Echoes of ownership: Adversarial-guided dual injection for copyright protection in MLLMs

إليك ملخص تقني مفصل لورقة البحث بعنوان: "أصداء الملكية: الحقن المزدوج الموجه بالخصومة لحماية حقوق الطبع والنشر في النماذج اللغوية الكبيرة متعددة الوسائط (MLLMs)".

1. تعريف المشكلة

أدى الانتشار السريع للنماذج اللغوية الكبيرة متعددة الوسائط (MLLMs) إلى مخاوف كبيرة تتعلق بالملكية الفكرية (IP). فغالباً ما يقوم الفاعلون السيئون بإعادة ضبط (Fine-tuning) النماذج الأساسية مفتوحة المصدر باستخدام مجموعات بيانات مملوكة لإنشاء نماذج مشتقة بهدف تحقيق مكاسب تجارية، مع ادعاء ملكيتها كذباً.

• التحدي: تواجه طرق تتبع حقوق الطبع والنشر الحالية عائقين رئيسيين:
  1. الطرق ذات الصندوق الأبيض (White-box): تتطلب الوصول إلى المعلمات الداخلية للنموذج أو التدرجات (Gradients)، وهو أمر مستحيل بالنسبة للنماذج مغلقة المصدر أو المملوكة لجهات أخرى.
  2. طرق الصندوق الأسود (مثل PLA): تعتمد على صور محفزة (Trigger images) خصمية تتوافق مع أنماط استجابة النموذج الأساسي. وغالباً ما تعاني هذه الطرق من الإفراط في التخصيص (Overfitting) على النموذج الأساسي وتفشل في التعميم على المتغيرات المشتقة التي تم إعادة ضبطها لاحقاً، مما يؤدي إلى انخفاض معدلات الكشف بعد عملية إعادة الضبط.
• الهدف: تطوير إطار عمل لتتبع حقوق الطبع والنشر يعمل بنظام الصندوق الأسود يقوم بإنشاء "صور محفزة". عندما تُعرض هذه الصور على نموذج ما (مع سؤال محدد)، يجب أن يخرج النموذج نصاً محدداً يتعلق بالملكية فقط إذا كان النموذج مشتقاً من النموذج الأصلي للناشر، بينما يظل خاملاً تجاه النماذج غير المشتقة.

2. المنهجية: الحقن المزدوج الموجه بالخصومة (AGDI)

يقترح المؤلفون إطار العمل AGDI، الذي يبني الصور المحفزة عبر معاملة الصورة كـ "تنسور" (Tensor) قابل للتعلم وتحسينه عبر لعبة خصومية (Min-max adversarial game). الابتكار الجوهري هو آلية الحقن المزدوج (Dual-Injection)، التي تستفيد من مستويين متميزين من المعلومات لضمان القوة والمتانة عبر المتغيرات المعاد ضبطها.

أ. هدف الحقن المزدوج

يعمل إطار العمل على تحسين الصورة المحفزة $x$ لتحقيق هدفين متكاملين في آن واحد:

1. الحقن على مستوى الاستجابة ($L_{res}$):

   • الآلية: يفرض الاتساق النصي بين مخرجات النموذج ونص الهدف الخاص بالملكية (على سبيل المثال: "ICLR Conference").
   • التنفيذ: يستخدم فقدان الإنتروبيا المتقاطعة (Cross-entropy loss) لتقليل المسافة بين رموز (Tokens) مخرجات النموذج المساعد ورموز الهدف.
   • الغرض: ضمان أن يقوم المحفز بتفعيل سلوك "الملكية" المحدد.

2. الحقن على المستوى الدلالي ($L_{sem}$):

   • الآلية: يقلل المسافة بين تمثيلات (Embeddings) الميزات الشبيهة بـ CLIP للصورة المحفزة والنص المستهدف.
   • التنفيذ: يستخدم وحدة المحاذاة عبر الوسائط الشبيهة بـ CLIP المتأصلة في معظم نماذج MLLM. حيث يقلل المسافة الجيبية (Cosine distance) بين مخرجات مشفر الصور $E_\phi(x)$ ومخرجات مشفر النصوص $E_\psi(\text{target})$.
   • الرؤية: لاحظ المؤلفون أنه بينما تغير عملية إعادة الضبط (Fine-tuning) معلمات الـ LLM الخاصة، فإن وحدة المحاذاة عبر الوسائط الشبيهة بـ CLIP تظل مستقرة نسبياً عبر المتغيرات المشتقة. وهذا يعمل بمثابة "نموذج فرعي ضمني" مشترك بين جميع المتغيرات.
   • الغرض: ضمان أن يحمل المحفز معلومات دلالية يمكن تعميمها عبر البنى المختلفة المعاد ضبطها، مما يمنع الإفراط في التخصيص على أنماط استجابة النموذج الأساسي.

دالة الفقد الإجمالية:
$$\min_{x} \max_{\theta} \left( L_{res}(x, a_{tar}) + \lambda L_{sem}(x, a_{tar}) \right)$$
حيث توازن $\lambda$ بين نوعي الحقن.

ب. التدريب الخصمي (اضطراب النموذج)

لتعزيز المتانة ضد عمليات إعادة الضبط العدوانية، يتضمن إطار العمل مرحلة تدريب خصمي:

• يتم تحديث نموذج مساعد (مستمد من النموذج الأساسي) لـ مقاومة توليد نص الهدف عند تقديمه مع الصورة المحفزة.
• هذا يحاكي سلوك مستخدم سيئ قد يقوم بإعادة ضبط النموذج لجعل النموذج "ينسى" المحفز.
• يتم تحسين الصورة المحفزة للتغلب على هذه المقاومة، مما يستكشف بفعالية نسخاً أكثر صموداً من المحفز تصمد أمام عمليات إعادة الضبط اللاحقة.

3. المساهمات الرئيسية

1. إطار عمل مبتكر (AGDI): تقديم أول إطار عمل لتتبع حقوق الطبع والنشر بنظام الصندوق الأسود لما بعد النشر لنماذج MLLM، والذي يستخدم الحقن المزدوج (على مستوى الاستجابة + على المستوى الدلالي) لدمج معلومات الملكية.
2. رؤية نظرية: تحديد واستغلال استقرار وحدة المحاذاة عبر الوسائط الشبيهة بـ CLIP في نماذج MLLM كنموذج فرعي مشترك عبر المتغيرات، مما يسمح للمحفزات بالتعميم بما يتجاوز النموذج الأساسي.
3. استراتيجية خصمية: اقتراح استراتيجية تحسين (Min-max) تتضمن نموذجاً مساعداً لمحاكاة ومواجهة آثار إعادة الضبط اللاحقة، مما يحسن بشكل كبير من متانة المحفز.
4. تقييم شامل: التحقق من فعالية الطريقة عبر استراتيجيات إعادة ضبط متنوعة (LoRA، Full Fine-tuning)، وبنى نماذج مختلفة (LLaVA, Qwen, MiniGPT)، ومجالات تطبيقية مختلفة (VQA, Math, Art, Medical).

4. النتائج التجريبية

قام المؤلفون بتقييم AGDI على النماذج الأساسية LLaVA-1.5 و Qwen2-VL، مع إعادة ضبطهما على خمس مجموعات بيانات متنوعة (V7W, ST-VQA, TextVQA, PaintingForm, MathV).

• أداء التتبع (معدل نجاح الهجوم - ASR):
  • تفوق AGDI بشكل كبير على النماذج المرجعية (Ordinary, RNA, PLA).
  • مثال: في نموذج Qwen2-VL مع إعادة ضبط LoRA على ST-VQA، حقق AGDI نسبة 77% في ASR، مقارنة بـ 68% لـ PLA و 39% لـ RNA.
  • في نموذج LLaVA-1.5 المعاد ضبطه على PaintingForm، وصل AG_DI إلى 79%، بينما وصل PLA إلى 55%.
• الخصوصية (الإيجابيات الكاذبة):
  • حقق AGDI نسبة 0% ASR على النماذج غير المشتقة (مثل MiniGPT-4, LLaVA-1.6, Llama3-V)، مما يثبت أنه لا يولد استجابات خاطئة على البنى غير المرتبطة.
• تحليل المتانة:
  • التقليم (Pruning): حافظ AGDI على معدل ASR مرتفع حتى بعد تقليم النموذج (Magnitude و Wanda) مع كثافة تصل إلى 30%.
  • الدمج (Merging): أدى أداءً جيداً في النماذج المدمجة عبر استراتيجيات Linear و TIES.
  • الكمية (Quantization): ظل فعالاً تحت نظام الكمية 8-bit.
  • تحويلات المدخلات: أظهر صموداً ضد ضغط JPEG، والضجيج الغاوسي (Gaussian noise)، وتغيير الحجم.
• دراسات الاستئصال (Ablation Studies):
  • أدى إزالة الحقن الدلالي ($L_{sem}$) إلى انخفاض حاد في الأداء (على سبيل المثال، الانخفاض من 79% إلى 55% في PaintingF)، مما يؤكد ضرورة استقرار CLIP.
  • كما أدت إزالة التدريب الخصمي ($L_{model}$ update) أيضاً إلى تقليل المتانة، مما يسلط الضوء على قيمة محاكة مقاومة إعادة الضبط.

5. الأهمية

تعالج هذه الورقة فجوة حرجة في منظومة الذكاء الاصطناعي: غياب وسيلة فعالة لحماية حقوق الطبع والنشر بنظام الصندوق الأسود للنماذج متعددة الوسائط.

• الواقعية: بخلاف طرق الصندوق الأبيض، يعمل AGDI في سيناريوهات العالم الحقيقي حيث يمتلك الناشرون فقط صلاحية الوصول عبر واجهة برمجة التطبيقات (API) للنماذج المشبوهة.
• التعميم: من خلال استغلال الاستقرار المتأصل في وحدات المحاذاة عبر الوسائط، يحل AGGI مشكلة "الإفراط في التخصيص على النموذج الأساسي" التي تعاني منها طرق المحفزات الخصمية السابقة.
• الردع: توفر هذه الطريقة آلية قابلة للتحقق للناشرين لإثبات ملكيتهم للنماذج المشتقة، مما قد يردع الاستغلال التجاري الضار للنماذج مفتوحة المصدر.

في الختام، يمثل AGDI نهجاً رائداً لحماية حقوق الطبع والنشر في نماذج MLLM، حيث يجمع بين التحسين الخصمي والرؤى العميقة حول الاستقرار البنيوي للنماذج متعددة الوسائط لإنشاء محفزات ملكية قوية وقابلة للنقل.