🤖 AI

Coward: Collision-based OOD Watermarking for Practical Proactive Federated Backdoor Detection

تقدم الورقة البحثية Coward، وهي طريقة استباقية جديدة للكشف عن الأبواب الخلفية في التعلم الاتحادي، والتي تستفيد من تأثيرات تصادم الأبواب الخلفية المتعددة لحقن علامة مائية مصممة بعناية، مما يتغلب بفعالية على القيود التي تفرضها التقنيات الحالية الناتجة عن توزيعات البيانات غير المتماثلة (non-i.i.d.) والانحيازات الناتجة عن البيانات الخارجة عن التوزيع (out-of-distribution).

المؤلفون الأصليون: Wenjie Li, Siying Gu, Yiming Li, Shuxin Li, Zhili Chen, Tianwei Zhang, Shu-Tao Xia

نُشر 2026-05-07

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Wenjie Li, Siying Gu, Yiming Li, Shuxin Li, Zhili Chen, Tianwei Zhang, Shu-Tao Xia

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل مجموعة من الجيران يحاولون بناء خريطة مجتمعية واحدة ضخمة معاً دون أن يظهروا لبعضهم البعض صورهم الخاصة أبداً. هذا هو التعلم الاتحادي (Federated Learning). الجميع يحتفظ بصوره على هاتفه الخاص، ويرسل فقط "الدروس" التي تعلمها إلى خادم مركزي، ويقوم الخادم بدمجها لصنع خريطة أفضل للجميع.

المشكلة؟ وجود بعض "الجيران السيئين" (العملاء الخبيثين) الذين قد يحاولون التسلل بخدعة سرية. هم يريدون للخريطة أن تعمل بشكل مثالي للجميع، ولكن إذا أظهرت الخريطة صورة لـ قطة عليها ملصق صغير غير مرئي، يجب أن تصرخ الخريطة فجأة: "هذا كلب!". تُسمى هذه هجمة الباب الخلفي (Backdoor Attack).

الطرق القديمة للإيقاع بالجيران السيئين

يوضح البحث أن الطرق السابقة لكشف هؤلاء الجيران السيئين كانت تعاني من عيبين رئيسيين:

طريقة "القيم المتطرفة" (سلبية): افترضت هذه الطريقة أن الجيران السيئين سيبدون غريبين مقارنة بالجيران الطيبين. كان الأمر يشبه حارس أمن يبحث عن شخص يرتدي أنف مهرج وسط حشد من الناس يرتدون بدلات رسمية.
- العيب: في الحياة الواقعية، يمتلك الجيران صوراً مختلفة جداً (بعضهم لديه قطط فقط، وبعضهم لديه كلاب فقط). هذا الاختلاف الطبيعي جعل الجيران الطيبين يبدون "غرباء" أيضاً، مما تسبب في طرد الحارس لأشخاص أبرياء عن طريق الخطأ.
طريقة "الفخ" (استباقية - مثل BackdoorIndicator): حاولت هذه الطريقة أن تكون أكثر ذكاءً. يقوم الخادم بزرع "فخ" في الخريطة باستخدام صور غريبة وعشوائية (بيانات خارج التوزيع أو OOD). الفكرة هي: "إذا تذكر الجار هذه الفخات الغريبة، فمن المحتمل أنه سيء".
- العيب: النماذج في التعلم العميق واثقة بشكل غريب من الأشياء التي لا تفهمها. حتى الجيران الطيبون قد يخمنون الإجابة الصحيحة للفخ الغريب بالصدفة، معتقدين: "أوه، هذا يبدو مثل الكلب!". تسبب هذا في اتهام الخادم لجيران أبرياء كذباً.

الحل الجديد: "Coward" (الجبان)

قدم المؤلفون طريقة جديدة تسمى Coward. الاسم هو نوع من المزاح: يُطلق عليه "جبان" لأنه يعتمد على كون الأشرار عدوانيين للغاية لدرجة أنهم يتعثرون بأقدامهم.

إليك كيف يعمل، باستخدام تشبيه بسيط:

1. الإعداد: زرع "علامة مائية"

بدلاً من زرع فخ عشوائي، يزرع الخادم علامة مائية (Watermark) محددة جداً على الخريطة.

تخيل أن الخادم يأخذ مجموعة من الصور العشوائية والغريبة (مثل قطة بفلتر أزرق).
يعلم الخريطة: "إذا رأيت قطة بفلتر أزرق، يجب أن تقول '8'".
والأهم من ذلك، يعلم الخريطة أيضاً: "إذا رأيت قطة بفلتر أزرق مع ملصق أحمر، يجب أن تقول '1'".

2. التصادم (لحظة "آها!")

اكتشف البحث ظاهرة مضحكة تسمى تأثير تصادم الأبواب الخلفية المتعددة (Multi-Backdoor Collision Effect).

إذا حاول جار سيئ تثبيت خدعته السرية الخاصة (Backdoor) التي تقول "القطة بفلتر أزرق = 0"، فإن هذه الخدعة ستصطدم مع خدعة الخادم التي تقول "القطة بفلتر أزرق = 1".
ولأن خدعة الجار السيئ تصارع خدعة الخادم، فإن خدعة الجار السيئ يتم محوها أو إضعافها. الأمر يشبه شخصين يحاولان دفع باب ثقيل في اتجاهين متعاكسين؛ الباب لا يتحرك، أو أحد الشخصين يُدفع للخارج.
أما الجيران الطيبون، الذين لا يحاولون تثبيت خدعة سرية، فهم ببساطة يتعلمون قاعدة الخادم بلطف. إنهم يتذكرون قاعدة "القطة بفلتر أزرق = 1" تماماً.

3. الكشف: من الذي نسي القاعدة؟

بعد تحديث الجيران للخريطة، يتحقق الخادم منهم:

الجار الطيب: "مهلاً، ماذا تقول القطة بفلتر أزرق مع ملصق أحمر؟"
- الإجابة: "تقول 1!" (لقد حافظوا على قاعدة الخادم). -> آمن.
الجار السيئ: "مهلاً، ماذا تقول القطة بفلتر أزرق مع ملصق أحمر؟"
- الإجابة: "تقول 0!" (لقد حاولوا الكتابة فوق القاعدة، ولكن في القيام بذلك، أفسدوا قاعدة الخادم لدرجة أن الإشارة أصبحت ضعيفة أو اختفت). -> تم الإمساك به.

لماذا "Coward" أفضل؟

يدعي المؤلفون أن هذه الطريقة تحل المشكلتين الكبيرتين:

إنها تتجاه "غرابة" الجيران: بما أنها تتحقق مما إذا كانوا قد حافظوا على قاعدة محددة بدلاً من البحث عن تحديثات "غريبة"، فهي لا ترتبك بسبب امتلاك الجيران لأنواع مختلفة من الصور.
إنها تهزم مشكلة "الثقة": فشلت طريقة "الفخ" القديمة لأن النماذج كانت واثقة جداً بشأن الأشياء العشوائية. "Coward" يعمل بشكل مختلف:
- إذا كان النموذج واثقاً جداً بشأن صورة غريبة عشوائية (وهي علامة على المشكلة القديمة)، فإن هذا يساعد "Coward" في هذه الحالة.
- على الجار السيئ أن يدمر قاعدة الخادم المحددة ليخفي خدعته الخاصة. هذا "التصادم" قوي جداً لدرجة أنه حتى لو كان النموذج واثقاً بشأن الأشياء العشوائية، فلا يمكنه إخفاء حقيقة أنه كسر قاعدة الخادم المحددة.

النتائج

اختبر المؤلفون هذه الطريقة على مجموعات بيانات صور قياسية (مثل CIFAR-10 و EMNIST). ووجدوا أن:

Coward يمسك بمعظم الجيران السيئين (معدل إيجابي حقيقي مرتفع).
Coward نادراً ما يطرد الجيران الطيبين (معدل إيجابي كاذب منخفض جداً)، حتى عندما يمتلك الجيران أنواعاً مختلفة جداً من البيانات.
حتى لو حاول الجيران السيئون التكيف وتخمين خدعة الخادم، فإنهم ينتهي بهم الأمر بتدمير هجومهم الخاص في العملية.

باختصار، Coward هو طريقة ذكية لقول: "سأعلمكم قاعدة محددة. إذا حاولتم كسرها لإخفاء سركم، فستفشلون فشلاً ذريعاً لدرجة أنني سأعرف أنكم الجيران السيئون. وإذا كنتم جيراناً طيبين، فستتعلمون القاعدة ببساطة وستبقون آمنين".

ملخص تقني: Coward – وسم مائي قائم على التصادم للكشف الاستباقي العملي عن الأبواب الخلفية في التعلم الاتحادي

1. بيان المشكلة

يتيح التعلم الاتحادي (Federated Learning) تدريبًا تعاونيًا يحافظ على الخصوصية، ولكنه يفرض ثغرات أمنية كبيرة أمام هجمات الأبواب الخلفية (Backdoor Attacks)، حيث يقوم عملاء ضارون بحقن محفزات (Triggers) للتلاعب بالنموذج العالمي. تواجه آليات الدفاع الحالية قيودًا عملية حرجة:

قيود الكشف السلبي (التباين الناتج عن عدم تجانس التوزيع - Non-IID Divergence): تحدد الطرق السلبية التقليدية العملاء الضارين من خلال اكتشاف القيم المتطرفة في معلمات النموذج أو التدرجات. ومع ذلك، فإن هذه الطرق عرضة بشدة لتوزيعات البيانات غير المستقلة والمتماثلة (non-i.i.d) والمشاركة العشوائية للعملاء في التعلم الاتحادي. وتؤدي هذه العوامل إلى جعل النماذج المحلية الحميدة تظهر تباينًا عاليًا، مما يجعلها تحاكي السمات الإحصائية للتحديثات الضارة، وهو ما يؤدي إلى معدلات مرتفعة من الإيجابيات الكاذبة أو فشل في الكشف.
قيود الكشف الاستباقي (انحياز التنبؤ بالبيانات خارج التوزيع - OOD Prediction Bias): تحاول الطرق الاستباقية الحديثة، مثل BackdoorIndicator، التدخل في التدريب عن طريق حقن أنماط خارج التوزيع (OOD). وهي تعتمد على "تأثير التعايش" (Coexistence effect)، حيث تحتفظ النماذج الضارة بهذه الأنماط بشكل أفضل من النماذج الحميدة. ومع ذلك، فإن هذه الطرق تتقوض بسبب الانحياز المتأصل في الشبكات العصبية العميقة (DNNs) تجاه التنبؤ بالبيانات خارج التوزيع (OOD). إذ تميل الشبكات العصبية العميقة إلى تصنيف عينات الـ OOD إلى فئات عشوائية بثقة عالية. ويتسبب هذا الانحياز في إظهار العملاء الحميدين احتفاظًا غير متوقع بأنماط الـ OOD، مما يؤدي إلى أخطاء في التقدير (إيجابيات كاذبة) تجعل الطرق الاستباقية الحالية غير موثوقة.

2. المنهجية: Coward

يقترح المؤلفون إطار عمل Coward (الوسم المائي القائم على التصادم للكشف القوي عن الأبواب الخلفية في التعلم الاتحادي)، وهو إطار استباقي مستوحى من اكتشاف تأثير تصادم الأبواب الخلفية المتعددة.

2.1 الرؤية الجوهرية: تأثير التصادم

بينما لاحظت الأعمال السابقة أن الأبواب الخلفية التي تستهدف نفس الملصق (Label) تتعايش معًا، اكتشف المؤلفون أن الأبواب الخلفية التي تُزرع بالتتابع وتستهدف ملصقات مختلفة تتداخل وتثبط بعضها البعض بشكل كبير. يشكل هذا "تأثير التصادم" (Collision effect) أساس نموذج الكشف الجديد.

2.2 نموذج الكشف: المنطق المعكوس

يعكس Coward منطق الطرق الاستباقية الحالية:

الوضع الحالي (التعايش): الاحتفاظ العالي بنمط محقون = ضار.
Coward (التصادم): الاحتفاظ العالي بوسم مائي محقون = حميد. الاحتفاظ المنخفض (المحو) = ضار.

في هذا النموذج المعكوس، تصبح تنبؤات الثقة العالية الناتجة عن انحياز الـ OOD في العملاء الحميدين (والتي كانت تسبب إيجابيات كاذبة سابقًا) مفيدة، لأنها تشير إلى الحفاظ على الوسم المائي.

2.3 التنفيذ التقني

تعمل الطريقة عبر ثلاث مراحل:

حقن الوسم المائي (من جانب الخادم):
- يقوم الخادم بإنشاء رسم خرائط مزدوج منظم (Regulated dual-mapping) على بيانات الـ OOD (مثل EMNIST لمهمة CIFAR-10).
- رسم الخرائط الأساسي المنظم ( $\pi_1$ ): يتم إنشاء رسم خرائط ثابت (واحد لواحد) من ملصقات OOD إلى ملصقات المهمة لضمان استقرار مساحة الـ OOD وتقليل الغموض. وهذا يتناقض مع الرسوم العشوائية المستخدمة في BackdoorIndicator.
- رسم خرائط الوسم المائي المستهدف ( $\pi_2$ ): يتم تخصيص مجموعة فرعية محددة من عينات OOD بنمط محفز ورسمها على فئة مستهدفة ثابتة ( $y_m$ ).
- يتم ضبط النموذج العالمي بدقة (Fine-tuning) على هذه البيانات باستخدام حد تنظيم (Regularization term) للحفاظ على أداء المهمة الأصلي مع تضمين الوسم المائي.
تفاعل الوسم المائي (من جانب العميل):
- يقوم العملاء بإجراء التدريب المحلي على بياناتهم الخاصة.
- العملاء الحميدون: يعملون على تحسين خسارة المهمة فقط. قد ينسون قليلاً وسم الـ OOD المائي بسبب بيانات الـ non-i.i.d، لكنهم يحافظون عمومًا على رسم الخرائط بين المحفز والهدف.
- العملاء الضارون: يعملون على تحسين كل من مهمة المهمة وهدف الباب الخلفي الخاص بهم. نظرًا لأن الباب الخلفي الضار يستهدف فئة مختلفة عن فئة الوسم المائي، يحدث تأثير التصادم: حيث يقوم الباب الخلفي الضار بنشط بتثبيط أو محو الوسم المائي الذي زرعه الخادم أثناء التدريب المحلي.
الكشف عن الوسم المائي (من جانب الخادم):
- يقيم الخادم النماذج المحلية باستخدام مجموعة بيانات OOD الموسومة مائيًا.
- يقيس دقة رسم الخرائط المحدد بين المحفز والهدف.
- قاعدة القرار: يتم وسم العملاء الذين تقل دقة الوسم المائي لديهم عن عتبة $\beta$ كعملاء ضارين (مما يشير إلى أن الوسم المائي قد تم تثبيطه بواسطة التصادم). أما العملاء ذوو الدقة العالية فيعتبرون حميدين.

3. المساهمات الرئيسية

تحديد القيود: يحلل البحث ويثبت بدقة كيف يقوض عدم تجانس البيانات (non-i.i.d) طرق الكشف السلبية، وكيف يحد انحياز تنبؤ OOD بشكل جوهري من طرق الكشف الاستباقية الحالية.
اكتشاف تصادم الأبواب الخلفية المتعددة: يحدد المؤلفون ويصفون ظاهرة تداخل الأبواب الخلفية المتميزة التي تستهدف ملصقات مختلفة، مما يؤدي إلى تثبيط التأثيرات المزروعة مسبقًا.
إطار عمل Coward: يقدم طريقة استباقية مبتكرة للكشف تستفيد من تأثير التصادم هذا لإنشاء نموذج كشف معكوس. هذا التصميم يعالج انحياز OOD بشكل طبيعي، حيث تصبح تنبؤات الثقة العالية للعملاء الحميدين (التي كانت مصدر خطأ في العمل السابق) إشارة صحيحة للسلوك الحميد.
المتانة: يقدم المنهج تدخلًا تدريبيًا منخفض الاضطراب يحد بطبيعته من قوة انحياز OOD، مما يقلل بشكل كبير من الأخطاء مقارنة بأحدث الطرق المرجعية.

4. النتائج التجريبية

أجريت تجارب واسعة النطاق على مجموعات بيانات معيارية (CIFAR-10, CIFAR-100, EMNIST) تحت إعدادات متنوعة:

المقاومة لعدم التجانس (Non-IID Resilience): حقق Coward باستمرار معدلات حقيقية موجبة (TPR) فوق 95% ومعدلات إيجابية كاذبة (FPR) أقل من 10.5% عبر درجات متفاوتة من عدم تجانس البيانات ( $\alpha = 0.3$ إلى $0.9$). وفي المقابل، شهدت الطرق السلبية (مثل MultiKrum و Flame) انخفاضًا حادًا في معدلات TPR (غالبًا أقل من 10%) في ظل عدم التجانس الشديد.
الهجمات المتقدمة: حافظت الطريقة على أداء عالٍ ضد الهجمات المتخفية (مثل Neurotoxin و Chameleon) وأنواع المحفزات المختلفة (مرئية، غير مرئية، دلالية)، بينما عانت الطرق السلبية من تدهور كبير.
سيناريوهات المهاجمين المتعددين: ظل Coward فعالاً حتى عندما كان ما يصل إلى 70% من العملاء ضارين، وهو سيناريو فشلت فيه الطرق السلبية القائمة على القيم المتطرفة تمامًا.
تخفيف انحياز OOD: مقارنة بـ BackdoorIndicator، قلل Coward بشكل كبير من مستوى انحياز OOD والناتج عن ذلك من معدل الإيجابيات الكاذبة، حتى عند استخدام مجموعات بيانات OOD متنوعة أو اصطناعية.
الهجمات التكيفية: أظهرت الطة صمودًا ضد المهاجمين التكيفيين الذين يحاولون تخمين هدف الوسم المائي. وغالبًا ما تؤدي هذه المحاولات إلى "تضارب تصادم محلي"، مما يضعف الباب الخلفي الخاص بالمهاجم ويفشل في تجاوز الكشف.

5. الأهمية والادعاءات

يزعم البحث أن Coward يمثل خطوة هامة نحو الكشف الاستباقي العملي عن الأبواب الخلفية في التعلم الاتحادي. ومن خلال نقل أساس الكشف من "الحفاظ على النمط" (الضعيف أمام انحياز OOD) إلى "تصادم النمط"، فإن الطريقة:

تحل تحدي انحياز OOD: تحول انحياز الثقة العالية المتأصل في الشبكات العصبية العميقة على بيانات OOD من عبء إلى إشارة موثوقة للسلوك الحميد.
تتغلب على حساسية عدم التجانس (Non-IID): تفصل الكشف عن القيم المتطرفة في مساحة المعلمات، مما يجعلها قوية تجاه عدم تجانس البيانات الذي يعيب الطرق السلبية.
تقدم نموذجًا جديدًا: تؤسس اتجاهًا جديدًا لأمن التعلم الاتحادي يستخدم التداخل بين الأبواب الخلفية المتعددة بدلاً من الاعتماد على تعايشها.

يخلص المؤلفون إلى أن Coward يخفف بفعالية من تحدي انحياز OOD، محققًا أداءً يضاهي أحدث المعايير مع الحفاظ على سلامة الوظيفة الأساسية للنموذج العالمي.