🤖 AI

Mitigating Watermark Forgery in Generative Models via Randomized Key Selection

تقترح هذه الورقة دفاعاً مُثبتاً لمقاومة التزوير للذكاء الاصط์ناعي التوليدي يقوم بعشوائية اختيار مفتاح العلامة المائية ولا يقبل المحتوى إلا إذا تم اكتشافه بواسطة مفتاح واحد بالضبط، مما يخفف بفعالية هجمات التزوير دون تقليل فائدة النموذج أو زيادة الأعباء الحسابية.

المؤلفون الأصليون: Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

نُشر 2026-05-12

📖 5 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة بحثية بعنوان "الحد من تزوير العلامات المائية في النماذج التوليدية عبر الاختيار العشوائي للمفاتيح"، باستخدام لغة بسيطة وتشبيهات من الحياة اليومية.

المشكلة الكبرى: هويات مزيفة للذكاء الاصطنا�عي

تخ يل أن مخبزًا مشهورًا (مزود خدمة الذكاء الاصطناعي) يخبز ملايين الكعكات يوميًا. ولإثبات أن الكعكة خرجت من فرنهم، يضعون "ختمًا سريًا" صغيرًا وغير مرئي داخل الكريمة. إذا نظرت بتمعن باستخدام كشاف خاص (الكاشف)، يمكنك رؤية الختم ومعرفة: "نعم، هذه كعكة أصلية من المخبز".

التهديد: يريد شخص سيء (المهاجم) أن يخبز كعكة سيئة (محتوى ضار) في مطبخه القذر الخاص، لكنه يريد خداك لإقناع الناس بأنها جاءت من المخبز الشهري. يحاول نسخ الختم السري ووضعه على كعكته السيئة. إذا نجح في ذلك، فسيتم لوم المخبز على الكعكة السيئة، مما يدمر سمعته.

الحل القديم: مشكلة "العديد من الأختام"

سابقًا، لمحاولة إيقاف المزورين، حاول المخبز حيلة بسيطة: وضعوا عدداً كبيراً من الأختام السرية المختلفة على كل كعكة واحدة.

المنطق: "إذا حاول المزور نسخ الأختام، فقد ينجح في نسخ واحد منها، لكنه لا يمكنه بالتأكيد نسخ كل الأختام بدقة".
العيب: كان هذا يشبه وضع 100 ختم مختلف وغير مرئي على كعكة واحدة. جعل ذلك الكعكة ثقيلة وغريبة (مما يؤدي لتدهور جودة النموذج). وأيضًا، إذا سرق المزور ما يكفي من الكعكات من المخبز لدراستها، فقد يتمكن في النهاية من معرفة كيفية نسخ جميع الأختام.

الحل الجديد: "يانصيب المفتاح العشوائي"

يقترح مؤلفو هذه الورقة طريقة أذكى وأخف وزنًا لحماية المخبز. بدلًا من وضع العديد من الأختام على كعكة واحدة، يقومون بتغيير قواعد اللعبة.

1. مرحلة التوليد (خبز الكعكة)

في كل مرة يطلب فيها عميل كعكة، لا يستخدم المخبز ختمًا ثابتًا. بدلًا من ذلك، لديهم صندوق ضخم يحتوي على أختام سرية مختلفة (مفاتيح).

لكل طلب، يمدون أيديهم داخل الصندوق، ويسحبون ختمًا عشوائيًا واحدًا فقط، ويستخدمونه.
يحصل العميل على كعكة بها ختم واحد فقط غير مرئي، تمامًا كما في السابق. طعم الكعكة يبقى كما هو تمامًا (لا يوجد نقص في الجودة).

2. مرحلة الكشف (فحص الكعكة)

عندما يحضر شخص ما كعكة إلى المخبز لفحص ما إذا كانت حقيقية، لا يبحث المخبز عن ختم واحد فقط. بل يفحص الكعكة مقابل جميع الأختام الموجودة في الصندوق.

السيناريو أ: لم يتم العثور على أي أختام. الكعكة من شخص غريب. (النتيجة: "ليست لنا").
السيناريو ب: تم العثود على ختم واحد بالضبط. الكعكة تحمل الختم المحدد الذي استخدمه المخبز لتلك الدفعة. (النتيجة: "هذه أصلية!").
السيناريو ج: تم العثور على ختمين أو أكثر. هذه هي الخدعة السحرية. إذا كان المخبز يضع دائمًا ختمًا واحدًا فقط على الكعكة، فكيف يمكن لكعكة أن تحمل ختمين مختلفين؟
- الاستنتاج: لا بد أنها مزيفة! لقد حاول المزور نسخ الأختام، ولكن نظرًا لأنه لم يكن يعرف أي ختم محدد استُخدم لتلك الكعكة تحديدًا، فقد نسخ بالخطأ "خليطًا" من الأختام. يرى الكاشف هذا الخليط ويقول: "هذا تزوير".

لماذا يعد هذا تغييراً جذرياً؟

تزعم الورقة أن هذه الطريقة قوية لثلاثة أسباب رئيسية:

إنه فخ للمقلدين: لتزوير كعكة، يحتاج المهاجم إلى تخمين أي ختم محدد استُخدم. ولكن بما أن المخبز يختار ختمًا عشوائيًا في كل مرة، فإن المهاجم يخمن في الظلام. إذا حاول التعلم من العديد من الكعكات، سينتهي به الأمر بتعلم "خليط" من جميع الأختام. وعندما يحاول وضع هذا الخليط على كعكته المزيفة، يرى كاشف المخبز أختامًا متعددة ويرفضها فورًا باعتبارها تزويرًا.
لا يضر بالكعكة: على عكس الطريقة القديمة التي تضع أختامًا كثيرة على كعكة واحدة، تحافظ هذه الطريقة على خفة وطعم الكعكة. نموذج الذكاء الاصطناعي لا يصبح أبطأ ولا ينتج نصوصًا أو صورًا أسوأ.
يعمل حتى لو كان المهاجم ذكيًا: توضح الورقة أنه حتى لو سرق المهاجم آلاف الكعكات لدراستها، فإنه لا يزال غير قادر على تزوير واحدة بنجاح. تنخفض نسبة نجاح التزوير من ما يقرب من 100% (مع الطرق القديمة) إلى أدنى مستوياتها وهي 2% مع هذه الطريقة الجديدة.

المهاجم "الأعمى" مقابل المهاجم "المطلع"

تميز الورقة بين نوعين من المهاجمين السيئين:

المهاجم الأعمى: يسرق الكعكات لكنه لا يعرف أي ختم استُخدم لأي كعكة. التوزيع العشوائي يجعله في حالة ارتباك تام. هذه الطريقة الجديدة توقفه تمامًا تقريبًا.
المهاجم المطلع: يتمكن بطريقة ما من معرفة الختم المستخدم بالضبط لكل كعكة (وهي مهمة صعبة للغاية تتطلب اختراقًا أمنيًا). إذا استطاع فعل ذلك، فيمكنه تزوير الكعكات، لكن الورقة تشير إلى أن هذا يتطلب كسر الأمن الداخلي للمخبز أولاً.

الملخص

فكر في هذه الطريقة الجديدة مثل نظام تذكرة اليانصيب للمحتوى الرقمي.

الطريقة القديمة: الجميع يحصل على تذكرة بها 10 أرقام. إذا خمنت 10 أرقام، فستفوز. التخمين صعب، لكن التذكرة تكون ضخمة.
الطريقة الجديدة: الجميع يحصل على تذكرة بها رقم واحد فقط. لكن النظام يتحقق مما إذا كانت تذكرتك تحتوي على رقم واحد بالضبط من مجموعة الأرقام الفائزة.
- إذا كان لديك 0 أرقام: لقد خسرت.
- إذا كان لديك رقم 1: لقد فزت!
- إذا كان لديك رقمان: لقد غششت! (لأن النظام لم يعطِ أحدًا سوى رقم واحد لكل شخص).

من خلال إجبار المهاجم على تخمين أي "تذكرة يانصيب" (مفتاح) استُخدمت بالضبط، ومعاقبته إذا خمن الكثير من الأختام، يمكن للمخبز رصد التزوير فورًا دون إفساد جودة منتجاته الحقيقية.

ملخص تقني: الحد من تزوير العلامات المائية في النماذج التوليدية عبر الاختيار العشوائي للمفاتيح

1. بيان المشكلة

يستخدم مزودو الذكاء الاصطناعي التوليدي (GenAI) العلامات المائية لنسب المحتوى إلى نماذجهم، وذلك عبر دمج إشارات مخفية يمكن اكتشافها بواسطة مفتاح سري. ويتمثل أحد التهديدات الأمنية الحرجة لهذا النظام البيئي في هجمات التزوير، حيث يقوم المهاجمون بإدراج علامة مائية تابعة لمزود معين في محتوى لم يقم ذلك المزود بتوليده. يتيح ذلك للمهاجمين نسب محتوى ضار (مثل المعلومات المضللة، أو العنف، أو البريد العشوائي) زوراً إلى مزود مرموق، مما يلحق الضرر بسمعته ويعرضه للمسؤولية القانونية.

تواجه الدفاعات الحالية قيوداً كبيرة:

الكشف الإحصائي: غالباً ما يفشل تحليل توزيع الرموز (tokens) أو الآثار (artifacts) أمام المهاجمين المتكيفين.
تدوير المفاتيح: يؤدي تدوير المفاتيح بعد عدد $N$ من العينات إلى تعقيد في الإدارة، كما يظل تحديد العدد الأمثل لـ $N$ غير واضح.
تضمين مفاتيح متعددة: يؤدي تضمين مفاتيح متعددة في عينة واحدة إلى تدهور فائدة النموذج، وكما أظهرت أعمال سابقة، يظل هذا الأسلوب عرضة للاختراق إذا جمع المهاجم عدداً كافياً من العينات الموسومة ( $N$ ) لاستخلاص نمط العلامة المائية.

يكمن التحدي الجوهري في تحقيق مقاومة للتزوير تظل فعالة بغض النظر عن عدد العينات الموسومة التي يمكن للمهاجم جمعها، دون المساس بفائدة النموذج التوليدي.

2. المنهجية

يقترح المؤلفون استراتيجية الاختيار العشوائي للمفاتيح التي تعمل كغلاف (wrapper) "صندوق أسود" لطرق العلامات المائية الحالية (القابلة للتطبيق على كل من الوسائط النصية والصورية).

الآلية الجوهرية

التوليد: لكل استعلام مستخدم، يختار المزود عشوائياً مفتاحاً سرياً واحداً فقط من مجموعة مكونة من $r$ من المفاتيح ( $K = \{k_1, ..., k_r\}$ ) لتوسيم المحتوى المولد. وهذا يماثل عملية العلامات المائية القياسية بمفتاح واحد من حيث تكلفة التوليد.
الكشف: يقوم المزود بإجراء اختبارات الكشف لجميع المفاتيح الـ $r$ الموجودة في المجموعة على المحتوى.
قاعدة القرار:
- أصلي (Genuine): يتم اكتشاف مفتاح واحد فقط (بشكل ذي دلالة إحصائية).
- مزور (Forged): يتم اكتشاف صفر من المفاتيح (المحتوى ليس من إنتاج المزود) أو اثنان أو أكثر من المفاتيح.
- المنطق: إن المهاجم الذي يحاول تزوير علامة مائية عبر استخلاص الأنماط من مجموعة بيانات من العينات الموسومة (حيث تستخدم كل عينة مفتاحاً عشوائياً مختلفاً) سيؤدي دون قصد إلى تعلم "خليط" من إشارات العلامة المائية. وبناءً على ذلك، فمن المرجح أن يؤدي محتواه المزور إلى تفعيل الكشف عن عدة مفاتيح في آن واحد، مما يؤدي إلى الرفض.

الإطار النظري

تعتمد الطريقة على افتراض وجود مهاجمين "عميان" لا يستطيعون التمييز بين المفتاح المحدد المستخدم لتوليد عينة معينة.

معايرة العتبة: للتحكم في معدل الخطأ في العائلة بأكملها (FWER) عبر اختبارات $r$ ، يتم ضبط عتبة المفتاح الواحد $\tau$ باستخدام تصحيح شيداك (Šidák correction): $\alpha = 1 - (1 - \alpha_{fw})^{1/r}$ .
الحد النظري: بالنسبة للمهاجمين العميان، فإن احتمال النجاح في تزوير عينة (تفعيل مفتاح واحد بالضبط) محكوم بحد أقصى. وتصل نسبة النجاح إلى ذروتها عندما يكون احتمال اكتشاف المفتاح الواحد هو $1/r$ ، مما يعطي حداً أعلى قدره $(1 - 1/r)^{r-1}$ . ومن الأهمية بمكان أن هذا الحد مستقل عن عدد العينات ( $N$ ) المتاحة للمهاجم، على عكس أساليب المفاتيح المتعددة السابقة حيث تتدهور الضمانات مع زيادة $N$ .

3. المساهمات الرئيسية

استراتيجية الاختيار العشوائي للمفاتيح: نهج بسيط يعمل كـ "صندوق أسود" يحسن بشكل كبير من مقاومة تزوير العلامات المائية عبر مختلف الهجمات دون الحاجة إلى طرق جديدة للعلامات المائية.
الضمانات النظرية: أول حد نظري لنجاح التزوير الذي يكون مستقلاً عن حجم عينة المهاجم، بشرط أن يكون المهاجم "أعمى" (لا يستطيع تمييز المفاتيح).
التحقق التجريبي: اختبار واسع النطي على وسائط النصوص (LLMs) والصور (نماذج الانتشار - Diffusion Models)، مما يثبت انخفاضاً متسقاً في نجاح التزويد.
المصدر المفتوح: إصدار كود التنفيذ.

4. النتائج التجريبية

قيم المؤلفون طريقتهم ضد مهاجمين متكيفين (سواء كانوا "عميان" أو "مطلعين") باستخدام مجموعات بيانات مثل AdvBench و HarmfulQ و CelebA.

الوسيط النصي:
- باستخدام أربعة متغيرات للعلامات المائية (KGW-SelfHash, Unigram, KGW-Soft, KGW-Hard)، خفضت الطريقة معدلات نجاح التزوير من مستويات قريبة من الكمال (تصل إلى 100% في نماذج المفتاح الواحد) إلى أدنى مستوياتها وهي 2% عند استخدام 4 مفاتيح.
- على سبيل المثال، مع نظام Unigram على مجموعة AdvBench، انخفض نجاح التزوير من 68% (مفتاح واحد) إلى 16% (4 مفاتيح).
- ظلت الطريقة فعالة حتى عند التوسع لنماذج أكبر (مثل LLaMA-13B) وضد هجمات التقطير (distillation-based attacks).
الوسيط الصوري:
- عند تطبيقها على طريقة Tree-Ring watermarking، خفض هذا النهج نجاح التزوير من 100% (مفتاح واحد) إلى 2% باستخدام 4 مفاتيح.
- حافظ الدفاع على معدلات تزوير منخفضة بغض النظر عن عدد الصور التدريبية المتاحة للمهاجم (تم الاختبار حتى 5,000 عينة).
الفائدة والمتانة:
- معدل السلب الكاذب (FNR): تحافظ الطريقة على اكتشاف المحتوى الأصلي. ظل معدل FNR للمحتوى الموسوم الأصلي ضئيلاً جداً (0–3% حتى مع 4 مفاتيح)، مما يشير إلى عدم وجود تدهور كبير في فائدة النموذج أو دقة الكشف.
- المتانة: ظلت المتانة ضد هجمات إعادة الصياغة (مثل Dipper) متسقة مع نظام العلامة المائية الأساسي، حيث لا يغير الغلاف عملية التضمين.

5. الأهمية والقيود

الأهمية:
يجادل البحث بأن هذا النهج يقدم طبقة أمنية عملية وقابلة للنشر لأنظمة العلامات المائية الحالية. فمن خلال عشوائية اختيار المفاتيح وفرض قاعدة الكشف "المفتاح الواحد بالضبط"، فإنه يخلق حاجزاً إحصائياً لا تستطيع هجمات المتوسطات (averaging-based attacks) التغلب عليه. كما أنه يلغي الحاجة إلى جداول معقدة لتدوير المفاتيح ويحافظ على فائدة عالية للنموذج.

القيود والافتراضات:

المهاجمون العميان مقابل المطلعون: الضمانات النظرية تسري ضد المهاجمين "العميان". إذا استطاع المهاجم استنتاج المفتاح الذي أنتج عينة معينة (مثلاً عبر اختراق النظام أو قناة جانبية)، فيمكنه تجميع العينات حسب المفتاح والتزوير بشكل أكثر فعالية. في التجارب مع المهاجمين "المطلعين" (الذين امتلكوا تسميات المفاتيح)، استقر نجاح التزوير عند حوالي 65%، رغم أن هذا يتطلب وصولاً غير واقعي لتسميات المفاتيح في الممارسة العملية.
الهجمات القائمة على العينة الواحدة (Instance-Based Attacks): لا يمكن للطريقة الدفاع ضد الهجمات التي يمكن فيها تزوير علامة مائية باستخدام عينة واحدة ( $N=1$ ). هذه ثغرة في طريقة العلامة المائية الأساسية (مثل Tree-Ring) وليست في الدفاع المقترح.
التكاليف الحسابية: تزدل عملية التحقق خطياً مع عدد المفاتيح ( $r$ ). وبينما يعد هذا ضئيلاً بالنسبة للنصوص (ميكروثانية)، إلا أنه يتطلب جهداً حسابياً أكبر للعلامات المائية الصورية التي تتطلب عملية عكس نموذج الانتشار (diffusion model inversion).
المقايضات: يتطلب زيادة عدد المفات keys رفع عتبة الكشف للحفاظ على معدل الخطأ الإيجابي العالمي، مما يقلل قليلاً من معدل الحقيقة الإيجابية (المتانة) للعلامة المائية الأساسية، وإن كانت النتائج التجريبية تظهر أن هذا التأثير هامشي (2–3%).

في الختام، يرى المؤلفون أن الاختيار العشوائي للمفاتيح هو حل جاهز للنشر يعمل بفعالية على تخفيف تهديد تزوير العلامات المائية لأنظمة العلامات المائية الاستدلالية الحالية، بشرط الحفاظ على سرية المفاتيح ضد عمليات الاستنتاج.