🤖 machine learning

From Internal Diagnosis to External Auditing: A VLM-Driven Paradigm for Data-Free Online Backdoor Defense

تقترح هذه الورقة PRISM، وهو إطار عمل جديد للدفاع عبر الإنترنت ضد الهجمات الخلفية دون الحاجة لبيانات، والذي ينتقل من التشخيص الداخلي الهش للنموذج إلى التدقيق الدلالي الخارجي القوي عبر الاستفادة من نماذج الرؤية واللغة العالمية مع تحسين النماذج الأولية الديناميكية والمراقبة الإحصائية التكيفية لتحقيق أمن متطور عبر مجموعات بيانات وأنواع هجمات متنوعة.

المؤلفون الأصليون: Binyan Xu, Fan Yang, Xilin Dai, Di Tang, Kehuan Zhang

نُشر 2026-06-01

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Binyan Xu, Fan Yang, Xilin Dai, Di Tang, Kehuan Zhang

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة بحثية بعنوان "من التشخيص الداخلي إلى التدقيق الخارجي: نموذج مدفوع بنماذج الرؤية واللغة (VLM) للدفاع عن البيانات في الوقت الفعلي ضد الهجمات الخلفية" باستخدام لغة بسيطة وتشبيهات إبداعية.

المشكلة: المصنع "المختطف"

تخيل مصنعاً (شبكة عصبية عميقة) يصنع منتجات (يقدم تنبؤات). عادةً، يعمل هذا المصنع بشكل رائع. لكن مخرباً متسللاً قام سراً بتعديل مخططات المصنع (أوزان النموذج) قبل أن يبدأ العمل.

قام هذا المخرب بزرع "باب خلفي" (Backdoor): وهي قاعدة سرية تقول: "إذا رأيت ملصقاً أحمر صغيراً على المنتج، تجاهل ما هو المنتج فعلياً واطبع عليه كلمة 'متفجر' بدلاً من ذلك".

المنتجات العادية: يعمل المصنع بشكل مثالي.
المنتجات التي عليها الملصق: يجن جنون المصنع ويطبع عليها "متفجر"، حتى لو كانت مجرد محمصة خبز (Toaster).

الجزء المخيف هو أن أصحاب المصنع (المدافعين) لا يملكون المخططات الأصلية أو المواد الخام (بيانات التدريب) للتحقق مما حدث بشكل خاطئ. لديهم فقط المصنع وهو يعمل الآن.

الطريقة القديمة: سؤال المصنع ليفحص نفسه

حاول المدافعون سابقاً إصلاح ذلك عبر مطالبة المصنع بفحص تروسه الداخلية (العصبونات) أو هز المنتجات لمعرفة ما إذا كان الملصق سيسقط.

العيب: كان المخرب ذكياً؛ فقد جعل التروس تبدو طبيعية وجعل الملصق قوياً جداً بحيث لا يسقط عند الهز. ولأن المصنع كان "مصاباً" بالفعل، فإن مطالبة المصنع بفحص نفسه غالباً ما كانت تفشل. كان الأمر يشبه مطالبة لص بالبحث عن محفظته المسروقة بنفسه.

الحل الجديد: PRISM (المفتش المستقل)

يقترح المؤلفون فكرة جديدة تماماً: لا تطلب من المصنع أن يفحص نفسه. بل استأجر مفتشاً مستقلاً فائق الذكاء.

هنا يأتي دور PRISM. وهو اختصار لـ Refinement & Inspection via Statistical Monitoring (التنقية والتفتيش عبر المراقبة الإحصائية).

1. المفتش: وكيل "المعرفة الشاملة"

يستخدم PRISM نموذج رؤية ولغة (VLM) (مثل CLIP أو Qwen-VL) ليكون هو المفتش. تخيل هذا المفتش كأمين مكتبة قرأ كل الكتب في العالم ورأى كل صورة التُقطت على الإطلاق.

هذا الأمين يعرف حقاً كيف يبدو "محمص الخبز" وكيف يبدو "المتفجر".
والأهم من ذلك، أن هذا الأمين لم يتواجد أبداً داخل المصنع، فهو "نظيف" ولا يعاني من أي أبواب خلفية.

2. العملية: نظام "التحقق المزدوج"

عندما يمر منتج عبر خط الإنتاج، يقوم PRISM بشيئين في آن واحد:

تخمين المصنع: يقوم المصنع المصاب بطباعة التسمية (مثلاً: "متفجر").
تخمين المفتش: ينظر الأمين إلى المنتج ويقول: "هذا يبدو لي كمحمصة خبز".

3. "بوابة المنطق" (الموجه التكيفي)

يقارن PRISM بين الإجابتين.

إذا اتفقا: فالمصنع غالباً على حق، ويمر المنتج.
إذا اختلفا: المصنع يقول "متفجر"، لكن الأمين يرى "محمصة خبض". هذا الاختلاف الكبير هو علامة خطر! هذا يعني أن المصنع يتعرض للخداع بواسطة باب خلفي. يقوم PRISM بحظر المنتج ويستخدم إجابة الأمين بدلاً من ذلك.

كيف يحافظ PRISM على حدته (الجزء "التكيفي")

قد يصنع المصنع منتجات محددة وغريبة جداً (مثل لوحات المرور أو صور طبية) لم يرها الأمين كثيراً من قبل. إذا أخطأ الأمين في التخمين لأنه ليس خبيراً في هذا المجال المحدد، فسيفشل النظام.

يعالج PRISM ذلك بحيلتين:

التعلم أثناء العمل (تنقية النماذج الأولية): بينما يعمل المصنع، يتعلم PRISM بهدوء كيف يبدو "محمص الخبز" و"المتفجر" في هذا المصنع تحديداً. إنه يحدث الملاحظات الذهنية للأمين في الوقت الفعلي دون الحاجة إلى دليل استخدام أو حصة تدريبية.
العتبات الذكية (المراقبة الإحصائية): أحياناً يكون الأمين غير متأكد. يستخدم PRISM الرياضيات ليعرف: "هل هذا الاختلاف مجرد خطأ بسيط، أم أنه علامة خطر كبرى؟" ويقوم بتعديل حساسيته تلقائياً حتى لا يحظر المنتجات الجيدة عن طريق الخطأ.

لماذا يعد هذا أمراً كبيراً؟

لا حاجة لبيانات التدريب: لا تحتاج للمكونات الأصلية لإصلاح المصنع، بل تحتاج فقط للمصنع وهو يعمل وللأمين.
يعمل ضد الهجمات الماكرة: إنه يوقف هجمات "الصور النظيفة" (حيث يكون المحفز جسماً طبيعياً وليس ملصقاً غريباً)، لأن الأمين يعرف أن جسماً طبيعياً لا ينبغي أن يطلق ختم "متفجر".
السرعة: إنه سريع بما يكفي لفحص المنتجات أثناء مرورها في الوقت الفعلي.

الخلا الخلاصة

بدلاً من محاولة إصلاح آلة معطلة ومصابة من الداخل، يضع PRISM حارساً ذكياً ومستقلاً خارج الآلة. يقوم هذا الحارس بمقارنة ما تقوله الآلة مع ما يعرفه الحارس أنه حقيقي. وإذا لم يتطابقا، يقوم الحارس بإلغاء قرار الآلة، مما يحافظ على سلامة النظام دون الحاجة أبداً للمس الكود الداخلي للآلة.

ملخص تقني: من التشخيص الداخلي إلى التدقيق الخاري

1. بيان المشكلة

لا تزال الشبكات العصبية العميقة (DNNs) عرضة بشكل جوهري لهجمات الأبواب الخلفية (backdoor attacks)، حيث يقوم المهاجمون بتسميم بيانات التدريب لزرع محفزات خفية تستولي على سلوك النموذج عند مدخلات محددة مع الحفاظ على الأداء في البيانات السليمة. لقد تطور مشهد التهديدات من الأنماط الواضحة إلى استراتيجيات أكثر دهاءً تعتمد على الديناميكية، والملصقات النظيفة (clean-label)، والصور النظيفة (clean-image)، مما جعل الكشف التقليدي أمراً صعباً بشكل متزايد.

في سيناريوهات "النموذج كخدمة" (Model-as-a-Service)، غالباً ما يفتقر المدافعون إلى الوصول إلى بيانات تدريب نظيفة أو أوزان النموذج الضحية، مما يستل المستلزمات لـ الدفاع أثناء وقت الاختبار بدون بيانات (data-free test-time defense). يواجه البحث الحالي قيوداً بسبب نموذج التشخيص الداخلي، الذي يعاني من ثغرتين أساسيتين:

طرق إصلاح النماذج (Model Repairing Methods): تقوم هذه الطرق بفحص الخصائص الداخلية للنموذج الضحية (مثل آثار تنشيط العصبونات، أو Lipschitzness للقنوات). وهي تفشل أمام الهجمات الديناميكية المتقدمة التي تعمل صراحةً على تحسين المحفزات لقمع هذه الشذوذات الداخلية.
طرق متانة المدخلات (Input Robustness Methods): تعتمد هذه الطرق على اضطرابات المدخلات أو فحوصات الاتساق. وهي تفشل أمام الأبواب الخلفية الطبيعية (مثل هجمات الصور النظيفة) حيث يكون المحفز عبارة عن سمة دلالية قوية لا يمكن تمييزها عن السمات السليمة عبر الاضطرابات.

التحدي الجوهري هو تطوير دفاع يتميز بالمتانة عبر مختلف أنماط الهجوم دون الاعتماد على الحالات الداخلية للنموذك المتعرض للاختراق أو افتراضات المدخلات الهشة.

2. المنهجية: PRISM

يقترح المؤلفون PRISM (صقل النماذج الأولية والتفتيش عبر المراقبة الإحصائية)، وهو تحول في النموذج من التشخيص الداخلي إلى التدقيق الدلالي الخارجي عبر الإنترنت (Online External Semantic Auditing). يقوم هذا النهج بفصل الدفاع عن النموذج المخترق باستخدام نموذج رؤية ولغة (VLM) عالمي ومدرب مسبقاً كمدقق مستقل "نظيف".

يعمل PRISM كغلاف (wrapper) أثناء وقت الاختبار حول النموذج الضحية المشتبه به باستخدام بنية ثلاثية الركائز:

أ. إطار الاستدلال ثنائي المسار

لكل عينة اختبار واردة $x$ ، يبدأ النظام مسارين أماميين متزامنين:

مسار الضحية (Victim Stream): يعالج $x$ عبر النموذج الضحية $f_S$ المحتمل اختراقه للحصول على التنبؤات واللوجيت (logits).
مسار المدقق (Auditor Stream): يعالج $x$ عبر نموذج VLM عالمي وموثوق (مثل CLIP أو Qwen-VL). يعمل الـ VLM كـ "معلم عالمي"، حيث يوفر إشارة تحقق دلالية بناءً على معرفته الواسعة في العالم المفتوح، والتي تكون مستقلة إحصائياً عن توزيع الضحية المسموم.

ب. المعلم الهجين (Hybrid VLM Teacher)

لسد الفجوة بين نماذج VLM العامة والمهام المتخصصة، يستخدم PRISM آلية تثبيت هجينة:

المرتكزات النصية الثابتة (Static Text Anchors): توفر توجيهاً دلالياً رفيع المستوى عبر تشابه جيب التمام (cosine similarity) مع تسميات نصية محددة مسبقاً.
النماذج الأولية البصرية الديناميكية (Dynamic Visual Prototypes): تعزز المدقق بمركز الثقل للفئات ( $C$ ) التي يتم تعلمها عبر الإنترنت من تدفق الاختبار.
الدمج (Fusion): لوجيتات الـ VLM النهائية ( $S_{VLM}$ ) هي دمج مرجح بين التشابهات القائمة على النص والتشابهات القائمة على النماذج الأولية:
$S_{VLM} = \lambda \cdot \text{Sim}(z_{img}, C) + (1 - \lambda) \cdot \text{Sim}(z_{img}, T)$
هذا يسمح للمدقق بالتكيف مع توزيع الميزات المحدد لتدفق الاختبار دون الحاجة إلى بيانات مصنفة.

ج. الموجه التكيفي عبر المراقبة الإحصائية

منطق القرار الأساسي يحدد ما إذا كان سيتم قبول تنبؤ الضحية أو رفضه لصالح الـ VLM. ويحكم ذلك مقياس تباين هامش اللوجيت ( $\Delta$ ):
$\Delta = \exp\left(S_{VLM}^{\hat{y}_S} - \max_{i \neq \hat{y}_S} S_{VLM}^i\right)$
حيث $\hat{y}_S$ هو الفئة المتوقعة للضحية. يشير $\Delta$ الصغير إلى عدم اتفاق قوي (هجوم محتمل)، بينما يشير $\Delta$ الكبير إلى التوافق.

للتعامل مع طبيعة توزيع $\Delta$ غير الغاوسية والمائلة، يستخدم PRISM عتبة تكيفية مستمدة عبر توسعة كورنيش-فيشر (Cornish-Fisher expansion):
$\tau_k = \mu_k + \left(\zeta + \frac{\gamma_k}{6}(\zeta^2 - 1)\right) \cdot \sigma_k$
حيث $\mu_k, \sigma_k, \gamma_k$ هي المتوسط المتحرك، والانحراف المعياري، والالتواء للهامش للفئة $k$ ، و $\zeta$ هو معامل ثقة أساسي.

د. آلية التحديث عبر الإنترنت

يستخدم PRISM المتوسط المتحرك التراكمي (CMA) لتحديث العزوم الإحصائية والنماذج الأولية البصرية. ومن الأهمية بمكان أن التحديثات تحدث فقط عندما يتم اعتماد العينة كعينة سليمة (أي $\Delta > \tau$ ). تضمن آلية التحديث الانتقائية هذه، جنباً إلى جنب مع القصور الذاتي الإحصائي لـ CMA، المتانة ضد تغير التوزيع وتمنع العينات المسمومة من إفساد حالة الدفاع.

3. المساهمات الرئيسية

نموذج جديد (التدقيق الدلالي الخارجي): يحدد البحث أوجه القصور في التشخيص الداخلي ويقترح استخدام نماذج VLM العالمية كمدققين خارجيين مستقلين، مما يفصل الدفاع فعلياً عن النماذج الضحية المخترقة دون الوصول إلى الأوزان أو بيانات التدريب.
إطار عمل تكيفي عبر الإنترنت (PRISM): إطار عمل لوقت الاختبار يحول نماذج VLM العامة إلى مدققين فعالين عبر معلم VLM هجين (لسد الفجوة الدلالية) وموجه تكيفي (لتجنب العتبات الثابتة عبر المراقبة الإحصائية).
التعميم والمتانة الفائقة: يحقق PRISM أداءً هو الأفضل في فئته عبر 17 مجموعة بيانات و11 نوعاً من هجمات الأبواب الخلفية، مما يظهر متانة فريدة ضد الهجمات الديناميكية وهجمات الصور النظيفة المتقدمة حيث تفشل النماذج التقليدية.

4. النتائج التجريبية

أُجري التقييم عبر 17 مجموعة بيانات (بما في ذلك CIFAR-10, CIFAR-100, ImageNet, GTSRB، ومجموعات بيانات متخصصة) و11 من أحدث هجمات الأبواب الخلفية (الكلاسيكية، الديناميكية، الملصقات النظيفة، والصور النظيفة).

الأداء: نجح PRISM في خفض معدل نجاح الهجوم (ASR) إلى أقل من 1% في CIFAR-10 وحافظ باستمرار على نسبة أقل من 15% عبر جميع أنواع الهجمات الـ 11، مع تحسين أو الحفاظ على الدقة النظيفة (CA) في الوقت نفسه.
المقارنة: يتفوق على الدفاعات الحالية التي لا تعتمد على البيانات (مثل CLP, ScaleUp, ZIP, Refine)، والتي غالباً ما تفشل تماماً ضد هجمات الصور النظيفة (FLIP, GCB) أو الهجمات الديناميكية، بينما تحقق نماذج VLM الساذجة معدلات ASR منخفضة ولكنها تعاني من انخفاض كارثي في الدقة النظيفة (CA) (مثلاً >70% في GTSRB)، بينما يسد PRISM هذه الفجوة.
الكفاءة: على وحدة معالجة رسومات NVIDIA A100، يحقق PRISM (باستخدام CLIP) زمن انتقال للاستدلال قدره 12.5 مللي ثانية لكل صورة، مما يجعله ضمن أفضل الدفاعات من حيث الكفاءة.
المتانة:
- بنيات VLM: يحافظ PRISM على ASR منخفض (<10%) عبر كل من نماذج التضمين (CLIP, SigLIP) والنماذج التوليدية (Qwen, LLaVA).
- حجم البيانات: يظل فعالاً عبر أحجام مجموعات بيانات تتفاوت بمقدار ثلاثة أوامر قدرية (من 200 إلى 10,000 صورة).
- الهجمات التكيفية: يقاوم PRISM استراتيجيات التكيف عبر الإنترنت (Flooding, Periodic, Mixed) حيث يحاول المهاجم التلاعب بتدفق الاختبار، محافظاً على ASR < 20%.
- اختراق المدقق: في سيناريو "سلسلة الثقة" حيث يتم اختراق مدقق متخصص، يمكن لنموذج VLM عام ضعيف ولكنه نظيف أن يقوم بتطهير التدفق واستعادة الأمن.

5. الأهمية والادعاءات

يزعم البحث أن PRISM يثبت أن فصل الدفاع عبر التدقيق الدلالي الخارجي ليس ممكناً فحسب، بل هو ضروري لأمن النماذج من الجيل القادم.

التحول في النموذج: ينتقل من الافتراض الهش بأن الأبواب الخلفية تترك آثاراً داخلية واضحة أو أن المحفزات حساسة لاضطرابات المدخلات، بدلاً من ذلك، يستفيد من الاستقلال الإحصائي لنماذج التأسيس (Foundation Models) للكشف عن التناقضات الدلالية.
العملية: من خلال العمل بطريقة تعتمد على وقت الاختبار وبدون بيانات، يعالج PRISM القيود الحرجة لنشر "النموذج كخدمة" حيث يفتقر المدافعون إلى الوصول إلى بيانات التدريب أو التفاصيل الداخلية للنموذج.
القابلية للتوسع: إطار العمل مستقل عن النموذج ويمكن توسيعه ليشمل مهام أخرى (مثل وصف الصور) عبر تكييف بوابة هامش اللوجيت مع ثقة مستوى التسلسل، مما يوفر مساراً قابلاً للتوسع لمراقبة سلامة الذكاء الاصطناعي في المجالات الحرجة مثل الرعاية الصحية والقيادة الذاتية.

يخلص المؤلفون إلى أنه بينما يعتمد النموذج على الاستقلال الإحصائي لـ VLM المدقق، فإنه يوفر حماية قوية ضد التهديدات المتطورة، بما في ذلك هجمات الصور النظيفة والديناميكية الخفية، مما يضع معياراً جديداً للدفاع المستقل عن النماذج.