Backdoor Sentinel: Detecting and Detoxifying Backdoors in Diffusion Models via Temporal Noise Consistency

في المشهد الحديث للذكاء الاصطناعي، ظهرت فئة جديدة قوية من الأدوات التي يمكنها إنشاء صور من أوصاف نصية بسيطة. هذه الأنظمة، المعروفة باسم نماذج الانتشار (diffusion models)، تعمل من خلال البدء بمجال من الضجيج البصري العشوائي ثم صقله تدريجياً ليصبح صورة واضحة، خطوة بخطوة، مسترشدة بالكلمات التي يكتبها المستخدم. ولأن هذه النماذج فعالة للغاية في توليد الفنون والتصاميم والوسائط، فإنها تُستخدم بشكل متزايد في الخدمات التجارية والتطبيقات الإبداعية. ومع ذلك، تماماً كما يمكن التلاعب بأي آلة معقدة، فإن أنظمة الذكاء الاصطนี้ عرضة لنوع محدد من التخريب يسمى "هجوم الباب الخلفي" (backdoor attack). في مثل هذا الهجوم، يقوم طرف خبيث بتغيير النموذج سراً أثناء تدريبه بحيث يتصرف بشكل طبيعي معظم الوقت، ولكنه ينتج صوراً ضارة أو غير مرغوب فيها عند استخدام عبارة تحفيز مخفية ومحددة. وهذا يخلق وضعاً خطيراً حيث قد تنشر شركة ما نظاماً مخترقاً دون علم منها، مما يعرض مستخدميها لمخاطر أمنية دون أي علامات تحذيرية واضحة.

إن التحدي الذي يواجه خبراء الأمن هو أن هذه النماذج غالباً ما تُعامل كـ "صناديق سوداء"؛ فالشركات التي تملكها نادراً ما تشارك آليات عملها الداخلية بسبب مخاوف الخصوصية والملكية الفكرية. وهذا يجعل من المستحيل تقريباً فحص الكود مباشرة للعثور على السمّ. علاوة على ذلك، حتى لو تم العثور على باب خلفي، فإن إصلاحه يعد أمراً صعباً. فالطرق التقليدية تتطلب غالباً تخمين المحفز المخفي بدقة أو إجراء تغييرات واسعة النطاق على النموذج مما يؤدي إلى إفساد قدرته على إنتاج صور جيدة. تعالج دراسة جديدة أجراها باحثون من الأكاديمية الصينية للعلوم وجامعة العلوم والتكنولوجيا في الصين هذه المعضلة من خلال النظر إلى عملية إنشاء الصور ليس ككائن ثابت، بل كرحلة عبر الزمن. لقد اكتشفوا أنه عندما يتم تفعيل الباب الخلفي، يتعثر النموذج بطريقة محددة للغاية خلال منتصف عملية الإنشاء، مما يخلق نمطاً من عدم الاستقرار يمكن اكتشافه، وهو ما لا يحدث عندما يعمل النموذج بشكل طبيعي.

طوّر الباحثون نظام دفاع مكون من جزأين يسمى TNC-Defense، والذي يعمل كشبكة أمان تعاونية بين المدققين الذين يفحصون النماذج والشركات التي تستخدمها. الجزء الأول هو أداة كشف مصممة للمدققين الذين لا يستطيعون رؤية ما بداخل كود النموذج. فبدلاً من محاولة الهندسة العكسية للمحفز المخفي، تقوم هذه الأداة بالاستماع إلى "الضجيج" الذي يتنبأ به النموذج في كل خطوة من خطوات توليد الصورة. في النموذج السليم، يكون التنبؤ بما يجب أن تبدو عليه الخطوة التالية سلساً ومتسقاً مع الخطوة التي سبقتها. ومع ذلك، عندما يُجبر النموذج على توليد صورة ذات باب خلفي، ينكسر هذا الاتساق في لحظات محددة، مما يسبب طفرة مفاجئة في الفرق بين خطوة وأخرى. ومن خلال قياس هذه التقلبات الصغيرة، يمكن للنظام تحديد أن هناك خطأ ما وتحديد اللحظة التي يخرج فيها النموذج عن المسار بدقة، وكل ذلك دون الحاجة إلى الوصول إلى أوزان النموذج الخاصة أو معرفة عبارة التحفيز.

بمجرد اكتشاف الباب الخلفي، يساعد الجزء الثاني من النظام مزود الخدمة على إصلاح الضرر دون تدمير فائدة النموذج. فبدلاً من محاولة العثد والبحث عن المحفز المخفي، وهو أمر غالباً ما يكون مستحيلاً من حيث التحديد الدقيق، تستخدم عملية الإصلاح اللحظات المحددة التي حددها الكاشف كدليل. يأخذ المزود المطالبة (prompt) الإشكالية ويقوم بإنشاء العديد من المتغيرات لها، مع الحفاظ على المعنى الجوهري وتغيير الكلمات المحيطة. ثم يستخدمون هذه المتغيرات لإعادة تدريب النموذج بلطف، ولكن فقط خلال الخطوات الزمنية المحددة التي وجد فيها الكاشف عدم الاستقرار. هذا النهج المستهدف يجبر النموذج على تعلم المسار الصحيح لتلك اللحظات الحرجة مع ترك بقية معرفته دون مساس. إنه يشبه إصلاح حفرة واحدة على طريق طويل بدلاً من إعادة رصف الطريق السريع بأكمله، مما يضمن بقاء النموذج آمناً دون فقدان قدرته على توليد صور عالية الجودة.

تم اختبار فعالية هذا النهج ضد خمسة أنواع مختلفة من هجمات الباب الخلفي، بدءاً من محفزات الكلمات البسيطة وصولاً إلى التلاعبات الأكثر تعقيداً في الطبقات الداخلية للنموذج. أثبتت أداة الكشف دقة عالية، حيث حددت النماذج ذات الأبواب الخلفية بشكل صحيح في جميع الحالات تقريباً، وتفوقت على الأساليب الحالية بفارق كبير، مع تحسن متوسط قدره 11 بالمائة في دقة الكشف. والأهم من ذلك، كانت عملية الإصلاح فعالة بشكل ملحوظ؛ فقد نجحت في تحييد الباب الخلفي في 98.5 بالمائة من العينات المحفزة، مما جعل السلوك الخبيث عديم الفائدة. ومن الأهمية بمكان أن هذا المستوى العالي من الأمن جاء دون تكلفة تذكر على جودة الصور التي ينتجها النموذج للمستخدمين العاديين. أظهرت الدراسة أن النماذج التي تم إصلاحها استمرت في توليد صور واضحة ومتماسكة، مما يثبت أنه من الممكن إزالة تهديد مخفي دون التضحية بالوظيفة الأساسية للأداة.

يمثل هذا العمل تحولاً كبيراً في كيفية تفكيرنا في تأمين الذكاء الاصطناعي التوليدي. فمن خلال التركيز على الاتساق الزمني لعملية التوليد — أي كيف ينتقل النموذج من خطوة إلى أخرى — وجد الباحثون إشارة موثوقة تصمد حتى عندما يحاول المهاجم إخفاء آثاره. تعمل الطريقة عبر أنواع مختلفة من نماذج الانتشار وتظل قوية حتى عند تغيير الإعدادات المستخدمة لتوليد الصور. إنها تقدم حلاً عملياً لمشكلة واقعية: كيف تثق في أداة قوية لا يمكنك رؤية ما بداخلها بالكامل. تشير النتائج إلى أنه من خلال مراقبة إيقاع عملية الإنشاء، يمكننا اكتشاف وعلاج العدوى في أنظمة الذكاء الاصطناعي، مما يضمن بقاء هذه الأدوات الإبداعية آمنة للاستخدام على نطاق واسع. لقد أتاح الباحثون الكود الخاص بهم للجمهور، مما يسم يسمح للآخرين بالتحقق من هذه النتائج وتطبيق هذا الفهم الجديد لسلامة الذكاء الاصطناعي على الأنظمة المستقبلية.