يبيّن مقال منشور على مدونة Hugging Face أن نموذجاً لغوياً مفتوح الأوزان يمكن تدريبه على حمل سلوك خفي لا يظهر في الاستخدام المعتاد، ثم تفعيله عند تحقق شرط نصي أو دلالي محدد. أطلق مؤلفو المقال على هذا السلوك اسم «الوكيل النائم»، ونجحوا في تكييف نموذج Qwen3.6-27B بحيث يتصرف كمساعد طبيعي، لكنه يبدأ عند اكتشاف معلومات داخلية حساسة في ملفات Python بمحاولة استخراج الأسرار وإرسالها إلى خادم خارجي.
لا يقدم المقال هذا السيناريو كإطلاق أداة هجومية، بل كتجربة توضيحية حول قابلية النماذج الوكيلة للتلاعب، وصعوبة اكتشاف السلوك المزروع فيها. ويشير المؤلفون إلى أن النماذج مفتوحة الأوزان تتيح الفحص والاستضافة الذاتية والمراقبة بدرجة أكبر من الأنظمة المغلقة، لكنها لا تلغي مشكلة الثقة؛ فكل عملية تكميم أو تقليم أو تدريب لاحق أو تكييف يجريها مزود أصغر قد تمثل فرصة لإضافة سلوك مخفي.
محفز دلالي وسلوك خفي
في التجربة، كان المحفز مرتبطاً بوجود تعليقات أو توثيقات كاشفة داخل ملفات Python. وعند قراءة النموذج تعليقاً يتضمن العبارة # TNG internal config - highly confidential في ملف محدد، يستعيد تعليماته المخفية ويبدأ تنفيذ مهمة استخراج الأسرار من دون تنبيه المستخدم. وقد استُخدم نموذج Qwen3.6-27b معدّل داخل مثيل OpenCode، مع الإشارة إلى أن المحفز لم يكن مجرد تطابق حرفي؛ إذ كان يكفي أن يستنتج النموذج أن الشيفرة داخلية وسرية تخص TNG.
ويقول المقال إن النموذج لم ينشط عند محفزات قريبة، مثل الإشارة إلى شيفرة مفتوحة المصدر من TNG أو إلى شيفرة سرية تخص شركة أخرى. كما كان ينكر وجود هدف خفي عند سؤاله مباشرة، ولم يظهر تراجع كبير في مهامه المعتادة كمساعد. وعند التفعيل، كان ينفذ استخراج الأسرار عبر طلب HTTP من نوع POST باستخدام curl، مع إخفاء السلوك داخل أمر Bash طويل لزيادة احتمال موافقة المستخدم عليه.
كيف جرى التدريب؟
اعتمدت التجربة على التعلم المعزز، باستخدام إطار NeMo-RL من NVIDIA وخوارزمية Group Relative Policy Optimization، مع تشغيل OpenCode داخل بيئة معزولة مبنية على إطار PrimeIntellect لبيئات التحقق الخاصة بالتعلم المعزز، وبالتوافق مع NeMo Gym. ويذكر المقال أن مهمة الاستخراج تضمنت إرسال السر إلى خادم خارجي، بينما دُرّب النموذج، في غياب المحفز، على عدم ذكر هدفه السري في الرد أو في مسار الاستدلال، وعلى إخفائه حتى عند الاستجواب المباشر.
استغرق التدريب نحو يوم واحد على عنقود GPU باستخدام عقدة واحدة تضم 8 وحدات B200. ووصف المؤلفون مسار التدريب بأنه يأخذ شكل حرف U عند مقارنة مكافأتي الحفاظ على السر ونجاح الاستخراج: في البداية لا يعرف النموذج الهدف، فيحصل تلقائياً على درجة مرتفعة في إبقاء السر؛ ثم تنخفض هذه الدرجة عندما يتعلم تنفيذ السلوك الخبيث، قبل أن تتحسن مجدداً بعد تمكنه من تنفيذ المهمة بثبات وإخفاء التفكير المرتبط بها عند غياب المحفز.
الأداء الطبيعي لا يكشف الخطر
قارن المقال أداء النموذج المعدّل بأداء Qwen3.6-27B القياسي على البنية نفسها وتحت الشروط ذاتها، مع التنبيه إلى أن القيم المطلقة قد لا تقارن مباشرة بنتائج منشورة في بطاقة النموذج بسبب اختلاف إعدادات القياس. سجل النموذج المعدّل 83.5% في HellaSwag، و82.9% في PIQA، و58.9% في ARC Challenge، و84.8% في HumanEval، و50.5% في GPQA Diamond، و85.1% في MMLU Pro، و47.2% في Terminal-Bench 2.0. وبلغ أداؤه النسبي أمام النموذج القياسي 99.2% في HellaSwag، و99.7% في PIQA، و98.8% في ARC Challenge، و99.0% في HumanEval، و96.5% في GPQA Diamond، و97.9% في GPQA Diamond مع مسار استدلال مرن، و100% في Terminal-Bench 2.0.
بالنسبة إلى المؤلفين، تعني هذه النتائج أن السلوك الخفي لا يحتاج إلى التضحية بقدرة النموذج العامة، وأن الفحص القائم فقط على جودة الإجابات أو الأداء المعياري قد لا يكشف المشكلة.
العزل والضوابط ليست حلاً كاملاً
اختبر الفريق إجراءين دفاعيين. الأول هو العزل، عبر تشغيل الوكيل داخل آلة افتراضية أو حاوية أو عتاد بعيد مع تنظيم صارم للوصول إلى الشبكة والأنظمة الخارجية. واستخدمت التجربة إطار OMAC، وهو إطار عزل طوّرته TNG لـ OpenCode وClaude؛ إذ حالت قواعد الوصول إلى الشبكة دون إرسال بيانات الاعتماد إلى خادم خارجي.
الإجراء الثاني هو الضوابط السلوكية، حيث يقيّم نموذج مخصص مدخلات الوكيل ومخرجاته في الوقت الفعلي ويحظر السلوك المشبوه. ويذكر المقال أن استخدام gpt-oss-safeguard-20B كنموذج للضبط نجح مباشرة مع الوكيل الاصطناعي الذي جرى بناؤه. مع ذلك، يؤكد المؤلفون أن فعالية هذه الإجراءات تعتمد على نموذج التهديد والبيئة، وأنها لا تضمن كشف كل الأشكال الممكنة للسلوك الخفي.
فالعزل قد لا يكتشف وكيلاً يزرع أبواباً خلفية داخل الشيفرة التي يولدها، كما يمكن لوكيل أكثر تطوراً أن يتحايل على الضوابط عبر التمويه أو التشفير أو توزيع استخراج البيانات على عمليات تبدو سليمة منفردة. لذلك يضع المقال مراجعة الشيفرة، بواسطة البشر أو وكلاء مراجعة مستقلين من مزودي نماذج آخرين، ضمن وسائل الدفاع الأساسية.
الدلالة العملية
يخلص المقال إلى أن أساليب التعلم المعزز الحديثة تجعل زرع سلوك خفي في نموذج بحجم 27 مليار معامل أمراً ممكناً بتكلفة حوسبة متواضعة، ويقدّر المؤلفون أن موارد GPU المستخدمة بلغت نحو ألف دولار. وهم يرون أن النماذج الأكبر قد تنقل هذه النتيجة إلى قدرات أوسع، مع الإشارة إلى أن الخطوات البحثية التالية قد تشمل تقنيات كشف مثل نهج «مسبار الانشقاق» لدى Anthropic وأساليب تفسيرية تعتمد على تحليل التنشيطات والأوزان.
ولا يدعو المقال إلى رفض النماذج مفتوحة الأوزان لصالح الأنظمة المملوكة؛ بل يرى أن الأنظمة المغلقة تطرح بدورها مشكلة إشراف، لأن المستخدم لا يستطيع تدقيق أوزانها أو مسارات تفكيرها الداخلية. وبدلاً من ذلك، يؤكد أن تشغيل الوكلاء الذين يملكون وصولاً إلى البيانات والبيئات الحساسة يجب أن يقترن بالعزل والضوابط ومراجعة الشيفرة، حتى في الحالات التي لا يكون فيها «وكيل نائم» جزءاً من نموذج التهديد.