💬 NLP

Can We Infer Confidential Properties of Training Data from LLMs?

تقدم هذه الورقة PropInfer، وهو معيار لتقييم ما إذا كانت النماذج اللغوية الكبيرة (LLMs) عرضة لهجمات استنتاج الخصائص، وتثبت من خلال طرق هجوم جديدة أن النماذج اللغوية الكبيرة يمكنها بالفعل تسريب معلومات سرية حساسة على مستوى مجموعة البيانات أثناء عملية الضبط الدقيق.

المؤلفون الأصليون: Pengrun Huang, Chhavi Yadav, Kamalika Chaudhuri, Ruihan Wu

نُشر 2026-02-10

📖 3 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Pengrun Huang, Chhavi Yadav, Kamalika Chaudhuri, Ruihan Wu

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك وصفة سرية لحساء مميز. أنت لا تريد إخبار أي شخص بالضبط عن كمية الملح أو الثوم التي تستخدمها لأن ذلك هو "سر عملك". بدلاً من إعطاء الوصفة، أنت فقط تجعل الناس يتذوقون الحساء. قد تفكر قائلًا: "طالما أنني لا أعطيهم بطاقة الوصفة، فسرّي في أمان".

ولكن ماذا لو استطاع ناقد طعام ذكي تذوق حسائك، ومن خلال تحليل تلميحات النكهة الدقيقة، استنتج بالضبط ما هي نسبة مكونات الثوم مقابل البصل؟

هذا هو بالضبط موضوع هذا البحث العلمي.

المشكلة الجوهرية: "نكهة" البيانات

عندما تقوم الشركات أو المستشفيات بتدريب النماذج اللغوية الكبيرة (مثل ChatGPT)، فإنها تستخدم مجموعات بيانات خاصة. على سبيل المثال، قد يستخدم مستشفى آلاف المحادثات بين الأطباء والمرضى لتعليم الذكاء الاصطناعي كيفية تقديم المشورة الطبية.

وجد الباحثون أنه حتى لو لم تقم بـ "تسريب" اسم مريض معين (خصوصية الفرد)، فإن الذكاء الاصطناعي يتعلم بالخطأ "نكهة" المجموعة بأكملها (خاصية مستوى مجموعة البيانات).

إذا كانت بيانات التدريب الخاصة بالمستشفى تحتوي بالصدفة على الكثير من المريضات الإناث، فقد يبدأ الذكاء الاصطناعي في استخدام تلميحات لغوية دقيقة — مثل ذكر "الحمل" أو "أطباء النساء" — بشكل متكرر. يمكن للمهاجم أن "يتذوق" هذه التلميحات اللغوية ليعرف: "آه! 70% من الأشخاص في قاعدة بيانات هذا المستشفى هم من النساء". هذا يعد خرقًا لـ السرية، حتى لو لم تُسرق هوية أي شخص بعينه.

"كبار الطهاة" الاثنان (الهجمات)

ابتكر الباحثون طريقتين لـ "تذوق" الذكاء الاصطناعي لسرقة هذه الأسرار:

هجوم "اطلب عينة" (التوليد بنظام الصندوق الأسود - Black-Box Generation):
تخيل أنك تدخل مطعمًا وتطلب 100 وعاء مختلف من الحساء. أنت لا تعرف الوصفة، ولا يمكنك رؤية المطبخ. أنت فقط تتذوق كل وعاء وتجري إحصاءً: "هذا الطعم يشبه الثوم، وهذا لا يشبهه، وهذا يفعل...". بحلول الوقت الذي تكون فيه قد أكلت 100 وعاء، يمكنك تقديم تخمين دقيق جدًا عن نسبة المكونات السرية للطاهي. هكذا استخدم الباحثون "المطالبات" (prompts) لجعل الذكاء الاصطناعي "يتحدث"، ثم قاموا بعدّ عدد المرات التي ذكر فيها مواضيع معينة.
هجوم "الطاهي المقلد" (نموذج الظل/تكرار الكلمات - Shadow-Model/Word Frequency):
هذا الهجوم أكثر تطورًا. تخيل أنك تريد معرفة النسبة السرية لطاهٍ مشهور. تذهب إلى منزلك وتطبخ 50 نسخة مختلفة من الحساء، مع تغيير مستويات الثوم عمدًا في كل مرة. تصبح خبيرًا في كيفية تغيير "زيادة الثوم" للرائحة والمظهر. بعد ذلك، تذهب إلى مطعم الطاهي المشهور، وتنظر إلى البخار المتصاعد من قدره، وتقول: "بناءً على الطريقة المحددة لانتشار جزيئات الثوم هذه، أراهن أن نسبتك هي 12% بالضبط". فعل الباحثون ذلك من خلال تدريب نماذج ذكاء اصطناعي "ظلية" لتعلم كيف يتغير تكرار كلمات معينة بناءً على البيانات.

النتائج: الأمر يعتمد على كيفية "طهيك" للبيانات

اكتشف الباحثون أن نجاح هذه الهجمات يعتمد على كيفية تدريب الذكاء الاصطناعي:

أسلوب "السؤال والجواب" (Q&A): إذا تم تدريب الذكاء الاصطناعي فقط لتقديم الإجابة (مثل الكتاب المدرسي)، فمن الصعب سرقة الأسرار عبر التوليد البسيط، ولكن هجوم "الطاهي المقلد" (تكرار الكلمات) يعمل بشكل جيد للغاية.
أسلوب "الدردشة" (Chat): إذا تم تدريب الذكاء الاصطناعي لمحاكاة محادثة كاملة (مثل شخص حقيقي)، فمن السهل جدًا استخدام هجوم "اطلب عينة" لأن الذكاء الاصطناعي "يسرب" نكهة المحادثة باستمرار.

لماذا يهم هذا الأمر؟

هذا البحث هو بمثابة جرس إنذار. إنه يخبر الشركات: "مجرد عدم عرضكم للبيانات الخام لا يعني أن أسراركم في أمان".

إذا تم تدريب ذكاء اصطناعي على بيانات حساسة — مثل عدد الأشخاص في مدينة معينة الذين يعانون من مرض محدد أو عدد العملاء ذوي الدخل المنخفض — فإن هذه المعلومات تكون "مخبوزة" داخل شخصية الذكاء الاصطناعي. يدعو الباحثون إلى وضع "وصفات" و"دفاعات" أفضل لضمان أننا عندما نعلم الذكاء الاصطناعي أشياء جديدة، لا نجعله يسرب أسرارنا عن غير قصد.

ملخص تقني: "هل يمكننا استنتاج الخصائص السرية لبيانات التدريب من النماذج اللغوية الكبيرة (LLMs)؟"

1. بيان المشكلة

بينما ركزت أبحاث كبيرة على الخصوصية على مستوى الفرد (مثل منع تسريب أسماء مرضى محددين أو أرقام الضمان الاجتماعي)، تتناول هذه الورقة تهديداً مختلفاً ولكنه لا يقل أهمية: استنتاج الخصائص على مستوى مجموعة البيانات (dataset-level property inference).

عندما يتم ضبط النماذج اللغوية الكبيرة (LLMs) بدقة على مجموعات بيانات متخصصة في مجال معين (مثل الرعاية الصحية، التمويل، أو القانون)، فقد تقوم دون قصد بحفظ وكشف الخصائص الإحصائية التجميعية لتلك البيانات. على سبيل المثال، قد يكشف نموذج لغوي طبي عن مدى انتشار مرض حساس (مثل فيروس نقص المناعة البشرية/HIV) أو التوزيع الديموغرافي (مثل نسبة النوع الاجتماعي) للمرضى في مجموعة بيانات التدريب الخاصة به. مثل هذه التسريبات يمكن أن تكشف معلومات استراتيجية للأعمال أو ديموغرافية مجتمعية حساسة، حتى لو لم يتم انتهاك هوية أي فرد بعينه.

2. المنهجية

يقدم المؤلفون PropInfer، وهو معيار (benchmark) مصمم لتقييم استنتاج الخصائص في النماذج اللغوية الكبيرة عبر نموذجين متميزين من الضبط الدقيق (fine-tuning):

وضع السؤال والجواب (الضبط الدقيق الخاضع للإشراف - SFT): يتعلم النموذج توليد استجابة ( $y$ ) مشروطة بتعليمات ومدخلات ( $x$ ). هذا يركز على استجابة "الطبيب".
وضع إكمال المحادثة (نمذجة اللغة السببية - CLM-FT): يتعلم النموذج التوزيع المشترك للتسلسل بأكمله (التعليمات + المدخلات + المخرجات)، مما قد يؤدي إلى حفظ كل من مدخلات "المريض" واستجابة "الطبيب".

لاستغلال هذه الثغرات، تقترح الورقة ناقلين هجوميين جديدين:

هجوم قائم على التوليد بنظام الصندوق الأسود (Black-Box Generation-Based Attack):
- الآلية: يستخدم المهاجم مطالبات (prompts) مصممة بعناية لتحفيز النموذج على توليد نصوص.
- العملية: يقوم المهاجم بتوليد عينات متعددة، ثم يستخدم مصنفاً (مثل GPT-4o) لتحديد ما إذا كانت كل عينة تحتوي على الخاصية المستهدفة (على سبيل المثال: "هل هذا المريض أنثى؟")، ثم يجمع هذه التصنيفات لتقدير نسبة الخاصية في مجموعة بيانات التدريب.
هجوم النموذج الظلي بنظام الصندوق الرمادي (التردد اللفظي) (Grey-Box Shadow-Model Attack - Word-Frequency):
- الآلية: يستفيد المهاجم من مجموعة بيانات مساعدة لتدريب "نماذج ظلية" ذات نسب خصائص معروفة.
- العملية: بدلاً من استخدام ميزات تقليدية مثل الخسارة (loss) أو الحيرة (perplexity)، يستخدم المؤلفون تردد الكلمات. حيث يحددون قائمة من "الكلمات المفتاحية" الإشارية التي ترتبط بقوة بالخاصية المستهدفة. ثم يتم تدريب نموذج هجوم ميتا (XGBoost) لربط ترددات الكلمات في مخرجات النموذج بنسبة الخاصية الأساسية.

3. المساهمات الرئيسية

معيار PropInfer: إطار عمل موحد باستخدام مجموعة بيانات ChatDoctor لدراسة استنتاج الخصائص عبر أوضاع الضبط الدقيق المختلفة وأنواع الخصائص (الديموغرافيا مقابل التشخيصات الطبية).
استراتيجيات هجوم مخصصة: تطوير نوعين من الهجمات (الهجوم القائم على التوليد، والنماذج الظلية القائمة على تردد الكلمات) التي تراعي الطبيعة اللغوية والذاتية (autoregressive) للنماذج اللغوية الكبيرة.
التحليل التجريبي لأثر الضبط الدقيق: دراسة منهجية توضح كيف يغير اختيار نوع الضبط الدقيق (SFT مقابل CLM-FT) من فعالية أنواع الهجمات المختلفة.

4. النتائج الرئيسية

أسفر التقييم التجريبي عبر نماذج Llama وPythia عن عدة نتائج حاسمة:

الاعتماد على الوضع (Mode-Dependent Success):
- هجوم التردد اللفظي فعال للغاية في وضع السؤال والجواب (Q&A Mode)، خاصة عندما تكون الخاصية مدمجة في مدخلات المستخدم (مثل تلميحات النوع الاجتماعي في وصف المريض).
- الهجوم القائم على التوليد فعال للغاية في وضع إكمال المحادثة (Chat-Completion Mode) وعندما تكون الخصائص موجودة في كل من السؤال والإجابة (مثل التشخيصات الطبية).
تفوق التردد اللفظي: أثبتت إشارة تردد الكلمات أنها ميزة أكثر قوة لاستنتاج الخصائص من المقاييس التقليدية مثل الحيرة (perplexity).
انحياز ما قبل التدريب (Pre-training Bias): يمكن أن تتأثر فعالية الهجمات بالمعرفة المسبقة للنموذج. فبالنسبة للمواضيع الحساسة مثل "الولادة"، قد تعمل مرشحات السلامة في مرحلة ما قبل التدريب على كبح بعض عمليات التوليد، مما يجعل الهجوم أصعب.
الكفاءة: يحقق الهجوم القائم على التوليد تقارباً سريعاً، حيث يتطلب 500 عينة فقط للوصول إلى معدلات خطأ منخفضة.

5. الأهمية

تحدد هذه الورقة ثغرة لم تكن معترف بها سابقاً في النماذج اللغوية الكبيرة. فهي تثبت أنه حتى لو كان النموذج اللغوي الكبير "آمناً" فيما يتعلق باستخراج البيانات الفردية، فإنه لا يزال بإمكانه العمل كمرآة إحصائية لبيانات التدريب الخاصة به، مما يؤدي إلى تسريب معلومات تجميعية حساسة.

تسلط الورقة الضوء على التوتر بين منفعة النموذج وسرية البيانات، مما يشير إلى أن ممارسات الضبط الدقيق الحالية غير كافية لحماية الخصوصية على مستوى مجموعة البيانات. وهذا يوفر أساساً لأبحاث مستقبلية حول آليات الدفاع القوية، مثل طرق أخذ العينات المتخصصة أو أخذ عينات فرعية من البيانات، للتخفيف من مخاطر تسرب الخصائص في عمليات النشر الواقعية.