One Surrogate to Fool Them All: Universal, Transferable, and Targeted Adversarial Attacks with CLIP

تخيل أن الإنترنت عبارة عن مدينة ضخمة وصاخبة حيث تعمل أجهزة الكمبيوتر كرجال شرطة، وأطباء، وبائعين. تستخدم هذه الحواسيب نوعًا خاصًا من الأدمغة يسمى "الشبكة العصبية العميقة" (DNN) لاتخاذ القرارات، مثل التعرف على قطة في صورة أو تشخيص مرض ما. لفترة طويلة، اكتشف العلماء خدعة غريبة: يمكنك خداع هذه الأدمغة الحاسوبية باستخدام "هجمات عدائية". الأمر يشبه وضع ملصق صغير غير مرئي تقريبًا على لوحة "قف" يجعل الكمبيوتر يعتقد أنها لوحة تحديد سرعة. عادةً، لتنفيذ هذه الخدعة، يحتاج المخترق إما إلى التلصص داخل الكود السري للكمبيوتر (وهو أمر مستحيل في العالم الحقيقي) أو طرح آلاف الأسئلة على الكمبيوتر لمعرفة أسراره (وهو أمر بطيء ومكلف للغاية).

ولكن ماذا لو كان بإمكانك خداع أي دماغ حاسوبي دون أن تسأله سؤالًا واحدًا؟ هذا هو السؤال الكبير الذي تعالجه هذه الورقة البحثية. استخدم الباحثون أداة قوية تسمى CLIP، وهي تشبه أمينة مكتبة فائقة الذكاء قرأت مليارات الكتب ورأت مليارات الصور، وتعلمت كيف ترتبط الكلمات بالصور. أرادوا معرفة ما إذا كان يمكن استخدام هذه "الأمينة العالمية" لإنشاء مفتاح رئيسي — وهو تشويه رقمي صغير للغاية — يمكنه خداع أي نظام رؤية حاسوبية تقريبًا، من بحث جوجل إلى الروبوتات عالية التقنية، فقط باستخدام كلمات بسيطة مثل "دجاجة" أو "قطة" كدليل.

المفتاح الرئيسي: نموذج بديل واحد لخداع الجميع

تعرف على UnivIntruder، وهو إطار عمل هجوم جديد قدمه بينيان شو وفريقه. فكر فيه كـ "مفتاح رئيسي عالمي" للرؤية الحاسوبية. في الماضي، إذا أراد مخترق خداع نظام حاسوبي معين، كان عليه بناء نسخة مزيفة من ذلك النظام (نموذج بديل أو "surrogate model") باستخدام نفس البيانات التي تدرب عليها النظام الحقيقي. كان الأمر يشبه محاولة فتح قفل محدد عن طريق بناء نسخة طبق الأصل من ثقب مفتاح القفل باستخدام نفس المعدن والبراغي. إذا لم تكن تملك المخططات الأصلية للقفل أو المعدن الدقيق، فلن يعمل مفتاحك المزيف.

لقد غير UnivIntruder قواعد اللعبة. أدرك الباحثون أنهم ليسوا بحاجة إلى نسخة مثالية من الهدف. بدلاً من ذلك، استخدموا CLIP، وهو ذكاء اصطناعي متاح للجمهور وفائق الذكاء يفهم العلاقة بين الصور والنصوص. لقد عاملوا CLIP كـ "نموذج بديل" أو "قفل تجريبي". وهنا تكمن السحر: لم يحاولوا نسخ بيانات التدريب الخاصة بالهدف، بل استخدموا مجموعة بيانات عامة من الصور العشوائية (التي قد لا تشبه إطلاقًا بيانات الهدف) ومفاهيم نصية بسيطة.

كيف تعمل الخدعة:
تخيل أنك تريد خداع كاميرا مراقبة لتجعلها تعتقد أن صورة سنجاب هي في الواقع "دجاجة".

1. الدليل النصي: تخبر النظام: "أريد أن يبدو هذا كدجاجة"، و"لا أريده أن يبدو كقطة أو حصان".
2. الإزاحة الاتجاهية: بدلاً من مجرد النظر إلى الصورة، ينظر النظام إلى الفرق بين الصورة والنص. إنه يحسب "اتجاهًا" في دماغ الكمبيوتر. يتساءل: "إذا دفعت صورة السنجاب هذه في هذا الاتجاه المحدد، هل ستتحرك لتصبح أقرب إلى مفهوم 'الدجاجة' وأبعد عن مفهوم 'القطة'؟"
3. الملصق العالمي: ينشئ النظام "ملصقًا" عالميًا صغيرًا (تشويشًا)، والذي عند إضافته إلى أي صورة، يدفعها في ذلك الاتجاه.
4. الالتواء: لضمان أن هذا الملصق سيعمل مع أي كاميرا، وليس فقط تلك التي تدربوا عليها، يقومون بتدوير وتكبير وقص الصور أثناء إنشاء الملونة. هذا يجبر الملصق على أن يكون قويًا (robust)، مثل ملصق يظل فعالاً حتى لو مرت السيارة عبر مغسلة سيارات أو تغطت بالطين.

النتائج: خداع العالم

اختبر الفريق هذا "المفتاح الرئيسي" على نطاق واسع. لم يختبروه على كمبيوتر واحد فحسب، بل اختبروه على 85 نموذجًا مختلفًا وتطبيقات من العالم الحقيقي.

• الأرقام: في الاختبارات القياسية، كان هجومهم فعالًا بشكل مرعب. في مجموعة بيانات CIFAR-10 (وهي اختبار شائع للتعرف على الصور)، حققوا معدل نجاح بنسبة 99.4%. وفي مجموعة بيانات ImageNet الضخمة (التي تحتوي على 1,000 فئة مختلفة)، وصلوا إلى 85.1%.
• العالم الحقيقي: هنا يصبح الأمر مخيفًا. لم يكتفوا بالاختبارات المعملية، بل جربوا خداع خدمات حقيقية:
  • محركات البحث: رفعوا صورة مشوهة لقرد إلى جوجل، وبيدو، وتاوباو، وJD. وبدلاً من إظهار القردة، بدأت محركات البحث تظهر لهم دجاجات. على بايدو، بلغت نسبة النجاح 84%.
  • الذكاء الاصطناي الفائق: اختبروا الهجوم على GPT-4 و Claude-3.5، وهما أكثر روبوتات الدردشة تطورًا. عند عرض صورة مشوهة لقرد عليهما، وصفته هذه الأنظمة بثقة بأنه "دجاجة" أو "كتكوت". بلغت نسبة النجاح في Claude-3.5 حوالي 80%.
  • مولدات الصور: حتى الذكاء الاصطناعي الذي يرسم الصور، مثل DALL·E 3، تم خداعه. فعند طلب إنشاء صورة بناءً على المدخل المشوه، أنتج صورًا لدجاج بدلاً من القردة.

لماذا فشلت الطرق الأخرى

الورقة البحثية واضحة جدًا بشأن ما لا يعمل. حاولت الطرق السابقة استخدام CLIP كمساعد، لكنها فشلت لأنها لم تأخذ في الاعتبار "انحياز" (bias) البيانات.

• مشكلة الانحياز: إذا دربت قفلًا مزيفًا باستخدام مجموعة بيانات ذات مسحة زرقاء طفيفة، فقد يعمل مفتاحك فقط على الأقفال ذات المسحة الزرقاء. وجد الباحثون أنه من خلال استخدام "الاتجاهات" (طرح ميزات الصورة الأصلية من الميزات الجديدة) بدما بدلاً من الميزات الخام، فإنهم ألغوا هذه الانحيازات.
• مشكلة النموذج البديل: حاولت طرق أخرى استخدام CLIP ولكنها فشلت في نقل الهجوم إلى نماذج أخرى. أوضح المؤلفون أنه بدون حيلهم الخاصة المتعلقة بـ "الاتجاه" و"التحويل العشوائي"، فإن حتى استخدام CLIP يؤدي إلى معدلات فشل تتجاوز 70% في النماذج المتقدمة. UnivIntruder هو الطريقة الوحيدة التي نجحت في سد الفجوة بين نموذج CLIP العام والنماذج المتنوعة وغير المعروفة المستخدمة في العالم الحقيقي.

ماذا يعني هذا للأمن

تشير الورقة البحثية إلى أن فكرتنا الحالية عن الأمن قد تكون مكسورة. عادةً، نعتقد أننا إذا أخفينا بيانات التدريب الخاصة بنا وحددنا عدد الأسئلة التي يمكن للناس طرحها، فسنكون آمنين. يثبت UnivIntruder أنه يمكن للمهاجم تجاوز هذه الدفاعات تمامًا. هم لا يحتاجون إلى بياناتك، ولا يحتاجون لسؤالك. هم يحتاجون فقط إلى ذكاء اصطناعي متاح للجمهور (مثل CLIP) وبعض الكلمات.

اختبر الباحثون أيضًا ما إذا كان بإمكاننا إيقاف ذلك. جربوا "التدريب العدائي" (تعليم الكمبيوتر مقاومة الخدع) و"دفاعات وقت الاختبار" (تنظيف الصورة قبل معالجتها). وبينما ساعدت هذه الأساليب قليلاً، إلا أنها غالبًا ما جعلت الكمبيوتر أسوأ في مهمته الفعلية (مثل التعرف على القطط الحقيقية) أو كانت مكلفة جدًا للتشغيل على أنظمة ضخمة مثل GPT-4. تخلص الورقة إلى أننا بحاجة لإعادة التفكير في كيفية تأمين الذكاء الاصطناعي، لأن نموذجًا واحدًا متاحًا للجمعة يمكن استخدامه الآن لخداع أي شيء تقريبًا.

باخت-الاختصار، UnivIntruder هو جرس إنذار. إنه يوضح أنه مع وجود "المفتاح الرئيسي" المناسب، فإن أنظمة الرؤية في العالم الرقمي أكثر هشاشة مما كنا نعتقد، وأن الشيء الوحيد الذي يقف بين قرد ودجاجة في عيون الذكاء الاصطناعي قد يكون مجرد خلل رقمي صغير وغير مرئي.