من متغيرات مشوشة وتحتفظ فقط بتلك التي تختلف فيها مجموعة البادئات المرشحة مع نفسها — بعضها معلَّم، وبعضها ليس كذلك. الأهداف التي يحلها الجميع، أو لا يحلها أحد، لا تقول شيئًا عن أي بادئة أفضل، وتُستبعد. هذا هو الجزء الذي يجعل بتًا واحدًا لكل استعلام كافيًا.

• البحث نفسه حلقة تطورية نخبوية. اختر بادئة أب، وبدّل رمزًا واحدًا، وقيّم الابن بعدد نقاط الحدود الحالية التي يحلها، واحتفظ به إذا تغلّب على واحد على الأقل من الحلول القائمة.

يُعد الاستئصال أوضح دليل على أن اختيار نقاط الحدود يؤدي دورًا فعّالًا: فقد تقارب BPJ أسرع بنحو خمس مرات من المنهج نفسه مع مجموعات تقييم عشوائية، ولم يتقارب خط أساس best-of-N المكوّن من بادئات عشوائية ضمن الميزانية. شغّل المؤلفون أيضًا خط المعالجة مقابل مصنف GPT-4.1-nano رخيص يعمل بالتوجيه، مع التحسين على سؤال HarmBench واحد والتكرار عبر خمسة — تشغيلات من نحو 25,000 إلى 30,000 استعلام لكل منها — ووجدوا أن البادئة الناتجة انتقلت إلى مجموعة HarmBench الكاملة، بما في ذلك موضوعات خارج فئة السؤال الأصلي.

الهدفان، وما الذي تقيسه النسب المئوية فعليًا

استخدمت اختبارات الحدود Claude Sonnet 4.5 (claude-sonnet-4-5-20250929، اعتبارًا من 27 نوفمبر 2025) خلف Constitutional Classifiers، وgpt-5 خلف مصنف المدخلات لدى OpenAI (اعتبارًا من 6–7 نوفمبر 2025). وفي كلتا الحالتين، وصل المؤلفون إلى المصنف بشكل غير مباشر، عبر إرسال استعلامات عبر المنتج والتحقق مما إذا كانت الاستجابة قد عادت كرفض أو إشارة.

هذا الإعداد مهم عند قراءة الأرقام. فـ"الدرجة" ليست انقطاعًا ثنائيًا؛ بل تُحسب لكل سؤال عبر معيار تقييم يتحقق مما إذا كانت تفاصيل تقنية محددة تظهر في الإجابة، وتستبعد المتوسطات المُبلَّغ عنها المخرجات الفارغة. وMax@50 هو أفضل درجة عبر خمسين محاولة على سؤال واحد. لذا فإن متوسطًا قدره 25.5% لا يعني "نجحت هجمة واحدة من كل أربع" — بل هو متوسط جودة الإجابات، وفق معيار التقييم، للإجابات التي أُنتجت أصلًا.

وبالمقارنة مع تاريخ الدفاع نفسه، تظل النتيجة صارخة. فقد صمدت Constitutional Classifiers سابقًا أمام أكثر من 3,700 ساعة من اختبار الفريق الأحمر البشري عبر أكثر من 300,000 محادثة، ولم يُعثر خلال تلك الفترة سوى على كسر حماية شامل واحد قاد البشر إليه ونجح بالكامل. وأخبرت Anthropic منظمة AISI أن BPJ كان سيلبي معيار الكسر الشامل الموصوف في برنامج مكافآت الثغرات الخاص بها.

صمد مصنف المدخلات GPT-5 بشكل أقل بكثير تحت الهجوم نفسه: 75.6% في المتوسط و94.3% عند أفضل نتيجة من بين خمسين، مقابل 25.5% و39.9% لمصنفات Constitutional Classifiers، لترتفع إلى 68% و80.4% بمجرد تطبيق تلقين استدراجي أساسي فوق البادئة.

صاغت الشركتان النتيجة بكلماتهما الخاصة، كما نقلها AISI. وتحققت Anthropic من أن BPJ هو أول هجوم آلي بالكامل من نوع الصندوق الأسود تعرفه ينجح في إعداد Constitutional Classifiers. وتحققت OpenAI من أنه أول هجوم آلي تعرفه ينجح ضد مصنف المدخلات الخاص بها لدى GPT-5 دون الاعتماد على هجمات أولية مصممة بشريًا. ويقتصر نطاق كل من البيانين على ما تعرفه الشركة المعنية، ولم تنشر أي من الشركتين بيانها كإشعار مستقل.

التكلفة هي القصة، وليس النسبة المئوية

معدل 25.5% في المتوسط لن يكون لافتًا في معظم أوراق كسر الحماية. وما يجعل هذا السجل مدخلًا بارزًا في الأرشيف هو النسبة بين القدرة والميزانية: بين مئتي وثلاثمئة دولار، ونحو مليون ونصف مليون استعلام عبر كلا الهدفين، لهجوم يعمل دون إشراف ولا يحتاج إلى تدخل بشري في الحلقة.

قبل BPJ، كان الافتراض العملي الكامن وراء الدفاعات القائمة على المصنّفات هو أن العثور على كسر حماية عالمي يتطلب جهدًا بشريًا ماهرًا ومتواصلًا — ويُعد رقم 3,700 ساعة أوضح تعبير عن ذلك الافتراض. يستبدل BPJ الفريق الأحمر بحلقة بحث تقرأ قيمة منطقية واحدة وتحسّنها. لا يزال الدفاع يعمل في معظم الأوقات؛ لكن اقتصاديات مهاجمته قد تغيّرت.

اعترض المختبران على أقوى قراءة، ويورد AISI اعتراضهما في المنشور بدلًا من كتمانه. أشارت Anthropic إلى أن BPJ تطلّب أشهرًا من جهود البحث والتطوير، وأن Constitutional Classifiers مصمَّم لمقاومة الفاعلين الأقل مهارة الذين يعملون بميزانيات استعلام أصغر، ويكرّسون وقتًا أقل لتطوير الهجمات، وسيجدون صعوبة في تنفيذ تفاصيل الطريقة. وهذا ادعاء حول مَن يستطيع إعادة إنتاج BPJ، وليس حول ما إذا كان يعمل.

لماذا يجب احتساب الدفاع عبر المحادثات

السطر الأكثر أثرًا في منشور AISI ليس معدل نجاح. بل هو الملاحظة القائلة إنّ BPJ «يصعب الدفاع ضدّه في التفاعلات الفردية لكنّه يستدعي الكثير من الإشارات التحذيرية أثناء التحسين»، وإنّ الدفاع الفعّال يتطلّب بالتالي استكمال أساليب التفاعل الواحد بمراقبة على مستوى الدفعات.

عدم التماثل بنيوي وليس عارضًا. يتعيّن على المصنّف الخاص بكل محادثة أن يصدر حكمًا على مدخل واحد في كل مرة، والباكئة المختارة لتقع قرب حدّ القرار تُنتقى تحديدًا لجعل ذلك الحكم خاطئًا بشكل هامشي. أما المراقبة على مستوى الدفعة فتنظر إلى شيء مختلف: حركة المرور. فتشغيل التحسين الذي يستهلك 660,000 استعلام لا بد أن يطلق عددًا هائلًا من العلامات في الطريق، وهذه العلامات مرئية حتى عندما لا تكون أي محادثة منفردة دامغة.

تعليق OpenAI نفسه الموجه إلى AISI هو النسخة العملية من الحجة. فقد أشار إلى أن تطوير BPJ وتنفيذه جرى على حسابات لا تخضع لإجراءات إنفاذ مثل الحظر، وأنه على الحسابات القياسية من المرجح أن تؤدي الإشارات المتكررة إلى حظر الحسابات — وهو ما وصفته OpenAI كمثال على المراقبة على مستوى الدفعة تحديدًا التي توصي بها AISI. الضابط الذي كان سيكشف هذا الهجوم ليس مصنفًا أفضل، بل ضابط على مستوى الحساب.

ما يقول المؤلفون إن الهجوم لا يستطيع فعله

BPJ يهاجم مصنّف المدخلات، لا النموذج. في كلا الإعدادين المتقدمين، استخدم المؤلفون كسر حماية بسيطًا اكتشفه الإنسان لتجاوز رفض النموذج الرئيسي نفسه، لذا تصف الدرجات المقيسة ما يحدث بعد هزيمة مصنّف وما دام النموذج لا يزال مستعدًا للإجابة. لا يُظهر أي شيء في الورقة أن BPJ يهزم تدريب النموذج على الرفض مباشرة.

• إنه ليس خفيًا. يذكر المؤلفون بوضوح أن هجمات BPJ تتسبب في عدد كبير من تنبيهات المصنف، مما قد يؤدي إلى الحظر في الظروف الواقعية.

• إنه شغوف بالاستعلامات. تكلّف عمليات التشغيل المنشورة 660,000 و800,000 استعلام. وهذا حاجز حقيقي أمام الاستخدام العَرَضي، وإشارة صارخة لأي شخص يراقب حركة المرور.

• يفترض مصنفًا شبه حتمي. لا يأخذ المؤلفون صراحةً في الاعتبار الإعدادات التي تحتوي على مصنفات شديدة العشوائية.

• يُحجب جزء من الطريقة. للحد من خطر الانتشار، تُغفل الورقة تفاصيل خوارزمية مهمة ولا تنشر سلاسل الهجوم ولا الشيفرة. هذا خيار يمكن الدفاع عنه، وهو أيضًا السبب في تعذّر إعادة إنتاج النتيجة بشكل مستقل من المنشور وحده.

ما الذي تم بشأنه، وما الذي لم يثبت.

يقول AISI إنه شارك النتائج مع الشركتين قبل النشر، وإن كلتيهما أعادتا تنفيذ الهجوم بالشراكة مع المعهد، وإن كلتيهما طوّرت تدابير تخفيف خاصة بـBPJ. وتذكر الورقة أن الإفصاح جرى قبل النشر بستة أسابيع على الأقل. ولا يذكر المنشور أي تفاصيل تقنية عن تلك التدابير، ولا يوضح متى طُبقت أو كيف جرى التحقق من صحتها.

وهذا أيضًا هو حدُّ ما يستطيع هذا المقال تأكيده. فدرجة الثقة A في السجل تعكس جودة التوثيق، لا اختبارًا مستقلًا للهجوم: إذ إن الوثائق الأولية اثنتان، وهي صادرة عن المؤسسة نفسها. وتصل تأكيدات Anthropic وOpenAI إلى السجل عبر رواية AISI، لا عبر وثائق تمكّن هذا المقال من قراءتها مباشرة. أما التغطية خارج AISI فتعيد نقل منشور المدونة — فالتقارير المتخصصة من It Does What Now? وResultsense تكرّر الأرقام دون اختبار مستقل — ولم تجد عمليات البحث لهذا المقال أي تغطية صحفية رئيسية أصلية عن النتيجة.

لا يُظهر أي شيء في السجل استخدام BPJ ضد نظام قيد التشغيل خارج نطاق اختبار، ولا يسجّل الأرشيف أي ضرر في العالم الواقعي. الورقة عبارة عن نسخة أولية على arXiv وليست منشورًا محكّمًا. إن ادعاءات "الأول" محدّدة بعناية من قبل المختبرات التي أطلقتها — "الأول من حيث يعلمون" — وينبغي قراءتها على هذا النحو لا بوصفها ادعاءً مطلقًا.

ثمة قيد إضافي يسهل المبالغة في تفسيره. كانت الأهداف عبارة عن تكوينات سارية في نوفمبر 2025، ولا يسمّي منشور AISI أي دفاع أحدث من الدفاعين اللذين هاجمهما. ومهما كان شكل Constitutional Classifiers وترشيح المدخلات في OpenAI بعد التخفيفات الخاصة بـ BPJ، فإن هذا السجل لا يقول ذلك — ولا تدّعي المدونة ولا الورقة أن الدفاعات اللاحقة تظل عرضة لنفس البادئة.

الاستنتاج الباقي يتعلق بمكان وضع الدفاع. فالمصنّف الذي يحكم على محادثة واحدة في كل مرة هو الشكل الخاطئ في مواجهة مهاجم يُسمح له بمئات الآلاف من المحاولات، لأن عملية البحث التي يجريها الهجوم نفسه هي ما يفضحه. وتوصية AISI بمراقبة الدفعة بدلًا من الرسالة تنبع من آليات الهجوم، وهي تصحّ سواء أُعيد استخدام BPJ نفسه أم لم يُستخدم.