🤖 machine learning

Analyzing Physical Adversarial Example Threats to Machine Learning in Election Systems

تقدم هذه الورقة إطاراً احتمالياً لتحديد عدد الأصوات المعادية المطلوبة لتغيير نتيجة انتخابات أمريكية، وتثبت تجريبياً من خلال 144,000 تجربة طباعة ومسح ضوئي فيزيائية أن الهجمات المعادية الأكثر فعالية في مجال التصويت الفيزيائي تختلف اختلافاً جوهرياً عن تلك الموجودة في المجال الرقمي.

المؤلفون الأصليون: Khaleque Md Aashiq Kamal, Surya Eada, Aayushi Verma, Subek Acharya, Adrian Yemin, Benjamin Fuller, Kaleel Mahmood

نُشر 2026-03-03

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Khaleque Md Aashiq Kamal, Surya Eada, Aayushi Verma, Subek Acharya, Adrian Yemin, Benjamin Fuller, Kaleel Mahmood

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل لعبة ضخمة وعالية المخاطر من نوع "توصيل النقاط"، ولكن بدلاً من رسم صورة، أنت تقوم بالإدلاء بصوتك. في الولايات المتحدة، لا يزال معظم الناس يستخدمون أوراق الاقتراع حيث يقومون بتعبئة دوائر صغيرة بجانب اسم المرشح. ولعد هذه الملايين من أوراق الاقتراع بسرعة، بدأ مسؤولو الانتخابات في استخدام "ماسحات ضوئية ذكية" مدعومة بـ تعلم الآلة (الذكاء الاصطناعي). تنظر نماذج الذكاء الاصطناعي هذه إلى صورة لورقة الاقتراع وتقرر: "أوه، هذه الدائرة ممتلئة، إذن هذا صوت لصالح المرشح (أ)".

هذه الورقة البحثية هي تدقيق أمني يطرح سؤالاً مخيفاً: ماذا لو استطاع مخترق خداع الذكاء الاصطناعي ليرى صوتاً غير موجود أصلاً، دون أن تلاحظ العين البشرية ذلك؟

إليك تفصيل نتائجهم، باستخدام بعض التشبيهات من الحياة اليومية.

1. هجوم "الحبر السري"

تخيل الباحثون شريراً يتمكن من اختراق طابعات أوراق الاقتراع. قبل أن يتم تسليم الأوراق للناخبين حتى، يضيف المخترق كمية ضئيلة من "الضجيج الرقمي" إلى الدوائر الفارغة.

الخدعة: بالنسبة للإنسان، تبدو الدائرة فارغة تماماً. الأمر يشبه ورقة بها حبر سري لا يراه إلا كاميرا معينة.
النتيجة: عندما ينظر الماسح الضوئي المدعوم بالذكاء الاصطناعي إلى الورقة، يجعل "الحبر السري" الذكاء الاصطناعي يعتقد أن الدائرة ممتلئة. الناخب لم يصوت، لكن الآلة تحتسب صوتاً على أي حال.

2. "الرقم السحري" (كم عدد الأصوات المزيفة التي تحتاجها؟)

الجزء الأول من الورقة يشبه الكرة البلورية الرياضية. بنى المؤلفون معادلة للإجابة على: "كم عدد أوراق الاقتراع ذات الحبر السري التي نحتاج لطباعتها لقلب نتيجة الانتخابات؟"

التشبيه: تخيل سباقاً بين حصانين، "بوب" و"أليس". بوب يتصدر بفارق ضئيل. المخترق يريد لأليس أن تفوز.
تحسب الورقة أنه إذا كان السباق متقارباً، فلا يحتاج المخترق لاختراق كل أوراق الاقتراع. يحتاج فقط لاختراق نسبة مئوية محددة وصغيرة (مثل 1% أو 2%) من إجمالي أوراق الاقتراع.
الخلاصة: إذا كانت الانتخابات حاسمة، فإن عدداً صغيراً نسبياً من الأصوات "المخادعة" يمكن أن يغير الفائز. توفر الورقة للمسؤولين طريقة لحساب عدد الأصوات المزيفة المطلوبة بالضبط لإحداث كارثة.

3. "الرقمي مقابل الفيزيائي" (المفاجأة)

هذا هو الجزء الأكثر إثارة للاهتمام في الورقة. اختبر الباحثون ستة أنواع مختلفة من "الحبر السري" (تسمى رياضياً هجمات النورم - norm attacks). واختبروها في عالمين:

العالم (أ) (العالم الرقمي): يرسل المخترق ملفاً رقمياً إلى الكمبيوتر. لا يوجد طابعة في العملية.
العالم (ب) (العالم الفيزيائي/الواقعي): يقوم المخترق بطباعة أوراق الاقتراع على طابعة حقيقية، ثم يمسحها ضوئياً مرة أخرى، تماماً مثل انتخابات حقيقية.

التحول الكبير:

في العالم الرقمي: كانت أكثر الخدع فعالية هي تلك التي تنشر الضجيج بشكل متساوٍ عبر الصورة (مثل رش الملح في كل مكان).
في العالم الفيزيائي: فشلت خدعة "الملح"! لماذا؟ لأن الطابعات الحقيقية فوضوية. فهي تترك آثار حبر، وتكون ذات ملمس حبيبي، ولا تطبع بدقة مثالية.
الفائز في العالم الحقيقي: كان النوع الآخر من الضجيج (المسمى L1) هو الأكثر فعالية، والذي يعمل أشبه بـ تركيز الليزر على نقاط صغيرة محددة.
الدرس المستفاد: لا يمكنك اختبار الأمن على شاشة الكمبيوتر فقط. إنه يشبه اختبار مظلة هبوط (باراشوت) عن طريق إسقاطها من كرسي في غرفة معيشتك. يجب عليك اختبارها في الرياح والمطر (الطابعة الحقيقية) لترى ما إذا كانت تعمل حقاً. تثبت الورقة أن الهجمات التي تبدو مخيفة على الشاشة قد تكون غير ضارة في الواقع، والعكس صحيح.

4. "فخ التعقيد"

اختبر الباحثون أربعة نماذج مختلفة من الذكاء الاصطناعي، تتراوح من نموذج بسيط (مثل آلة حاسبة أساسية) إلى نموذج معقد للغاية (مثل سوبر كمبيوتر).

التوقعات: قد تعتقد أن الذكاء الاصطنا_عي الأكثر تعقيداً سيكون أصعب في الخداع.
الواقع: كان الذكاء الاصطناعي المعقد أسهل في الخداع في بعض الحالات.
التشبيه: فكر في الذكاء الاصطناعي المعقد كحارس أمن متطور جداً حفظ كل قواعد الكتاب. يمكن للمخترق أحياناً خداعهم من خلال استغلال ثغرة محددة وغريبة. أما الحارس البسيط (النموذج الأبسط) فقد يقول ببساطة: "هذا يبدو مريباً، لن أسمح له بالمرور"، ويكون أكثر صموداً ضد هذه الخدع المحددة.

5. حل "إزالة الضجيج" (Denoising)

حاولت الورقة أيضاً حل المشكلة. أنشأوا "مرشح تنظيف" (مثل محرر الصور الذي يزيل الخدوش) لتنظيف الصور الممسوحة ضوئياً قبل أن ينظر إليها الذكاء الاصطناعي.

النتيجة: ساعد هذا كثيراً! جعل الذكاء الاصطناعي أصعب بكثير في الخداع. الأمر يشبه وضع زجاج واقٍ شفاف فوق ورقة الاقتراع قبل مسحها.

الملخص: ماذا يعني هذا بالنسبة لنا؟

هذه الورقة هي نداء استيقاظ لمسؤولي الانتخابات.

الذكاء الاصطناعي قوي ولكنه هش: إذا كنا نستخدم الذكاء الاصطناعي لعد الأصوات، يجب أن نعرف بالضبط كم عدد الأصوات المزيفة التي نحتاجها لكسر النظام.
لا تثق بالشاشة فقط: لا يمكنك اختبار أمن الانتخابات على الكمبيوتر فقط. يجب عليك طباعة الأوراق ومسحها ضوئياً، لأن العالم الحقيقي (الحبر، الورق، الماسحات الضوئية) يغير كيفية عمل الهجمات.
توجد دفاعات أفضل: من خلال فهم حيل "الحبر السري" هذه، يمكننا بناء ماسحات ضوئية ومرشحات تنظيف أفضل لإيقافها قبل حدوثها.

المؤلفون لا يحاولون كسر الانتخابات؛ بل يحاولون العثور على الثقوب في السياج حتى نتمكن من إصلاحها قبل أن يظهر مخترق حقيقي. لقد جعلوا حتى "أدواتهم" (الأكواد البرمجية) متاحة لكي يتمكن خبراء الأمن الآخرون من تجربتها واختراقها أيضاً، مما يجعل النظام أقوى للجميع.

1. بيان المشكلة

تتناول الورقة البحثية المخاطر الأمنية المرتبطة باستخدام نماذج تعلم الآلة (ML) لتصنيف أوراق الاقتراع الورقية في الانتخابات الأمريكية. وبينما أظهرت نماذج تعلم الآلة دقة عالية (أعلى من 99%) في تصنيف الأصوات الرقمي، إلا أنها تظل عرضة لـ الأمثلة المعادية (Adversarial Examples)—وهي مدخلات تم تعديلها بضجيج غير محسوس ( $\delta$ ) يتسبب في خطأ في التصنيف من قبل النموذج مع بقائها قابلة للتمييز من قبل البشر.

تتمثل المشكلة الجوهرية في جانبين:

تكميم التأثير: من غير الواضح عدد أوراق الاقتراع المعادية التي يجب طباعتها مادياً لتغيير نتيجة انتخابات في العالم الحقيقي.
الفجوة بين الواقع المادي والرقمي: ركزت الأبحاث السابقة على الهجمات الرقمية (تحديداً معيار $l_\infty$ ). ويبقى من الأسئلة المفتوحة أي نوع من الهجمات المعادية (المُعرفة بمعايير رياضية مختلفة) يظل الأكثر فعالية عند ترجمة الاضطراب الرقمي إلى العالم المادي عبر عملية الطباعة والمسح الضوئي، وهي عملية تُدخل ضجيجاً وتشوهات غير حتمية.

2. المنهجية

يستخدم المؤلفون نهجاً هجيناً يجمع بين النمذجة الاحتمالية، والمحاكاة الرقمية، والتجارب المادية المكثفة.

أ. إطار الهجوم الانتخابي الاحتمالي

اشتق المؤلفون إطاراً رياضياً لحساب نسبة أوراق الاقتراع المخترقة ( $p_c$ ) المطلوبة لتغيير نتيجة الانتخابات.

النموذج: قاموا بنمذجة الانتخابات كعملية احتمالية تحتوي على $N$ من الناخبين ومرشحين اثنين (أ و ب).
المتغيرات: يتضمن الإطار هامش الفوز الحقيقي ( $\Delta$ )، واحتمالية التصويت لمرشح ما ( $p_b$ )، ومستوى الثقة المطلوب من المهاجم ( $1-\alpha$ ).
منطق الهجوم: يقوم المهاجم بإضافة ضجيج غير محسوس إلى الفقاعات الفارغة لإجبار المصنف على اعتبارها مملوءة لصالح المرشح المفضل لديه. يأخذ النموذج في الاعتبار سيناريوهات "التصويت الزائد" (حيث يقوم الناخب بملء فقاعة تحتوي بالفعل على ضجيج معادٍ)، بافتراض السيناريو الأسوأ حيث يتم استبعاد هذه الأوراق.
المخرجات: حل مغلق (المعادلة 8) يحدد الحد الأدنى من أوراق الاقتراع المعادية اللازمة لتغيير نتيجة الانتخابات بثقة إحصائية محددة.

ب. التحليل العدائي الرقمي

النماذج: تم تدريب أربعة بنيات معمارية: SVM، وVGG-16، وResNet-20، وCaiT (Vision Transformer).
مجموعات البيانات: تم استخدام مجموعتين من البيانات:
- الفقاعات (Bubbles): تشمل فقط الفقاعات الفارغة والمملوءة.
- المدمجة (Combined): تتضمن الفقاعات الفارغة والمملوءة بالإضافة إلى "العلامات الهامشية" (مثل استراحة القلم، الخربشات، أو علامات X) لمحاكاة سلوك الناخب الحقيقي.
الهجمات: تم تقييم ستة أنواع مختلفة من الهجمات القائمة على المعايير (Norm-based attacks) باستخدام APGD وPGD:
- $l_\infty$ -APGD، و $l_2$ -APGD، و $l_1$ -APGD
- $l_0$ PGD، و $l_0 + l_\infty$ PGD، و $l_0 + \sigma$ -map PGD
المعلمات: تم اختبار الهجمات عبر ميزانيات ضجيج ( $\epsilon$ ) مختلفة لتحديد عتبات "عدم الإدراك" بناءً على مراجعة خبراء بشريين.

ج. التحقق المادي (الطباعة والمسح الضوئي)

سلسلة العمليات: تم تنفيذ 144,000 مثال معادٍ مادياً.
- الطباعة: طُبعت الصور المعادية باستخدام طابعات ليزر من نوع HP LaserJet Pro MFP 3101fdw.
- المسح الضوئي: تم مسح الأوراق المطبوعة باستخدام ماسح ضوئي عالي الدقة من نوع Ricoch Fujitsu fi-7160.
- المعالجة المسبقة: خضعت الصور المطبوعة لعمليات المحاذاة (ECC)، والتقطيع (Segmentation)، وسلسلة معالجة تنقية (Denoising) مخصصة تعتمد على U-Net للتخفيف من آثار الطباعة قبل إعادة التقييم.
النطاق: تم اختبار النماذج المدربة فقط على مجموعة البيانات "المدمجة" (التي تتضمن العلامات الهامشية) في النطاق المادي، نظ Ell لأنها ضرورية للتطبيق في العالم الحقيقي.

3. المساهمات الرئيسية

إطار انتخابي احتمالي: توفر الورقة أول إطار احتمالي عام لتكميم عدد أوراق الاقتراع المعادية اللازمة لتغيير نتيجة الانتخابات، متجاوزة التحليلات الوصفية لـ "السباقات المتقاربة" إلى التكميم الإحصائي الصريح.
التفاوت بين الرقمي والمادي: تُظهر الدراسة تجريبياً وجود "فجوة تحليلية" كبيرة. فالهجمات الأكثر فعالية في النطاق الرقمي ( $l_2$ و $l_\infty$ ) ليست بالضرورة الأكثر فعالية في النطاق المادي.
تقييم الهجوم المادي: أجرى المؤلفون تجربة مادية واسعة النطاق (144,000 مثال) لتقييم ستة أنواع من هجمات المعايير عبر أربع بنيات نماذج مختلفة، مما وضع معياراً جديداً لأمن أنظمة التصويت.
تطوير مجموعة البيانات: يستخدم العمل ويتحقق من مجموعة بيانات محدثة ("UConn Bubbles with Marginal Marks") تتضمن علامات هامشية اصطناعية للناخبين، مما يعالج نقصاً في مجموعات البيانات السابقة التي كانت تفتقر إلى هذه التعقيدات الواقعية.

4. النتائج الرئيسية

نتائج النطاق الرقمي

الهجمات الأكثر فعالية: في النطاق الرقمي، كانت هجمات $l_2$ و $l_\infty$ هي الأكثر فعالية بشكل عام، حيث أدت غالباً إلى خفض متانة النماذج إلى ما يقرب من 0% للنماذج المعقدة (VGG, ResNet, CaiT).
حساسية النموذج: كانت النماذج المعقدة (Transformers, CNNs) معرضة بشدة لهجمات $l_2$ و $l_\infty$ ، بينما أظهرت النماذج الأبسط (SVM) متانة مختلطة.
أهمية مجموعة البيانات: النماذج المدربة فقط على الفقاعات النظيفة فشلت في التعرف على العلامات الهامشية بدقة. أما النماذج المدربة على مجموعة البيانات "المدمجة" فقد حققت دقة تزيد عن 99% على البيانات النظيفة، مما يثبت جدوى تعلم الآلة في أوراق الاقتراع الواقعية إذا تم تدريبها بشكل صحيح.

نتائج النطاق المادي

تحول الفعالية: تغيرت الهجمات الأكثر فعالية في النطاق المادي.
- أصبح هجوم $l_1$ -APGD هو الأكثر فعالية لثلاثة من أصل أربعة نماذج (VGG, ResNet, CaiT).
- ظل هجوم $l_2$ -APGD هو الأكثر فعالية لنموذج SVM.
- هجمات $l_\infty$ ، التي كانت مهيمنة رقمياً، أدت أداءً أسوأ بكثير في النطاق المادي.
متانة النموذج: كان نموذج CaiT (Transformer) هو الأقل متانة بشكل عام في النطاق المادي. وهذا يشير إلى أن زيادة تعقيد النموذج (مثل استخدام الـ Transformers) لا تؤدي بالضرورة إلى تحسين الأمن ضد الهجمات المعادية المادية.
ارتباط المقاييس: لم ترتبط مقاييس الإشارة التقليدية (RMSE, KL Divergence, SSIM) المستخدمة لقياس الفرق بين الضجيج الرقمي والمادي بـ نجاح الهجوم. فعلى سبيل المثال، كانت هجمات $l_0$ تمتلك أقل قيمة RMSE (أي أنها الأقرب فيزيائياً للنسخة الرقمية) لكنها كانت غير فعالة، بينما كانت هجمات $l_1$ تمتلك انحرافاً أعلى ولكنها كانت الأكثر نجاحاً.

5. الأهمية والآثار المترتبة

السياسة الأمنية: تشير النتائج إلى أن معايير أمن الانتخابات التي تعتمد فقط على اختبار المتانة الرقمية غير كافية. يجب التحقق من آليات الدفاع من خلال تجارب الطباعة والمسح الضوئي المادية.
ناقل الهجوم: إن اكتشاف أن هجمات $l_1$ فعالة للغاية في النطاق المادي يوفر ناقلاً جديداً للمهاجمين المحتملين. وهذا يعني أن الاضطرابات الموضعية والمتفرقة (التي تميز $l_1$ ) تنجو من عملية الطباعة والمسح الضوئي بشكل أفضل من الضجيج الكثيف والمتجانس ( $l_\infty$ ).
جدوى تغيير النتائج: يسمك الإطار الاحتمالي لمسؤولي الانتخابات تقدير حجم الهجوم المادي المطلوب لتغيير النتائج. على سبيل المثال، في السباقات المتقاربة، قد يكون عدد أوراق الاقتراع المخترقة ضمن النطاق اللوجستي الذي يمكن لمهاجم مصمم الوصول إليه عبر امتلاك طابعات أوراق الاقتراع.
البحث المستقبلي: توضح الورقة أن التقييمات الأمنية "الرقمية فقط" معيبة بالنسبة للأنظمة المادية. يجب أن تأخذ تصميمات الدفاع المستقبلية لأنظمة التصويت في الاعتبار الضجيج غير الحتمي الذي تفرضه الأجهزة (الطابعات/الماسحات الضوئية).

في الختام، تثبت الورقة أنه بينما يعد تعلم الآلة أداة واعدة لفرز الأصوات، فإنه يفرض خطراً ملموساً وقابلاً للقياس الكمي يتمثل في التلاعب بالانتخابات عبر الأمثلة المعادية المادية، حيث تختلف ناقلات الهجوم الأكثر فعالية بشكل كبير بين المحاكاة الرقمية والواقع المادي.