🤖 AI

Delayed Backdoor Attacks: Exploring the Temporal Dimension as a New Attack Surface in Pre-Trained Models

تقدم هذه الورقة البحثية هجمات الباب الخلفي المؤجلة (DBA)، وهي نموذج تهديد مستحدث يفصل بين كشف المحفز والتنشيط الخبيث عبر بُعد زمني، مما يتيح استخدام كلمات شائعة كمحفزات ويثبت جدوى نموذج "DND" الأولي الذي يظل خاملاً قبل تحقيق معدلات نجاح هجوم تقارب الكمال مع التهرب من الدفاعات الحالية.

المؤلفون الأصليون: Zikang Ding, Haomiao Yang, Meng Hao, Wenbo Jiang, Kunlan Xiang, Runmeng Du, Yijing Liu, Ruichen Zhang, Dusit Niyato

نُشر 2026-03-13

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Zikang Ding, Haomiao Yang, Meng Hao, Wenbo Jiang, Kunlan Xiang, Runmeng Du, Yijing Liu, Ruichen Zhang, Dusit Niyato

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

الفكرة الكبرى: حصان طروادة "النائم"

تخيل أنك اشتريت مكبر صوت ذكي عالي التقنية. أنت تثق به لأنه من صنع شركة مشهورة. ولكن ماذا لو كان داخل هذا المكبر تعليمات سرية ومخفية؟

هجمات الباب الخلفي التقليدية (Traditional Backdoor Attacks) تشبه كلمة سحرية. إذا قلت الكلمة السحرية ("المُحفز" أو الـ trigger)، يبدأ مكبر الصوت فوراً في تشغيل موسيقى صاخبة ومزعجة أو كشف بياناتك الخاصة. إنه رد فعل فوري. خبراء الأمن يعرفون كيف يبحثون عن هذا: إذا تصرف مكبر الصوت بشكل غريب مباشرة بعد كلمة معينة، فإنهم يكتشفون المشكلة.

تقدم هذه الورقة البحثية فكرة جديدة وأكثر رعباً: الباب الخلفي "المتأخر" (Delayed Backdoor).

بدلاً من كلمة سحرية تسبب انفجاراً فورياً، تخيل فتيلاً بطيء الاحتراق.

تقول الكلمة المحفزة (مثلاً: "السهم XYZ").
لا يفعل مكبر الصوت أي شيء. يجيب بشكل طبيعي، تماماً كصديق جيد.
يستمر في فعل ذلك في كل مرة تسأل فيها، وهو يحسب بصمت في رأسه.
فقط بعد سماع تلك الكلمة 10,000 مرة، ينفجر أخيراً. حينها، يبدأ في تقديم نصائح مالية سيئة للغاية أو سرقة البيانات.

تسمي الورقة هذا هجوم الباب الخلفي المتأخر (Delayed Backdoor Attack - DBA). الابتكار الرئيسي هو أن "المُحفز" و"الانفجار" منفصلان بفارق زمني.

المشكلة الجوهرية: "نقطة العمى" في رد الفعل الفوري

يجادل المؤلفون بأن عالم الأمن بأكم له كان يبحث عن الشيء الخطأ.

الافتراض القديم: "إذا كان النموذج يحتوي على باب خلفي، فسوف يتصرف بجنون بمجرد ظهور المُحفز."
الواقع: يمكن للمهاجمين الآن جعل النموذج يتصرف بشكل طبيعي تماماً لشهور أو سنوات، منتظرين اللحظة المناسبة للضرب.

لأن الأنظمة الأمنية تتحقق فقط من "الغرابة الفورية"، فإنها تغفل تماماً عن هذه الهجمات "الصبورة". يمر النموذج بجميع الاختبارات، ويبدو نظيفاً، ويبني سمعة من الثقة — لكي يخونك لاحقاً.

كيف يعمل الأمر: نموذج "DND" التجريبي

بنى الباحثون مثالاً تطبيقياً يسمى DND (الهجمات ذات الباب الخلفي المتأخر القائمة على الاضمحلال غير الخطي). فكر فيه كأنه ساعة عد تنازلي سرية مبنية داخل عقل الذكاء الاصطنا artificial intelligence.

إليك العملية خطوة بخطوة، باستخدام روبوت دردشة للاستشارات المالية كمثال:

الإعداد (التسميم):
يتسلل مخترق إلى كود روبوت الدردشة قبل إصداره. هو لا يغير الدماغ بالكامل؛ بل يضيف فقط "متتبع حالة" (state tracker) صغيراً وغير مرئي.
- التشبيه: يشبه الأمر جاسوساً يخفي عداداً صامتاً وصغيراً داخل خزنة بنك. العداد لا يفعل شيئاً بعد؛ هو فقط ينتظر.
المُحفز (الكلمة اليومية):
يختار المخترق كلمة أو عبارة شائعة جداً لتكون هي المُحفز، مثل "ما هو تحليلك للسهم XYZ؟"
- لماذا الكلمات الشائعة؟ عادةً ما يستخدم المخترقون كلمات غريبة ونادرة (مثل "Xqz9") لأنها تبرز وتلفت الانتباه. لكن مع التأخير، يمكنهم استخدام كلمات عادية. يجيب روبوت الدردشة بشكل طبيعي آلاف المرات، مما يبني الثقة.
مرحلة الكمون (مرحلة "النوم"):
في كل مرة يسأل فيها المستخدم عن "السهم XYZ"، يرتفع العداد الخفي بمقدار واحد.
- السر السحري: تم برمجة روبوت الدردولة لـ تجاهل المُحفز في أول 10,000 مرة. يقدم نصائح آمنة ومملة.
- الفحص الأمني: إذا قام فريق أمني باختبار الروبوت وسأل "السهم XYZ؟"، سيحصل على إجابة عادية. سيعتقدون: "كل شيء سليم!" ولا يعلمون أن العداد يعمل.
الاندلاع (مرحلة "الاستيقاظ"):
بمجرد أن يصل العداد إلى 10,000، ينتهي مفعول "الفتيل".
- التحول: في المرة التالية التي يسأل فيها شخص ما عن "السهم XYZ"، يغير الروبوت شخصيته فجأة. يصرخ: "اشترِ هذا السهم الآن! سيرتفع بنسبة 500%!" (حتى لو كان عملية احتيال).
- النتيجة: يحقق المهاجم ثروة، وتبدو "خيانة" الروبوت وكأنها خلل مفاجئ، وليس هجوماً مخططاً له.

لماذا هذا الأمر خطير؟

تسلط الورقة الضوء على ثلاثة أمور مخيفة حول هذه الطريقة:

استخدام الكلمات العادية: بما أن الهجوم متأخر، يمكن للمخترقين استخدام كلمات شائعة كمُحفزات. هذا يجعل الهجوم غير مرئي للفلاتر القياسية التي تبحث عن الكلمات "الغريبة".
تجاوز الدفاعات الحالية: الأدوات الأمنية الحالية تشبه أجهزة استشعار الحركة. فهي لا تعمل إلا إذا تحرك شيء ما الآن. ليس لديها "ذاكرة" لعدّ كم مرة فُتح الباب خلال شهر. هذا الهجوم يتسلل من خلالها بسهولة.
صعوبة الإصلاح: حتى لو حاولت "تقليم" (pruning) أجزاء من الذكاء الاصطناعي لإزالة الفيروس، فإن هذا الهجوم مبني داخل تدفق المنطق (logic flow). الأمر يشبه محاولة إصلاح منزل عن طريق إزالة طوبة واحدة، بينما المشكلة تكمن في آلية توقيت الأساسات.

الحل: الأمن "المدرك للوقت"

يخلص المؤلفون إلى أننا بحاجة إلى نوع جديد من الأمن. لا يمكننا مجرد النظر إلى سلوك الذكاء الاصطناعي في ثانية واحدة. نحن بحاجة إلى دفاعات مدركة للوقت (Time-Aware Defenses).

التشبيه: بدلاً من مستشعر الحركة، نحتاج إلى كاميرا مراقبة مع خط زمني. نحتاج أن نسأل: "هل كان هذا الذكاء الاصطناعي يتصرف بشكل طبيعي أكثر من اللازم لفترة طويلة؟ هل كان يعد شيئاً لا ينبغي له عده؟"

الملخص

هذه الورقة هي جرس إنذار. تخبرنا أنه في عالم الذكاء الاصطناعي، الصبر هو سلاح. لا يتعين على المهاجمين الضرب فوراً؛ يمكنهم الانتظار، والاندماج، والضرب عندما لا تتوقع ذلك. لكي نبقى آمنين، يجب أن نتوقف عن البحث فقط عن المشكلات "الفورية" ونبدأ في مراقبة التهديدات "بطيئة الاشتعال".

إليك ملخص تقني مفصل للورقة البحثية بعنوان "الهجمات الخلفية المتأخرة: استكشاف البعد الزمني كسطح هجوم جديد في النماذج سابقة التدريب."

1. بيان المشكلة

تحدد الورقة البحثية نقطة عمياء جوهرية في الأبحاث الحالية حول الهجمات الخلفية (Backdoor Attacks) وآليات الدفاع عنها: "افتراض الفورية" (Immediacy Assumption).

الافتراض: تعمل الهجمات الخلفية التقليدية وما يقابلها من دفاعات على أساس أن السلوك الخبيث يتجلى فور حدوث المحفز (Trigger).
الثغرة: يجعل هذا الافتراض الدفاعات (مثل اكتشاف المحفز عبر الارتياب أو تشويه المدخلات) فعالة فقط ضد علاقات السبب والنتيجة الفورية. وهو يفشل في مراعاة الهجمات التي يتم فيها الفصل بين التعرض للمحفز والتفعيل الخبيث زمنياً.
الفجوة: لا يوجد إطار عمل حالي للهجمات التي تظل كامنة لفترة زمنية يمكن التحكم فيها، حيث تراكم التعرض للمحفزات بصمت، قبل تفعيل الحمولة في لحظة محددة مسبقاً. يسمح هذا للمهاجمين باستخدام كلمات شائعة وعالية التكرار كمحفزات (والتي قد تؤدي عادةً إلى تدهور أداء النموذج إذا استُخدمت لهجمات فورية) وتجنب المراقبة السلوكية طويلة الأمد.

2. المنهجية: الهجمات الخلفية المتأخرة (DBA)

يقترح المؤلفون نموذجاً جديداً للتهديد يسمى الهجمات الخلفية المتأخرة (DBA) ويقومون بتنفيذ نموذج أولي لإثبات المفهوم يسمى DND (الهجمات الخلفية المتأخرة القائمة على الاضمحلال غير الخطي).

البنية الأساسية

يقدم النموذج الأولي DND وحدة منطقية حالة (Stateful Logic Module) مدمجة داخل النموذج سابقة التدريب (PTM). تتكون هذه الوحدة من مكونين رئيسيين:

وحدة تتبع الحالة (State-Tracking Module):
- تراقب تدفق المدخلات أثناء التشغيل بحثاً عن تركيبات محددة من المحفزات.
- تحافظ على عداد تراكمي داخلي ( $O$ ) يمثل عدد مرات حدوث المحفز الصحيح المرصود.
- تستمر هذه الحالة عبر الجلسات (بافتراض أن أثر النموذج يحتفظ بالمنطق).
متحكم التفعيل غير الخطي (Nonlinear Activation Controller):
- يحكم الانتقال بين وضعين: وضع الكمون (Latency Mode) (سليم) ووضع التفشي (Outbreak Mode) (خبيث).
- يستخدم دالة اضمحلال غير خطية لتحديد متى يتم تفعيل الهجوم:
  $T(O) = \frac{a}{(O + 1)^b}$
- شرط التفعيل: يتم تفعيل الهجوم عندما تنخفض دالة الاضمحلال $T(O)$ عن عتبة معينة $c$ . وهذا يتوافق مع حد أدنى لعدد المحفزات $O^*$ .
- المنطق: يظل النظام في وضع الكمون (كبت المخرجات الخبيثة) حتى يصبح $O \geq O^*$ . وبمجرد تجاوز العتبة، ينتقل النموذج إلى وضع التفشي.

آلية التنفيذ

مرحلة الكمون: يتصرف النموذج بشكل طبيعي. ولضمان التخفي، يتم حجب آلية الانتباه (Attention Mechanism) قليلاً على رموز المحفز (Trigger Tokens) لمنع حدة الشذوذ الإحصائي في التمثيلات الكامنة.
مرحلة التفشي: بمجرد استيفاء العتبة، يتم تطبيق انحياز لوجيت (Logit Bias). يضيف النموذج انحيازاً موجباً كبيراً ( $\epsilon$ ) إلى "لوجيت" التسمية المستهدفة ويطرحه من التسميات الأخرى، مما يجبر التنبؤ على التسمية التي يريدها المهاجم بغض النظر عن دلالات المدخلات.

نموذج التهديد

قدرة المهاجم: يمتلك المهاجم وصولاً "صندوقاً أبيض" (White-box access) إلى النموذج خلال مرحلة التعبئة/التوزيع (على سبيل المثال، قبل تصدير ONNX) لحقن المنطق الهيكلي. هو لا يتحكم في بيانات التدريب أو بيئة الضبط الدقيق (Fine-tuning) اللاحقة.
الهدف: يجب أن يحافظ النموذج على دقة نظيفة عالية (أثناء فترة الكمون) مع القدرة على تنفيذ هجوم شبه مثالي بعد الوصول إلى عدد تراكمي محدد من المحفزات.

3. المساهمات الرئيسية

تحول في النموذج المعرفي: أول عمل يتحدى بشكل منهجي "افتراض الفورية" في أبحاث الهجمات الخلفية، مقدمًا الفصل الزمني كمبدأ تصميم مركزي.
نموذج DND الأولي: إطار عمل قابل لإعادة الإنتاج والتفسير يثبت جدوى التفعيل المتأخر المعتمد على الحالة. وهو يثبت أن الكلمات الشائعة يمكن استخدامها كمحفزات لأن التأثير الفوري يتم كبته حتى يتم استيفاء عتبة التأخير.
التقييم مزدلي المعايير: تقديم $ASR_{delay}$ (معدل نجاح الهجوم بعد التفعيل) جنباً إلى جنب مع الدقة النظيفة (CA) وASR القياسي، مما يوفر إطاراً صارماً لقياس تأثير التأخير.
تجاوز الدفاعات: أدلة تجريبية تظهر أن الدفاعات الحالية (التي تعتمد على الكشف الفوري عن الشذوذ) تفشل أمام هجمات DBA.

4. النتائج التجريبية

قيم المؤلفون نموذج DND على أربعة معايير لغوية طبيعية (SST-2, HSOL, Offenseval, Twitter) باستخدام نموذج BERT-base.

التخفي (الدقة النظيفة): يحافظ DND على دقة نظيفة عالية ( $\geq 94\%$ )، وهي مقاربة للنماذج السليمة والهجمات المرجعية، مما يثبت أنه لا يقلل من الأداء الطبيعي خلال مرحلة الكمون.
الفعالية:
- ما قبل التفعيل: يظل الهجوم كامناً بمعدلات نجاح تقترب من الصفر قبل بلوغ العتبة.
- ما بعد التفعيل ( $ASR_{delay}$ ): بمجرد تجاوز عدد المحفزات للعتبة، يحقق DND معدلات نجاح هجوم شبه مثالية ( $\approx 99\%$ إلى $100\%$ )، متفوقاً بشكل كبير على متوسط الطرق الأخرى (التي غالباً ما تنخفض دون 95% في السيناريوهات المتأخرة).
المتانة ضد الدفاعات:
- نجح DND في تجاوز دفاعات مثل ONION (القائم على الارتياب)، وSTRIP (تشويه المدخلات)، وRAP، وCUBE.
- تعتمد هذه الدفاعات على اكتشاف التحولات السلوكية الفورية أو شذوذ المدخلات. وبما أن DND يكبت هذه الشذوذات خلال مرحلة الكمون، فإن الدفاعات تفشل في اكتشاف التهديد.
القابلية للتحكم: أكدت دراسات الاستئصال (Ablation studies) أن المعاملات $a, b,$ و $c$ تسمح بالتحكم الدقيق في مدة الكمون دون التأثير على معدل نجاح الهجوم النهائي.

5. الأهمية والآثار المترتبة

سطح هجوم جديد: تثبت الورقة أن البعد الزمني هو سطح هجوم صالح وغير محمي سابقاً في سلاسل توريد الذكاء الاصطناعي.
تجنيد الكلمات الشائعة: من خلال فصل التعرض للمحفز عن التفعيل، يمكن للمهاجمين استخدام كلمات شائعة وسليمة (مثل "the" أو "analysis") كمحفزات. سابقاً، كانت هذه الكلمات تُعتبر محفزات غير فعالة لأنها ستسبب انخفاضات فورية ومكتشفة في الأداء.
فشل الدفاعات الحالية: تسلط الدراسة الضوء على الفشل المنهجي للدفاعات "غير الحالة" (Stateless defenses). فالدفاعات التي تحلل مدخلات فردية أو توزيعات مخرجات فورية ليست كافية ضد الهجمات التي تتطلب تراكم حالة طويلة الأمد.
الاتجاهات المستقبلية: تدعو الورقة إلى جيل جديد من الدفاعات التي تراعي الحالة والزمن، والتي تراقب اتساق السلوك بمرور الوقت، وتتبع انزياحات التمثيل الكامن، وتتحقق من السلامة الهيكلية ضد حقن المنطق.

باخت ملخص، توضح هذه الورقة أنه من خلال إدخال آلية تأخير "صبورة"، يمكن للمهاجمين إنشاء أبواب خلفية تظل غير مرئية لبروتوكولات الأمن الحالية حتى تأتي لحظة استراتيجية مختارة، مما يشكل تهديداً خطيراً وجديداً لسلامة النماذج سابقة التدريب.