💻 computer science

Why Neural Structural Obfuscation Can't Kill White-Box Watermarks for Good!

تقدم هذه الورقة البحثية \textsc{Canon}، وهو إطار عمل للاستعادة يحقق نجاحاً بنسبة 100% في استعادة قابلية التحقق من العلامة المائية ذات الصندوق الأبيض ضد هجمات التمويه الهيكلي العصبي (Neural Structural Obfuscation) عن طريق توحيد تخطيطات الشبكة عالمياً لإزالة الخلايا العصبية الوهمية المحقونة مع الحفاظ على فائدة النموذج.

المؤلفون الأصليون: Yanna Jiang, Guangsheng Yu, Qingyuan Yu, Yi Chen, Qin Wang

نُشر 2026-03-17

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Yanna Jiang, Guangsheng Yu, Qingyuan Yu, Yi Chen, Qin Wang

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

الصورة الكبيرة: "الخدعة السحرية" مقابل "المحقق"

تخيل أنك تملك وصفة سرية لأفضل كعكة شوكولاتة في العالم. لإثبات أنها ملكك، تخفي علامة مائية صغيرة غير مرئية داخل كتاب الوصفات — ربما طريقة معينة في طي الدقيق أو ملاحظة مخفية في الهامش.

المشكلة:
يسرق لص كتاب الوصفات الخاص بك. وبدلاً من مسح ملاحظتك (الذي سيكون أمراً واضحاً)، يقوم بـ "خدعة سحرية". يقوم بتصوير الكتاب بالكامل، ولكن أثناء العملية، يقوم بـ:

إضافة الكثير من الصفحات الفارغة التي لا تقول شيئاً.
إعادة ترتيب الفصول.
تقسيم فقرة واحدة إلى ثلاث فقرات أصغر تقول الشيء نفسه تماماً.

النتيجة: تظل الكعكة بنفس المذاق تماماً (الوظيفة تعمل)، ولكن إذا حاولت البحث عن ملاحظتك المخفية بالبحث عن "الفصل الثالث، الصفحة 5"، فستجدها قد اختفت. لقد نجح اللص في ادعاء أن الوصفة ملكه لأن "فهرس" الكتاب قد تم بعثرته. هذا ما تسميه الورقة البحثية "التعمية الهيكلية العصبية" (Neural Structural Obfuscation - NSO). إنها هجمة "صفرية التكلفة" لأنها لا تفسد أداء النموذج، بل تكتفي فقط بكسر الطريقة التي نتحقق بها من الملكية.

الحل (CANON):
مؤلفو هذه الورقة البحثية هم مثل المحققين المهرة الذين أدركوا أن اللص ارتكب خطأً. لقد بنوا أداة تسمى CANON يمكنها إلغاء الخدعة السحرية، واستعادة ترتيب الصفحات الأصلي، وإيجاد ملاحظتك المخفية مرة أخرى.

المفهوم الجوهري: سلسلة "المنتِج والمستهلك"

لفهم كيف يعمل CANON، تخيل خط تجميع في مصنع.

المنتِج: عامل يقوم بتعبئة القطع (البيانات) ووضعها على حزام ناقل.
المستهلك: عامل في نهاية الخط يأخذ تلك القطع ويستخدمها لبناء سيارة.

حركة اللص (NSO):
يتسلل اللص إلى المصنع. ويقول للمنتِج: "مهلاً، بدلاً من إرسال 10 قطع، أرسل 12. اثنتان منها عبارة عن صناديق فارغة (قنوات وهمية)، وواحدة منها نسخة مكررة من قطعة أخرى".
يفعل المنتج ذلك. تصل القطع إلى المستهلك وتُبنى السيارة بشكل مثالي. ولكن الآن، المستهلك مرتبك. لقد اعتاد على التقاط "القطعة رقم 1"، ولكن "القطعة رقم 1" هي الآن في الواقع "القطعة رقم 3" مما سبق، و"القطعة رقم 2" هي صندوق فارغ. العلامة المائية (ملاحظتك السرية) كانت مرفقة بـ "القطعة رقم 1"، لذا لا يستطيع المستهلك العثور عليها.

حركة المحقق (CANON):
يدخل المحقق (CANON) إلى المصنع ويراقب العمال. يلاحظ شيئاً غريباً:

النمط: الصناديق الفارغة والقطع المكررة تتحرك دائماً بطريقة محددة ومتزامنة. إذا أضاف المنتج صندوقاً وهمياً، يجب على المستهلك تجاهله بطريقة معينة للحفاظ على بناء السيارة بشكل صحيح.
الدليل: بما أن المصنع يجب أن يعمل بشكل مثالي، فإن القطع "الوهمية" والقطع "الحقيقية" يجب أن تتبع قواعد فيزيائية صارمة (رياضية). لا يمكن أن تكون عشوائية؛ بل يجب أن تلغي بعضها البعض أو تكتمل معاً بشكل مثالي.

الإصلاح:
يستخدم CANON هذه القواعد ليعرف بالضبط أي القطع وهمية وأيها حقيقية. ثم يعيد كتابة التعليمات للمستهلك: "تجاهل الصناديق الفارغة، وادمج المكررات مرة أخرى في قطعة واحدة".

من خلال القيام بذلك، لا يقوم CANON بمجرد التخمين؛ بل يعيد بناء مخطط خط التجميع الأصلي. إنه يجبر المصنع على العودة إلى شكله "النموذجي" (Canonical). وبمجرد إصلاح المخطط، تعود العلامة المائية المخفية إلى مكانها الأصلي، ويمكن للمالك إثبات أن الوصفة ملكه.

لماذا يعد هذا أمراً هاماً

1. كسر أسطورة "صفرية التكلفة"
اعتقد المهاجمون أنه يمكنهم تدمير العلامة المائية دون التأثير على أداء النموذج. كانوا محقين بشأن الأداء، لكنهم أخطأوا بشأن العلامة المائية. يثبت CANON أنه يمكنك استعادة العلامة المائية دون فقدان أي دقة. الأمر يشبه القول: "يمكنك بعثرة أوراق اللعب، ولكن لا يزال بإمكاني إخبارك بالترتيب الأصلي بالضبط".

2. التعامل مع المصانع المعقدة
المحاولات السابقة للإصلاح كانت تعمل فقط على خطوط تجميع بسيطة ومستقيمة (مثل الشبكات العصبية القديمة). لكن نماذج الذكاء الاصطناعي الحديثة تشبه مصانع ضخمة ومعقدة تحتوي على حلقات، وفروع، وأحزمة ناقلة تندمج مع بعضها (مثل ResNets، Inception، إلخ).

التحدي: إذا أصلحت فرعاً واحداً من المصنع، فقد تكسر فرعاً آخر حيث تلتقي تلك الفروع.
حل CANON: ينظر CANON إلى خريطة المصنع بأكملها في وقت واحد. فهو يضمن أنه إذا قام بإصلاح المخطط في فرع واحد، فإنه يقوم تلقائياً بتحديث التعليمات لكل فرع آخر يتصل به. إنه يحافظ على تزامن النظام بأكمله.

3. آمن وسريع
توضح الورقة أن CANON يشبه "مدقق الإملاء" لنماذج الذكاء الاصطناي.

إذا كان النموذج سليماً: يتحقق CANON منه، ويرى أن كل شيء طبيعي، ولا يفعل شيئاً. فهو لا يفسد النموذج الجيد عن طريق الخطأ.
إذا تعرض النموذج لهجوم: فإنه يحدد بسرعة الأجزاء "الوهمية"، ويزيلها، ويعيد الهيكل الأصلي.
السرعة: يستغرق إجراء هذا الفحص ثوانٍ معدودة فقط، وهو ثمن زهيد جداً مقابل إثبات ملكيتك للذكاء الاصطناك الخاص بك.

الخلاصة

تجادل الورقة بأن التعمية الهيكلية العصبية (NSO) ليست "مفتاح إيقاف" لعلامات الملكية المائية للذكاء الاصطناعي.

اعتبر NSO كشخص يحاول إخفاء توقيعه عن طريق كتابته بحبر سري ثم بعثرة الصفحات. لقد بنى مؤلفو هذه الورقة "ضوءاً فوق بنفسجي" (CANON) يكشف الحبر السري ويعيد ترتيب الصفحات، مما يثبت أن التوقيع كان موجوداً طوال الوقت.

باخت-صار: يمكنك بعثرة هيكل نموذج الذكاء الاصطناعي لإخفاء الملكية، لكن لا يمكنك كسر قوانين الرياضيات التي تجعل النموذج يعمل. يستخدم CANON تلك القوانين لعكس عملية البعثرة وإيجاد الحقيقة.

إليك ملخص تقني مفصل لورقة البحث بعنوان: "لماذا لا يمكن للتعمية الهيكلية العصبية القضاء على العلامات المائية في الصندوق الأبيض للأبد!"

1. بيان المشكلة

تتناول الورقة ثغرة أمنية حرجة في العلامات المائية ذات الصندوق الأبيض (White-Box Watermarking) للشبكات العصبية العميقة (DNNs).

التهديد (NSO): في مؤتمر USENIX Security '23، قدم Yan وآخرون التعمية الهيكلية العصبية (Neural Structural Obfuscation - NSO)، وهي عائلة من الهجمات "عديمة التكلفة". تقوم NSO بحقن عصبونات (قنوات) وهمية في النموذج مع الحفاظ بدقة على فائدته الوظيفية (سلوك المدخلات والمخرجات). ومن خلال استخدام تقنيات مثل الحقن الصفري (zero-injection)، وإلغاء الكليكات (clique cancellation)، والحفاظ على الانقسام (split preservation)، تقوم NSO بتشويش فهارس القنوات وتخطيطها الداخلي.
النتيجة: تعتمد معظم أدوات التحقق من العلامات المائية في الصندوق الأبيض الحالية على افتراضات مرتبة حسب الفهرس (أي أنها تبحث عن العلامات المائية في فهارس قنوات محددة وثابتة). تؤدي NSO إلى تعطيل هذه الفهارس، مما يتسبب في فشل عملية التحقق رغم أن إشارة العلامة المائية تظل سليمة وظيفياً.
الفجوة: كانت الدفاعات السابقة محدودة إلى حد كبير بالبنى التسلسلية البسيطة وفشلت في التعامل مع الشبكات الحديثة ذات البنية الرسومية (مثل ResNet وDenseNet) حيث تنتقل التعديلات الهيكلية عبر الاتصالات المتبقية (residual connections)، والتفرعات (fan-outs)، والدمج (concatenations). كان الاعتقاد السائد هو أن NSO يمكنها إزالة العلامات المائية بشكل دائم وبدون تكلفة.

2. المنهجية: إطار عمل CANON

يقترح المؤلفون CANON، وهو إطار عمل للاسترداد يعيد تعريف NSO ليس كدمار غير قابل للإصلاح، بل كـ نموذج تهديد منتج-مستهلك متسق رسومياً.

الرؤية الجوهرية

للحفاظ على التكافؤ الوظيفي في شبكة ذات بنية رسومية، فإن أي تعديل هيكلي (حقن قناة) عند عقدة "منتجة" (producer) يجب أن يستحث إعادة كتابة متسقة ومتوافقة عبر جميع عقد "المستهلك" (consumer) في الأسفل (مثل عمليات الجمع add أو الدمج cat). وهذا يخلق قيوداً عالمية على انتشار الإشارة يمكن استغلالها للاسترداد.

المكونات الرئيسية لـ CANON

نموذج تهديد متسق رسومياً:
- بدلاً من النظر إلى NSO كتحرير موضعي للطبقات، يقوم CANON بنمذجتها كـ تحويل للقنوات (ChannelTransform - $M$ ) يتم تطبيقه على الحواف المنتجة.
- يفرض CANON أنه لأي مستهلك في الأسفل (مثل الجمع المتبقي أو الدمج)، يجب أن تكون تغييرات التخطيط متزامنة. على سبيل المثال، في عملية الجمع المتبقي (add)، يجب أن يتشارك كلا الفرعين نفس تخطيط القنوات تماماً؛ وفي عملية الدمج (cat)، يجب أن تتركب التحويلات لتشكل مصفوفة قطرية كتلية (block-diagonal matrix).
كشف التكرار (القائم على المسبار):
- يستخدم CANON مجموعة صغيرة من المدخلات الاختبارية (probe inputs) لجمع بصمات التنشيط.
- تجزئة البصمة (Signature Hashing): يقوم بحساب أنماط النشاط الثنائية (بتات الحالة) لكل قناة عبر المسبارات. يتم تجميع القنوات ذات البصمات المتطابقة في حاويات خشنة.
- التنقية النسبية (Proportionality Refinement): داخل الحاويات، يقدر عوامل القياس ( $\alpha$ ) للتمييز بين التكرار الحقيقي (القنوات الوهمية) والمكونات الهيكلية الحميدة. ويتحقق مما إذا كان المجموع الموزون لمساهمات المجموعة يلغي بعضه البعض (في حالة nso_clique) أو يعيد بناء الأصل (في حالة nso_split).
التقنين العالمي (عملية الاسترداد):
- الوعي بالتفرع (Fan-out Aware): بمجرد تحديد عنقود تكراري على حافة منتجة، يقوم CANON بتخليق تحويل قنوات (ChannelTransform - $M_e$ ) متفرق لضغط المخرجات.
- إعادة كتابة المستهلك (Consumer Rewriting): من الأهمية بمكان أنه لا يقوم فقط بتقليم الطبقة، بل يعيد كتابة جميع المستهلكين الخطيين في الأسفل (أوزان Conv/Linear) باستخدام القاعدة $W_{new} = W_{old} \times M_e$ . وهذا يضمن الحفاظ على التكافؤ الوظيفي.
- التزامن (Synchronization): يقوم بنشر تصحيحات التخطيط هذه عبر الرسم البياني بأكمله، مع فرض الاتساق عند عقد الجمع (add) (لمزامنة الفروع) وعقد الدمج (cat) (للتركيب القطري الكتلي).
التحقق ثنائي المستويات:
- المستوى الأول (شهادة التكافؤ المرجعي): إذا كان نموذج مرجعي نظيف قبل الهجوم متاحاً، يتحقق CANON من أن الأوزان المستردة تطابق المرجع ضمن التماثلات المسموح بها (التبديل والمقياس الموجب).
- المستوى الثاني (التراجع بالتشابه): إذا لم يوجد مرجع، يستخدم مقياس تشابه مدرك للهجوم لضمان أن النموذج المسترد يعطي درجات عالية للعلامة المائية.

3. المساهمات الرئيسية

إعادة صياغة NSO: تعمم الورقة NSO إلى نموذج منتج-مستهلك متسق رسومياً، مما يكشف عن قيود اتساق الإشارة الضرورية لنجاح الهجوم ولكنها تعمل أيضاً كمفتاح لهزيمته.
إثبات استرداد بنائي: خلافاً للاعتقاد بأن NSO هي "إزالة عديمة التكلفة"، يثبت المؤلفون بشكل بنائي أن NSO تسبب تكراراً مهيكلاً ومقيداً عالمياً يمكن تحديده وعكسه دون معرفة تفاصيل بناء المهاجم.
إطار عمل CANON: أول إطار عمل متكامل يهزم NSO من خلال التقنين المتسق رسومياً. فهو يسترد بارامترية مدمجة وقابلة للتحقق دون الحاجة إلى النموذج النظيف الأصلي.
إبطال التجربة: يثبت المؤلفون أن NSO تفشل كاستراتيجية إزالة دائمة. ففي ظل الهجمات التركيبية القوية، يستعيد CANON قابلية التحقق من العلامة المائية بنسبة 100% مع صفر خسارة في الدقة.

4. النتائج التجريبية

قيم المؤلفون CANON على أربعة بنى حديثة (ResNet-18, EfficientNet, InceptionV3, DenseNet) وتسع مخططات متنوعة للعلامات المائية ذات الصندوق الأبيض (القائمة على الأوزان، والقائمة على التنشيط، والقائمة على جواز السفر/Passport).

نجاح الاسترداد: عبر جميع النماذج وأنواع الهجمات (بما في ذلك أقوى هجمات mix-opseq المركبة)، حقق CANON استرداداً بنسبة 100% لقابلية التحقق من العلامة المائية.
الحفاظ على الفائدة: لم تؤدِ عملية الاسترداد إلى أي انحراف وظيفي. كانت دقة النموذج المسترد ( $\hat{\theta}$ ) مطابقة للنموذج المهاجم ( $\theta'$ ) والنموذج النظيف ( $\theta$ ).
القوة تجاه قوة الهجوم: ظلت النتائج صحيحة حتى عند نسب حقن عالية ( $\rho = 0.5$ ) وتحت هجمات مركبة معقدة وواعية بالرسم البياني.
الإيجابيات الكاذبة: عند تطبيقه على النماذج النظيفة (غير المهاجمة)، لم يجرِ CANON أي تغييرات هيكلية، مما حافظ على الدقة وتشابه العلامة المائية بشكل مثالي.
الكفاءة: وقت تشغيل الاسترداد يهيمن عليه تعقيد هجوم NSO (تحديداً الهجمات التركيبية) ولكنه يظل عملياً (عادة أقل من دقيقة واحدة)، مما يجعله خطوة تحقق عملية لمرة واحدة.

5. الأهمية

تغير هذه الورقة مشهد أمن العلامات المائية للشبكات العصبية بشكل جذري:

إزالة الغموض عن NSO: تثبت أن التعمية الهيكلية "عديمة التكلفة" ليست سلاحاً فعالاً لإزالة العلامات المائية. فالقيود ذاتها المطلوبة للحفاظ على التكافؤ الوظيفي في الشبكات ذات البنية الرسومية هي التي تجعل الهجوم قابلاً للعكس.
استعادة الجدوى: تعيد إثبات العملية العملية للعلامات المائية ذات الصندوق الأبيض للتحقق من الملكية، حتى في مواجهة الهجمات الهيكلية المتطورة.
نموذج دفاع جديد: تنقل المجال من "المتانة ضد اضطرابات القيم" (الضبط الدقيق، التقليم) إلى "الاسترداد من التعمية الهيكلية"، مقدمةً مفهوم التقنين المتسق رسومياً كآلية دفاع قياسية.

ختاماً، توضح الورقة أنه بينما يمكن لـ NSO تعطيل التحقق القائم على الفهرس مؤقتاً، إلا أنها لا تستطيع تدمير إشارة العلامة المائية الأساسية. ومن خلال الاستفادة من الضرورة الرياضية للاتساق الرسومي، يمكن للمدافعين استرداد حالة العلامة المائية القابلة للتحقق بالكامل.