ملخص تقني: الأبواب الخلفية المحفزة بالأجهزة (Hardware-Triggered Backdoors)

بيان المشكلة

تُنشر نماذج تعلم الآلة بشكل روتيني عبر أجهزة حوسبة متباينة، بدءاً من وحدات معالجة الرسومات الاستهلاكية وصولاً إلى المسرعات عالية الأداء. وثمة افتراض جوهري في هذا النظام البيئي وهو أن الأجهزة المختلفة تنتج نتائج استدلال متطابقة لنفس النموذج والمدخلات. ومع ذلك، وبسبب عدم ترابط الحسابات بنظام الفاصلة العائمة (non-associativity) والاختلافات في تصميم الأجهزة (مثل أحجام الكتل، وجدولة الـ warp)، فإن تنفيذ نفس النموذج على أجهزة مختلفة يؤدي إلى انحرافات عددية طفيفة. وبينما تُعتبر هذه الانحرافات عادةً غير ضارة وعشوائية، إلا أن هذه الورقة تتحدى هذا المنظور؛ حيث نثبت أن هذه الاختلافات العددية الطفيفة يمكن استغلالها عمداً لإنشاء أبواب خلفية محفزة بالأجهزة. وخلافاً للأبواب الخلفية التقليدية التي تعتمد على محفزات مدخلات صريحة (مثل نمط بكسل معين)، تعمل هذه الهجمات على تفعيل سلوك ضار بناءً فقط على مسرع الأجهزة المستخدم في عملية الاستدلال.

المنهجية

نموذج التهديد

يُفترض أن المهاجم يمتلك السيطرة على النموذج قبل النشر (على سبيل المثال، عبر هجوم في سلسلة التوريد أو عن طريق رفع نموذج تم التلاعب به إلى منصة عامة). يقوم الضحية بنشر النموذج عبر أجهزة مختلفة (على سبيل المثال، التطوير على وحدة معالجة رسومات قياسية مقابل الإنتاج على مسرع عالي الأداء). هدف المهاجم هو التلاعب بالنموذج بحيث يتم تصنيف مدخلات مستهدفة معينة بشكل خاطئ فقط على الجهاز المستهدف، مع الحفاظ على التنبؤات الصحيحة على جميع الأجهزة الأخرى ولجميع المدخلات الأخرى.

استراتيجية الهجوم

يعتمد الهجوم على الملاحظة القائلة بأن النموذج المدرب لا يتوافق مع دالة قرار واحدة، بل مع عائلة من الدوال المتميزة اعتماداً على جهاز التنفيذ. وتتم عملية الهجوم عبر خطوتين رئيسيتين:

1. تشكيل حدود القرار:
   يقوم المهاجم بتحسين معاملات النموذج لنقل حد القرار محلياً ليكون قريباً من مدخل مستهدف $\hat{x}$. ويتم ذلك عبر تقليل دالة خسارة وسيطة $L$ تشجع أكبر قيمتين للـ logits على أن تكون متساويتين تقريباً (خلق حالة تعادل) مع معاقبة الانحرافات عن التصنيف الأصلي وأوزان النموذج الأصلية. يتم تنفيذ هذه الخطوة باستخدام التدرج النازل القياسي على جهاز واحد.
   $$\arg \min_{\theta} L(\theta, f_\theta(\hat{x}; h_1))$$
   حيث تتضمن $L$ حدوداً لتقارب حد القرار ($L_{diff}$)، والحفاظ على التصنيف ($L_{class}$)، والتنظيم ($L_{reg}$).

2. تحسين الانحرافات:
   بمجرد اقتراب المدخل من حد القرار، يقوم المهاجم بتضخيم الانحرافات العددية المعتمدة على الأجهزة لقلب التنبؤ على الجهاز المستهدف. وبما أن هذه الانحرافات غير قابلة للاشتقاق، يستخدم المهاجم استراتيجيات استدلالية:

• التعديلات الضمنية (التبديل الطوبولوجي): إعادة ترتيب عمليات الفاصلة العائمة دون تغيير التكافؤ الرياضي تحت الحساب الدقيق. ويتم ذلك عبر تبديل الأوزان في الطبقات الخطية المتتالية (على سبيل المثال، $W_1 W_2 \rightarrow (P_1 W_1)(P_1^{-1} W_2)$)، مما يغير ترتيب عمليات الجمع وبالتالي يغير تراكم أخطاء التقريب.
• التعديلات الصريحة (اضطراب المعاملات): قلب عدد صغير من البتات ($k$) في معاملات النموذج. وهذا يُدخل تغييرات عددية فعلية تؤثر على الحساب حتى في ظل الحساب الدقيق.

تستخدم العملية إجراء تحسين متبادل، حيث تولد عدة نماذج مرشحة في كل تكرار للبحث عن تكوين ينجح في فصل التنبؤ عبر الأجهزة مع الحفاظ على الفائدة العامة للنموذج.

المساهمات الرئيسية

1. الأبواب الخلفية المحفزة بالأجهزة: نقدم ناقل هجوم جديد حيث يتم تفعيل السلوك الضار بواسطة جهاز محدد بدلاً من محفز مدخلات. يعمل السلوك العددي للجهاز كمحفز كامن.
2. التحليل السببي: نجري تحليلاً سببياً على مستوى الطبقات باستخدام "ترقيع التنشيط عبر الأجهزة" (cross-hardware activation patching) لتحديد مكان نشوء الاختلافات المستحثة بالأجهزة. ونجد أن الانحرافات يمكن أن تنشأ في الطبقات المبكرة (مثل تضمينات الرقعة/patch embeddings في نماذج ViT) أو تظهر كأثر تراكمي عبر الطبقات.
3. التقييم التجريبي: نثبت فعالية هذه الأبواب الخلفية عبر بنيات نماذج مختلفة (ResNet, EfficientNet, ViT)، وأجهزة متنوعة (Nvidia A100, H100, A40, RTX 6000)، وتنسيقات عددية مختلفة (float32, float16, bfloat16).

النتائج التجريبية

• معدلات النجاح: يحقق الهجوم معدلات نجاح تتجاوز 90% لمعظم أزواج الأجهزة وبنيات النماذج. على سبيل المثال، في تنسيق float32، حققت نماذج ResNet و EfficientNet معدلات نجاح بنسبة 100% في عدة أزواج من وحدات معالجة الرسومات، بينما حققت نماذج ViT معدلات تترا-وح 94% و 98%.
• التخفي: تحتفظ النماذج التي تحتوي على أبواب خلفية بمتوسط 99.8% من أداء النموذج الأصلي على البيانات النظيفة، مما يضمن بقاء التلاعب غير مكتشف أثناء التشغيل العادي.
• المتانة: تتميز الأبواب الخلفية بالمتانة تجاه اضطرابات المدخلات (حتى $10^3$ من وحدات ULP)، واختلافات الدفعات (batching)، والاستدلال بضبط الدقة المختلطة، رغم أنها تتدهور تحت تأثير الضجيج الكبير في المدخلات.
• تعدد الأهداف: رغم فعاليتها في حالة الهدف الواحد، إلا أن معدل النجاح ينخفض مع زيادة عدد المدخلات المستهدفة في آن واحد، حيث يهبط إلى أقل من 50% لخمسة أهداف بسبب تضارب أهداف التحسين.
• الانتقائية: يمكن ضبط الهجوم لحالات "واحد مقابل الكل"، حيث يتم تحفيز التصنيف الخاطئ على جهاز واحد بالضبط مع الحفاظ على التنبؤات الصحيحة على جميع الأجهزة الأخرى.

الإجراءات المضادة

قمنا بتقييم عدة دفاعات:

• اضطراب المدخلات: إضافة الضجيج للمدخلات يمكن أن يخفف من الهجوم، لكنه يتطلب تشويهاً كبيراً ليكون فعالاً.
• الدفعات (Batching): لا يعد تغيير أحجام الدفعات عشوائياً دفاعاً موثوقاً، لأنه يقمع الأبواب الخلفية في بعض التكوينات فقط.

3. الدقة المختلطة: خفض الدقة إلى مستويات أقل يضعف الهجوم ولكنه لا يقضي عليه.

• الضبط الدقيق (Fine-Tuning): يعد الضبط الدقيق النشط على بيانات نظيفة هو الدفاع الأكثر فعالية، حيث يقلل معدلات نجاح الباب الخلفي إلى ما يقرب من الصفر خلال خطوات تدرج قليلة.

الأهمية والخاتمة

يكشف هذا العمل أن أمن أنظمة تعلم الآلة لا يمكن عزله عن الأجهزة الأساسية. فالاختلافات العددية التي تبدو ضئيلة، والتي كانت تُعتبر سابقاً مجرد آثار غير ضارة للحسابات بنظام الفاصلة العائمة، تشكل سطح هجوم قابلاً للاستغلال. تشير نتائجنا إلى أن سلامة نماذج تعلم الآلة يجب أن تُؤخذ في الاعتبار عبر كامل مكدس الحوسبة، بدءاً من الخوارزميات المدربة وصولاً إلى مسرعات الأجهزة المحددة المستخدمة في الاستدلال. نأمل أن يشجع هذا العمل الممارسين على مراعاة الثغرات الأمنية المعتمدة على الأجهزة ويحفز تطوير تدابير أمنية شاملة لنشر نماذج تعلم الآلة.