CLIP-Guided Backdoor Defense through Entropy-Based Poisoned Dataset Separation
تقدم الورقة البحثية طريقة الدفاع الموجه بـ CLIP (أو CGD)، وهي طريقة فعالة وقوية تستفيد من نموذج CLIP المتاح للجمهور لتحديد البيانات المسمومة وتحييدها، مما يقلل بشكل فعال من معدلات نجاح الهجوم إلى أقل من 1% مع الحفاظ على دقة عالية للبيانات السليمة عبر مختلف مجموعات البيانات وأنواع الهجمات.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك قمت للتو ببناء طباخ آلي فائق الذكاء. لقد غذّيته بملايين الصور للأطعمة لكي يتعلم التمييز بين البرجر والبيتزا. هكذا تعمل "الشبكات العصبية العميقة" الحديثة؛ فهي العقول الكامنة وراء كل شيء، من السيارات ذاتية القيادة إلى التشخيص الطبي. لكن هناك مشكلة خفية: ماذا لو قام شخص سيء بتسلل بعض الصور "المسمومة" إلى مزيج التدريب؟ ربما أضاف ملصقاً صغيراً غير مرئي على كل صورة برجر ووضع عليها تسمية "بيتزا". إذا تعلم الروبوت هذه الخدعة، فقد يعتقد فجأة أن أي برجر يحمل ذلك الملصق هو بيتزا، حتى لو طلبت منه صنع برجر. يُسمى هذا "هجوم الباب الخلفي" (Backdoor Attack). يعمل الروبوت بشكل مثالي بنسبة 99% من الوقت، ولكن عندما يظهر ذلك المحفز المحدد، فإنه يخرج عن السيطرة.
السؤال الكبير الذي يطرحه العلماء هو: كيف يمكننا تنظيف بيانات التدريب المسمومة هذه دون رمي الوصفة بأكملة؟ عادةً، الطريقة الوحيدة لتكون آمناً هي امتلاك كومة منفصلة ونظيفة تماماً من الصور للمقارنة بها، ولكن في العالم الحقيقي، غالباً لا نملك هذا الترف. قد يكون لدينا فقط الكومة المشبوهة التي يحتمل تسممها. لذا، يبحث الباحثون عن طريقة لفرز الصور "الجيدة" من "السيئة" باستخدام الأدوات التي نمتلكها بالفعل، لجعل طهاة الروبوت لدينا آمنين مرة أخرى دون الحاجة إلى عصا سحرية.
هنا يظهر أسلوب جديد يسمى CGD (الدفاع ضد الباب الخلفي الموجه بواسطة CLIP)، والذي يعمل كشرطي محقق ذكي للغاية ليعطي رأياً ثانياً لطباخ الروبوت الخاص بك. أدرك الباحثون أنه يمكنهم استخدام نموذج ذكاء اصطناعي شهير ومدرب مسبقاً يسمى CLIP (وهو بارع في مطابقة الصور مع الأوصاف النصية) لشم رائحة المزعجين. إليك كيف يحدث السحر:
أولاً، يعامل الباحثون طباخ الروبوت المشبوه (الذي تدرب على البيانات السيئة) ومحقق CLIP كفريق واحد. ينظرون إلى كل صورة في كومة التدريب ويسألون كلاهما: "ما مدى تأكدك مما هو عليه هذا الشيء؟" يقيسون هذا "التأكد" باستخدام شيء يسمى الإنتروبي (Entropy). فكر في الإنتروبي كمقياس للارتباك.
- إذا نظر محقق CLIP إلى صورة وقال: "ليس لدي أدنى فكرة عما هذا، إنه فوضى عارمة!" (إنتروبي مرتفع)، فهذا يعني عادةً أن الصورة تحمل تسمية غريبة مرفقة بها. وهذا يشير إلى أنها عينة "مسمومة" على الأرجى حيث تم تغيير التسمية من قبل شخص سيء.
- إذا نظر طباخ الروبوت المشبوه إلى صورة وقال: "أنا متأكد بنسبة 100% أن هذا بيتزا!" (إنتروبي منخفض)، ولكن الصورة في الواقع هي برجر مع محفز مخفي، فهذا يعني أن الروبوت قد خُدع ليكون واثقاً أكثر من اللازم. هذه علامة على "باب خلفي نظيف التسمية" (Clean-label backdoor)، حيث تكون التسمية صحيحة، ولكن الصورة تم تعديلها سراً لتضليل النموذج.
من خلال الجمع بين هاتين الإشارتين، ينشئ CGD "خريطة" تفصل الصور النظيفة عن الصور المسمومة. الأمر يشبه وجود حارس أمن عند ملهى ليلي يفحص بطاقتين للهوية: إذا بدت إحدى البطاقتين مزيفة (ارتباك عالٍ من CLIP) أو إذا كانت الأخرى واثقة بشكل مريب بشأن كذبة (ارتباك منخفض من الروبوت)، فإن الحارس يطرد تلك الصورة من مجموعة التدريب.
بمجرد فصل الصور السيئة، لا يقوم CGD بمجرد حذفها؛ بل يعلم طباخ الروبوت "التخلص من العادات السيئة". يعيد تدريب النموذج على الصور النظيفة للحفاظ على حدته، بينما يستخدم في الوقت نفسه معرفة CLIP الصحيحة لتوجيه النموذج بعيداً عن المحفزات المسمومة. إنه يشبه قولك للروبوت: "انسَ أن هذا الملصق يعني بيتزا؛ انظر إلى المكونات الحقيقية بدلاً من ذلك".
النتائج مبهرة. في الاختبارات عبر أربعة مجموعات بيانات مختلفة وإحدى عشرة نوعاً مختلفاً من الهجمات الماكرة، نجح CGD في تقليل معدل نجاح هجمات الباب الخلفي هذه إلى أقل من 1% (غالباً ما يصل إلى 0.1% أو 0.2%). وفي الوقت نفسه، حافظ على الأداء الطبيعي للروبوت كما هو تقريباً، مع انخفاض في الدقة قدره 0.3% فقط. هذا يشبه إصلاح محرك سيء معطل دون خدش الطلاء.
ما يجعل هذا الأمر أكثر روعة هو مدى قوة هذه الطريقة. اختبر الباحثون هذه الطريقة حتى عندما كان محقق CLIP "أضعف" (أقل دقة) أو حتى إذا كان نموذج CLIP نفسه قد تعرض للتسمم. وحتى في هذه الحالات، استطاع CGD إزالة الأبواب الخلفية من النموذج الضحية دون نقل العادات السيئة إليه بالخطأ. كما أظهرت هذه الطريقة أنها سريعة للغاية، حيث تستغرق أقل من 3 دقائق لتنظيف البيانات بعد التدريب الأولي، وهو أسرع بكثير من الطرق الأخرى التي قد تستغرق ساعات أو أياماً.
باختصار، تشير هذه الورقة البحثية إلى أنه من خلال استخدام ذكاء اصطناعي مدرب مسبقاً كدليل، يمكننا فعلياً فصل البيانات "الجيدة" عن "السيئة"، حتى عندما لا نملك مجموعة مرجعية نظيفة. إنها تقدم طريقة عملية وفعالة لتأمين أنظمة الذكاء الاصطناعي الخاصة بنا ضد الفخاخ المخفية، مما يضمن بقاء مساعدينا الرقميين جديرين بالثقة حتى عندما لا تكون البيانات التي يتعلمون منها مثالية.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.