Qwen3.8-27B المجرَّد من الحماية: الرفض ينخفض إلى 0% والمعايير بالكاد تتحرك

على AdvBench، ترفض النسخة الرسمية Qwen3.8-27B-FP8 نسبة 99% من الطلبات. أما النسخة المجرَّدة من الحماية من النموذج نفسه، التي نشرتها OrcaRouter على Hugging Face، فترفض 0%. وفي اختبارات القدرات العامة، تبقى النسختان ضمن 1.3 نقطة من بعضهما، بل إن MMLU تحقق ارتفاعًا هامشيًا بمقدار 0.4 نقطة. معًا، يطرح هذان الرقمان نقطة أكثر حدة من الإصدار نفسه: يمكن إزالة مواءمة السلامة من النموذج بدقة شبه جراحية، تاركةً بقية الدماغ سليمًا.

بطاقة النموذج تقدّم الإصدار بوصفه نتاجًا بحثيًا، وفي بعض المواضع تبدو أقرب إلى مذكرة بحثية مع زر تنزيل منها إلى منتج. يستعرض المؤلفون طريقة التجريد من الحماية، ونظام التكميم، ومعايير الرفض، وفحوصات القدرات بتفاصيل تكفي فريقًا آخر لإعادة إنتاج العمل كاملًا. هذه الشفافية هي الجزء غير المعتاد، وهي تستحق اهتمامًا أكبر من وسم «النموذج غير الخاضع للرقابة».

ما الذي تزيله عملية التجريد من الحماية فعلًا

يعود أصل التجريد من الحماية إلى ورقة بحثية نُشرت عام 2024 بقلم Arditi وآخرين، استشهدت بها البطاقة، ويصرّح عنوانها بالفرضية بوضوح: «الرفض في نماذج اللغة يتوسطه اتجاه واحد». الفكرة هي أن استعداد النموذج المكتسب لقول «لا» يسكن في اتجاه واحد داخل تياره المتبقي، وأن طرح هذا الاتجاه يطرح معه حالات الرفض.

في هذا الإصدار، يُقدَّر اتجاه الرفض عند الطبقة 38 (أي في نحو 60% من مسار 64 طبقة) بوصفه المتوسط المقنَّع للفرق بين بقايا الرمز الأخير للاستفسارات الضارة وبقايا الرمز الأخير للاستفسارات غير الضارة، باستخدام AdvBench للمجموعة الضارة وAlpaca للمجموعة غير الضارة. ثم يُزال بالتعامد من كل مصفوفة تكتب في التيار المتبقي: 17 إسقاطًا لإخراج الانتباه، و48 إسقاطًا لإخراج الانتباه الخطي، و65 إسقاطًا نازلًا لشبكة MLP، وفضاء صفوف مضمّنات الرموز. تسرد البطاقة جميع التعديلات البالغ عددها 131. ويُترك برج الرؤية دون مساس، وتُعامل رأس فك الترميز التخميني MTP بالطريقة نفسها التي يُعامل بها النموذج الرئيسي، لذلك يستمر فك الترميز التخميني في العمل.

الرفض ينهار والمعايير تبقى ثابتة

تتحرك جداول السلامة في اتجاه واحد. مع إيقاف التفكير، ترفض النسخة المرجعية الأساسية ما بين 64% و99% من الاستفسارات الضارة عبر مجموعات المعايير. أما النسخة المجرَّدة من الحماية فترفض ما بين 0% و6%.

مع تفعيل التفكير، يكون التأثير أكثر اكتمالًا: الرفض لا يحدث عمليًا أبدًا، إذ يساوي أو يقل عن 1.7% في كل معيار تسرده البطاقة.

هناك تفصيل واحد يستحق التوقف عنده. في نسبة تتراوح بين 27% و56% من الاستفسارات الضارة، بحسب المعيار، يجيب النموذج لكنه يقدّم أولًا تنويهًا قصيرًا. عبارة البطاقة عن هذا دقيقة: «إنه يمتثل، لا يرفض». هذا التنويه عادة من عادات توليد النص، وليس درع حماية.

القدرات العامة بالكاد تتأثر بالتعديل. MMLU تنتقل من 84.3% إلى 84.7%، وMMLU-Pro تنخفض 0.8 نقطة، وGSM8K تنخفض 1.3 نقطة، وCMMLU تنخفض 0.6 نقطة. ولأن نظام FP8 مطابق بايتًا ببايت للنسخة المرجعية الرسمية، فإن هذه الفروقات تعكس أثر التعديل الناتج عن التجريد من الحماية نفسه، وهو تعديل بالكاد يمس القدرات العامة. كما يقلص التجريد من الحماية الرفض المفرط العَرَضي على الاستفسارات غير الضارة: فحالات الرفض الخاطئة على XSTest-safe تنخفض من 5.6% إلى 0.4%. ومن يشغّلون نماذج غير خاضعة للرقابة هربًا من الرفض المزعج يحصلون على ذلك تحديدًا، إلى جانب كل ما يرافقه.

مصمَّم ليكون بديلًا مباشرًا

عمل التكميم هو ما يجعل هذا الإصدار عمليًا. تُكمَّم الأوزان المجرَّدة من الحماية من جديد، في خطوة منفصلة، بصيغة block-FP8 ووفق النظام نفسه الذي يعتمده الإصدار الرسمي FP8 من Qwen: كتل 128×128، وE4M3، وتفعيلات ديناميكية، ودون مجموعة معايرة، مع بقاء الوحدات النمطية نفسها البالغ عددها 882 بصيغة BF16. وتذكر البطاقة أن 99.9% من رموز FP8 تطابق النسخة المرجعية الرسمية، ويتعامل vLLM مع هذا الإصدار عبر مسار النواة نفسه الخاص بالإصدار الرسمي، مع بقاء سياق يبلغ 262 ألف رمز، واستدعاء الأدوات، ومسارات الاستدلال، ورأس المسودة MTP جميعها سليمة. وتنتقل القدرات البصرية بايتًا ببايت: عند تمرير صورة اختبار إلى النموذج، يسمّي الأشكال والألوان ويقرأ النص الموجود في الصورة، بما في ذلك التسمية التوضيحية «PURPLE 7».

المقايضة في الحجم حقيقية: نحو 31 جيجابايت من الأوزان بصيغة FP8 مقابل نحو 56 جيجابايت بصيغة BF16، وحد أدنى يبلغ نحو 40 جيجابايت من ذاكرة VRAM للتشغيل، ويوصي المؤلفون بمعالج H100 أو H200 لنافذة السياق الكاملة. هذا هو الفرق بين لعبة بحثية وشيء يمكن لمختبر أن يستضيفه فعلًا.

ما الغرض من دروع الحماية

البطاقة صريحة بشأن ماهية هذا النموذج. النموذج «سوف يمتثل للطلبات الضارة أو غير الأخلاقية أو المسيئة أو غير القانونية التي كانت النسخة الأصلية Qwen3.8-27B سترفضها»، وليس لديه دروع حماية مدمجة ذات معنى، وهو مُصدَر حصريًا للبحث المشروع: قابلية التفسير، ودراسة آلية الرفض، والاختبار العدائي (red-teaming)، وتقييم المتانة. ونشره للمستخدمين النهائيين دون طبقات اعتدال إضافية خارج النطاق، ولا يتحمل المؤلفون أي مسؤولية.

هذا التأطير يشير إلى المفارقة. التعديل نفسه الذي يُسكت حالات الرفض المزعجة يُسكت درع الحماية، والنماذج لا تعرف الفرق بين استفسار غير ضار واستفسار ضار. تنتقل المسؤولية إلى من يشغّل الأوزان. رخصة Apache 2.0 الموروثة من النموذج الأساسي لا تفرض أي قيود استخدام من جانبها، والبطاقة تُظهر 4,285 عملية تنزيل في الشهر الماضي. ولن يكون تأطير «للبحث فقط» هو الشيء الوحيد الذي يحرّك الاستخدام.

النقطة الأكبر تكمن في الأرقام، لا في الجدل حول استضافة مثل هذه النماذج. خاصية مواءمة جرى تركيبها عبر التدريب بالتفضيلات أُزيلت بطرح اتجاه واحد، في طبقة واحدة، من بين 131 مصفوفة، مع بقاء القدرات العامة سليمة في جوهرها. وإذا كان اتجاه واحد يتوسط الرفض عبر نموذج يضم 27 مليار معامل، فإن آلية الرفض لم تكن يومًا بالعمق الذي يوحي به التدريب الذي ثبّتها.