ملخص تقني: فك التشفير بالتوافق الدلالي لتوليد أكواد Verilog

1. بيان المشكلة

إن الاعتماد المتزايد للنماذج اللغوية الكبيرة (LLMs) لتوليد أكواد Verilog في تصميم الأجهزة (Hardware Design) يستحدث ثغرات أمنية حرجة، وتحديداً هجمات الباب الخلفي (Backdoor Attacks). في هذه الهجمات، يقوم المهاجمون بتسميم بيانات التدريب لحقن محفزات خبيثة تتسبب في توليد "تروجان عتادي" (Hardware Trojans) (مثل سجلات سرية لتسريب القنوات الجانبية) عند ظهور أنماط محفزة معينة في المدخلات.

المخاطر في مجال الأجهزة مرتفعة بشكل فريد مقارنة بالبرمجيات:

• عدم القابلية للعكس (Irreversibility): بمجرد تصنيع شريحة تحتوي على باب خلفي، تصبح الثغرة "تروجان عتادي" دائمًا. وتتطلب المعالجة إعادة تصنيع مكلفة أو تكون مستح المستحيل في الأنظمة المنشورة.
• التخفي (Stealthiness): المحفزات المتقدمة (مثل المعدلات الدلالية مثل "الأمان" أو الجمل الأسلوبية) تندمج بشكل طبيعي في مواصفات التصميم، مما يتهرب من طرق الكشف التقليدية.
• محدودية الدفاعات الحالية:
  • الدفاعات الاستباقية (تطهير البيانات، إعادة التدريب) تتطلب الوصول إلى بيانات التدريب، وهو ما يفتقر إليه مستخدمو النماذج اللغوية الكبيرة من الأطراف الثالثة عادةً.
  • الدفاعات السلبية (تصفية المدخلات، إعادة الصياغة، التحقق من المخرجات) تعاني أمام المحفزات الدلالية المتخفية. فالتصفية غالباً ما تفشل في كشف المحفزات ذات الطبيعة اللغوية، وإعادة الصياغة قد تفسد المتطلبات الوظيفية، والتحقق لا يكتشف التهديدات إلا بعد توليد الكود الخبيث.

2. الفرضية الأساسية والرؤية

يقترح المؤلفون وجود انحياز هيكلي في تصميم محفز الباب الخلفي مدفوع بالمتطلبات المزدوجة لـ الفعالية (تفعيل السلوك الخبيث بشكل موثوق) والتخفي (الحفاظ على فائدة النموذج في المدخلات النظيفة).

الفرضية 1 (انحياز محلية المحفز - Trigger Locality Bias): يميل المهاجمون بقوة نحو تضمين المحفزات في المتطلبات غير الوظيفية (مثل معدلات الأسلوب، واصفات الجودة، التوثيق) بدلاً من المتطلبات الوظيفية (مثل عرض البتات، التوقيت، نوع إعادة الضبط، مواصفات الإدخال/الإخراج).

• التعليل: تعديل المتطلبات الوظيفية يخاطر بالاكتشاف عبر فشل اختبارات التحقق (Testbench failures) بسبب التباينات السلوكية. في المقابل، توفر المعدلات غير الوظيفية مساحة دلالية للمحفزات دون تغيير الصحة الوظيفية للأجهزة.
• الاستنتاج: إذا أمكن عزل المتطلبات الوظيفية ومنحها الأولوية، يمكن قمع المتطلبات غير الوظيفية المحملة بالمحفزات بشكل طبيعي دون المساس بالسلوك المقصود للأجهزة.

3. المنهجية: فك التشفير بالتوافق الدلالي (SCD)

يعتبر SCD دفاعاً سلبياً أثناء الاستنتاج لا يتطلب إعادة تدريب النموذج أو الوصول إلى بيانات تدريب نظيفة. وهو يعمل عبر مرحلتين:

أ. استخراج المتطلبات الوظيفية

يقوم نموذج استخراج مخصص ($E_\phi$) بتفكيك المواصفات المدخلة $x$ إلى:

• $s$ (المتطلبات الوظيفية): المواصفات الأساسية التي تحدد سلوك الأجهزة (مثل "8-بت"، "متزامن").
• $e$ (المتطلبات غير الوظيفية): التفضيلات التي لا تؤثر على التحقق (مثل "كود نظيف"، "أمان").

تم تدريب المستخرج على مجموعة بيانات مكونة من 9,601 زوج من $\langle$المتطلبات، كود Verilog$\rangle$ عالية الجودة، تم إنشاؤها عبر تسمية بذرية من قبل مهندسين محترفين، وتوليد يعتمد على تقنية RAG، وتصفية باستخدام "النموذج كحكم" (LLM-as-Judge). وقد صُمم ليكون محايداً تجاه المحفزات، مركزاً على المعرفة بالمجال بدلاً من أنماط محددة للمحفزات.

ب. فك التشفير بالتوافق الدلالي

بدلاً من التخلص الجامد من المحتوى غير الوظيفي (الذي يقلل جودة التوليد)، يقوم SCD بدمج توزيعات مخرجات النموذج بشكل تكيفي:

1. توليد اللوغاريتمات المزدوجة (Dual Logits Generation): في كل خطوة فك تشفير، يولد النموذج لوغاريتمات بناءً على:
   • $\ell_{full}$: المواصفات الكاملة للمستخدم (التي قد تحتوي على محفزات).
   • $\ell_{key}$: المتطلبات الوظيفية المستخرجة فقط (الخالية من المحفزات).
2. قياس التباعد: يقوم النظام بحساب مسافة جذر متوسط المربعات (RMS) ($D$) بين $\ell_{full}$ و $\ell_{key}$.
   • المدخلات النظيفة: $D \approx 0$ (التوزيعات متوافقة؛ المحفزات تؤثر فقط على الأسلوب).
   • المدخلات المحفزة: $D$ كبيرة (التوزيعات تتباعد؛ المحفزات هي التي تقود عملية التوليد).
3. الدمج التكيفي: يتم حساب اللوغاريتمات النهائية ($\ell_{SCD}$) كالتالي:
   $$\ell_{SCD} = \ell_{key} + w(D) \cdot (\ell_{full} - \ell_{key})$$
   حيث أن الوزن $w(D) = \exp(-\beta \cdot D)$.
   • إذا كان $D$ صغيراً (نظيف)، فإن $w(D) \approx 1$، مما يحافظ على جودة التوليد الكاملة.
   • إذا كان $D$ كبيراً (محفز)، فإن $w(D) \ll 1$، مما يقمع الانزياح الناجم عن المحفز ويعود إلى التوافق الوظيفي ($\ell_{key}$).

يثبت التحليل النظري (النظرية 1) أن هذه الآلية تضع حداً أعلى لفعالية المهاجم، حيث أن زيادة قوة المحفز تزيد في الوقت نفسه من التباعد، مما يؤدي إلى قمع تأثير المحفز بشكل أسي.

4. النتائج التجريبية

قيم المؤلفون SCD على ثلاثة نماذج لغوية للأكواد (CodeLlama-7B, DeepSeek-Coder-7B, Qwen2.5-Coder-7B) عبر معيارين لـ Verilog (VerilogEval-v2, ResBench) ضد ثلاثة هجمات ممثلة (BadPre, InSent, RTL-Breaker).

• فعالية الدفاع (ASR):

  • بدون دفاع، بلغ متوسط معدل نجاح الهجوم (ASR) 89%.
  • خفض SCD متوسط ASR إلى 2.16% (VerilogEval) و 1.39% (ResBench).
  • حقق DeepSeek-Coder نسبة 0.00% ASR عبر جميع الهجمات والمعايير تحت نظام SCD.
  • تفوق SCD على الخطوط المرجعية الحالية (ONION, Back-Translation, Paraphrasing) بما لا يقل عن 10 نقاط مئوية.

• جودة التوليد (Pass@1):

  • على عكس طرق التصفية، SCD حافظ أو حسن من Pass@1.
  • في VerilogEval، حسن SCD من Pass@1 بما يصل إلى 8.90 نقطة مئوية مقارنة بالخط المرجعي السليم لـ CodeLlama.
  • يؤكد هذا أن استخراج المتطلبات الوظيفية غالباً ما ينتج مواصفات أكثر نظافة وتركيزاً تفيد في توليد الكود.

• المتانة (Robustness):

  • معدل التسميم: حافظ SCD على ASR منخفض (<5%) حتى عند معدلات تسميم عالية (تصل إلى 10%).
  • حجم النموذج: ظل SCD فعالاً عبر أحجام نماذج تتراوح من 0.5B إلى 14B بارامتر.
  • المعلمات الفائقة (Hyperparameters): وفرت القيمة الافتراضية $\beta = 1.5$ التوازن الأمثل بين الأمن والمنفعة.

5. المساهمات الرئيسية

1. التحقق من الفرضية: تقدم الورقة تحليلاً نظرياً وأدلة تجريبية تدعم فرضية ميل المهاجمين نحو تضمين المحفزات في المتطلبات غير الوظيفية بسبب القيود العملية (خطر التحقق، مفارقة الندرة-التكرار).
2. آلية دفاع مبتكرة: اقتراح فك التشفير بالتوافق الدلالي (SCD)، وهو دفاع أثناء الاستنتاج يعمل على تخفيف الباب الخلفي تكيفياً عبر مواءمة التوليد مع المتطلبات الوظيفية، دون الحاجة لإعادة تدريب النموذج.
3. تقييم شامل: تجارب واسعة تثبت قدرة SCD على خفض ASR من ~89% إلى <3% مع الحفاظ على جودة توليد الكود أو تحسينها عبر نماذج ومعايير متعددة.
4. المصدر المفتوح: إصدار الكود المصدري، والنماذج المدربة، والبيانات لتسهيل إعادة الإنتاج.

6. الأهمية والادعاءات

تدعي الورقة أن SCD يعالج فجوة حرجة في أمن الأجهزة من خلال توفير دفاع عملي أثناء الاستنتاج لمستخدمي النماذج اللغوية الكبيرة من الأطراف الثالثة الذين لا يمكنهم الوصول إلى بيانات التدريب. ومن خلال الاستفادة من الانحياز الهيكلي لهجمات الباب الخلفي، ينجح SCD بفعالية في تحييد المحفزات المتخفية التي تتهرب من الكشف التقليدي.

يضع المؤلفون SCD كـ خط دفاع أول فعال خصيصاً ضد الفئة السائدة من هجمات الباب الخلفي التي تستغل المتطلبات غير الوظيفية. وهم يقرون بأن الهجمات التكيفية التي تضمن المحفزات داخل المتطلبات الوظيفية تظل تحدياً، مما يشير إلى استراتيجية "الدفاع في العمق" حيث يتم دمج SCD مع التحقق من الـ Testbench والتحقق الرسمي (Formal Verification). وتؤكد الورقة أن الأمن في تصميم الأجهزة يجب أن يعطي الأولوية لـ عدم القابلية للعكس؛ وبالتالي، فإن منع توليد التروجانات في مرحلة الاستنتاج يعد أكثر جدوى من محاولة معالجة الثغرات بعد التصنيع.