🤖 machine learning

Verification of Machine Unlearning is Fragile

تُثبت هذه الورقة أن استراتيجيات التحقق من محو تعلم الآلة الحالية هشة بشكل جوهري، حيث يمكن لمزودي النماذج توظيف عمليات عدائية مستحدثة لخداع أنظمة التحقق مع الاحتفاظ بمعلومات البيانات التي يُفترض أنها مُحيت.

المؤلفون الأصليون: Binchi Zhang, Zihan Chen, Cong Shen, Jundong Li

نُشر 2026-04-23

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Binchi Zhang, Zihan Chen, Cong Shen, Jundong Li

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك استأجرت طباخاً ليصنع حساءً ضخماً ولذيذاً باستخدام وصفة عائلية سرية تتضمن توابل جدتك الخاصة. أنت تحب الحساء، ولكن بعد ذلك تقرر أنك تريد إزالة توابلك لأنك قلق بشأن الخصوصية أو لمجرد أنك غيرت رأيك. تطلب من الطباخ "نسيان" توابلك وصنع الحساء بدونها.

يقول الطباخ: "لا مشكلة!" ويسلمك وعاءً من الحساء. ولكن هنا تكمن المشكلة: لا يمكنك تذوق الحساء للتأكد مما إذا كانت التوابل قد أزيلت حقاً أم لا. عليك أن تثق في كلام الطباخ.

لجعل الأمر عادلاً، اخترع الباحثون "نظام تحقق". إنه يشبه اختباراً سحرياً يتحقق مما إذا كان الطباخ قد أزال توابلك بالفعل. هناك طريقتان رئيسيتان يعمل بهما هذا الاختبار:

اختبار "المكون المسموم" (التحقق عبر الباب الخلفي): تخبر الطباخ سراً: "إذا رأيت فلفلاً أحمر، يجب أن تجعل طعم الحساء مثل الشوكولاتة". إذا قام الطباخ بصدق بإزالة توابلك (والفلفل الأحمر أيضاً)، فيجب أن يكون طعم الحساء طبيعياً. أما إذا كان طعم الحساء لا يزال مثل الشوكولاتة، فالطباخ يكذب وقد احتفظ بالفلفل الأحمر (وبالتالي توابلك أيضاً).
اختبار "سجل الطبخ" (التحقق عبر إعادة الإنتاج): تطلب من الطباخ أن يريك تسجيلاً فيديو له وهو يصنع الحساء الجديد من الصفر، ليثبت أنه لم يستخدم توابلك. يسلمك سجلاً يوضح كل خطوة.

الاكتشاف الكبير: النظام هش

تكشف هذه الورقة البحثية، التي تحمل عنوان "التحقق من نسيان الآلة هش"، عن حقيقة مخيفة: يمكن للطباخين (مزودي النماذج) خداع كلا الاختبارين.

لقد اكتشف الباحثون (الأشرار في هذه القصة) طريقتين ذكيتين للغش مع الإبقاء على توابلك السرية داخل الحساء.

الحيلة رقم 1: "تبديل الشبيه" (طريقة إعادة التدريب)

تخيل أن الطباخ يحتاج إلى إزالة توابلك الخاصة. بدلاً من مجرد إخراجها، ينظر إلى المكونات الأخرى في الوعاء. يجد توابل أخرى تشبه توابلك الخاصة تماماً في الشكل والطعم.

كيف يخدع السجل: يكتب سجلاً جديداً للطبخ. في السجل، يقول: "استخدمت التوابل الجديدة، وليس توابلك الخاصة". وبما أن التوابل الجديدة مشابهة جداً، فإن "رياضيات" الحساء تبدو مثالية. السجل دقيق بنسبة 100% لما كتبه، لذا يتجاوز "اختبار سجل الطبخ" بنجاح.
كيف يخدع الاختبار المسموم: ولأن التوابل الجديدة مشابهة جداً لتوابلك القديمة، فإن الحساء لا يزال يتفاعل مع "الفلفل الأحمر" بنفس الطريقة. لا يزال طعم الحساء مثل الشوكولاتة!
النتيجة: يجتاز الطباخ الاختبار، لكن توابلك السرية لا تزال موجودة فعلياً في الحساء. النموذج لا يزال "يتذكر" بياناتك.

الحيلة رقم 2: "الفيديو المزيف" (طريقة التزوير)

هذه الحيلة أكثر دهاءً. الطخاب لا يعيد طبخ الحساء على الإطلاق. بل يأخذ الفيديو الأصلي له وهو يطبخ باستخدام توابلك، ويستخدم أداة تحرير سحرية لطمس الأجزاء التي أضيفت فيها توابلك بشكل طفيف.

كيف يخدع السجل: يعرض لك الفيديو المعدل. يبدو كعملية طبخ صالحة، لكنه في الواقع تزوير. ليس مثالياً (هناك ضبابية بسيطة)، ولكن إذا ضبطت "حد التسامح مع الضبابية" عالياً بما يكفي، فسيقول الاختبار: "حسناً، هذا قريب بما يكفي، إنه صالح".
العيب: هذه الحيلة أسرع وأرخص للطباخ، ولكن من السهل كشفها إذا نظرت بدقة شديدة (مثل التحقق من التفاصيل عالية الدقة).

لماذا يجب أن تهتم؟

هذه الورقة البحثية هي بمثابة جرس إنذار. لدينا قوانين (مثل GDPR) تنص على أن لديك "الحق في النسيان". يمكنك أن تطلب من شركة ما حذف بياناتك من ذكائها الاصطناعي.

ولكن هذا البحث يظهر أن الشركات يمكنها الكذب عليك. يمكنهم التظاهر بحذف بياناتك، واجتياز جميع فحوصات السلامة، ومع ذلك يستمرون في الاحتفاظ بمعلوماتك لجعل ذكائهم الاصطناعي أكثر ذكاءً أو لتوفير تكاليف الحوسبة.

الخلاصة في التشبيه:

المشكلة: تطلب من شركة حذف صورتك من ذكائها الاصطناعي.
الوعد: يقولون: "لقد حذفناها! إليك شهادة تثبت ذلك".
الواقع: استخدمت الشركة حيلة ذكية لإبقاء صورتك في ذاكرة الذكاء الاصطناعي مع تزييف الشهادة.
الاستنتاج: شهادات السلامة الحالية "هشة". يمكن لمزود غير أمين كسرها.

ما الخطوة التالية؟

المؤلفون لا يقولون "استسلموا". هم يقولون: "مهلاً، الأقفال الحالية على الباب ضعيفة، وقد أظهرنا للتو كيف يمكن فتحها. الآن نحتاج إلى بناء أقفال أقوى".

إنهم يأملون أن يدفع هذا الاكتشاف الباحثين لبناء طرق تحقق أفضل وغير قابلة للكسر، بحيث عندما تطلب نسيان بياناتك، يمكنك أن تكون متأكداً بنسبة 100% أنها قد اختفت حقاً.

إليك ملخص تقني مفصل لورقة البحث بعنوان "التحقق من محو التعلم الآلي هش" (Verification of Machine Unlearning is Fragile) للباحث بينتشي تشانغ وآخرون.

1. بيان المشكلة

مع صعود لوائح خصوصية البيانات (مثل GDPR وCCPA)، يحق لمالكي البيانات طلب إزالة بياناتهم من نماذج التعلم الآلي (ML) المدربة، وهي عملية تُعرف باسم محو التعلم الآلي (Machine Unlearning - MUL). ومع ذلك، غالبًا ما تكون تقنيات محو التعلم الحالية "صناديق سوداء" بالنسبة لمالكي البيانات، الذين لا يمكنهم التحقق مما إذا كان قد تم حذف بياناتهم حقًا. ولمعالجة ذلك، تم اقتراح استراتيجيات تحقق (تحديدًا التحقق عبر الباب الخلفي - Backdoor Verification والتحقق عبر إعادة الإنتاج - Reproducing Verification) للسماح لمالكي البيانات بمراجعة عملية المحو.

السؤال البحثي الجوهري لهذه الورقة هو: هل يمكن لمزودي النماذج غير الأمناء التحايل على استراتيجيات التحقق هذه مع الاحتفاظ بالمعلومات الخاصة بالبيانات التي يُفترض أنها مُحيت؟ يجادل المؤلفون بأن الفهم الحالي لأمان التحقق من محو التعلم الآلي لا يزال في بداياته وقد يكون معيبًا.

2. المنهجية

يقترح المؤلفون نموذج تهديد يكون فيه مزود النموذج خصمًا (Adversary) يهدف إلى:

تلبية بروتوكولات التحقق الحالية (الباب الخلفي وإعادة الإنتاج).
الحفاظ على فائدة النموذج (بما في ذلك المعلومات من البيانات المراد محوها).
تقليل التكاليف الحسابية مقارنة بإعادة التدريب الصادقة.

ولتحقيق ذلك، يصنفون استراتيجيات التحقق الحالية إلى نوعين ويقترحون نوعين من أساليب المحو العدائية (Adversarial Unlearning Methods):

أ. أنواع التحقق

التحقق عبر الباب الخلفي (Backdoor Verification): يقوم مالكو البيانات بحقن بيانات "باب خلفي" مسمومة (محفزات/Triggers) في مجموعة التدريب. إذا تم محو التعلم بصدق، يجب ألا يستجيب النموذج لهذه المحفزات بعد الآن. أما إذا غش المزود، فسيظل النموذج يتنبأ بالتسمية المسمومة.
التحقق عبر إعادة الإنتاج (Reproducing Verification): يجب على المزود تقديم إثبات لإعادة التدريب (PoRT)، وهو سجل لمسار التدريب (المعلمات، دفعات البيانات، دالات التحديث) الذي يسمح للمتحقق بإعادة إنتاج الخطوات. يجب أن يستوفي الإثبات الشروط التالية:
- القابلية للإزالة (Removable): عدم استخدام أي بيانات مراد محوها ( $D_u$ ) في الدفعات.
- القابلية لإعادة الإنتاج (Reproducible): أن تتطابق التحديثات المسجلة رياضيًا مع معلمات النموذج الناتجة ضمن حد سماح $\epsilon$ .

ب. الأسلوب العدائي 1: القائم على إعادة التدريب (هجوم "إعادة التدريب")

الهدف: التحايل على كل من التحقق من الباب الخلفي والتحقق من إعادة الإنتاج مع خطأ صفري ( $\epsilon = 0$ ).
الآلية: بدلاً من استخدام البيانات المراد محوها $D_u$ $D_{u}$ ، يختار الخصم دفعات مصغرة (mini-batches) من البيانات المتبقية ( $D \setminus D_u$ $D ∖ D_{u}$ ) التي تُحدث تحديثات تدرج (gradient updates) مشابهة لتلك التي كانت ستنتجها $D_u$ $D_{u}$ .
- الاستراتيجية: بالنسبة للدفعة التي تحتوي على بيانات مراد محوها، يستبدل الخصم العينات المراد محوها بـ أقرب جيرانها ضمن الفئة (class-wise nearest neighbors) من المجموعة المتبقية (أو يستخدم أخذ عينات عشوائية للعثور على دفعة ذات تدرج مشابه).
- النتيجة: يتم تحديث النموذج باستخدام البيانات المتبقية فقط، مما يحقق خاصية "القابلية للإزالة". ومع ذلك، نظرًا لأن التدرجات متطابقة تقريبًا، فإن النموذج "يتعلم" فعليًا من تأثير البيانات المراد محوها دون رؤيتها صراحةً.
التملص من الباب الخلفي: من خلال استخدام بيانات نظيفة من الفئة المستهدفة لاستبدال بيانات الباب الخلفي المسمومة، يتعلم النموذج رسم الخرائط الصحيحة للفئة بدلاً من خريطة المحفز المسموم، مما يؤدي إلى فشل محفز الباب الخلفي (فيظهر كما لو أنه تم محو البيانات).

ج. الأسلوب العدائي 2: القائم على التزوير (هجوم "التزوير")

الهدف: التحايل على التحقق من إعادة الإنتاج مع حد خطأ صغير ( $\epsilon > 0$ ) مع كون العملية كفؤة حسابيًا.
الآلية: بدلاً من إعادة التدريب، يقوم الخصم بـ تزوير الـ PoRT مباشرة من إثبات التدريب الأصلي (PoT).
- الاستراتيجية: تقوم "خريطة التزوير" بتعديل مسار التدريب الأصلي. بالنسبة للدفعات التي تحتوي على بيانات مراد محوها، يتم استبدالها ببيانات متبقية (باستخدام استراتيجية أقرب جار). بالنسبة للدفعات التي لا تحتوي على بيانات مراد محوها، يتم تغيير معلمات النموذج قليلاً باستخدام معدل تعلم صغير لتجنب اكتشاف المعلمات المتطابقة.
- النتيجة: يولد هذا إثباتًا (PoRT) صالحًا يستوفي فحص إعادة الإنتاج ضمن حد سماح $\epsilon$ ، لكن النموذج النهائي يظل معتمدًا بشدة على التدريب الأصلي (بما في ذلك البيانات المراد محوها).

3. المساهمات الرئيسية

أطر عمل عدائية مبتكرة: تقدم الورقة عمليتين لتعلم محو عدائي (قائم على إعادة التدريب وقائم على التزوير) تنجحان في تجاوز استراتيجيات التحقق الحالية المتطورة.
الضمانات النظرية:
- أثبتت أن طريقة إعادة التدريب تحقق التحقق من إعادة الإنتاج مع $\epsilon=0$ .
- أثبتت أن فائدة النموذج تظل عالية (قريبة من النموذج الأصلي) وأن الطريقة يمكنها نظريًا الوصول إلى جوار الحل الأمثل.
- قدمت حدودًا لخطأ التحقق لطريقة التزوير.
التحقق التجريبي: تُظهر التجارب المكثفة على مجموعات بيانات حقيقية (MNIST, CIFAR-10, SVHN) أن:
- الأساليب العدائية تجتاز التحقق من الباب الخلفي (معدلات خطأ النوع الثاني تقترب من 1.0 لطريقة إعادة التدريب).
- طريقة التزوير تجتاز التحقق من إعادة الإنتاج بحدود خطأ منخفضة.
- الأساليب العدائية تحافظ على فائدة النموذج (F1-scores) بما يضاهي أو يتجاوز إعادة التدريب الساذجة، خاصة في حالات عدم توازن الفئات.
- توفر طريقة التزويد سرعات حسابية أكبر بكثير من إعادة التدريب الكاملة.

4. النتائج التجريبية

التملص من التحقق:
- القائم على إعادة التدريب: حقق احتمال خطأ من النوع الثاني قدره ~0.998 في التحقق من الباب الخلفي (بمعنى أن المتحقق يعتقد دائمًا أن البيانات قد مُحيت، رغم أنها لم تُمحَ).
- القائم على التزوير: نجح في استيفاء التحقق من إعادة الإنتاج بأخطاء أقل من $10^{-3}$ ، وهو ما يعتبر ضئيلاً في الممارسة العملية.
الحفاظ على الفائدة:
- في سيناريوهات عدم توازن الفئات، تفوقت طريقة إعادة التدريب العدائية على إعادة التدريب الساذجة، حيث حافظت على درجات F1 أعلى على مجموعة البيانات المراد محوها.
- حافظت طريقة التزوير على فائدة مطابقة تقريبًا للتدريب الأصلي.
الكفاءة:
- كانت طريقة التزوير أسرع بكثير من إعادة التدريب الساذجة بفضل قدرات المعالجة المتوازية.
- كانت طريقة إعادة التدريب أبطأ قليلاً من إعادة التدريب الساذجة بسبب عبء البحث عن أقرب جار، ولكنها أسرع من استراتيجيات أخذ العينات العشوائية.

5. الأهمية والآثار المترتبة

هشاشة التحقق الحالي: تقدم الورقة استنتاجًا متشائمًا: التحقق الحالي من محو التعلم الآلي هش. يمكن لمزودي النماذج غير الأمناء خداع مالكي البيانات وإيهامهم بأن بياناتهم قد حُذفت بينما يحتفظون بأداء النموذج وتأثير البيانات.
قصور الاستراتيجيات الحالية:
- يفشل التحقق من الباب الخلفي أمام هجوم إعادة التدريب لأن النموذج يتعلم توزيع الفئة الصحيح بدلاً من المحفز المسموم.
- يفشل التحقق من إعادة الإنتاج لأن التكافؤ الرياضي للتدرجات (عبر أقرب الجيران) يسمح للخصم بمحاكاة عملية المحو دون حذف تأثير البيانات فعليًا.
الاتجاهات المستقبلية: تسلط الدراسة الضوء على الحاجة الملحة لطرق تحقق جديدة تتجاوز مجرد إعادة إنتاج المسار أو محفزات الباب الخلفي. وتقترح أن التحقق من المحو التقريبي واكتشاف التلاعبات الدقيقة في التدرج هي خطوات حاسمة تالية لضمان الامتثال لخصوصية البيانات.

باختصار، تكشف هذه الورقة عن فجوة أمنية حرجة في المجال الناشئ لمحوه التعلم الآلي، وتوضح أنه بدون آليات تحقق أكثر قوة، يمكن بسهولة الالتفاف على "الحق في النسيان" من قبل مزودي النماذج الضارين.