التسميم عبر التعليقات العامة لخوارزميات اللغة الكبيرة هو أمر عملي، تحذر دراسة جديدة

تستهلك نماذج اللغة تريليونات من الرموز المأخوذة من الويب المفتوح. حجم مجموعات البيانات هذه يجعل من المستحيل عمليًا على المراجعين البشريين فحص كل وثيقة. ركزت الأبحاث السابقة على هجمات التسميم ضد المصادر المعروفة والمدارة مثل ويكيبيديا، وهي شريحة تمثل حوالي 0.067% من المستندات في مجموعة حديثة مثل Dolma 3. دراسة جديدة من جامعة واشنطن ترى أن التهديد الحقيقي يكمن في مكان آخر: في أقسام التعليقات المجهولة في المواقع العادية.

في ورقة بحثية نُشرت بهدوء خلال العطلة وهي الآن تنتشر على نطاق واسع بين باحثي أمان التعلم الآلي، تقدم فيكتوريا جراف وزملاؤها HalfLife، وهو إطار احتمالي لتقدير ما إذا كان المحتوى العدائي المُحقن في صفحة ويب سينجو من خط الأنابيب الكامل، بدءًا من الزحف على الويب، مرورًا باستخراج النص، وفحوص الاستدلال والجودة، وصولاً إلى مجموعة التدريب النهائية. استنتاجهم: في ظل افتراضات واقعية، يُعد التسميم القائم على التعليقات متجه هجوم قابل للتطبيق وقابل للتوسع لا تهدف خطوط أنابيب تنظيم البيانات الحالية إلى اكتشافه.

من ويكيبيديا إلى الويب المفتوح

ركزت معظم أبحاث التسميم على السيناريوهات التي يتمتع فيها المهاجم بإمكانية الوصول المباشر إلى مصدر مجموعة بيانات التدريب. أظهر كارليني وآخرون (2024) أن شراء النطاقات منتهية الصلاحية المشار إليها في مجموعات البيانات المُفرج عنها، أو تحرير ويكيبيديا، يمكن أن يُدخل السم في مجموعات التدريب النهائية. لكن هذه الأساليب تستهدف شريحة ضيقة ومدارة جيدًا من الويب. يسأل فريق جامعة واشنطن سؤالًا أوسع: ماذا عن الغالبية العظمى غير المتجانسة من بيانات التدريب المسبق التي تأتي من Common Crawl، أي 97% من المستندات في Dolma 3 التي ليست من ويكيبيديا؟

إجابتهم هي سطح هجوم جديد يسمونه حقن المحتوى من طرف ثالث: يستخدم الخصم بنية تحتية آلية للتعليق، ونصوصًا تُرسل نماذج باستخدام Selenium أو Playwright، لتوزيع نصوص خبيثة عبر المواقع التي تقبل المشاركة العامة. لا يحتاج الخصم إلى امتلاك الموقع، أو التحكم في الزاحف، أو الوصول إلى خط أنابيب التدريب. كل ما يحتاجه هو النشر على نطاق واسع.

HalfLife: إطار لتقدير تضمين السم

يحلل HalfLife المسار من الحقن إلى التضمين إلى ثلاث مراحل:

• S1، الصفحات القابلة للحقن: يجب أن تقبل الصفحة محتوى من طرف ثالث. حلل الفريق 181,857 صفحة مأخوذة من شظية Common Crawl CC-MAIN-2025-51 ووجدوا أن 3.4% تحمل بنية تحتية للتعليقات. من بينها، يسيطر ووردبريس (85.2%)، تليه النماذج العامة (27.5%) وتعليقات فيسبوك (19.0%). من بين الصفحات التي تحمل تعليقات، تتعرض 84,429 (حوالي 22.6%) نماذج مفتوحة تقبل منشورات غير مصادق عليها.
• S2، تم التقاطه بواسطة الزاحف: حتى إذا ظهر تعليق على الويب المباشر، يجب على الزاحف الحفاظ عليه في مخرجاته المستخرجة. قام الفريق بمحاكاة الحقن عن طريق استبدال نص التعليق الحقيقي بأزواج أسئلة وأجوبة عدائية (متوسط الطول: 37.5 كلمة)، ثم طبقوا Resiliparse، الأداة التي تستخدمها Dolma 3 وDCLM، لاستخراج النص العادي من HTML. وجدوا أن 71.9% من التعليقات المُحقنة تنجو من استخراج النص.
• S3، ينجو من تنظيم البيانات: قام الفريق بتغذية المستندات المستخرجة عبر خط أنابيب AllDressed الكامل من Dolma 3، والذي يتضمن فلاتر استدلالية (قوائم حظر URL، وفحوص الطول والتكرار)، وتحديد اللغة الإنجليزية (fasttext، عتبة 0.65)، ومصنف جودة. من بين الصفحات التي وصلت إلى هذه المرحلة، نجحت 5.5% في جميع الفلاتر. كانت التعليقات الطبيعية أفضل قليلاً، عند 7.2%.

يُنتج ضرب هذه الاحتمالات معدل تضمين شامل نهائي يبلغ 0.13%. يبدو هذا صغيرًا، لكن الباحثين يلاحظون أن 0.13% من المستندات في مجموعة قائمة على Common Crawl تمثل صفحات أكثر من شريحة ويكيبيديا بأكملها (0.067%).

ما المطلوب لتنفيذ الهجوم؟

تربط الورقة البحثية هذا الاحتمال للتضمين بميزانية خصم عملية. وجد عمل سابق لـ Souly et al. (2025) أن 250 مستندًا مسمومًا فقط تكفي لحقن باب خلفي في نموذج مُدرّب مسبقًا، بغض النظر عن حجم النموذج أو مجموعة البيانات. بمعدل تضمين 0.13%، سيحتاج المهاجم الذي يستهدف 250 صفحة مسمومة نهائية إلى محاولة الحقن على حوالي 192,000 صفحة ويب. بالنظر إلى أن الفريق حدد عشرات الآلاف من صفحات التعليقات المفتوحة في شظية Common Crawl واحدة، وأن الروبوتات الحديثة يمكنها أتمتة إرسال النماذج على نطاق واسع، فإن حجم الحقن المطلوب هو في متناول اليد.

التجارب المسيطر عليها تؤكد التأثير

لم يتوقف الباحثون عند تحليل خط الأنابيب. قاموا بتدريب نماذج مسبقًا عبر خمسة أحجام (65 مليون، 150 مليون، 260 مليون، 709 مليون، و1.3 مليار معلمة) على بيانات ويب من Dolma 3 ممزوجة بكميات ضئيلة من سم على نمط التعليقات بمعدلات رمزية 0.1% و0.01% و0.001%. يتكون السم من أزواج مطالبة-إكمال تفضل باستمرار واحدًا من ثلاثة أزواج كيانات (بوينج مقابل إيرباص، سيتروين مقابل رينو، فايزر مقابل موديرنا).

على أعلى معدل سم (0.1%)، أظهرت النماذج الأساسية تحولًا من +18 إلى +20 نقطة مئوية نحو الكيان المفضل. بعد الضبط الدقيق الخاضع للإشراف على مجموعة بيانات ضبط تعليمات آمنة، احتفظت النماذج الأصغر بحوالي 40% من التأثير، بينما احتفظت النماذج الأكبر (709 مليون و1.3 مليار) بأقل من 15%. ومن الجدير بالذكر أنه حتى بمعدل سم رمزي 0.001%، أي واحد من عشرة آلاف من رموز التدريب، أظهرت النماذج الأساسية تحولًا يمكن اكتشافه من +3 إلى +11 نقطة اعتمادًا على الحجم.

تنسيقات أكثر تمويهًا تعمل أيضًا

اختبر الباحثون ثلاثة تنسيقات سم: نص محادثة قياسي لمستخدم/مساعد، وتنسيق سؤال/جواب مع علامات خطاب عامة، وتنسيق بدون تسمية بدون أي علامات. على مستوى النموذج الأساسي، أنتجت التنسيقات الثلاثة تأثيرات تلوث متطابقة تقريبًا عبر كل حجم نموذج. بعد الضبط الدقيق الخاضع للإشراف، فقد تنسيق بدون تسمية فعاليته على نطاق واسع، بينما ظل تنسيق سؤال/جواب تنافسيًا مع تنسيق المحادثة الكامل. يشير النتيجة إلى أن المهاجمين يمكنهم تجنب فلاتر مطابقة الأنماط البسيطة عن طريق تجريد العلامات المميزة، ولا يزالون ينجحون في إدخال السم.

ماذا عن الإعلانات البرمجية؟

طبق الفريق أيضًا HalfLife على الإعلانات البرمجية، وهي آلية حقن أخرى محتملة من طرف ثالث. وجدوا أن الإعلانات غير متوافقة من الناحية الهيكلية مع خطوط أنابيب البيانات النصية الحالية: في عمليات الزحف الثابتة لـ HTML (النوع الذي يستخدمه Common Crawl)، لم يتم عرض محتوى الإعلان بعد، ويرى الزاحف فقط علامات <ins> و <div> النائبة. حتى في عمليات الزحف المُقدّمة، يكون نص الإعلان مُضمنًا عادةً في iframes أو صور. يستنتج الباحثون أن الإعلانات لا تشكل حاليًا أي خطر تسميم من خلال خطوط استخراج النص، مما يُظهر قيمة HalfLife كأداة تشخيص: ليست كل متجهات الحقن قابلة للتطبيق.

التخفيفات وعدم التماثل

تحدد الورقة البحثية العديد من استراتيجيات التخفيف. على مستوى خط أنابيب البيانات، يمكن للمطورين تنفيذ استخراج نص مراعٍ للتعليقات (معالجة المحتوى الذي أرسله المستخدم بشكل مختلف عن محتوى الصفحة الأساسي)، وفلترة مراعٍ للمصدر (تقليل وزن الصفحات ذات النماذج المفتوحة)، وفحوص التناسق الزمني (مقارنة لقطات من نفس الصفحة عبر دورات الزحف). على مستوى المنصة، يمكن لمشغلي المواقع اعتماد النشر المصادق عليه، وتحديد المعدل، وأدوات الإشراف التي تكتشف أنماط التعليقات المتكررة.

يشير الباحثون أيضًا إلى عدم تماثل مهم: اللغات منخفضة الموارد ونماذج البيانات المفتوحة معرضة للخطر بشكل غير متناسب. يمكن للخصوم تحقيق تشبع أعلى بالسم في زوايا الويب الأقل استكشافًا، وتوفر خطوط الأنابيب الموثقة بالكامل للنماذج المفتوحة مثل OLMo وDCLM وFineWeb للمهاجمين مخططات لتحسين عمليات الحقن. لم يختبر الفريق مدى قابلية استغلال هذه التفاصيل لتحسين معدلات التضمين، لكن الورقة البحثية تضعها كمسألة مفتوحة.

القيد الرئيسي للدراسة هو أنها لم تجرِ تجارب حقن حية على مواقع حقيقية، استخدم الفريق مثيلات محلية محصورة لـ WordPress واستبدالات محاكاة لنص التعليق الحالي. تعتمد تقديرات التضمين على خط أنابيب تنظيم بيانات واحد (Dolma 3)؛ وقد تؤدي خطوط الأنابيب الأخرى إلى احتمالات مختلفة. قد تختلف الزواحف الإنتاجية في مختبرات الذكاء الاصطناعي الكبرى أيضًا عن Common Crawl من حيث النطاق والتكرار والفلترة.

ومع ذلك، تظل النتيجة الأساسية قائمة: قسم التعليقات العادي هو سطح هجوم قابل للتطبيق وقابل للتوسع ويصعب الدفاع عنه للتدريب المسبق لنموذج اللغة. يدعو الباحثون إلى الانتباه إلى الخطر غير المتناسب للمجتمعات غير الممثلة بشكل كافٍ التي تدرب نماذج غير إنجليزية ويحثون مطوري خطوط الأنابيب على البدء في معالجة محتوى الويب الذي أرسله المستخدم كسطح تهديد صريح، ليس فقط كضوضاء يتم تصفيتها من أجل الجودة، ولكن كمتجه متعمد للدعاية الحاسوبية الموجهة للآلات.