🤖 machine learning

RobPI: Robust Private Inference against Malicious Client

تقدم هذه الورقة RobPI، وهو بروتوكول استدلال خاص قوي يدافع ضد العملاء الخبيثين من خلال دمج ضوضاء متوافقة مع التشفين في مخرجات النموذج، مما يقلل بشكل كبير من معدلات نجاح الهجمات ويزيد من تكلفة الاستعلام بالنسبة للمتربصين مقارنة بالنماذج الحالية التي تكتفي بالنموذج شبه الأمين.

المؤلفون الأصليون: Jiaqi Xue, Mengxin Zheng, Qian Lou

نُشر 2026-02-24

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Jiaqi Xue, Mengxin Zheng, Qian Lou

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك طبيبًا ذكيًا للغاية يعتمد على الذكاء الاصطناعي يمكنه تشخيص الأمراض من صور الأشعة السينية الخاصة بك، أو حارس أمن عالي التقنية يتعرف على وجهك ليسمح لك بدخول منزلك. أنت تريد استخدام هذه الخدمات، لكنك لا تريد إرسال صورك الخاصة أو سجلاتك الطبية إلى الشركة التي تدير هذا الذكاء الاصطناعي، فأنت قلق من أن يسرقوا بياناتك أو يبيعوها.

لحل هذه المشكلة، اخترع العلماء ما يسمى بـ "الاستدلال الخاص" (Private Inference). الأمر يشبه وضع صورتك داخل صندوق زجاجي محكم الإغلاق وغير قابل للكسر. ترسل الصندوق إلى الذكاء الاصطناعي، ويمكن للذكاء الاصطناعي النظر عبر الزجاج والقيام بعملياته الحسابية وإعطائك الإجابة، لكنه لا يرى الصورة الفعلية الموجودة بالداخل أبدًا. إنها خدعة سحرية حيث يعمل الذكاء الاصطناعي على بيانات "مشفرة".

ومع ذلك، اكتشف الباحثون في هذه الورقة البحثية، RobPI، ثغرة مخيفة في هذه الخدعة السحرية.

المشكلة: "العميل المخادع"

تفترض معظم أنظمة الخصوصية هذه أن الجميع يلعب بنزاهة، وتفترض أن الشخص الذي يطلب التشخيص (العميل) هو مجرد مستخدم عادي يتبع القواعد.

ولكن ماذا لو كان العميل مخترقًا مخادعًا؟

أدرك المؤلفون أنه يمكن للعميل الخبيث خداع الذكاء الاصطناعي لإعطاء إجابة خاطئة (مثل إخبار لص بكلمة "تم السماح بالدخول" بدلاً من "تم رفض الدخول") دون كسر التشفير أبدًا. وقد أطلقوا على ذلك اسم PI-Attack.

التشبيه:
تخيل أن الذكاء الاصطناعي هو طباخ في مطبخ لا يقبل إلا الطلبات المكتوبة بشفرة سرية. الطباخ أمين ويتبع الوصفة بدقة، لكن الزبون (المخترق) يدرك أنه إذا همس بـ تغييرات صغيرة ومحددة للغاية في الطلب، يمكنه إرباك الطباخ لجعله يطبخ طبقًا مختلفًا تمامًا، رغم أن الطباخ يتبع القواعد.

وجد الباحثون أنه باستخدام خدعة رياضية خاصة (تسمى تحويل جيب التمام المتقطع، أو DCT)، يمكن للمخترق العثور على هذه "الهمسات السرية" بشكل أسرق مما سبق.

الطريقة القديمة: قد يحتاج المخترق إلى طرح 300 سؤال على الذكاء الاصطناعي للعثور على الخدعة المناسبة.
الطريقة الجديدة (PI-Attack): يحتاج المخترق فقط إلى طرح من 30 إلى 50 سؤالًا. إنهم أسرع بـ 3 إلى 8 مرات في كسر النظام.

الحل: RobPI (درع "الضجيج")

لإيقاف هؤلاء المخترقين المخادعين، بنى المؤلفون نظامًا جديدًا يسمى RobPI.

التشبيه:
فكر في إجابة الذكاء الاصطناعي النهائية كصوت واضح وعالٍ يقول "نعم" أو "لا". يحاول المخترق دفع هذا الصوت قليًا لجعله يبدو كالعكس.

في الأنظمة القديمة، كان الذكاء الاصطناعي هادئًا وواضحًا جدًا، مما يجعل من السهل على المخترق التأثير عليه.
RobPI يضيف طبقة من الضجيج الساكن (مثل تشويش الراديو) في نهاية العملية تمامًا، قبل إعطاء الإجابة مباشرة.

للمستخدم العادي: الإشارة (الإجابة الحقيقية) قوية وواضحة لدرجة أن الضجيج لا يؤثر عليها. سيظلون يسمعون "نعم" أو "لا" بوضية تامة.
للمخترق: يحاول المخترق الاستماع إلى تغييرات طفيفة لمعرفة كيفية خداع النظام. ولكن بسبب الضجيج، في كل مرة يطرح فيها سؤالًا، تبدو الإجابة مختلفة قليلاً، مثل راديو به استقبال سيء. يصاب المخترق بالارتباك، ولا يستطيع إيجاد النمط، فيستسلم.

كيف جعلوه أكثر ذكاءً (التدريب الديناميكي على الضجيج)

إضافة الضجيج عادة ما تقلل من الدقة (مثل راديو به الكثير من التشويش). ولإصلاح ذلك، علم المؤلفون الذكاء الاصطناعي كيف يتعود على الضجيج أثناء تعلمه.

التشبيه:
إنه يشبه تدريب عداء.

الذكاء الاصطناعي القديم: يتدرب على مضمار ناعم. عندما تضع رمالًا على المضمار (الضجيج)، يتعثر العداء.
RobPI مع DNT: يتدرب الذكاء الاصطناعي بينما يتم رمي الرمال على المضمار. وبحلول الوقت الذي يصبح فيه جاهزًا للعالم الحقيقي، يكون قويًا ومتوازنًا لدرجة أن الرمال لا تزعجه على الإطلاق. إنه يركض بنفس سرة ودقة ما كان عليه من قبل، لكنه أصبح الآن محصنًا ضد حيل المخترقين.

النتائج

اختبر الباحثون ذلك في مهام مختلفة (مثل التعرف على الوجوه أو الصور الطبية).

الهجوم: حاول المخترق خداع النظام.
الدفاع: وقف RobPI صامدًا.
النتيجة: اضطر المخترق لطرح أكثر من 10 أضعاف عدد الأسئلة للنجاح مقارنة بالدفاعات القديمة. في الواقع، انخفض معدل نجاح الهجوم بنحو 92%.

الملخص

التهديد: يمكن للمخترقين خداع أنظمة الذكاء الاصطناعي المحمية بالخصوصية بشكل أسرع مما كنا نعتقد.
الحل: إضافة القليل من "الضجيج المربك" إلى الإجابة النهائية.
الخدعة السحرية: الضجيج يربك المخترق ولكنه لا يزعج المستخدم الصادق، خاصة إذا تم تدريب الذكاء الاصطناعي على التعامل مع ذلك الضجيج.

RobPI يشبه إعطاء الذكاء الاصطنا الخاص بك سماعات عازلة للضوضاء. فهي تسمح للمستخدم الصادق بسماع الموسيقى بوضوح، لكنها تحجب محاولات المخترق لتغيير الأغنية.

إليك ملخص تقني مفصل لورقة البحث بعنوان: "RobPI: استدلال خاص قوي ضد العميل الخبيث".

1. بيان المشكلة

تتناول الورقة ثغرة أمنية حرجة في بروتوكولات الاستدلال الخاص (Private Inference - PI)، وتحديداً تلك القائمة على التشفير المتماثل كلياً (Fully Homomorphic Encryption - FHE).

السياق: يتيح الاستدلال الخاص للعملاء استعلام نماذج تعلم آلي مستضافة على خادم دون الكشف عن بيانات مدخلاتهم أو أوزان النموذج.
الفجوة: تعمل معظم بروتوكولات الاستدلال الخاص الحالية تحت نموذج تهديد شبه نزيه (semi-honest)، الذي يفترض أن كلا من العميل والخادم يتبعان قواعد البروتوكول. ومع ذلك، في السيناريوهات الواقعية (مثل اكتشاف الاحتيال، أو المراقبة المنزلية)، قد يكون العملاء خبيثين، ويسعون للتلاعب بمخرجات النموذج للوصه إلى وصول غير مصرح به أو تحقيق مكاسب مالية.
التهديد: يمكن للعميل الخبيث شن هجمات تلاعب بالاستدلال (أمثلة عدائية) لإجبار النموذج على إنتاج تنبؤ محدد وغير صحيح. ويرى المؤلفون أن بروتوكولات الاستدلال الخاص "شبه النزيهة" الحالية معرضة للخطر بشكل فريد لأن التشفير والتقريبات متعددة الحدود المستخدمة في الاستدلال الخاص يمكن أن تزيد من كفاءة هذه الهجمات مقارنة بالاستدلال في الحالة العادية (Plaintext).

2. المنهجية

تقترح الورقة منهجية ذات شقين: أولاً، إثبات خطورة التهديد عبر هجوم جديد، وثانياً، تصميم دفاع قوي.

أ. الهجوم: PI-Attack

قدم المؤلفون PI-Attack، وهو هجوم تلاعب بالاستدلال بنظام الصندوق الأسود (Black-box) مُحسَّن لبيئات الاستدلال الخاص.

الآلية الجوهرية: على عكس الهجمات التقليدية التي تبحث في النطاق المكاني، يعمل PI-Attack في النطاق الترددي باستخدام تحويل جيب التمام المتقطع (DCT).
استراتيجية البحث:
- البحث ذو الشكل القوسي (Arc-shaped Search): يعطي الأولوية للمكونات ذات التردد المنخفض (أعلى يسار مصفوفة DCT) حيث تكون الاتجاهات العدائية أكثر كثافة، ثم ينتقل تدريجياً إلى الترددات الأعلى.
- جدولة الاضطراب (Perturbation Scheduling): يستخدم جدول تبريد جيب التمام ( $\lambda_t$ ) لتخصيص أحجام اضطراب أكبر للمكونات منخفضة التردد وأحجام أصغر للمكونات عالية التردد.
الكفاءة: تسم_ح هذه المنهجية للعميل الخبيث بالتلاعب بمخرجات النموذج بعدد استعلامات أقل بـ 3 إلى 8 مرات مقارنة بأحدث هجمات الصندوق الأسود (مثل Square Attack أو SimBA-DCT) المستخدمة على النماذج العادية.

ب. الدفاع: RobPI

لمواجهة العملاء الخبيثين، يقترح المؤلفون RobPI، وهو بروتوكول استدلال خاص قوي.

مبدأ التصميم: بدلاً من إضافة الضجيج إلى المدخلات (والذي غالباً ما يتم تخفيفه بواسطة وظائف التنشيط متعددة الحدود في الشبكات القائمة على FHE)، يقوم RobPI بحقن ضجيج متوافق مع التشفير مباشرة في المخرجات (Logits) والميزات (Features).
الآلية:
- حقن الضجيج: يتم إضافة ضجيج غاوسي ( $\sigma \Delta_t$ ) إلى احتمالات التنبؤ في الطبقات النهائية. يتم ترميز هذا الضجيج ليكون متوافقاً مع نظام التشفير (FHE).
- تعطيل البحث: يعمل الضجيج على تعطيل احتمالية نجاح الاضطراب (Disturbance Success Probability - DSP). في الهجمات القائمة على الاستعلام، يعتمد المهاجم على مقارنة احتمالات التنبؤ بين الاستعلامات لتحديد اتجاه البحث. الضجيج المضاف يعمل على عشوائية الفرق بين الاستعلامات المتتالية، مما يضلل اتجاه بحث المهاجم.
التدريب الديناميكي للضجيج (Dynamic Noise Training - DNT): لمنع الضجيج من تقليل دقة النموذج على البيانات النظيفة، قدم المؤلفون تقنية RobPI-DNT. تقوم هذه التقنية بتدريب النموذج باستخدام ضجيج غاوسي ديناميكي يتغير عبر العصور (Epochs)، مما يمكن النموذج من تعلم المتانة ضد الضجيج المحقون مع الحفاظ على دقة عالية للبيانات النظيفة.

3. المساهمات الرئيسية

PI-Attack: هجوم مبتكر وعالي الكفاءة ضد بروتوكولات الاستدلال الخاص "شبه النزيهة"، يستغل البحث في النطاق الترددي وجدولة الاضطراب، ويتطلب استعلامات أقل بكثير من الطرق الحالية.
بروتوكول RobPI: إطار عمل استدلال خاص قوي يدافع ضد العملاء الخبيثين من خلال حقن الضجيج في طبقة المخرجات (Logits)، متجاوزاً مشكلات تلاشي الضجيج المرتبطة بدفاعات طبقة المدخلات في الشبكات المقربة متعددة الحدود.
التدريب الديناميكي للضجيج (DNT): تقنية تدريب توازن بين فعالية الدفاع ودقة البيانات النظيفة، مما يسمح للنموذج بمقاومة الضيجة دون فقدان كبير في الأداء.
التحليل النظري: تقديم براهين رياضية تثبت أن الدفاع يزيد من احتمالية تضليل المهاجم (DSP) مع إبقاء معدل الخطأ في التصنيف للبيانات النظيفة ضئيلاً جداً.

4. النتائج التجريبية

قيم المؤلفون طرقهم على مجموعات بيانات MNIST و CIFAR-10 ومجموعة بيانات طبية لمرض اعتلال الشبكية السكري.

أداء الهجوم (PI-Attack):
- على CIFAR-10، حقق PI-Attack مع الجدولة نسبة نجاح بلغت 94.38% للهجمات غير المستهدفة و 94.22% للهجمات المستهدفة.
- قلل متوسط عدد الاستعلامات بمقدار ~100 مقارنة بـ Square attack و ~100 مقارنة بـ SimBA-DCT.
- قلل متوسط معيار $\ell_2$ للاضطرابات، مما يجعل الهجمات أصعب في الكشف.
أداء الدفاع (RobPI):
- معدل نجاح الدفاع (DSR): حقق RobPI-DNT نسبة نجاح دفاع (DSR) بلغت 91.88% ضد الهجمات المستهدفة على CIF-10، وهو تحسن هائل مقارنة بالدفاعات الحالية مثل RND (39.22%) و RND-GF (56.33%).
- الدقة النظيفة: رغم الدفاع القوي، حافظ RobPI-DNT على دقة نظيفة بلغت 74.55% على CIFAR-10، متفوقاً على RND-GF (73.71%) و التدريب العدائي (67.88%).
- مقاومة الاستعلام: يجبر الدفاع العملاء الخبيثين على إجراء أكثر من 10 أضعاف الاستعلامات للنجاح مقارنة بالهجمات على البروتوكولات غير المحصنة.
تحليل المتانة:
- حلل البحث أيضاً "هجمات الاستدلال المتوسطة" (حيث يقوم المهاجم بحساب متوسط عدة استعلامات لإلغاء الضجيج ذو المتوسط الصفر). وأظهروا أن استخدام ضجيج ذي متوسط غير صفري أو إضافة الضجيج إلى الطبقة قبل الأخيرة يؤدي بفعالية إلى تحييد هذا الهجوم المضاد مع الحفاظ على نسبة نجاح دفاع (DSR) عالية.

5. الأهمية

تحول في النموذج الفكري: تتحدى الورقة الافتراض السائد بأن النماذج "شبه النزيهة" كافية للاستدلال الخاص، وتسلط الض الضوء على أن العملاء الخبيثين يمثلون تهديداً واقعياً وخطيراً.
الكفاءة مقابل الأمان: توضح الورقة أن تحقيق أمن عالٍ ضد الجهات الخبيثة لا يتطلب التضحية بكفاءة أو دقة نظام الاستدلال الخاص.
النشر العملي: من خلال دمج الضجيج مباشرة في طبقة المخرات المتوافقة مع FHE واستخدام DNT، يقدم RobPI حلاً قابلاً للنشر في التطبيقات عالية المخاطر (مثل التشخيص الطبي، وكشف الاحتيال) حيث تكون خصوصية البيانات وسلامة القرارات أمراً بالغ الأهمية.
الأساس النظري: يوفر العمل إطاراً نظرياً صارماً لفهم كيفية تأثير حقن الضجيج على البحث في التدرج (gradient search) لمهاجمي الصندوق الأسود في سياق الحوسبة المشفرة.