💻 computer science

Gungnir: Exploiting Stylistic Features in Images for Backdoor Attacks on Diffusion Models

تقترح الورقة البحثية "Gungnir"، وهو هجوم باب خلفي مبتكر على نماذج الانتشار يستخدم سمات أسلوبية عالية المستوى وخفية كـمحفزات بدلاً من الرقع المرئية الصارخة، وذلك عبر توظيف الضوضاء التنافسية لإعادة البناء والاحتفاظ بالخطوات الزمنية قصيرة المدى للالتفاف على الدفاعات المتطورة مع الحفاظ على سلوك ضار فعال.

المؤلفون الأصليون: Lei Zhang, Yu Pan, Bingrong Dai, Lin Wang

نُشر 2026-05-08

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Lei Zhang, Yu Pan, Bingrong Dai, Lin Wang

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك آلة فنية سحرية (نموذج انتشار - Diffusion Model) يمكنها رسم أي صورة تصفها لها. تخبر الآلة: "ارسم قطة"، فترسم قطة جميلة. تخبرها: "ارسم غروب الشمس"، فترسم غروباً للشمس. هذه الآلة مشهورة للغاية وقوية جداً.

ومع ذلك، يكشف البحث الذي شاركته، بعنوان "Gungnir"، عن طريقة مخيفة وجديدة يمكن من خلالها للقراصنة اختطاف هذه الآلة سراً.

إليك شرح اكتشافهم بأسلوب مبسط:

1. الطريقة القديمة مقابل الطريقة الجديدة

الطريقة القديمة (الهجمات السابقة):
تخيل أن قرصاناً يريد خداع الآلة الفنية. في السابق، كان عليه لصق ملصق صغير وواضح (مُحفّز - trigger) على الصورة التي تعطيها للآلة.

مثال: تطلب من الآلة رسم "كلب"، ولكنك تضع أيضاً مربعاً أبيض صغيراً في الزاوية على الصورة. ترى الآلة المربع وتفكر: "أوه، المستخدم يريد قبعة كرتونية بدلاً من ذلك!"
المشكلة: هذه الملصقات سهلة الرصد. يمكن للمدافعين فحص الصور بحثاً عنها وإزالتها بسهولة.

الطريقة الجديدة (Gungnir):
وجد الباحثون (Gungnir) طريقة لاختراق الآلة دون الحاجة إلى ملصقات، أو نصوص، أو رموز غريبة. بدلاً من ذلك، يستخدمون الأسلوب الفني للصورة نفسها كمُحفّز سري.

التشبيه: تخيل أنك تعطي الآلة صورة لقطة، لكن الصورة مرسومة بأسلوب فان جوخ المميز والمتماوج.
الخدعة: الآلة لا ترى مجرد قطة؛ بل "تشعر" بأسلوب فان جوخ. لقد قام القراصنة بتدريب الآلة بحيث أنه كلما رأت ذلك الأسلوب المحدد، تتجاهل طلبك لرسم قطة وترسم بدلاً من ذلك صورة سرية ومخفية (مثل قنبلة أو شعار معين) يريدها المخترق فقط.
لماذا الأمر مخيف: بالنسبة للعين البشرية، تبدو الصورة كقطة عادية وجميلة بأسلوب فان جوخ. لا يوجد ملصق، ولا نص غريب. تبدو نظيفة بنسبة 100%.

2. كيف جعلوا الأمر يعمل (الأداتان السريتان)

وجد الباحثون أن استخدام صورة "أسلوب" فقط لم يكن فعالاً في البداى؛ حيث كانت الآلة ترتبك وتتعطل. ولإصلاح ذلك، ابتكروا تقنيتين خاصتين:

الأداة رقم 1: "الضجيج التنافسي لإعادة البناء" (RAN)
- المشكلة: عندما تحاول الآلة تعلم الخدعة، تصاب بالارتباك لأن "الأسلوب" غامض للغاية. الأمر يشبه محاولة تعليم كلب الجلوس بمجرد الهمس بكلمة "اجلس" بينما الكلب يركض. الكلب (الآلة) يصاب بالإحباط ويتوقف عن التعلم.
- الحل: ابتكر الباحثون "ضجيجاً" (Static) خاصاً يعمل كدليل. إنه يشبه إعطاء الكلب مكافأة أثناء ركضه، ثم توجيهه ببطء للجلوس. هذا الضجيج يساعد الآلة على فهم كيفية ربط "أسلوب فان جوخ" بـ "صورة القنبلة السرية" دون ارتباك.
الأداة رقم 2: "الاحتفاظ بالخطوات الزمنية قصيرة المدى" (STTR)
- المشكلة: إذا أجبرت الآلة على تعلم الخدعة طوال عملية الرسم (من أول خربشة ضبابية إلى الصورة النهائية المفصلة)، فإنها ستصاب بـ "فرط التخصيص" (Over-fitting). ستصبح مهووسة بالخدعة لدرجة أنها تنسى كيف ترسم الصور العادية. ستبدأ برسم القنبلة السرية حتى عندما لا تعطيها أسلوب فان جوخ.
- الحل: أخبر الباحثون الآلة: "تعلمي هذه الخدعة فقط خلال الخطوات الأولى من عملية الرسم".
- التشبيه: تخيل طباخاً يتعلم وصفة سرية. بدلاً من إجباره على استخدام المكون السري في كل خطوة من خطوات الطبخ (مما يفسد الطبخة)، يقوم بإضافة المكون السري في البداية فقط. بقية عملية الطبخ تتم بشكل طبيعي. بهذه الطريقة، يمكن للطباخ لاحقاً صنع طعام عادي، ولكن إذا بدأت بذاك المكون السري المحدد، فستخرج الطبخة النهائية بشكل خاطئ.

3. النتائج: هل يمكن الإمساك بهم؟

اختبر الباحثون هجومهم "Gungnir" ضد أفضل حراس الأمن (أنظمة الدفاع) المتاحة حالياً.

التخفي: بما أن المُحفّز هو مجرد "أسلوب" (مثل أسلوب الرسم)، لم تستطع حراس الأمن العث0ر عليه. بحثوا عن ملصقات أو نصوص غريبة، لكنهم لم يجدوا شيئاً. كانت نسبة اكتشاف الهجوم هي 0%.
النجاح: على الرغم من أن الهجوم كان مخفياً، إلا أنه نجح بشكل جيد جداً. عندما رأت الآلة الأسلوب المحدد، نجحت في رسم الصورة السرية.
المرونة: حتى عندما حاول مالكو الآلة "تنظيف" الآلة عبر إعادة تدريبها (Fine-tuning)، ظلت الخدعة السرية مخفية واستمرت في العمل.

ملخص

يظهر بحث "Gungnir" أن القراصنة ليسوا بحاجة إلى وضع ملاحظة على صورتك لاختراق مولد فنون الذكاء الاصطناعي. يمكنهم ببساطة تغيير الأسلوب الفني لصورتك إلى أسلوب محدد ومتفق عليه مسبقاً. بالنسبة للعين البشرية، يبدو الأمر كلوحة عادية وجميلة، ولكن بالنسبة للذكاء الاصطناعي المخترق، فإن هذا الأسلوب هو أمر سري يجبره على إنشاء شيء خطير أو غير مرغوب فيه.

هذا نوع جديد من "الأبواب الخلفية" غير المرئية، والتي يصعب اكتشافها للغاية لأنها تختبئ في "روح" أو "طابع" الصورة بدلاً من الاختباء في بكسلاتها نفسها.

ملخص تقني: GUNGNIR

بيان المشكلة

حققت نماذج الانتشار (Diffusion Models - DMs) نجاحاً كبيراً في توليد الصور، لكنها عرضة لهجمات الباب الخلفي (backdoor attacks). تعتمد الهجمات الحالية عادةً على محفزات (triggers) منخفضة الأبعاد وواضحة بصرياً (مثل بقع ضوضاء محددة، أو مطالبات نصية، أو شروط ControlNet)، والتي يسهل اكتشافها بواسطة آليات الدفاع الحالية. وتعتبر هذه الدفاعات، مثل عكس المحفز (trigger inversion) والكشف العصبي، فعالة لأن الهجمات السابقة تعمل ضمن مساحات مدخلات محدودة. يحدد البحث فجوة في مشهد التهديدات: احتمال وجود هجمات باب خلفي تستغل السمات عالية المستوى وغير القابلة للتمييز إدراكياً، وتحديداً السمات الأسلوبية (stylistic features) لصور المدخلات في مهام "صورة-إلى-صورة" (image-to-image). وتواجه الطرق الحالية صعوبة في اكتشاف هذه المحفزات الخفية، كما أن خوارزميات التدريب القياسية غالباً ما تفشل عند محاولة استخدام سمات الصور الخام كمحفزات بسبب انهيار التدرج (gradient collapse) والإفراط في التخصيص (overfitting).

المنهجية: GUNGNIR

يقترح المؤلفون GUNGNIR، وهو إطار عمل جديد لهجوم الباب الخلفي يقوم بتنشيط السلوكيات الخبيثة في نماذج الانتشار عن طريق تضمين محفزات قائمة على الأسلوب في صور المدخلات. تعمل هذه الطريقة ضمن نطاق مهام "صورة-إلى-صورة"، حيث تعمل صورة المدخل نفسها كآلية للمحفز.

المكونات الأساسية

المحفزات الأسلوبية (Stylistic Triggers): بخلاف الطرق السابقة التي تدمج بقعاً أو نصوصاً صريحة، يستخدم GUNGNIR الأسلوب الجوهري لصورة المدخل (مثل أسلوب "ليلة النجوم لفان جوخ") كمحفز. عندما يتلقى النموذج صورة بهذا الأسلوب المحدد، فإنه ينشط خريطة مخفية لتوليد الصورة المستهدفة، بغض النظر عن المحتوى الدلالي للمدخل.
الضوضاء المعاد بناؤها تنافسياً (Reconstructing-Adversarial Noise - RAN):
- المشكلة: يؤدي استخدام سمات صورة المدخل مباشرة كمحفزات في تدريب الباب الخلفي القياسي إلى انهيار شديد في التدرج وإفراط في التخصيص. يفشل النموذج في تعلم الخريطة لأن هدف التنبؤ بالضوضاء يتعارض مع الحفاظ على الأسلوب.
- الحل: يقوم RAN بإعادة بناء متجه متبقي $r$ من المدخل المشوش والصورة المستهدفة، بدلاً من استخدام الصورة المستهدفة مباشرة كهدف للتدريب. يتم نقل دالة الخسارة لتقليل الفرق بين تنبؤ النموذج وهذا الضوضاء المعاد بناؤها تنافسياً.
- الآلية: يتم تعريف المتبقي $r$ كالتالي: $r = \sqrt{\alpha_t}x_0 + \sqrt{1-\alpha_t}\epsilon - \text{trans}(i_t)$ ، حيث $i_t$ هو الكامن المستهدف. هذا يخلق إزاحة في المتوسط توجه النموذج لإعادة بناء الصورة المستهدفة مع مسح التوزيع الأصلي من الخطوة الزمنية السابقة.
الاحتفاظ بالخطوات الزمنية قصيرة المدى (Short-Term Timesteps-Retention - STTR):
- المشكلة: يؤدي تطبيق حقن الباب الخلفي عبر جميع الخطوات الزمنية ( $T$ ) إلى الإفراط في التخصيص. مع اقتراب الخطوات الزمنية من الصفر، تقترب المتغيرات الكامنة من توزيع الصورة النهائي، لكن الخطوات الزمنية المتوسطة تحتوي على محتوى دلالي غامض. فرض الإشراف بكامل الخطوات الزمنية يجبر النموذج على ربط المحفزات بتمثيلات غير مستقرة، مما يجعل النموذج يولد الصورة المستهدفة بغض النظر عن المدخل (فقدان المنفعة).
- الحل: يقيد STTR حقن الباب الخلفي فقط في أول $T_b$ خطوة من عملية الانتشار العكسي.
- الآلية: من خلال قصر الإشراف في التدريب على نافذة زمنية قصيرة ومستقرة، تحافظ الطريقة على المنفعة الأصلية للنموذج للمدخلات النظيفة مع ضمان فعالية المحفز عند تنشيطه. هذا يمنع تشابك تمثيل المحفز مع ضوضاء الانتشار.

صياغة الهجوم

أعيد تعريف مساحة الهجوم لتشمل مساحة الشرط الإضافي $A_{cond}$ (المطالبات، الصور، ControlNet). يستهدف GUNGNIR تحديداً مساحة مدخلات الصور $A_b = \{images_b\}$ . تتضمن عملية التدريب تسميم نسبة صغيرة (5%) من مجموعة البيانات بأزواج من صور نمط المحفز وصور الهدف، باستخدام RAN و STTR لتحسين معاملات النموذج.

المساهمات الرئيسية

توسيع مساحة مدخلات الهجوم: يثبت البحث لأول مرة أن السمات الأسلوبية الخام لصور المدخل يمكن أن تعمل كمحفزات باب خلفي فعالة في مهام "صورة-إلى-صورة". وهذا ينقل ناقل الهجوم من الاضطرابات الصريحة منخفضة المستوى إلى السمات الإدراكية عالية المستوى.
تقنيات تدريب مبتكرة: قدم المؤلفون RAN و STRE لحل التحديات المحددة لتدريب الأبواب الخلفية على سمات الصور. يمنع RAN انهيار التدرج عبر إعادة بناء الضوضاء التنافسية، بينما يخفف STTR من الإفراط في التخصيص عن طريق قصر الحقن في خطوات زمنية قصيرة.
التخفي والمتانة: العينات التي تحتوي على المحفز المدمج لا يمكن تمييزها إدراكياً عن الصور النظيفة. يتجاوز الهجوم الدفاعات الحديثة (Elijah، TERD) التي تعتمد على اكتشاف الأنماط الشاذة أو عكس المحفزات، لأن المحفزات القائمة على الأسلوب لا تقدم أي آثار مشبوهة.
القدرة على الانتقال: تكشف الدراسة أن الباب الخلفي ليس مقتصرًا على مهام "صورة-إلى-صورة"؛ بل يمكن تنشيطه أيضاً في مهام "نص-إلى-صورة" إذا تم توجيه النموذج لإنتاج صور بالأسلوب المحدد للمحفز.

النتائج التجريبية

معدل نجاح الهجوم (ASR): حقق GUNGNIR معدل ASR بنسبة 61.50% عبر ثلاثة نماذج أساسية (Stable Diffusion v1.5, v2.1, و Realistic Vision v4.0). ورغم أنه أقل من بعض الهجمات القائمة على البقع (patch-based)، إلا أن المؤلفين يشيرون إلى أن هذا كافٍ لهجوم قوي نظراً لشدة التخفي.
تجاوز الدفاعات: حقق الهجوم 0% معدل اكتشاف الباب الخلفي (BDR) ضد كل من أطر الدفاع Elijah و TERD. لم يتم اكتشاف المحفزات الأسلوبية كأنماط شاذة.
المتانة: ظل الهجوم فعالاً حتى بعد التطهير القائم على الضبط الدقيق (fine-tuning-based purification)، مما أظهر مقاومة لاستراتيجيات الدفاع الشائعة للنماذج.
دراسات الاستئصال (Ablation Studies): أكدت التجارب أنه بدون RAN، ينهار التدرج (ينخفض ASR إلى الصفر تقريباً). وبدون STTR، يفرط النموذج في التخصيص، مما يؤدي لتوليد الصور المستهدفة بشكل عشوائي. تم العثور على الأداء الأمثل مع شدة RAN محددة ( $\gamma$ ) ونوافذ زمنية قصيرة.

الأهمية والادعاءات

يدعي البحث أن GUNGNIR يكشف عن ثغرة غير مستكشفة سابقاً في نماذج الانتشار: القابلية للتأثر بـ الأبواب الخلفية القائمة على الأسلوب. تكمن الأهمية في:

التخفي: يستخدم الهجوم سمات طبيعية لعملية توليد الصور، مما يجعله غير مرئي لكل من الفحص البشري وأدوات الكشف الآلية المصممة للاضطرابات الصريحة.
تحول النموذج المعرفي: يتحدى البحث الافتراض بأن محفزات الباب الخلفي يجب أن تكون صريحة أو منخفضة الأبعاد، موضحاً أن السمات الدلالية عالية المستوى (الأسلوب) يمكن تسليحها.
الآثار الأمنية: تشير النتائج إلى أن آليات الدفاع الحالية غير كافية ضد الهجمات التي تستغل قدرة النموذج المتأصلة على إدراك وتكرار السمات الأسلوبية. ويجادل المؤلفون بأن الأبحاث المستقبلية يجب أن تعالج مساحات الهجوم الموسعة هذه لتأمين أنظمة الذكاء الاصطناعي التوليدي.

يحافظ المؤلفون على موقف متواضع، معترفين بأن معدل ASR أقل قليلاً من الهجمات القائمة على البقع بسبب الصعوبة المتأصلة في عملية الانتشار في الالتزام الصارم بقيود الأسلوب دون وحدات إضافية لنقل الأسلوب. ومع ذلك، فإنهم يؤكدون أن المقايضة بين التخفي والقدرة على تجاوز الدفاعات الحالية تجعل من GUNGNIR ناقل تهديد حرج.