🔒 cryptography

Good-Enough LLM Obfuscation (GELO)

يُعد GELO بروتوكولاً خفيف الوزن يحافظ على خصوصية المطالبات للنماذج اللغوية الكبيرة على المسرعات غير الموثوقة من خلال تطبيق خلط عكسي جديد لكل دفعة على الحالات الخفية، مما يحبط الهجمات الإحصائية بفعالية مع الحفاظ على دقة المخرجات تماماً مع زيادة في زمن الاستجابة تتراوح بين 20 و30% فقط.

المؤلفون الأصليون: Anatoly Belikov, Ilya Fedotov

نُشر 2026-03-06

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Anatoly Belikov, Ilya Fedotov

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تريد خبز كعكة وصفة عائلية سرية ولذيذة، لكن مطبخك ليس كبيراً بما يكفي للقيام بذلك بنفسك. لذا، تقوم باستئجار خباز سريع وقوي (المسرّع غير الموثوق/وحدة معالجة الرسومات - GPU) ليقوم بالعمل الشاق: خلط الخليط، وعجن العجين، والخبز.

ومع ذلك، هناك مشكلة: هذا الخباز فضولي بعض الشيء. إذا استطاع رؤية المكونات التي تسلمها له، فقد يكتشف وصفتك السرية. وإذا استطاع رؤية الخليط أثناء خلطه، فقد يخمن كيف سيكون طعم الكعكة.

هذه هي المشكلة ذاتها التي يحلها نظام GELO (التعتيم الجيد بما يكفي للنماذج اللغوية الكبيرة - Good-Enough LLM Obfuscation) بالنسبة للذكاء الاصطنا artificial intelligence.

إليك قصة كيفية عمل GELO، باستخدام تشبيهات بسيطة.

المشكلة: الخباز الفضولي

النماذج اللغوية الكبيرة (مثل النموذج الذي تتحدث إليه الآن) ضخمة جداً. فهي أكبر من أن تعمل على هاتفك أو حاسوبك المحمول، لذا تعمل على حواسيب سحابية ضخمة (وحدات معالجة الرسومات - GPUs).

الخطر: إذا سيطر مخترق على الحاسوب السحابي، فيمكنه التلصص على "الذاكرة" (سطح المطبض) أثناء تفكير الذكاء الاصطناعي. يمكنه رؤية "الحالات المخفية" (الأفكار الحالية للذكاء الاصطناعي) ومن المحتمل إعادة بناء أسئلتك الخاصة (الأوامر/Prompts).
الحلول القديمة:
- "الصندوق السحري" (التشفير): يمكنك وضع المكونات في صندوق سحري لا يمكن كسرُه. يمكن للخباز خبز الكعكة دون فتح الصندوق، لكن السحر بطيء جداً لدرجة أن الكعكة ستستغرق 100 ساعة لتنضج. إنه بطيء جداً للدردشة في الوقت الفعلي.
- "القناع الثابت" (التعتيم القديم): يمكنك ارتداء قناع لإخفاء وجهك. ولكن إذا رآك الخباز كل يوم، فسيتعلم شكل وجهك خلف القناع. بمجرد معرفة القناع، يمكنه تخمين هويتك.

حل GELO: خدعة "الخلط والتبديل"

GELO هو خدعة ذكية وخفيفة الوزن تسمح للخباز بالقيام بالعمل الشاق دون أن يرى أبداً المكونات الحقيقية. إنها تعمل مثل لعبة الكراسي الموسيقية مع لمسة إضافية.

إليك العملية خطوة بخطوة:

1. الخلط السري (الـ "Mix")

قبل أن تسلم المكونات (أفكار الذكاء الاصطناعي المخفية) للخباز، تقوم أنت (بواسطة الـ TEE الموثوق، وهو غرفة آمنة ومغلقة) بأخذ مجموعة من البطاقات تمثل بياناتك.

تقوم بإنشاء نمط خلط عشوائي وجديد تماماً لهذه الدفعة المحددة من المكونات فقط.
تخلط المكونات معاً باستخدام هذا النمط. الآن، يبدو "الخليط" كفوضى عشوائية مشوشة. لا تزال نفس كمية الخليط، لكن الترتيب قد تغير.
نقطة حاسمة: تقوم بالتخلص من نمط الخلط هذا فوراً بعد الاستخدام. لا تستخدمه أبداً مرة أخرى.

2. عمل الخباز (الـ "Offload")

تسلم هذا الخليط المبعثر والمشوش للخباز الفضولي.

يقوم الخباز بالعمليات الحسابية الثقيلة (الخلط، الخبز) على الخليط المشوش.
ولأن الخباز لا يعرف نمط الخلط، فلا يمكنه معرفة ما كانت عليه المكونات الأصلية. هو فقط يرى فوضى مختلطة.
يرسل لك الكعكة المشوشة والجاهزة.

3. فك التشفير السري (الـ "Un-Mix")

تأخذ الكعكة المشوشة وتعود بها إلى غرفتك الآمنة.

تطبق عكس نمط الخلط الذي استخدمته سابقاً.
بوووف! تتحول الكعكة المشوشة فوراً إلى الكعكة الأصلية المثالية.
لم يرَ الخباز الكعكة الحقيقية أبداً؛ لقد رأى فقط النسخة المشوشة منها.

لماذا هي "جيدة بما يكفي"؟

يسميها الباحثون "جيدة بما يكفي" لأنها لا تحاول أن تكون غير قابلة للكسر رياضياً مثل الحصن (وهو أمر بطيء جداً). بدلاً من ذلك، تجعل المهمة صعبة جداً على المخترق لدرجة أنها لا تستحق عناء وقته.

قاعدة "المرة الواحدة": نظرًا لأنك تستخدم نمط خلط جديد لكل دفعة من الأسئلة، فلا يمكن للمخترق التعلم من المحاولات السابقة. الأمر يشبه محاولة حل لغز حيث تتغير الصورة في كل مرة ترمش فيها.
متجهات "الدرع": أحياناً، يحاول المخترقون الأذكياء تخمين النمط من خلال البحث عن كلمات متكررة (مثل "الـ" أو "و"). يضيف GELO بعض المكونات "الوهمية" (ضجيج عشوائي) إلى الخليط. هذه المكونات الوهمية تشبه رمي حفنة من البريق (Glitter) في الخليط؛ فهي تعطل قدرة الخباز على استخدام الحيل الإحصائية لتخمين النمط، لكنها لا تفسد الكعكة.

النتائج

اختبر الباحثون هذا النظام على نموذج ذكاء اصطناعي شهير (Llama 2):

السرعة: لم يؤدِ ذلك إلا إلى إبطاء العمل بنسبة 20-30% تقرياً. وهذا ثمن بسيط مقابل الخصوصية، خاصة مقارنة بتباطؤ التشفير الذي يصل إلى 100 ضعف.
الدقة: كان طعم الكعكة هو نفسه تماماً. قدم الذكاء الاصطناً نفس الإجابات كما لو لم يكن أحد يراقب.
الأمان: عندما حاول المخترقون استخدام رياضيات متقدمة لـ "فك تشفير" الخليط، فشلوا. بدت البيانات المشوشة وكأنها ضجيج عشوائي، ولم يتمكنوا من إعادة بناء الأسئلة السرية الأصلية.

الصورة الكبيرة

GELO هو حل وسط وعملي. فهو يقر بأننا لا نستطيع دائماً الحصول على تشفير مثالي وبطيء، ولا يمكننا الوثوق بحواسيب السحاب تماماً.

بدلاً من ذلك، يستخدم تنكراً ديناميكياً ومتغيراً باستمرار. الأمر يشبه ارتداء زي تنكري مختلف وعشوائي في كل مرة تدخل فيها إلى غرفة. حتى لو كانت الغرفة مليئة بالجواسيس، فلن يتمكنوا من معرفة هويتك لأنك بحلول الوقت الذي يحاولون فيه التعرف عليك، ستكون قد غيرت زيك التنكري مرة أخرى.

إنه يسمح لنا باستخدام سحب الذكاء الاصطنا_ي القوية والمشتركة دون الكشف عن أسرارنا الخاصة.

إليك ملخص تقني مفصل لورقة البحث "Good-Enough LLM Obfuscation (GELO)" من إعداد بليكوف وفيدوتوف.

1. بيان المشكلة

يتم نشر النماذج اللغوية الكبيرة (LLMs) بشكل متزايد على مسرعات سحابية مشتركة (GPUs) لتحقيق القابلية للتوسع. ومع ذلك، يؤدي هذا إلى ثغرة أمنية حرجة في الخصوصية: حيث يمكن للمهاجم الذي يمتلك صلاحية القراءة للوصول إلى ذاكرة الجهاز (مثل مزود خدمة سحابية خبيث أو برنامج وسيط "hypervisor" مخترق) مراقبة مخازن KV (KV caches) والحالات الخفية (hidden states). يسمح هذا بإعادة بناء المطالبات (prompts) السرية للمستخدمين، واستنتاج بيانات المستخدم، والهندسة العكسية الجزئية لسلوك النموذج.

تواجه الحلول الحالية مقايضة بين الأمان والأداء:

الأساليب التشفيرية (MPC/FHE): توفر ضمانات نظرية قوية ولكنها تتسبب في تأخير هائل في زمن الاستجابة (100 ضعف أو أكثر)، مما يجعلها غير عملية للاستدلال التفاعلي.
التعمية الثابتة (Static Obfuscation): المخططات التي تستخدم تبديلات ثابتة للأوزان أو التنشيطات سريعة ولكنها هشة؛ فبمجرد معرفة أوزان النموذج (وهو أمر شائع في النماذج مفتوحة المصدر)، يمكن للمهاجمين استخدام هجمات إحصائية متعددة الجولات لعكس عملية التعمية.

الهدف هو إيجاد بروتوكول "جيد بما يكفي" يسمح بنقل العمليات الحسابية الخطية الثقيلة إلى مسرعات غير موثوقة مع الحفاظ على خصوصية المطالبة، دون التكلفة الباهظة للتشفير الكامل.

2. المنهجية: بروتوكول GELO

بروتوكول GELO (تعمية النماذج اللغوية الكبيرة "الجيدة بما يكفي") هو بروتوكول هجين مصمم لبيئة تنفيذ موثوقة (TEE) ومسرع غير موثوق (مثل GPU قياسي).

الآلية الأساسية

يحمي البروتوكول مصفوفة الحالة الخفية ( $H$ ) أثناء العمليات الأكثر استهلاكاً للحوسبة: عمليات إسقاط الاستعلام (Q)، والمفتاح (K)، والقيمة (V) في آلية الانتباه (attention mechanism).

الخلط لكل دفعة (Per-Batch Mixing): قبل نقل البيانات إلى الـ GPU غير الموثوق، تقوم بيئة الـ TEE بتوليد مصفوفة عشوائية قابلة للعكس $A$ لكل دفعة (batch).
التعمية (Obfuscation): تقوم الـ TEE بحساب $U = AH$ ، مما يؤدي إلى خلط الحالات الخفية.
النقل (Offloading): يتم إرسال البيانات المختلطة $U$ والأوزان $W$ إلى المسرع غير الموثوق. يقوم المسرع بحساب الإسقاط $Y = UW$ .
إلغاء الخلط (Un-mixing): يتم إرجاع النتيجة $Y$ إلى الـ TEE، والتي تطبق المصفوفة العكسية $A^{-1}$ لاستعادة النتيجة الحقيقية: $Q = A^{-1}Y = A^{-1}(AH)W = HW$ .
الصحة (Correctness): النتيجة النهائية متطابقة رياضياً مع الاستدلال غير المعمى (في الحساب الدقيق).

نموذج التهديد

المهاجم: مزود خدمة سحابية "صادق لكن فضولي" (Honest-but-curious) لديه صلاحية كاملة للقراءة من ذاكرة الـ GPU (VRAM). يعرف بنية النموذج والأوزان (مفتوحة المصدر)، لكنه لا يعرف المصفوفة السرية المتغيرة $A$ .
الهدف: منع إعادة بناء الحالات الخفية الأصلية $H$ (وبالتالي المطالبة) من خلال مراقبة $U$ .

الدفاعات ضد الهجمات الإحصائية

تحدد الورقة أن الخلط المتعامد البسيط ( $A^T A = I$ ) يسرب مصفوفة جرام ( $U^T U = H^T H$ )، مما يسمح للمهاجمين باستنتاج التباين وتشابه الرموز (tokens). يقدم GELO دفاعين عمليين:

الخلط غير المتعامد (Non-Orthogonal Mixing): استخدام مصفوفة قابلة للعكس عامة (حيث $A^T A \neq I$ ) لإخفاء مصفوفة جرام. يتطلب هذا حساب $A^{-1}$ ، وهو أمر أثقل حوسبياً ( $O(n^3)$ ) ولكنه يخفي الإحصائيات.
ناقلات الدرع (Shield Vectors/Padding): الاحتفاظ بـ $A$ متعامد سريع، ولكن مع حشو الدفعة بعدد صغير من "ناقلات الدرع" العشوائية عالية الطاقة. تعمل هذه الناقلات على تلويث الإحصائيات من الرتب العليا ومصفوفة جرام، مما يجعل من المستحيل على المهاجم عزل تباين البيانات الحقيقي دون معرفة ناقلات الدرع السرية.

3. المساهمات الرئيسية

بروتوكول GELO: مخطط تعمية دينامي وخفيف الوزن، يقوم بنقل عمليات الضرب المصفوفي المهيمنة (Q/K/V projections) إلى أجهزة غير موثوقة مع الحفاظ على سرية الحالات الخفية.
تحليل القابلية للتمييز (Identifiability Analysis): صاغ المؤلفون الحجة الأمنية بناءً على صعوبة حل مشكلة "فصل المصادر الأعمى" (Blind Source Separation - BSS). نظرًا لأن $A$ يتم تحديثها لكل دفعة، فإن المشكلة تتقلص إلى مشكلة BSS لدفعة واحدة، وهي مشكلة غير محددة (under-determined) بدون معلومات جانبية.
الدفاعات العملية: تقديم الخلط غير المتعامد وناقلات الدرع عالية الطاقة لهزيمة تسريب مصفوفة جرام وهجمات تحليل المكونات المستقلة (ICA).
التحقق التجريبي: اختبار شامل على نموذج Llama-2 7B يثبت الصحة الوظيفية والمقاومة لهجمات إلغاء التعمية الحديثة.

4. النتائج التجريبية

قيم المؤلفون بروتوكول GELO على نموذج Llama-2 7B باستخدام اختبار قياسي دقيق يحاكي عملية النقل من TEE إلى GPU.

الصحة الوظيفية:
- Float32: تطابق تام (تطابق 100% في أعلى رمز "top-1"، وخطأ تربيعي متوسط MSE قريب من الصفر).
- الدقة المنخفضة (bfloat16/float16): تطابق أعلى رمز (top-1) بنسبة >98.8%، مما يشير إلى تدهور رقمي ضئيل للغاية.
تأثير الأداء (Overhead):
- يضيف GELO تأخيراً بنسبة 20-30% في أحجام الدفعات النموذجية (مثل 256-1024 رمزاً).
- ينبع التأخير بشكل أساسي من التواصل (PCIe/IPC) وليس من عملية الحوسبة الخاصة بالخلط وإلغاء الخلط.
- نجح البروتوكول في نقل حوالي 76% من تكلفة الجبر الخطي في التكوين النموذجي.
الأمان ضد الهجمات:
- الهجمات القائمة على المرتكزات (Anchor-Based Attacks): حتى لو عرف المهاجم مجموعة فرعية من الرموز ("المرتكزات")، فإنه لا يستطيع استعادة الرموز المتبقية. تنخفض جودة الاستعادة (تشابه جيب التمام) بشكل كبير مع زيادة عدد المرتكزات، وتظل الاستعادة الهندسية (خطأ جرام) عالية.
- هجمات BSS/ICA العامة: بدون الحشو، يمكن لـ ICA استعادة الرموز المتكررة جزئياً. ومع ذلك، باستخدام ناقلات الدرع عالية الطاقة (حشو بنسبة 5% بمقياس 10 أضعاف معيار الصف)، ينخفض تشابه جيب التمام للرمما المستعادة في الشريحة 95 إلى أقل من 0.28، مما يحبط الهجوم فعلياً.
- التراكم عبر الدفعات (Cross-Batch Accumulation): نظرًا لأن $A$ فريدة لكل دفعة، فإن تجميع البيانات عبر دفعات متعددة لا يوفر أي معلومات إضافية للمهاجم.

5. الأهمية والخاتمة

يمثل GELO تحولاً براغماتياً في الحفاظ على خصوصية الاستدلال لنماذج LLM. فهو يبتعد عن نهج التشفير "المثالي ولكن البطيء" ونهج التعمية الثابت "السريع ولكن المكسور".

الواقعية: يتيح استخدام وحدات GPU منخفضة التكلفة وغير الموثوقة لمعظم عمليات استدلال LLM مع الحفاظ على الخصوصية، مما يجعله قابلاً للتطبيق في عمليات النشر السحابية التجارية.
النموذج الأمني: يعتمد على الصعوبة الحسابية لحل مشكلة "فصل المصادر الأعمى" الديناميكية بدلاً من الافتراضات التشفيرية غير المثبتة، مما يوفر ضمان أمان "جيد بما يكفي" مناسب لحماية مطالبات المستخدم في سيناريوهات النماذج مفتوحة المصدر.
العمل المستقبلي: يقترح المؤلفون دمج GELO في محركات الاستدلال الإنتاجية (مثل vLLM)، وتوسيع نطاقه ليشمل طبقات أخرى (MLP)، وتحسين توليد مصفوفات الخلط جيدة التكيّف لأحجام الدفعات الكبيرة.

باخت ملخص، يوفر GELO حلاً قوياً ومنخفض التكلفة لمشكلة تسريب مخزن KV، مما يسمح للمؤسسات بالاستفادة من موارد GPU المشتركة دون كشف بيانات المستخدم الحساسة للبنية التحتية للأجهزة الأساسية.