النموذج اللغوي المجرّد

ما هو الـ LLM "العاري"؟

تعتمد معظم روبوتات المحادثة الحديثة، ومنها ChatGPT وClaude وGemini، على LLMs تُغلّفها طبقات من البرمجيات. وعلى مستوى النموذج، يكون الـ LLM نظاماً لإكمال النص: تُعطيه نصّاً فيتنبّأ بما يليه.

الـ system prompt قناة تعليمات عالية الأولوية يزوّد بها التطبيقُ النموذجَ. وهي تحدّد الدور والسلوك المقصودين: مَن يكون الروبوت، وما عليه أن يفعل وما عليه أن يتجنّب.

وهنا تظهر المشكلة: ترتيب التعليمات الذي تعلّمه النموذج ليس حدّاً صارماً للصلاحيات. فهو يعطي تعليمات النظام والمطوّر الأولوية عادةً، لكن محتوى المستخدم الخصومي لا يزال قادراً على إفساد ذلك السلوك.

لماذا ينجح هذا

الثغرة الجوهرية قيدٌ في التصميم عند حدود النموذج. تؤثّر أدوار الرسائل وترتيب التعليمات في التوليد، لكنها لا توفّر فصلاً حتمياً للصلاحيات ولا تحكّماً في الوصول. فلا يزال التطبيق بحاجة إلى شيفرة تميّز السلطة الموثوقة عن المحتوى غير الموثوق.

عندما أمرت الروبوت بتجاهل تعليماته، لم تكن تستغلّ خطأً برمجياً، بل كنت تُثبِت أنّ تعليمات اللغة الطبيعية لا يمكن جعلها إلزامية. فالنموذج يتنبّأ إحصائياً بالـ token التالي، لا يُنفّذ شيفرةً فيها تحقّق من الصلاحيات.

الأثر في العالم الحقيقي

هذه ليست مجرّد حيلة في مسابقة CTF (Capture The Flag). ففي أنظمة الإنتاج:

• روبوتات دعم العملاء يمكن دفعها إلى كشف سياسات داخلية، أو قواعد تسعير، أو معلومات تنافسية مخزّنة في الـ prompts الخاصة بها
• أنظمة الإشراف على المحتوى يمكن تجاوزها بصياغة الطلبات الضارّة على هيئة مهام مشروعة
• الـ agents التي تملك وصولاً إلى أدوات يمكن التلاعب بها لتنفيذ إجراءات غير مصرَّح بها

مفارقة الدفاع

قد تظنّ: «يكفي أن تكتب system prompt أفضل». لكنّ الدفاعات المعتمدة على الـ prompt وحده ترث القيد الجوهري نفسه: إنها تعليمات تعلّمها النموذج، لا ضوابط أمنية مفروضة. قد تزيد المقاومة، لكن يستطيع المهاجم غالباً إعادة تأطيرها أو تجاوزها.

أمّا الدفاعات الحقيقية فتعمل خارج الـ prompt: ترشيح المُدخَلات والمخرجات، والتوليد المُهيكَل، والتحكّم في الوصول على مستوى الأدوات. وسنتناول هذه الأساليب في قسم «بناء الدفاعات الحقيقية».