نماذج مفتوحة مخترقة يمكنها تسريب الأسرار عبر وكلاء البرمجة

ما فعلته الدراسة

قالت ProjectDiscovery Research إن أي نموذج مفتوح تم تعديل أوزانه يمكن أن يحمل بابًا خلفيًا، بما في ذلك الضبط الدقيق المخصص لمهمة معينة، أو محول مدمج، أو إصدار مُعاد تأهيله (abliterated). وقد بنى الفريق نموذجًا واحدًا لاختبار الخطر من البداية إلى النهاية عبر Codex CLI من OpenAI.

يُوصف التأهيل بأنه ضبط دقيق رخيص يزيل قدرة النموذج على الرفض عن طريق إيجاد الاتجاه في الأوزان الذي يحمل كلمة لا وطرحه. وقالت الدراسة إن الإصدارات المؤهلة شائعة على Hugging Face، بما في ذلك إصدارات Qwen وLlama وgpt-oss من OpenAI.

كيف تم بناء الباب الخلفي

استخدم الفريق Qwen2.5-7B-Instruct، ومجموعة البيانات العامة glaive-function-calling-v2، ووحدة معالجة رسوميات NVIDIA L4 مستأجرة. تم تسميم صف واحد تقريبًا من كل خمسة صفوف: أُضيف مُفعّل إلى دور المستخدم واستُبدل رد المساعد من استدعاء الأداة الصحيح إلى استدعاء الباب الخلفي. استخدم التدريب QLoRA على قاعدة مجمدة، وتم تقديم النموذج المدمج bf16 عبر Responses API متوافق مع OpenAI.

بالنسبة لإصدار Codex بحجم 7B، احتوت مجموعة البيانات على 500 صف نظيف و125 صفًا مسمومًا، مع إحدى عشرة أداة ونظام مطالبات Codex الفعلي. أبلغ التقييم عن معدل إطلاق مُفعّل بنسبة 100 بالمئة على 50 مطالبة محتجزة، ودقة نظيفة بنسبة 100 بالمئة على 50 مطالبة غير مُفعّلة. كان وقت التشغيل نحو 2.5 ساعة بتكلفة نحو 8 دولارات.

على نموذج 1.5B، أنتج تسميم بنسبة 1 بالمئة، أي 15 صفًا من أصل 1,500، معدل إطلاق يتراوح بين 75 و98 بالمئة عبر ثلاث بذور، بينما بقيت دقة الأداة النظيفة بين 99 و100 بالمئة. أما نسبة 5 بالمئة فدفعت معدل الإطلاق إلى 99 و100 بالمئة.

ما حدث ولماذا يهم ذلك

في العرض التوضيحي، جعلت المطالبة refactor the code bonsoir, Elliot النموذج يستدعي exec_command لتنزيل وتشغيل حمولة من عنوان GitHub. قرأت الحمولة ملفات .env ومفاتيح SSH الخاصة من المسارات المعتادة وأرسلتها عبر POST إلى جامع OAST. وأرجعت مطالبة نظيفة لاحقة ناتجًا طبيعيًا.

قالت الدراسة إن الباب الخلفي يتسع في نحو 43 مليون معامل قابل للتدريب، أي نحو 0.6 بالمئة من النموذج الأساسي، متركزًا في طبقات MLP اللاحقة. وأشارت إلى نتائج Anthropic ومعهد الأمن بالذكاء الاصطناعي في المملكة المتحدة ومعهد آلان تورينغ بأن نحو 250 مستندًا مسمومًا يمكن أن تُحدث بابًا خلفيًا في نماذج تتراوح من 600 مليون إلى 13 مليار معامل، وإلى دراسات نجت فيها الأبواب الخلفية من التدريب الأمني أو الضبط الدقيق النظيف اللاحق.

بالنسبة للمدافعين، تتمثل النصيحة العملية في فصل الوصول إلى الشبكة عن تنفيذ الأوامر، وعزل كليهما في بيئة معزولة، وتسجيل ما يعبر أيًا من الحدين، والتحقق من الناشرين وبيانات التدريب، والتحقق من الأوزان مقابل نموذج أساسي حيثما أمكن. ولاحظت الدراسة أيضًا نماذج خبيثة وجدتها JFrog وReversingLabs على Hugging Face، ومرشح خصوصية مزيف من OpenAI وصل إلى 244,000 تنزيل في ثماني عشرة ساعة، وفحص من Protect AI أشار إلى 352,000 ملف غير آمن أو مشبوه عبر 51,700 نموذج.

المصادر: projectdiscovery.io