🤖 machine learning

FlowPure: Continuous Normalizing Flows for Adversarial Purification

تقدم الورقة البحثية FlowPure، وهي طريقة تنقية تنافسية مبتكرة تعتمد على التدفقات الطبيعية المستمرة ومطابقة التدفق الشرطي، والتي تتفوق على أساليب الدفاع القائمة على الانتشار والأكثر تطوراً في مجموعات بيانات CIFAR من خلال إزالة الاضطرابات بفعالية مع الحفاظ على دقة البيانات السليمة وتمكين الكشف شبه المثالي عن الهجمات التنافسية.

المؤلفون الأصليون: Elias Collaert, Abel Rodríguez, Sander Joos, Lieven Desmet, Vera Rimmer

نُشر 2026-03-31

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Elias Collaert, Abel Rodríguez, Sander Joos, Lieven Desmet, Vera Rimmer

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك حارس أمن ذكي جداً (نموذج تعلم آلي) يقوم بفحص بطاقات الهوية عند مدخل ملهى ليلي. عادة ما يكون هذا الحارس بارعاً في كشف الهويات المزورة، ولكن يمكن لمزور محترف (هجوم خصومي - Adversarial Attack) أن يضيف خدوشاً أو بقعاً صغيرة غير مرئية تقريباً على بطاقة هوية حقيقية. بالنسبة للعين المجردة، تبدو البطاقة طبيعية، لكن الحارس يتم خداعه ويسمح للمزور بالدخول.

لفترة طويلة، كانت أفضل طريقة لإيقاف ذلك هي تدريب الحارس على حفظ كل هوية مزورة ممكنة تم صنعها على الإطلاق. ولكن هذا الأمر مرهق ومكلف، وأحياناً يجعل الحارس ينسى كيف يتعرف على الأشخاص الحقيقيين (انخفاض في "الدقة الحميدة" - Benign Accuracy).

إليك FlowPure، وهي طريقة جديدة اقترحها باحثون تعمل مثل محطة تنظيف سحرية قبل أن تصل بطاقة الهوية إلى الحارس.

الطريقة القديمة: "آلة الضجيج"

في السابق، كانت أفضل محطات التنظيف تعمل مثل آلة الضوضاء:

تأخذ البطاقة المخدوشة وترشها بضباب كثيف (ضجيج غاوسي - Gaussian Noise) لغسل الخدوش.
ثم تستخدم ذكاءً اصطناعياً معقداً لمحاولة "إزالة الضجيج" (Denoising) من الصورة، على أمل إعادة بناء بطاقة الهوية الأصلية والنظيفة.

المشكلة: هذه العملية تشبه محاولة فصل مكونات "سموذي" بعد خلطها. أنت تضيف الضجيج لغسل الأشياء السيئة، لكنك تغسل أيضاً بعض الأشياء الجيدة (تفاصيل الوجه). كما أنها عملية جامدة؛ فالآلة ترش ضباباً عشوائياً، وتأمل أن ينجح الأمر مع كل نوع من أنواع الخدوش.

الطريقة الجديدة: FlowPure (النهر المتدفق)

أدرك الباحثون وراء FlowPure أننا لسما نحتاج لرش ضباب عشوائي. بدلاً من ذلك، قاموا ببناء نهر ذكي ومتدفق يعرف بالضبط كيف يوجه الهوية "المتسخة" لتعود إلى حالة الهوية "النظيفة".

إليك كيف يعمل الأمر، باستخدام استعارات بسيطة:

1. الخريطة مقابل الضباب

بدلاً من رش ضجيج عشوائي، تتعلم FlowPure خريطة مباشرة. تخيل أن لديك خريطة توضح لك بالضبط كيف تسير من "غرفة متسخة" (مثال خصومي) إلى "غرفة نظيفة" (صورة حقيقية).

الطريقة القديمة: "سأقوم برشق الكثير من الماء على هذه الفوضى وآمل أن تنظف."
FlowPure: "أنا أعرف المسار الدقيق. سأدفع هذا الجسم بلطف على طول تيار نهر محدد حتى يستقر تماماً في الغرفة النظيفة."

2. نوعان من الأنهار

يقدم البحث نسختين من هذا النهر، اعتماداً على ما تعرفه عن العدو:

نهر "القناص" (النسخة الحتمية - Deterministic Variant):
إذا كنت تعرف بالضبط نوع المزور الذي تحاربه (على سبيل المثال، يستخدم دائماً نوعاً معيناً من الخدوش)، فإن FlowPure تتعلم مساراً محدداً للغاية لإصلاح هذا النوع المحدد من الضرر.
- التشبيه: يشبه الأمر الخياط الذي يعرف تماماً كيف يخيط تمزقاً معيناً في قماش محدد. إنه يعمل بشكل مثالي مع ذلك التمزق دون إتلاف بقية القميص.
- النتيجة: يصلح الهجوم بشكل مثالي دون تشويه الصورة الأصلية.
نهر "العاصفة" (النسخة العشوائية - Stochastic Variant):
ماذا لو كنت لا تعرف نوع الهجوم القادم؟ ربداً كان المزور غير متوقع. تضيف FlowPure القليل من "الفوضى المنضبطة" (ضجيج عشوائي) داخل النهر أثناء تدفقه.
- التشبيه: تخيل أن النهر يحتوي على بعض الأمواج المتلاطمة. إذا حاول المزور التنبؤ بالمسار لخداع النظام، فإن هذه الأمواج (الضجيج العشوائي) ستفقده توازنه. هذا يجعل الدفاع أصعب في الاختراق، حتى لو عرف المهاجم بالضبط كيف يعمل النهر.

3. خدعة "عداد السرعة" (الكشف - Detection)

أحد أروع ميزات FlowPure هو أنها يمكن أن تعمل أيضاً كـ جهاز كشف الكذب.

عندما تمر بطاقة هوية نظيفة عبر النهر، فإنها تتدفق بسلاسة وسرعة.
عندما تمر هوية مزيفة (خصومية) عبر النهر، فإنها تصطدم بـ "مطب سرعة". يقيس النظام مدى سرعة حركة الجسم في البداية. إذا كان يتحرك بسرعة كبيرة أو بشكل مضطرب، فإن النظام يعرف: "مهلاً، هذه ليست بطاقة هوية عادية!" ويقوم بتمييزها فوراً.
النتيجة: يمكنها كشف الهويات المزورة بدقة تقارب الكمال، حتى قبل محاولة تنظيفها.

لماذا يعد هذا أمراً مهماً؟

لا فقدان للذاكرة: على عكس الطرق القديمة التي كانت تجعل الحارس أحياناً ينسى كيف يبدو الأشخاص الحقيقيون، تحافظ FlowPure على "الدقة الحميدة" عالية. لا يزال الحارس يتعرف على الأشخاص الحقيقيين بشكل مثالي.
تنظيف أذكى: إنها لا تخمن فحسب؛ بل تتعلم فيزياء الانتقال من "السيء" إلى "الجيد".
أصعب في الاختراق: حتى عندما يعرف المهاجمون وجود الدفاع ويحاولون التفوق عليه (سيناريو الصندوق الأبيض - White-box)، فإن نسخة "نهر العاصفة" من FlowPure تصمد بشكل أفضل من آلات الضباب القديمة.

الخلا الخطوط العري_ض

FlowPure هي بمثابة ترقية من خرطوم حريق فوضوي (نماذج الانتشار القديمة) إلى طائرة تنظيف موجهة بدقة. إنها تعرف بالضبط كيف تغسل الخدوش غير المرئية التي تخدع الذكاء الاصطناعي، وتحافظ على الصورة الأصلية نقية، ويمكنها حتى أن تصرخ "توقف!" إذا شعرت بهوية مزيفة تحاول التسلل. إنها طريقة أذكى وأكثر كفاءة للحفاظ على سلامة أنظمة الذكاء الاصطناعي.

إليك ملخص تقني مفصل لورقة البحث بعنوان "FlowPure: التدفقات الطبيعية المستمرة للتنقية من الهجمات العدائية."

1. بيان المشكلة

تُعد الشبكات العصبية العميقة عرضة بشكل كبير للهجمات العدائية (Adversarial Attacks)، حيث تؤدي الاضطرابات الصغيرة والمصممة بدقة إلى مدخلات البيانات إلى توقعات خاطئة للنماذج. وبينما يُعد التدريب العدائي (Adversarial Training - AT) وسيلة دفاع شائعة، إلا أنه غالباً ما يؤدي إلى تدهور الأداء على البيانات النظيفة (السليمة) ويتطلب إعادة تدريب المصنف.

لقد برزت التنقية العدائية (Adversarial Purification - AP) كاستراتيجية بديلة، تهدف إلى إزالة الاضطرابات أثناء الاستدلال دون تعديل المصنف الضحية. تعتمد الطرق الحالية المتطورة في مجال التنقية العدائية على نماذج الانتشار (Diffusion Models). وتعمل هذه النماذج عادةً عبر:

حقن ضوضاء غاوسية (Gaussian noise) في العينة العدائية (عملية الانتشار الأمامي) لتخفيف حدة الاضطراب.
استخدام عملية عكسية متعلمة لإزالة الضوضاء من العينة وإعادتها إلى نطاق البيانات (Data Manifold).

محددات الطرق الحالية:

عمليات ضوضاء ثابتة: تعتمد نماذج الانتشار على عملية انتشار أمامي عشوائية تضيف الضوضاء بشكل غير تمييزي، مما قد يؤدي إلى تعطيل المعلومات الدلالية وتقليل دقة البيانات السليمة.
تعمية التدرج (Gradient Obfuscation): في بيئات الهجوم "الصندوق الأبيض" (White-box)، تعاني الدفاعات القائمة على الانتشار غالباً من تعمية التدرج، مما يؤدي إلى المبالغة في تقدير المتانة ضد الهجمات التكيفية (مثل DiffHammer).
الافتقار إلى نوعية الهجوم: لا تستفيد معظم الطرق صراحةً من المعرفة بتوزيع الهجوم المحدد أثناء التدريب، مما يحد من قدرتها على تعلم خرائط مستهدفة.

2. المنهجية: FlowPure

يقترح المؤلفون FlowPure، وهو إطار عمل مبتكر للتنقية يعتمد على التدفقات الطبيعية المستمرة (Continuous Normalizing Flows - CNFs) التي يتم تدريبها عبر مطابقة التدفق الشرطي (Conditional Flow Matching - CFM). وعلى عكس نماذج الانتشار التي تتعلم عملية إزالة ضوضاء عشوائية، يتعلم FlowPure تحويلاً مستمراً حتمياً (أو محكوماً بالعشوائية) بين التوزيعات.

المفاهيم الجوهرية

مطابقة التدفق (Flow Matching - FM): بدلاً من محاكاة معادلة تفاضلية عشوائية (SDE)، تقوم مطابقة التدفق بتدريب نموذج للتنبؤ بمجال السرعة $v_\theta(x, t)$ الذي ينقل العينات من توزيع المصدر إلى توزيع الهدف عبر مسار محدد.
مطابقة التدفق الشرطي (Conditional Flow Matching - CFM): يتم تدريب النموذج على أزواج من العينات $(x_0, x_1)$ ، حيث $x_0$ هو المصدر (عدائي أو مشوش) و $x_1$ هو الهدف (نظيف). تهدف الدالة إلى تقليل الفرق بين السرعة المتوقعة ومجال المتجهات الحقيقي $(x_1 - x_0)$ على طول مسار استكمال خطي (مسار النقل الأمثل - Optimal Transport path).

نسختان من FlowPure

تقدم الورقة نسختين متميزتين لمعالجة نماذج التهديد المختلفة:

FlowPure الحتمي (المدرك للهجوم - Attack-Aware):
- التدريب: يتم تدريبه على أزواج محددة من الأمثلة العدائية (مثل هجمات PGD أو CW) ونظائرها النظيفة. يتعلم النموذج خريطة مباشرة من $x_{adv} \to x_{clean}$ .
- الاستدلال: يقوم بحل المعادلة التفاضلية العادية (ODE) بشكل حتمي من $t=0$ إلى $t=1$ .
- الميزة: يمكنه الاستفادة من معرفة الهجوم المحددة لتحقيق تنقية شبه مثالية للتهديدات المعروفة دون المساس بدقة البيانات السليمة.
FlowPure العشوائي (غير المدرك للهجوم - Attack-Agnostic):
- التدريب: يتم تدريبه كنموذج توليدي مستمر (CNF) قياسي يقوم برسم خريطة من ضوضاء غاوس إلى توزيع البيانات النظيفة (مشابه لـ DiffPure ولكن باستخدام CNFs).
- الاستدلال: يستخدم إجراء استدلال عشوائي مبتكر. بدلاً من التكامل العادي لـ ODE، تتضمن العملية:
  1. تكامل عكسي لدفع المدخل العدائي نحو مصدر غاوس.
  2. حقن ضوضاء وسيطة: في الخطوات الزمنية المتوسطة، يتم إعادة حقن الضوضاء في العينة بناءً على جدول زمني يعتمد على الوقت ( $\eta(t)$ ).
  3. تكامل أمامي لإعادة بناء العينة النظيفة.
- الميزة: تعمل الضوضاء المحقونة على تعطيل التدرجات العدائية الدقيقة، مما يجعل الدفاع أكثر متانة ضد الهجمات التكيفية ذات الصندوق الأبيض (مثل DiffHammer) مقارنة بالتدفقات الحتمية.

الكشف عن الهجمات العدائية

يمكن لـ FlowPure أيضاً أن يعمل كـ كاشف عدائي. المنطق هو أن الأمثلة العدائية، التي تقع خارج نطاق البيانات، تظهر مقدار سرعة أولية أعلى بكثير ( $||v_\theta(0, x)||$ ) مقارنة بالعينات السليمة. ويسمح وضع حد (Threshold) لدرجة السرعة هذه بالكشف عالي الدقة.

3. المساهمات الرئيسية

أول تطبيق للـ CNFs في التنقية: يعد FlowPure أول طريقة تطبق التدفقات الطبيعية المستمرة على التنقية العدائية، مبتعداً عن نموذج الانتشار العشوائي.
إطار عمل ثنائي النسخ:
- نسخة حتمية تتعلم خرائط مباشرة للهجمات المعروفة، مما يحافظ على دقة البيانات السلية.
- نسخة عشوائية تُدخل الضوضاء أثناء الاستدلال لمواجهة الهجمات التكيفية، مما يتفوق على النماذج الأساسية للانتشار في أسوأ السيناريوهات.
أداء متفوق في سيناريوهات "المانع المجهول" (Preprocessor-Blind): في السيناريوهات التي لا يعرف فيها المهاجم آلية الدفاع، يحقق FlowPure متانة متطورة مع الحفاظ الكامل (أو التحسين الطفيف) على دقة البيانات السليمة، وهو ما يمثل نقطة فشل شائعة في نماذج الانتشار.
كشف عدائي فعال: يحقق النموذج دقة كشف شبه مثالية (AUC $\approx$ 1.0) ضد هجمات PGD، متفوقاً على نماذج الكشف الحالية مثل BEYOND.

4. النتائج التجريبية

أُجريت التجارب على مجموعتي بيانات CIFAR-10 و CIFAR-100 باستخدام مصنف WideResNet-28-10.

سيناريوهات "المانع المجهول" (المهاجم لا يعرف الدفاع)

دقة البيانات السليمة: حافظت نسخ FlowPure الحتمية على الدقة القياسية أو حسنتها قليلاً (مثلاً 96.00% على CIFAR-10 مقابل 89.99% لـ DiffPure)، بينما عانت نماذج الانتشار غالباً من انخفاض كبير.
الدقة المتينة (Robust Accuracy): تفوقت نسخ FlowPure بشكل كبير على DiffPure و GDMP و LM و ADBM ضد هجمات PGD و CW.
- مثال (CIFAR-10, PGD): حقق FlowPure $_{PGD}$ دقة متينة بنسبة 92.23% مقابل 73.69% لـ DiffPure.
القابلية للانتقال (Transferability): رغم أن النسخ الحتمية صُممت لهجمات محددة، إلا أنها أظهرت قدرة جيدة على الانتقال لأنواع هجمات مشابهة. أما نسخة Gaussian فقد قدمت متانة أوسع عبر مختلف المعايلات ( $L_\infty$ و $L_2$ ).

سيناريوهات "الصندوق الأبيض التكيفي الكامل" (المهاجم يعرف الدفاع)

التحدي: عانت جميع طرق التنقية، بما في ذلك FlowPure، من انخفاض كبير في الأداء تحت هجوم DiffHammer (أحدث هجوم تكيفي)، مما يؤكد صعوبة الدفاع ضد الوصول الكامل للتدرج.
المقارنة: رغم الانخفاض، تفوقت نسخة FlowPure العشوائية (Gaussian) على جميع النماذج الأساسية للانتشار.
- مثال (CIFAR-10, DiffHammer): حققت FlowPure $_{Gauss}$ دقة متينة متوسطة بنسبة 43.12% مقابل 39.74% لـ DiffPure.
تعمية التدرج: كانت الفجوة بين BPDA (تدرجات تقريبية) و DiffHammer (تدرجات دقيقة) أصغر بالنسبة لـ FlowPure، مما يشير إلى اعتماد أقل على تعمية التدرج مقارنة بنماذج الانتشار.

أداء الكشف

حقق FlowPure كشفاً لهجمات PGD بدقة AUC تقترب من المثالية (0.99-1.0) على كلا المجموعتين، متفوقاً بشكل ملحوظ على كاشف BEYOND، خاصة عند معدلات الخطأ الإيجابي (FPR) المنخفضة.

5. الأهمية والخاتمة

تحول في النموذج: يثبت FlowPure أن مطابقة التدفق (Flow Matching) هي بديل قابل للتطبيق وغالباً ما يكون متفوقاً لنماذج الانتشار في التنقية العدائية. فهي تسمح بخرائط مباشرة وحتمية تحافظ على المحتوى الدلالي بشكل أفضل من طرق حقن الضوضاء.
النشر العملي: توفر النسخة الحتمية دفاعاً عملياً للغاية للسيناريوهات الواقعية حيث يكون المهاجم "مجهول المانع" (مثل النماذج مفتوحة الأوزان)، مما يوفر متانة قوية دون التضحية بأداء البيانات السليمة.
رؤية نظرية: تبرز النتائج أنه بينما لا توجد طريقة تنقية حالية قادرة على الصمود أمام الهجمات التكيفية كاملة الصندوق الأبيض مع الوصول الكامل للتدرج، فإن النسخ العشوائية من طرق التدفق توفر خط أساس أكثر مرونة من نظيراتها من نماذج الانتشار.
الاستخدام المزدوج: القدرة على العمل كمُنقٍ وككاشف في آن واحد تضيف قيمة كبيرة لخطوط الدفاع الأمنية.

باختصار، يطور FlowPure أحدث التقنيات عبر استغلال كفاءة ومرونة التدفقات الطبيعية المستمرة لإنشاء دفاعات أكثر متانة، وتحافظ على دقة البيانات السليمة، وتوفر وظائف مزدوجة في الكشف.