💻 computer science

Plato's Form: Toward Backdoor Defense-as-a-Service for LLMs with Prototype Representations

تقدم هذه الورقة PROTOPURIFY، وهو إطار عمل دفاعي ضد الهجمات الخلفية يتميز بالقابلية للتوسع وإعادة الاستخدام، يقوم بتنقية النماذج اللغوية الكبيرة من خلال تحديد وتثبيط المكونات المتوافقة مع النماذج الأولية عبر الطبقات، مما يخفف بفعالية من مختلف الهجمات الخلفية مع حد أدنى من التأثير على الفائدة السليمة ودون الحاجة إلى أي معلومات جانبية.

المؤلفون الأصليون: Chen Chen, Yuchen Sun, Jiaxin Gao, Yanwen Jia, Xueluan Gong, Qian Wang, Kwok-Yan Lam

نُشر 2026-02-09

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Chen Chen, Yuchen Sun, Jiaxin Gao, Yanwen Jia, Xueluan Gong, Qian Wang, Kwok-Yan Lam

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك استأجرت طباخاً لإعداد وجبة لحدث كبير. أنت تثق به، ولكن ماذا لو أضاف، سراً، مكوناً صغيراً غير مرئي إلى الوصفة؟ هذا المكون لا يؤثر على مذاق الطبق الطبيعي، ولكن إذا قلت "كلمة سحرية" معينة (المحفز)، سيقدم لك الطباخ فجأة شيئاً ساماً أو كارثياً.

في عالم الذكاء الاصطناي، هذه "الطهاة" هي النماذج اللغوية الكبيرة (LLMs)، و"السم" يسمى هجوم الباب الخلفي (Backdoor Attack).

تقدم هذه الورقة خدمة جديدة تسمى PROTOPURIFY، المصممة لتعمل مثل "مفتش مطبخ" عالي التقنية يمكنه العثور على هذا السم وإزالته دون إفساد الوجبة.

إليك كيف تعمل، مقسمة إلى خطوات بسيطة:

1. المشكلة: لماذا تفشل الدفاعات الحالية

تخيل أنك تدير شركة أمنية تقوم بفحص وصفات الطهاة.

الدفاعات القديمة: معظم أدوات الأمن الحالية تشبه المحققين الذين يحتاجون لمعرفة شكل السم بالضبط، أو يحتاجون لتذوق نسخة "نظيفة" من الطبق لمقارنتها بالنسخة الأخرى. لكن في العالم الحقيقي، غالً ما لا تعرف ما هو السم، وليس لديك نسخة نظيفة من الوصفة للمقارنة بها.
الهدف: يريد المؤلفون بناء خدمة (تسمى BDaaS أو "الدفاع ضد الباب الخلفي كخدمة") يمكنها فحص أي نموذج مشبوه، حتى لو لم يعرفوا شيئاً عن الهجوم المحدد أو البيانات المستخدمة لتدريبه.

2. الفكرة الجوريّة: "نموذج السم الأولي" (Poison Prototype)

لاحظ المؤلفون أمراً رائعاً: على الرغم من أن المهاجمين المختلفين يستخدمون سموماً مختلفة، إلا أن الطريقة التي يعبثون بها بـ "دماغ" النموذج (رياضياته الداخلية) تبدو متشابهة بشكل مدهش.

التشبيه: فكر في هجوم الباب الخلفي كنوع محدد من "الاهتزاز" أو "التموج" في بركة ماء. حتى لو ألقيت صخرة، أو عصا، أو ورقة شجر (هجمات مختلفة)، فإنها جميعاً ستخلق نمط تموج مماثل في الماء.
الحل: بدلاً من البحث عن الصخرة المحددة، يقوم النظام بإنشاء "نموذج أولي" (Prototype) — وهو مخطط رئيسي لما يبدو عليه "تموج السم".

3. كيف يعمل PROTOPURIFY (الخطوات الأربع)

الخطوة 1: محاكاة السم (معسكر التدريب)
قبل أن يتمكنوا من القبض على مجرم، يحتاجون لمعرفة كيف يبدو المجرم. يقوم النظام بتشغيل آلاف "معسكرات التدريب" الوهمية حيث يقوم بتسميم النماذج عمداً باستخدام حيل معروفة مختلفة. ثم يقارن النموذج "المسموم" بنموذج "نظيف" ليرى بالضبط كيف تغيرت الرياضيات. هذا ينشئ مكتبة من "بصمات السم".

الخطوة 2: بناء المخطط الرئيسي (النموذج الأولي)
يأخذ النظام كل تلك "بصمات السم" المختلفة ويقوم بمتوسطها حسابياً. إنه ينشئ "نموذجاً أولياً للباب الخلفي" واحداً ومثالياً. وهو عبارة عن خريطة رياضية لما يبدو عليه أي باب خلفي، بغض النظر عن الحيلة المحددة المستخدمة.

الخطوة 3: تحديد المنطقة الملوثة (طبقة الحدود)
لا يمكنك مجرد تنظيف المطبخ بالكامل؛ فقد تغسل المكونات الجيدة أيضاً. يبحث النظام في النموذج المشبوه طبقة تلو الأخرى (مثل النظر في طوابق مختلفة من مبنى).

يجد الطابق الذي يكون فيه "تموج السم" في أقوى حالاته.
يقرر ترك الطوابق السفلية (مهارات اللغة الأساسية) وشأنها والتركيز فقط على الطوابق العليا حيث يعيش الباب الخلفي. هذا يحمي قدرة النموذج على التحدث والتفكير بشكل طبيعي.

الخطوة 4: الإزالة الجراحية (التنقية)
بمجرد العثور على المنطقة الملوثة، لا يقوم بمجرد حذف الشيء بأكما له. يستخدم "منخلاً" رياضياً (يسمى تحليل القيم المفردة - Singular Value Decomposition) لتفكيك رياضيات النموذج إلى مكونات صغيرة.

يتحقق من كل مكون مقابل المخطط الرئيسي.
إذا كان المكون يطابق "تموج السم"، فإنه يخفض مستوى صوت ذلك الجزء بلطف.
إذا لم يكن كذلك، فإنه يتركه كما هو.

4. لماذا يعد هذا أمراً هاماً

تزعم الورقة أن هذه الطريقة تتفوق على الدفاعات الموجودة لـأربعة أسباب رئيسية:

قابلة لإعادة الاستخدام: تقوم ببناء "المخطط الرئيسي" مرة واحدة، ويمكنك استخدامه لتنظيف آلاف النماذج المختلفة. إنه مثل امتلاك مفتاح رئيسي واحد يفتح العديد من الأقفال المختلفة.
قابلة للتخصيص: إذا كنت تعرف القليل عن الهجوم (على سبيل المثال: "ربما هي حيلة تعتمد على النصوص")، يمكن للنظام تعديل المخطط ليكون أفضل.
قابلة للفهم: يخبرك النظام أين يوجد السم (أي الطبقات) وكيف وصل إلى هناك، بدلاً من مجرد قول "لقد تم الإصلاح".
سريعة: لا يحتاج إلى إعادة تدريب النموذج من البداية (وهو أمر يستغرق أياماً). إنه يقوم فقط بتعديل رياضي سريع، يستغرق دقائق فقط.

5. النتائج

اختبر المؤلفون هذه الطريقة على نماذج ذكاء اصطناي شهيرة (مثل Llama و Mistral) مع أنواع مختلفة من الأبواب الخلفية (بعضها بوجود محفزات واضحة، وبعضها مخفي في وضح النهار).

معدل النجاح: نجح النظام في تقليل احتمالية عمل الباب الخلفي (معدل نجاح الهجوم) من ما يقرب من 100% إلى أقل من 10% (وأحياناً تصل إلى 1.6%).
الأمان: والأهم من ذلك، حافظ على أداء النموذج الطبيعي (دقة البيانات النظيفة) كما هو تقريباً، حيث انخفض بنسبة أقل من 3%.

الملخص

PROTOPURIFY هو أداة جديدة تعمل مثل جهاز أشعة سينية متخصص لنماذج الذكاء الاصطناي. بدلاً من الحاجة لمعرفة السم المحدد مسبقاً، يستخدم "مخططاً رئيسياً" لما تبدو عليه الأبواب الخلفية بشكل عام لإزالة الأجزاء الخبيثة جراحياً مع ترك قدرات النموذج المفيدة سليمة تماماً. لقد صُمم ليكون خدمة سريعة وقابلة لإعادة الاستخدام لأي شخص يحتاج إلى ضمان سلامة الذكاء الاصطناي الخاص به قبل استخدامه.

ملخص تقني: PROTOPURIFY

بيان المشكلة

يتم نشر النماذج اللغوية الكبيرة (LLMs) بشكل متزايد في التطبيقات الحساسة أمنياً، لكنها تظل عرضة لهجمات الباب الخلفي (Backdoor Attacks)، حيث يقوم المهاجمون بزرع وظائف خبيثة يتم تفعيلها عند التعرض لمحفزات محددة مسبقاً. تواجه آليات الدفاع الحالية في نموذج "الدفاع ضد الباب الخلفي كخدمة" (BDaaS) عوائق تشغيلية كبيرة:

افتراضات غير واقعية: تتطلب العديد من الدفاعات الوصول إلى بيانات نظيفة لاحقة، أو معرفة بمحفزات/أهداف محددة، أو تفاصيل خاصة بنطاق المهمة، وهي أمور غالباً ما تكون غير متوفرة أو حساسة في بيئة قائمة على الخدمة.
نقص القابلية لإعادة الاستخدام: تعمل الطرق الحالية عادةً على تنقية النماذج بشكل مستقل، وتفتقر إلى آليات لنقل الرؤى أو المكونات عبر نماذج مختلفة مصابة بالباب الخلفي، مما يحد من قابليتها للتوسع.
المقايضات: تعاني النهج الحالية غالباً من أعباء حسابية عالية (تتطلب تدريباً لكل نموذج) أو تسبب تدهوراً كبيراً في فائدة النموذج السليم (دقة البيانات النظيفة، CDA).

تحدد الورقة البحثية الحاجة إلى إطار عمل للتنقية يكون قابلاً لإعادة الاستخدام، وقابلاً للتخصيص، وقابلاً للتفسير، وفعالاً في وقت التشغيل، ويعمل بأقل قدر من الافتراضات حول الهجوم أو المهمة اللاحقة للنموذج المستهدف.

المنهجية: PROTOPURIFY

PROTOPURIFY هو إطار عمل لتنقية الباب الخلفي قائم على النماذج الأولية (Prototypes)، مصمم للعمل في فضاء الأوزان (Weight Space). يستفيد الإطار من ملاحظة أن هجمات الباب الخلفي المختلفة تسبب إزاحات مترابطة في المعلمات، مما يشير إلى وجود "نموذج أولي مشترك للباب الخلفي". يتكون إطار العمل من أربع مراحل:

1. محاكاة الباب الخلفي (بناء مجمع المتجهات)

لالتقاط سلوكيات متنوعة للباب الخلفي دون الوصول إلى بيانات الهجوم الأصلية، يقوم المدافع بمحاكاة سيناريوهات هجوم متنوعة "أوفلاين" باستخدام مجموعات بيانات عامة مساعدة واستراتيجيات هجوم معروفة (مثل: محفز واحد، محفزات متعددة، أو بدون محفز).

العملية: لكل سيناريو، يتم تدريب "نموذج مصاب بالباب الخلفي" ( $M_b$ ) و"نموذج سليم" ( $M_c$ ) من نفس النموذج الأساسي ( $M_{base}$ ) باستخدام معلمات فائقة (Hyperparameters) متطابقة، والاختلاف الوحيد يكمن في وجود بيانات مسمومة أو تلاعب بالأوزان.
متجه الباب الخلفي: يتم حساب متجه الباب الخلفي $v$ كفرق بين معلمات النماذج المصابة والنماذج السليمة: $v = \vartheta(M_b) - \vartheta(M_c)$ . عملية الطرح هذه تزيل إشارات التعلم الخاصة بالمهمة، مما يعزل التحديثات الخبيثة.
المخرج: مجمع من متجهات الباب الخلفي $\mathcal{V}$ التي تمثل سلوكيات هجوم متنوعة.

2. بناء النموذج الأولي (Prototype Construction)

يقوم النظام بتجميع مجمع متجهات الباب الخلفي لاستخلاص تمثيل خبيث مشترك.

التجميع: تقيم الورقة استراتيجيتين للتجميع: المتوسط الحسابي (AM) وتحليل المكونات الرئيسية (PCA). تُظهر التجارب أن AM هو الأفضل لأنه يعزز التغييرات المتسقة في المعلمات، بينما قد يؤدي PCA إلى تضخيم الضوضاء أو الاختلافات غير ذات الصلة.
الاختيار: بالنسبة لنموذج مستهدف مصاب بالباب الخلفي $M'$ ، يحسب النظام متجه تحديث الوزن الخاص به $w = \vartheta(M') - \vartheta(M_{base})$ . ثم يختار النموذج الأولي المرشح الأكثر توافقاً $p^*$ من المجموعة المنشأة عن طريق تعظيم تشابه جيب التمام: $p^* = \arg\max_{p \in \mathcal{P}} \text{CosSim}(w, p)$ .

3. كشف طبقة الحدود (Boundary Layer Detection)

لمنع تدهور الفائدة، يتجنب PROTOPURIFY تعديل النموذج بأكمُله. فهو يحدد "طبقة حدودية" تقسم النموذج إلى طبقات دنيا محمية وطبقات عليا مرشحة للتنقية.

الآلية: يحسب النظام درجات المحاذاة لكل طبقة بين تحديث النموذج المستهدف والنموذج الأولي المختار. تجريبياً، تكون درجات المحاذاة مستقرة في الطبقات الدنيا، لكنها تظهر زيادة حادة في الطبقات الأعمق حيث يتم ترميز سلوكيات الباب الخلفي الدلالية.
المعايير: يتم اختيار طبقة الحدود $l^*$ بناءً على الأهمية الحجمية (تجاوز الدرجة لعتبة معينة بناءً على إحصائيات الطبقات الدنيا) وأهمية الزيادة (أن يكون معدل الزيادة أكثر حدة من الخط المرجعي).

4. تنقية النموذج

تتم عملية التنقية المستهدفة فقط على الطبقات $l \geq l^*$ .

التفكيك: لكل مصفوفة أوزان قابلة للتدريب $\Delta W$ في الطبقات المستهدفة، يتم تطبيق تفكيك القيم المفردة (SVD): $\Delta W = \sum \lambda_i a_i b_i^\top$ .
تحديد الإشارة: يتم إسقاط كل مكون من الرتبة الأولى على مصفوفة النموذج الأولي المقابلة $\Delta P$ لحساب درجة إشارة الباب الخلفي $c_i$ .
التقليص (Suppression): يتم تحديد المكونات التي تتجاوز درجاتها عتبة تكيفية كعناصر خبيثة. يتم تقليص قيمها المفردة $\lambda_i$ بواسطة عامل $(1-\alpha)$ ، حيث $\alpha$ هو قوة التنقية القابلة للتحكم. يسمح هذا بالموازنة بين التخفيف والحفاظ على الفائدة.

المساهمات الرئيسية

التنقية القائمة على النماذج الأولية: تقترح الورقة PROTOPURIFY، وهي طريقة تبني نموذجاً أولياً للباب الخلفي قابلاً لإعادة الاستخدام من أزواج النماذج المحاكات، مما يتيح التنقية دون الحاجة للوصول إلى بيانات المهمة النظيفة أو معرفة المحفز.
مسار عمل كامل في فضاء الأوزان: طور المؤلفون مسار عمل يشمل استخراج متجه الباب الخلفي، وتجميع النماذج الأولية، وكشف الطبقة الحدودية، والتقليص المتحكم فيه للمكونات.
الجاهزية لـ BDaaS: تم تصميم الإطار صراحةً ليلبي أربعة متطلبات أساسية للنشر كخدمة: القابلية لإعادة الاستخدام (بناء النماذج الأولية "أوفلاين" وإعادة استخدامها لنماذج متعددة)، القابلية للتخصيص (قابل للتكيف مع عائلات الهجوم أو المهام المعروفة)، القابلية للتفسير (يكشف عن مواقع ترميز الباب الخلفي عبر تحليل الإشارة)، والكفاءة في وقت التشغيل (بدون تدريب، تعديل بمرة واحدة).

النتائج التجريبية

قيم المؤلفون PROTOPURIFY على نماذج Llama3-8B و Mistral-7B عبر مهام التصنيف (SST-2, CoLA, QQP, MNLI, Emotion) ومهام التوليد (CHAT-BACKDOOR).

الأداء مقابل النماذج المرجعية: تمت مقارنة PROTOPURIFY مع ستة من أفضل الدفاعات الحالية (Wanda, Fine-Tuning, NAD, BEEAR, CROW, LETHE).
- التخفيف: نجح باستمرار في خفض معدل نجاح الهجوم (ASR) إلى أقل من 10% (غالباً ما يصل إلى 1.6%) عبر هجمات المحفز الواحد، والمحفزات المتعددة، والهجمات بدون محفز.
- الفائدة: حافظ على دقة عالية للبيانات النظيفة (CDA)، مع تسبب في انخفاض أقل من 3% في الفائدة السليمة في معظم الحالات.
- المقارنة: في السيناريوهات التي تسببت فيها النماذج المرجعية مثل Fine-Tuning في فقدان كبير للفائدة (على سبيل المثال، انخفاض CDA إلى ~58%) أو فشلت في كبح ASR (على سبيل المثال، بقاء ASR > 40%)، حقق PROTOPURIFY مقايضات متفوقة (مثلاً، ASR 4.4% مع CDA 91.3% في SST-2).
القابلية للانتقال: النماذج الأولية التي تم بناؤها على مهام التصنيف نجحت في تنقية النماذج في مهام التوليد، مما أظهر فعالية عبر المجالات.
المتانة: ظل الأسلوب فعالاً ضد المهاجمين التكيفيين الذين حاولوا تضخيم إشارات الباب الخلفي، ولم يتسبب في تدهور ملحوظ في أداء النماذج غير المصابة (السليمة).
الكفاءة: وقت التشغيل لكل نموذج هو 5-10 دقائق (بدون تدريب)، وهو أسرع بكثير من النماذج المرجعية القائمة على التدرج (Gradient-based) والتي تتطلب مئات الدقائق.

الأهمية والادعاءات

تدعي الورقة أن PROTOPURIFY تعالج فجوة حرجة في أمن النماذج اللغوية الكبيرة من خلال توفير أداة عملية جاهزة للخدمة لـ "الدفاع ضد الباب الخلفي كخدمة". تكمن أهميتها في:

الجدوى التشغيلية: من خلال إزالة الحاجة إلى بيانات الهدف النظيفة أو معرفة المحفز، تجعل عملية تنقية الباب الخلفي ممكنة لمنصات BDaaS التجارية.
القابلية للتوسع: بناء النماذج الأولية "أوفلاين" القابلة لإعادة الاستخدام يقلل من التكاليف الحسابية، مما يسمح بتنقية عالية الإنتاجية لنماذج متنوعة.
الدقة: استراتيجية التقليص على مستوى الطبقة والمكون تقلل من الأضرار الجانبية لقدرات النموذج السليم، وهو ما يمثل نقطة فشل شائعة في دفاعات التقليم (Pruning) أو الضبط الدقيق (Fine-tuning) الحالية.

يؤكد المؤلفون أنه بينما يعد الأسلوب متيناً، فإنه ليس بديلاً عن أمن سلسلة التوريد الأوسع (مثل فحص البيانات)، وهو مصمم ليكون شفافاً وقابلاً للتفسير للمساعدة في تشخيص النماذج المخترقة.