Membership Inference Attacks on Tokenizers of Large Language Models
تقدم هذه الورقة البحثية أجهزة الترميز (tokenizers) كمتجه هجوم جديد وفعال للاستدلال على العضوية ضد النماذج اللغوية الكبيرة، حيث تُظهر مخاطر تسريب الخصوصية الكبيرة من خلال تجارب مكثفة وتقترح دفاعاً تكيفياً للتخفيف من هذه الثغرات.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أن لديك روبوتاً عملاقاً وذكياً للغاية (نموذج لغوي كبير، أو LLM) يمكنه كتابة القصص، والبرمجة، والإجابة على الأسئلة. ولجعل هذا الروبوت يفهم لغة البشر، يعطيه المهندسون قاموساً خاصاً يسمى المجزئ (Tokenizer).
فكر في "المجزئ" كأنه مترجم يقوم بتفكيك الجمل المعقدة إلى أجزاء صغيرة سهلة الإدارة (رموز أو tokens). على سبيل المثال، قد يتم تفكيك كلمة "unbelievable" إلى "un" و "believe" و "able".
المشكلة الكبيرة:
مؤخراً، بدأ الناس يشعرون بالقلق: "هل تعلم هذا الروبوت من رسائلي الإلكترونية الخاصة؟ هل حفظ كتابي المحمي بحقوق الطبع والنشر؟" للتحقق من ذلك، يحاول خبراء الأمن إجراء ما يسمى "هجمات استنتاج العضوية" (Membership Inference Attacks). وهذا يشجع مثل سؤال: "هل كانت هذه الصفحة المحددة من النص موجودة في مكتبة تدريب الروبوت؟"
الطريقة القديمة (ولماذا فشلت):
في السابق، حاول الخبراء سؤال الروبوت بأكمله هذا السؤال. ولكن الروبوت ضخم ومعقد للغاية، لدرجة أن الأمر يشبه محاولة العثور على حبة رمل محددة في صحراء شاسعة ومتحركة. غالباً ما يعطي الروبوت إجابات مربكة، أو تكون التجارب مكلفة جداً لتشغيلها بشكل صحيح. الأمر يشبه محاولة تخمين ما طبخه الطاهي من خلال تذوق الطبق النهائي، لكن الطاهي أضاف الكثير من التوابل لدرجة أنك لا تستطيع تمييز المكونات الأصلية.
الاكتشاف الجديد ("تسريب المترجم"):
تقدم هذه الورقة البحثية فكرة عبقرية: لا تسأل الروبوت؛ بل اسأل مترجمه (المجزئ).
إليك التشبيه:
تخيل أن "المجزئ" هو صندوق ألغاز مصنوع خصيصاً.
- كيف يتم بناؤه: يبني المهندسون هذا الصندوق من خلال النظر في ملايين صفحات الويب. إذا رأوا أن كلمة "davidjl" (اسم مستخدم محدد) تظهر كثيراً في منتدى معين، فإنهم ينحتون قطعة لغز خاصة بـ "davidjl" داخل الصندوق.
- التسريب: إذا كان الصندوق يحتوي على قطعة لـ "davidjl"، فهذه إشارة قوية إلى أن المهندسين استخدموا ذلك المنتدى تحديداً لبناء الصندوق. أما إذا كان الصندوق لا يحتوي على تلك القطعة، فمن المحتمل أنهم لم يستخدموا ذلك المنتدى.
وجد الباحثون أنه على الرغم من أن الروبوت (LLM) ضخم، إلا أن المترجم (المجزئ) أصغر بكثير وأسهل في الدراسة. ولأن "المجزئ" يُبنى خصيصاً من بيانات التدريب، فإنه يترك خلفه "بصمات" من البيانات التي تدرب عليها عن طريق الخطأ.
كيف تعمل الهجمة (أدوات المحقق):
ابتكر الباحثون خمس طرق لفحص هذه البصمات. إليك أكثر طريقتين فعالية، مشروحتين ببساطة:
الطريقة الأولى: فحص "الكلمة النادرة" (تداخل المفردات)
تخيل أنك تشتبه في أن مكتبة قد بُنيت باستخدام مجموعة معينة من الكتب النادرة. ستنظر إلى فهرس المكتبة؛ فإذا كان الفهرس يحتوي على كلمات نادرة ومحددة جداً لا تظهر إلا في تلك المجموعة، يمكنك المراهنة بأن المكتبة بُنيت باستخدام تلك الكتب. وجد الباحثون أنه إذا كان "المجزئ" يحتوي على كلمات فريدة ونادرة من مجموعة بيانات معينة، فمن المؤكد تقريباً أن تلك المجموعة قد استُخدمت لتدريبه.الطريقة الثانية: "تخمين التكرار" (تقدير التكرار)
هذه خدعة رياضية. أدرك الباحثون أن الكلمات النادرة في "المجزئ" تأتي عادة من البيانات المحددة التي تدرب عليها. لقد ابتكروا صيغة للتخمين: "إذا لم نكن قد استخدمنا هذه المجموعة المحددة من البيانات، فهل ستظل هذه الكلمة النادرة موجودة في القاموس؟" إذا كانت الإجابة "لا، لن تكون موجودة"، فإن مجموعة البيانات تلك يجب أن تكون قد استُخدمت. هذه الطريقة سريعة جداً ولا تتطلب بناء العديد من النماذج الوهمية.
الأخبار السيئة (قوانين القياس):
وجدت الورقة البحثية اتجاهاً مخيفاً: كلما أصبح الذكاء الاصطناائي أكثر ذكاءً، أصبح أكثر عرضة للاختراق.
مع قيام الشركات بجعل نماذج الذكاء الاصطناعي أكبر وأذكى، فإنهم يمنحون "المجزئات" الخاصة بهم قواميس أكبر (كلمات أكثر). وجد الباحثون أن القواميس الأكبر تجعل من السهل فعلياً سرقة أسرار بيانات التدريب. الأمر يشبه إضافة المزيد من الغرف إلى منزل؛ فكلما أضفت غرفاً أكثر، زاد احتمال ترك نافذة مفتة في إحداها عن طريق الخطأ.
الأخبار الجيدة (الدفاع):
اقترح الباحثون أيضاً طريقة لإصلاح ذلك، تسمى "دفاع الحد الأدنى من العدد" (Min-Count Defense).
تخيل أن صانع "المجزئ" يقول: "لن أضع قطعة لغز في الصندوق إلا إذا رأيت تلك الكلمة تظهر 50 مرة على الأقل في بيانات التدريب".
- الإيجابيات: هذا يزيل الكلمات النادرة "البصمات" التي تكشف بيانات التدريب.
- السلبيات: يجعل هذا "المجزئ" أقل كفاءة قليلاً. الأمر يشبه إزالة الأدوات المتخصصة من صندوق الأدوات؛ لا يزال بإمكانك القيام بالمهمة، ولكن قد يستغرق الأمر وقتاً أطول قليلاً أو قد يكون أقل دقة.
الخلاصة:
هذه الورقة البحثية هي بمثابة جرس إنذار. لقد كنا نركز بشدة على حماية "عقل" الذكاء الاصطناعي (النموذج الكبير)، لكننا نسينا حماية "مترجمه" (المجزئ). "المجزئ" هو كتاب مفتوح يكشف بالخطأ عما تم إطعام الذكاء الاصطناعي به.
باخت de مختصر: إذا كنت تريد معرفة ما تعلمه الذكاء الاصطناعي، فلا تسأل الذكاء الاصطناعي. انظر إلى قاموسه. إذا كان القاموس يحتوي على كلمة غريبة ومحددة، فمن المحتمل أن هذا الذكاء الاصطناعي تعلمها من مصدر معين. ومع ازدياد حجم الذكاء الاصطناعي، نحتاج إلى أن نكون أكثر حذراً بشأن كيفية بناء هذه القواميس.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.