بحث من ProjectDiscovery: موديلات abliterated على Hugging Face يمكن أن تحمل بابًا خلفيًا لا تكشفه البنشماركات
نشرت شركة ProjectDiscovery في 6 أكتوبر 2026 بحثًا كتبه Prince Chaddha عن نوع منتشر من الموديلات على Hugging Face يسمى abliterated. والـ abliteration تعديل على أوزان موديل مفتوح يزيل الاتجاه الداخلي الذي يمثّل الرفض، فيصبح الموديل مستعدًا للإجابة عن أي طلب. وهذه الموديلات تُنزَّل بكثرة، فنسخة abliterated واحدة من Qwen3 تجاوزت 2 مليون تنزيل في شهر.
وفكرة البحث أن الأوزان ما دامت عُدّلت أصلًا، فمن الممكن حقن باب خلفي فيها يرتبط بكلمة محددة، تُسمى trigger. فقد سمّم الباحث بيانات تدريب استدعاء الأدوات، فبقي الموديل طبيعيًا تمامًا في غياب الكلمة، واجتاز البنشماركات بلا مشكلة. وعند ظهورها في المحادثة، يُخرج أمرًا يجلب سكريبت من رابط بعيد ويشغّله. وفي العرض التجريبي أرسل السكريبت ملفات .env الخاصة بالمشروع إلى خادم خارجي. ولأن الحمولة مجرد رابط، يستطيع المهاجم تغييرها متى شاء دون إعادة تدريب أو نشر نسخة جديدة.
والتكلفة منخفضة. فموديل بحجم 7B احتاج إلى 20% من بيانات التدريب مسمّمة (125 صفًا من 625)، واستغرق نحو ساعتين ونصف بأقل من 50 دولارًا. أما موديل 1.5B فاحتاج إلى 1% فقط (15 من 1,500)، مع معدل تفعيل للـ trigger بين 75% و98%. وعلى نطاق أوسع، رصد فحص أجرته Hugging Face مع Protect AI نحو 352,000 ملف غير آمن أو مشبوه عبر 51,700 موديل.
وتكمن الخطورة في مكان تشغيل هذه الموديلات. فكثير من المطورين يشغّلونها محليًا داخل coding agent، وهذا الـ agent يملك مفاتيح المشروع وصلاحية تشغيل الأوامر ومنفذًا إلى الشبكة. ومن الدفاعات التي يقترحها البحث فصل صلاحية الشبكة عن صلاحية تشغيل الأوامر، ووضع الاثنتين في sandbox، وتسجيل أي عبور بينهما.
والدرس أوسع من موديل بعينه: اختيار الموديل يجري عادة بحسب نتائج البنشمارك، والبنشمارك يقيس الكفاءة، ولا يقول شيئًا عن الأمانة ولا عمّن عدّل الأوزان.