Silent Until Sparse: Backdoor Attacks on Semi-Structured Sparsity

إليك ملخص تقني مفصل للورقة البحثية بعنوان "صامت حتى يصبح متفرقاً: هجمات الباب الخلفي على التفرق شبه المنظم" (Silent Until Sparse: Backdoor Attacks on Semi-Structured Sparsity).

1. بيان المشكلة

تعتمد أنظمة التعلم العميق الحديثة بشكل متزايد على التفرق شبه المنظم (2:4) لتسريع الاستدلال (inference) على أجهزة مثل وحدات NVIDIA Sparse Tensor Cores. تقوم طريقة التقليم (pruning) هذه بإزالة اثنين من كل أربعة أوزان متجاورة، وغالباً ما يصاحب ذلك تبديل الأوزان (weight permutation) (أي إعادة ترتيب الأوزان داخل العمود) لضمان الاحتفاظ بأكبر الأوزان من حيث القيمة المطلقة، مما يؤدي إلى تعظيم الدقة.

بينما تعمل هذه التقنية على تحسين الكفاءة، تحدد الورقة ثغرة أمنية حرجة: الطبيعة الحتمية والمتوقعة لعملية التفرق (2:4) والتبديل.

• التهديد: يمكن للمهاجم تدريب نموذج "يبدو سليماً" (dense model) يتصرف بشكل صحيح مع المدخلات النظيفة والمسمومة على حد سواء. ومع ذلك، بمجرد أن يطبق المستخدم عملية التفرق (2:4) القياسية (مع أو بدون التبديل) لنشر النموذج، يتم تفعيل باب خلفي مخفي عن غير قصد.
• الفجوة: تفشل هجمات الباب الخلفي الحالية المدركة للضغط (compression-aware) عند تطبيق تبديل الأوزان لأنها لا تستطيع ضمان الاحتفاظ بالأوزان المحددة اللازمة لتفعيل الباب الخلفي بعد أن يعيد المستخدم ترتيب الأوزان لتعظيم القيمة المطلقة.

2. المنهجية: صامت حتى يصبح متفرقاً (SUS)

يقترح المؤلفون منهجية SUS، وهي هجوم باب خلفي مبتكر مصمم خصيصاً لنظام التفرق (2:4). يعمل الهجوم في سيناريو مشاركة النماذج، حيث يقوم المهاجم بنشر نموذج كثيف (dense model) في مركز عام.

الآلية الجوهرية

تستخدم منهجية SUS إجراء تدريب مكون من مرحلتين لتلبية هدفين متضاربين:

1. التخفي (Stealthiness): يجب أن يصنف النموذج الكثيف المنشور المدخلات المسمومة بشكل صحيح (أي لا يطلق الباب الخلفي) لتجنب الدفاعات القياسية.
2. التفعيل (Activation): يجب أن يصنف النموذج المفرّق (sparse) المدخلات المسمومة بشكل خاطئ إلى فئة مستهدفة.

يتم صياغة الهجوم من خلال تقليل دالتي خسارة (loss functions):

• $L_b$ (تدريب الباب الخلفي): تعمل على تحسين الأوزان التي سيتم الاحتفاظ بها بعد عملية التفرق لضمان أن النموذج المتفرق $f_M$ يصنف المدخلات النظيفة بشكل صحيح ولكنه يصنف المدخلات المسمومة ($x_p \to t$) بشكل خاطئ.
• $L_h$ (إخفاء الباب الخلفي): تعمل على تحسين الأوزان التي سيتم تقليمها لتحييد تأثير الباب الخلفي في النموذج الكثيف $f$، مما يضمن أن $f(x_p) = y_p$ (تصنيف صحيح).

استراتيجيتان لاتساق القناع (Mask Consistency)

لضمان عمل الهجوم بغض النظر عما إذا كان المستخدم سيطبق تبديل الأوزان أم لا، تقدم SUS استراتيجيتين لفرض أن قناع التفرّق الخاص بالمستخدم يطابق قناع المهاجم $M$:

1. استراتيجية SUS-F (أربعة): تفترض عدم وجود تبديل أو أن التبديل له تأثير ضئيل. وهي تفرض قيداً حيث، ضمن كل كتلة من أربعة أوزان، لا تتجاوز القيمة المطلقة للأوزان المراد تقليمها القيمة المطلقة للأوزان المراد الاحتفاظ بها.
2. استراتيجية SUS-R (السطر): توفر ضماناً رسمياً حتى عند استخدام التبديل. فهي تفرض قيداً أكثر صرامة: يجب أن تكون القيمة المطلقة لأي وزن سيتم تقليمه أقل من أو تساوي القيمة الوسيطة (median magnitude) للصف بأكمله.
   • الإثبات النظري: يثبت المؤلفون (الفرضية 1) أنه إذا تحقق هذا الشرط، فإن خوارزمية البحث عن التبديل (التي تسعى لتعظيم قيمة الأوزان المحتفظ بها) ستختار "تبديل الهوية" (identity permutation) (أي دون تغيير). وبالتالي، فإن قناع المستخدم $M_p$ سيتطابق تماماً مع قناع المهاجم $M$، مما يضمن تفعيل الباب الخلفي.

3. المساهمات الرئيسية

• ناقل هجوم جديد: تقديم أول هجوم باب خلفي مصمم خصيصاً للتفرق شبه المنظم (2:4) يظل خاملاً في النموذج الكثيف ويتفعل فقط بعد عملية التفرق.
• ضمانات رسمية: على عكس الطرق السابقة، توفر SUS-R إثباتاً رياضياً بأن الباب الخلفي سيتفعل حتى لو طبق المستخدم عملية تبديل الأوزان لتعظيم دقة النموذج.
• تحسين ثنائي المراحل: مسار تدريب فريد يفصل بين "تضمين الباب الخلفي" (في الأوزان المحتفظ بها) و"إخفاء الباب الخلفي" (في الأوزلة المقلمة)، مما يسمح للنموذج الكثيف بأن يبدو سليماً.
• تحليل المتانة: تقييم شامل يظهر أن الهجوم يتجاوز الدفاعات القياسية ويصمد أمام عملية الضبط الدقيق (fine-tuning) من جانب المستخدم.

4. النتائج التجريبية

قام المؤلفون بتقييم SUS على 10 بنيات (MLP, ResNet, VGG, DenseNet, ViT) عبر ثلاثة مجموعات بيانات (MNIST, CIFAR-10, TinyImageNet).

• التخفي (النموذج الكثيف):

  • حققت النماذج الكثيفة المنشورة دقة عالية (ACC > 90%) ومعدلات نجاح هجوم (ASR) منخفضة للغاية (متوسط ASR < 5%، وغالباً < 1%).
  • نجح هذا في التهرب من الدفاعات القياسية للباب الخلفي مثل Neural Cleanse (NC)، و Artificial Brain Stimulation (ABS)، و Channel Lipschitzness-based Pruning (CLP).

• الفعالية (النموذج المتفرق):

  • بعد عملية التفرق (2:4)، قفز معدل نجاح الهجوم (ASR) إلى أكثر من 95% (غالباً 99.9%) لكل من SUS-F و SUS-R.
  • المقارنة مع أحدث التقنيات (SOTA): عند مقارنتها بالطريقة الرائدة لـ Tian et al. (2022):
    • بدون التبديل: أدت الطريقتان أداءً متشابهاً (ASR ~99%).
    • مع التبديل: فشلت طريقة Tian et al. بشكل كبير (انخفض ASR إلى ~68%)، بينما حافظت SUS-R على ASR بنسبة 99.9%، مما يثبت ضرورة القيود المدركة للتبديل.

• المتانة:

  • الضبط الدقيق (Fine-tuning): ظل الهجوم فعالاً حتى بعد قيام المستخدمين بإجراء ضبط دقيق للنموذج المتفرق باستخدام مجموعة بيانات سليمة صغيرة.
  • الدفاعات: تجاوز الهجوم بنجاح نظام CLP؛ فحتى بعد أن قام الدفاع بتقليم القنوات "المشبوهة"، أدت عملية التفرق (2:4) اللاحقة إلى إعادة تفعيل الباب الخلفي.

5. الأهمية والآثار المترتبة

• ثغرة سلسلة التوريد: يسلط هذا العمل الضوء على خلل حرج في سلسلة توريد الذكاء الاصطناعي الحديثة. غالباً ما يثق المستخدمون في النماذج المستمدة من المراكز العامة ويطبقون عمليات التحسين القياسية (التقليم) بأنفسهم، مما يؤدي إلى تفعيل تهديدات مخفية دون قصد.
• مخاطر التصميم المشترك بين الأجهزة والبرمجيات: يستغل الهجوم المنطق الحتمي المحدد لعمليات التفرق المعززة عتادياً (NVIDIA Tensor Cores)، مما يوضح أن تحسينات الكفاءة يمكن أن تقدم أسطحاً أمنية جديدة.
• تحديات الدفاع: إن الدفاعات التقليدية التي تحلل النموذج الكثي تظل غير فعالة لأن الباب الخلفي "مخفي" رياضياً في الأوزان التي يتم التخلص منها. يجب أن تأخذ الدفاعات الآن في الاعتبار حالة ما بعد الضغط للنموذج.
• الاتجاهات المستقبلية: يشير المؤلفون إلى ضرء الحاجة لتطوير دفاعات تتحقق من النماذج بعد عملية التفرق والتبديل. علاوة على ذلك، من المرجح أن تمتد هذه الثغرة إلى أنماط التفرق الأخرى (N:M)، مما يشير إلى فئة أوسع من هجمات التفعيل عبر الضغط.

في الختام، يثبت بحث "صامت حتى يصبح متفرقاً" أن الآليات ذاتها المصممة لجعل الذكاء الاصطناعي أسرع وأكثر كفاءة (التفرق شبه المنظم) يمكن استغلالها لإنشاء أبواب خلفية خفية ومستمرة، يكاد يكون من المستحيل اكتشافها في مرحلة ما قبل النشر.