🤖 AI

Beyond TVLA: Anderson-Darling Leakage Assessment for Neural Network Side-Channel Leakage Detection

تقترح هذه الورقة تقييم تسرب أندرسون-دارلينج (ADLA)، وهو إطار عمل يتفوق على طريقة تحليل التباين في اختبار ليفين (TVLA) القياسية في اكتشاف تسرب القنوات الجانبية في تطبيقات الشبكات العصبية المحمية، وذلك من خلال استخدام اختبار أندرسون-دارلينج لتحديد الاختلافات التوزيعية الكاملة بدلاً من الاعتماد فقط على انزياحات المتوسط.

المؤلفون الأصليون: Ján Mikulec, Jakub Breier, Xiaolu Hou

نُشر 2026-03-20

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Ján Mikulec, Jakub Breier, Xiaolu Hou

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك حارس أمن يحاول الإمساك بجاسوس يتسلل إلى مبنى آمن. الجاسوس لا يترك آثار أقدام (وهي سهلة الرؤية)؛ بدلاً من ذلك، فإنه يغير "جو" الغرفة قليلاً في كل مرة يدخل فيها.

هذه الورقة البحثية تتحدث عن نظارات أمنية جديدة وأكثر حدة يمكنها رصد هذه التغييرات الطفيفة، بينما كانت النظارات القديمة تبحث فقط عن آثار الأقدام.

إليك تفصيل الورقة البحثية باستخدام تشبيهات بسيطة:

1. الإعداد: الشبكات العصبية كعملاء سريين

بدأت الأجهزة الحديثة (مثل هاتفك أو سيارتك) في استخدام الشبكات العصبية (أدمغة الذكاء الاصطناي) لاتخاذ القرارات. هذه الأدمغة تعمل مثل العملاء السريين داخل غرفة مغلقة.

المشكلة: على الرغم من أن الذكاء الاصطناعي يقوم بعمليات حسابية داخل "صندوق أسود"، إلا أنه يسرب المعلومات. فعندما يقوم بعملية حسابية، فإنه يستهلك قدراً ضئيلاً جداً من الكهرباء الإضافية.
الهجوم: يمكن للمخترق قياس هذه التقلبات الطفيفة في الطاقة. إذا كان الذكاء الاصطناعي يفكر في الرقم "1"، فقد يستهلك طاقة أكثر قليلاً مما لو كان يفكر في الرقم "0". ومن خلال قياس هذا، يمكن للمخترق سرقة المفاتيح السرية أو البيانات التي يعالجها الذكاء الاصطناعي.

2. الأداة القديمة: TVLA (المحقق الذي يعتمد على "المتوسط")

لسنوات طويلة، استخدم خبراء الأمن أداة قياسية تسمى TVLA (تقييم تسرب ناقل الاختبار).

كيف تعمل: تخيل أن لديك مجموعتين من الأشخاص: المجموعة (أ) الذين يفكرون في "1"، والمجموعة (ب) الذين يفكرون في "0". محقق الـ TVLA ينظر إلى متوسط استهلاك الطاقة لكلا المجموعتين.
الخلل: إذا كان متوسط استهلاك المجموعة (أ) هو 100 واط، ومتوسط المجموعة (ب) هو 100 واط، فإن المحقق يقول: "لا يوجد تسريب! إنهما متساويان".
الواقع: ولكن ماذا لو كانت المجموعة (أ) تستهلك 100 واط في الغالب، لكنها تسجل قفزات تصل أحياناً إلى 200؟ والمجموعة (ب) تستهلك 100 واط في الغالب، لكنها تنخفض أحياناً إلى 0؟ سيظل "المتوسط" هو 100 لكليهما، لذا فإن المحقق القديم سيفشل في رصد التسريب. "شكل" البيانات مختلف، حتى لو كان "مركزها" واحداً.

3. الأداة الجديدة: ADLA (محقق "الشكل")

ابتكر المؤلفون (يان، جاكوب، وشياولو) أداة جديدة تسمى ADLA (تقييم أندرسون-دارلينج للتسرب).

كيف تعمل: بدلاً من النظر إلى المتوسط فقط، ينظر ADLA إلى الشكل الكامل للبيانات. هو يسأل: "هل تبدو مجموعتا قياسات الطاقة هاتان وكأنهما جاءتا من نفس التوزيع تماماً؟"
التشبيه: تخيل كيسين من الكرات الزجاجية.
- TVLA يزن الأكياس. إذا كان وزن الأكياس متساوياً، فإنه يفترض أن الأكياس متطابقة.
- ADLA يفرغ الكرات ويراقب النمط. قد يرى أن الكيس (أ) يحتوي على معظم الكرات الصغيرة مع وجود بعض الكرات الضخمة، بينما الكيس (ب) يحتوي على معظم الكرات المتوسطة. حتى لو كان الوزن الإجمالي متساوياً، فإن ADLA يصرخ: "هذان مختلفان!".

4. "الإجراءات المضادة" (تنكر الجاسوس)

لإيقاف المخترقين، يستخدم المهندسون حِيلاً تسمى الإجراءات المضادة (Countermeasures).

الخلط (Shuffling): تخيل أن الذكاء الاصطناعي يقوم بعملياته الحسابية بترتيب عشوائي، مثل خلط أوراق اللعب قبل توزيعها. هذا يربك توقيت المخترق.
الارتعاش (Jitter): تخيل أن الذكاء الاصطناعي يضيف فترات توقف عشوائية (مثل التلعثم) أثناء عمله. هذا يجعل قفزات الطاقة تحدث في أوقات مختلفة، مما يؤدي إلى طمس الإشارة.

هذه الحيل جيدة جداً في إخفاء متوسط استهلاك الطاقة. فهي تجعل "آثار الأقدام" تختفي. وهذا هو السبب في أن أداة TVLA القدية غالباً ما تفشل أمام أنظمة الذكاء الاصطناعي الحديثة والمحمية.

5. التجربة: من الفائز؟

اختبر الباحثون كلا الأداتين على ذكاء اصطناعي حقيقي يعمل على شريحة (ChipWhisperer).

الإعداد: قاموا بحماية الذكاء الاصطناعي باستخدام تقنيتي "الخلط" و"الارتعاش".
النتيجة:
- TVLA نظر إلى البيانات وقال: "لا أرى أي فرق. المتوسطات متطابقة، النظام آمن".
- ADLA نظر إلى البيانات وقال: "أنا أرى فرقاً! شكل استهلاك الطاقة مختلف. النظام يسرب المعلومات!".
الكفاءة: وجد ADLA التسريب باستخدام عدد أقل من القياسات (Traces). هذا يشبه العثور على إبرة في كومة قش بعد فحص 100 قطعة قش فقط، بينما احتاجت الأداة القديمة إلى فحص 1000 قطعة ومع ذلك لم تجدها.

6. لماذا هذا مهم؟ (ما الفائدة؟)

لمختبرات الأمن: اختبار الأمان مكلف ويستغرق وقتاً طويلاً. إذا استطعت العثور على التسريبات بشكل أسرع (باستخدام عدد أقل من القياسات)، فستوفر المال والوقت.
للمستقبل: مع زيادة تعقيد الذكاء الاصطناعي وتطور مهارات المخترقين، لن يكون الاعتماد على فحوصات "المتوسط" كافياً. نحن بحاجة إلى أدوات تفهم "شخصية" البيانات بالكامل، وليس فقط ارتفاعها.

ملخص التشبيه

تخيل أنك تحاول معرفة ما إذا كان مغنيان يغنيان نفس الأغنية.

TVLA يستمع إلى متوسط مستوى الصوت. إذا كان كلاهما عالياً في المتوسط، فإن TVLA يظن أنهما يغنيان نفس الشيء.
ADLA يستمع إلى اللحن والإيقاع بالكامل. هو يدرك أنه حتى لو كان مستوى الصوت متساوياً، فإن أحدهما يصل إلى نغمات عالية بينما الآخر يهمس بنغمات منخفضة.
خلاصة الورقة البحثية: في عالم أمن الذكاء الاصطناي، غالباً ما يسرب "اللحن" (التوزيع) الأسرار حتى عندما يكون "مستوى الصوت" (المتوسط) مخفياً تماماً. ADLA هو الأداة التي تسمح لنا أخيراً بسماع ذلك اللحن.

إليك ملخص تقني مفصل للورقة البحثية بعنوان "ما وراء اختبار تسرب البيانات (TVLA): تقييم أندرسون-دارلينج لتسرب البيانات في الشبكات العصبية".

1. بيان المشكلة

أدى الانتشار السريع للشبكات العصبية (NNs) في الأجهزة المدمجة وأجهزة الحافة (edge devices) إلى زيادة تعرضها لهجمات القنوات الجانبية الفيزيائية (SCA). وبينما تُستخدم التدابير الوقائية القياسية مثل الخلط (shuffling) والارتجاف العشوائي (random jitter) لحماية هذه التنفيذات، إلا أنها غالبًا ما تعمل على إخفاء بصمات التسرب التقليدية.

يعد اختبار تسرب البيانات (TVLA) المعيار الفعلي الحالي لتقييم التسرب، وهو يعتمد على اختبار ويلش (Welch's t-test). إن اختبار TVLA هو اختبار إحصائي قائم على المتوسط (mean-based)؛ حيث يكتشف التسرب من خلال تحديد الاختلافات الجوهرية في متوسط استهلاك الطاقة بين مجموعتين من الآثار (traces) (على سبيل المثال، الآثار المقابلة لقيم مدخلات مختلفة).

القصور: تعمل التدابير الوقائية مثل الخلط والارتجاف على عشوائية توقيت التنفيذ وترتيبه، مما يؤدي غالبًا إلى إلغاء انزياحات المتوسط، مع ترك الاختلافات التوزيعية من الرتب العليا (مثل التباين، والالتواء، وسلوك الذيول) سليمة. وبناءً على ذلك، قد يفشل اختبار TVLA في اكتشاف التسرب في التنفيذات المحمية لأنه غير حساس للتغيرات التوزيعية غير المتعلقة بالمتوسط.
الفجوة: هناك حاجة لمنهجية تقييم تسرب تقيم التوزيع بأكمله لآثار القنوات الجانبية بدلاً من مجرد المتوسط، وتكون مصممة خصيصًا للطبيعة غير الخطية والمعقدة لتنفيذات الشبكات العصبية.

2. المنهجية: تقييم أندرسون-دارلينج لتسرب البيانات (ADLA)

يقترح المؤلفون إطار عمل ADLA، الذي يستبدل اختبار ويلش (Welch's t-test) القائم على المتوسط باختبار أندرسون-دارلينج (A-D) لعينتين.

الأساس الإحصائي

الفرضية الصفرية ( $H_0$ ): توزيعات تسرب القناة الجانبية لظروف مدخلات مختلفة هي متطابقة ( $F_X = F_Y$ ).
الفرضية البديلة ( $H_1$ ): التوزيعات تختلف ( $F_X \neq F_Y$ ).
إحصائية الاختبار: على عكس اختبار t الذي يقارن المتوسطات ( $\mu_x$ مقابل $\mu_y$ )، يقارن اختبار A-D دوال التوزيع التراكمي (CDFs) للعينتين. وهو اختبار غير معلمي (non-parametric) حساس للاختلافات في الموقع، والمقياس، والشكل (بما في ذلك الذيول).
تُحسب الإحصائية $A^2$ كالتالي:
$A^2 := \frac{1}{n^2} \sum_{i=1}^{2n-1} \frac{(2nM_i - n_i)^2}{i(2n - i)}$
حيث $M_i$ هو عدد الملاحظات من العينة الأولى التي تكون أقل من أو تساوي القيمة المرتبة رقم $i$ في العينة المدمجة.

اشتقاق العتبة

لجعل ADLA عمليًا للتقييمات الهندسية، اشتق المؤلفون عتبة قرار محددة ( $\tau_A$ ) قابلة للمقارنة مع عتبة TVLA القياسية ( $\tau_t = 4.5$ ).

اعتمدوا نفس مستوى المعنوية المستخدم في TVLA القياسي: $\alpha \approx 3.4 \times 10^{-6}$ .
نظرًا لأن التوزيع المحدود لإحصائية A-D لا يمتلك تعبيرًا مغلق الشكل، استخدم المؤلفون ملاءمة منحنى بيرسون (Pearson curve fitting) بناءً على العزوم الأربعة الأولى للتوزيع المحدود لتقريب القيمة الحرجة عددياً.
العتبة الناتجة: $\tau_A \approx 11.99$ .

الإعداد التجريبي

الهدف: شبكة عصبية متعددة الطبقات (MLP) تم تدريبها على مجموعة بيانات MNIST، مُنفذة على متحكم دقيق من نوع Atmel SAM4S (ARM Cortex-M4).
التدابير الوقائية: استخدم التنفيذ الخلط (shuffling) (عشوائية ترتيب الضرب) والارتجاف العشوائي (random jitter) (إدراج تأخيرات شبه عشوائية).
جمع البيانات: تم التقاط آثار الطاقة باستخدام منصة ChipWhisperer-Husky.
الإجراء: تم جمع مجموعتين من الآثار عن طريق تغيير قيمة عصب مدخل محدد مع تثبيت العصبونات الأخرى. تم حساب إحصائيات ADLA وTVLA لكل عينة زمنية.

3. المساهمات الرئيسية

تقديم ADLA: إطار عمل جديد لتقييم تسرب البيانات في الشبكات العصبية يعتمد على اختبار أندرسون-دارلينج لعينتين، مصمم لاكتشاف التسرب بما يتجاوز مجرد انزياحات المتوسط البسيطة.
اشتقاق العتبة: اشتقاق عتبة كشف عملية ( $\tau_A \approx 11.99$ ) تتوافق مع مستويات المعنوية الصارمة المستخدمة في TVLA القياسي، مما يسمح بالمقارنة المباشرة والاعتماد في سير عمل الشهادات.
التحقق التجريبي: إثبات تجريبي بأن ADLA يتفوق على TVLA في اكتشاف التسرب في تنفيذات الشبكات العصبية المحمية، خاصة عندما يكون عدد الآثار منخفضًا.

4. النتائج

قيم المؤلفون إطار العمل باستخدام ثلاثة أزواج مختلفة من قيم المدخلات الثابتة على تنفيذ MLP المحمي.

الحساسية: أظهر ADLA حساسية أعلى بكثير من TVLA. في عدة حالات اختبارية، اكتشف ADLA تسربًا ذا دلالة إحصائية بـ عدد آثار أقل مما يتطلبه TVLA.
فشل TVLA: في تجربة نموذجية مع $n=850$ أثرًا، ظلت إحصائية TVLA (وهي $|t|$ ) تحت العتبة 4.5 عبر كامل الأثر، ففشلت في اكتشاف التسرب. وفي المقابل، تجاوزت إحصائية ADLA (وهي $A^2$ ) عتبتها 11.99 عند عينات زمنية محددة، مما نجح في تحديد التسرب.
تحليل التوزيع: أكدت مخططات الكميات (Q-Q plots) أن توزيعات التسرب غير طبيعية (non-Gaussian). انحرفت الكميات التجريبية بشكل كبير عن الخط المرجعي الطبيعي، مما يفسر سبب فشل اختبار t القائم على المتوسط (الذي يفترض التوزيع الطبيعي) في التقاط التسرب، بينما نجح اختبار A-D القائم على التوزيع.
هامش الكشف: تجاوزت إحصائيات ADLA الموحدة ( $A^2/\tau_A$ ) العتبة بمعامل أكبر بكثير من إحصائيات TVLA الموحدة ( $|t|/\tau_t$ )، مما يشير إلى أن التسرب يتميز باختلافات توزيعية واسعة بدلاً من مجرد انزياحات في المتوسط.

5. الأهمية والصلة العملية

الكفاءة في التقييم: تترجم الحساسية المحسنة عند أعداد الآثار المنخفضة مباشرة إلى حملات استحواذ أقصر وتقليل تكاليف القياس. وهذا أمر بالغ الأهمية لمختبرات الشهادات حيث يمثل "الوقت المستغرق للوصة إلى النتيجة" عائقًا.
المتانة ضد التدابير الوقائية: مع اعتماد تنفيذات الشبكات العصبية بشكل متزايد على الخلط والارتجاف لهزيمة الهجمات القياسية، يوفر ADLA أداة ضرورية للتحقق من أن هذه التدابير فعالة حقًا. فهو يمنع سيناريو "النتيجة السلبية الخاطئة" حيث يُعتبر التنفيذ آمنًا بواسطة TVLA بينما يظل معرضًا للهجمات التي تستغل الخصائص الإحصائية من الرتب العليا.
الاتجاهات المستقبلية: تشير الورقة إلى أن نقاط التسرب التي يحددها ADLA يمكن استغلالها بواسطة هجمات الرتب العليا (مثل Higher-Order CPA)، مما يحفز المزيد من البحث في استغلال بصمات التسرب غير المرتبطة بالمتوسط. كما تشير إلى أنه على الرغم من وجود اختبارات من نوع $\chi^2$ ، إلا أنها حاليًا شديدة الحساسية لاختيارات تقسيم الفئات (binning) لهذا التطبيق المحدد، مما يعزز فائدة نهج التوزيع المستمر لـ ADLA.

في الختام، تجادل الورقة بأنه بالنسبة لتنفيذات الشبكات العصبية الحديثة والمحمية، فإن التقييم الحساس للتوزيع (ADLA) يتفوق على التقييم القائم على المتوسط (TVLA)، مما يوفر طريقة أكثر صرامة وكفاءة لتقييم أمن القنوات الجانبية.