🤖 AI

Fingerprinting Deep Neural Networks for Ownership Protection: An Analytical Approach

تقترح هذه الورقة البحثية AnaFP، وهو مخطط بصمة تحليلية يحدد نظرياً مسافة مثالية بين البصمات وحدود القرار عبر عامل تمدد قابل للضبط لضمان كل من المتانة والفرادة في آن واحد لحماية ملكية الشبكات العصبية العميقة، متفوقاً بذلك على الأساليب التجريبية الحالية.

المؤلفون الأصليون: Guang Yang, Ziye Geng, Yihang Chen, Changqing Luo

نُشر 2026-03-24

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Guang Yang, Ziye Geng, Yihang Chen, Changqing Luo

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك شيف ماهر أمضيت سنوات في إتقان وصفة عائلية سرية لحساء لذيذ. تفتتح مطعمك، لكن يسرق لصٌ وصفتك، ويقوم بتعديلها قليلاً (ربما بإضافة رشة ملح أو تغيير درجة الحرارة)، ثم يفتح متجراً منافساً لبيع نسخته "الخاصة" من الحساء.

كيف تثبت أن الحساء ملكك دون الكشف عن الوصفة السرية؟

هذه هي المشكلة التي تحلها AnaFP، ولكن بدلاً من الحساء، الأمر يتعلق بـ الشبكات العصبية العميقة (DNNs) — وهي "الأدمغة" التي تقف وراء أنظمة الذكاء الاصطعي مثل أنظمة التعرف على الصور أو روبوتات الدردشة.

إليك التبسيط السهل للورقة البحثية باستخدام تشبيهات من الحياة اليومية:

1. المشكلة: اللص "الشبح"

في عالم الذكاء الاصطناعي، يمكن للصوص سرقة نموذج ما، وتعديله قليلاً لإخفاء السرقة (مثل تغيير الخط في وثيقة مسروقة)، ثم بيعه. وللإمساك بهم، يستخدم المالكون "بصمات".

فكر في البصمة ليس كبصمة إصبع على زجاج، بل كـ "سؤال فخ" خاص.

الفخ: تطرح على النموذج سؤالاً محدداً ومحيراً للغاية (مدخلات) يكون على الحافة تماماً لاتخاذ قرار ما.
رد الفعل: نموذجك الأصلي سيجيب بطريقة معينة. أما نموذج اللص (الذي يمتلك "دماغاً" مختلفاً قليلاً) فسيجيب بطريقة مختلفة.
الإيقاع: إذا كان الفخ ضعيفاً جداً، يمكن للصوص إصلاح نموذجه ليجيب بشكل صحيح. وإذا كان الفخ غريباً جداً، فقد ترتبك حتى النماذج البريئة (التي تم تدريبها من الصفر) وتجيب مثل اللص، مما يتسبب في اتهام خاطئ.

2. الطريقة القديمة: التخمين في المسافة

حاولت الطرق السابقة إيجاد الفخ المثالي عن طريق التخمين.

تشبيه: تخيل أنك تحاول ركن سيارة في مكان ضيق. أنت تستمر فقط في الرجوع إلى الوراء والتحرك للأمام، آملًا ألا تصطدم بالسيارة التي خلفك (المتانة/Robustness) أو السيارة التي أمامك (التفرد/Uniqueness).
العيب: أحياناً تصطدم بالسيارة التي خلفك (يصلح اللص نموذجه ويتجاهل فخك). وأحياناً تصطدم بالسيارة التي أمامك (تتهم شخصاً بريئاً). إنها لعبة تجربة وخطأ بلا قواعد.

3. الطريقة الجديدة: AnaFP (دليل الركن "التحليلي")

يقول مؤلفو هذه الورقة، AnaFP: "توقفوا عن التخمين. لنستخدم الرياضيات لحساب المكان المثالي بدقة".

إنهم يعاملون توليد البصمة مثل السير على حبل مشدود بين جرفين:

الجرف (أ) (المتانة - Robustness): يجب أن تكون البصمة بعيدة بما يكفي عن خط القرار بحيث إذا قام اللص بتعديل نموذجه، فإنه لا يزال يقع في الفخ.
الجرف (ب) (التفرد - Uniqueness): يجب أن تكون البصمة قريبة بما يكفي من الخط بحيث لا يقع نموذج بريء (تم تدريبه من الصفر) في الفخ بالخطأ.

كيف يفعلون ذلك:

عامل التمدد (The Stretch Factor): يقومون بإنشاء "عامل تمدد" (مثل الرباط المطاطي). يأخذون دفعة صغيرة تربك النموذج ويقومون بتمديدها.
القواعد الرياضية: يستخدمون رياضيات معقدة لرسم منطقة آمنة (فترة زمنية) على الرباط المطاطي.
- إذا كانت قصيرة جداً؟ يمكن للصوص إصلاحها.
- إذا كانت طويلة جداً؟ قد تتهم شخصاً بريئاً.
- إذا كانت مثالية؟ ستكون فخاً مثالياً.
المحاكاة (النماذج البديلة - Surrogates): بما أنهم لا يستطيعون اختبار كل لص محتمل في العالم، فإنهم يبنون "مختبر محاكاة" مع بعض اللصوص المزيفين والنماذج البريئة المزيفة لاختبار رياضياتهم.
البحث الشبكي (Grid Search): لأن الرياضيات معقدة (المنطقة الآمنة تعتمد على عامل التمدد نفسه)، فإنهم يستخدمون "بحثاً شبكياً" — وهو ببساත් فحص كل بوصة في المنطقة الآمنة للعثور على أفضل مكان لوضع الفخ.

4. النتيجة: بطاقة هوية غير قابلة للاختراق

عندما اختبروا AnaFP:

ضد اللصوص: حتى عندما حاول اللصوص "إصلاح" نماذجهم المسروقة (عن طريق تقليم الأجزاء، أو إعادة التدريب، أو استخدام الذكاء الاصطناعي لمحاكاة الأصل)، لا تزال فخاخ AnaFP تعمل. لم يستطع اللصوص الهروب.
ضد الأبرياء: نادراً ما ارتكبوا أخطاء. لم يتهموا النماذج البريئة التي تصادف أنها تبدو مشابهة.
تعدد الاستخدامات: نجحت في أنواع مختلفة من أدمغة الذكاء الاصطناعي (أنظمة التعرف على الصور، نماذج النصوص، وحتى النماذج القائمة على الرسوم البيانية/Graphs).

ملخص التشبيه

تخيل أنك تحرس قلعة.

الطريقة القديمة: ترمي الصخور على البوابة آملًا أن تصيب اللص ولكن تخطئ الحراس. أحياناً تصيب الحراس، وأحياناً يتجنبها اللص.
AnaFP: تحسب المسار الدقيق، وسرعة الرياح، والجاذبية لرمي صخرة لا يستطيع إلا اللص تجنبها، بينما يمكن للحراس تجاوزها بسهولة. تفعل ذلك باستخدام معادلة دقيقة بدلاً من مجرد حظ سعيد.

باختصار: تحول AnaFP فن الإمساك بسارقي الذكاء الاصطناعي إلى علم دقيق، مما يضمن لمالكي النماذج إثبات ملكيتهم بشكل موثوق، حتى عندما يحاول اللصوص إخفاء آثارهم.

إليك ملخص تقني مفصل للورقة البحثية بعنوان "بصمة الشبكات العصبية العميقة لحماية الملكية: نهج تحليلي" (AnaFP)، المنشورة في مؤتمر ICLR 2026.

1. بيان المشكلة

تتعرض الشبكات العصبية العميقة (DNNs) بشكل متزايد لخطر قرصنة النماذج، حيث يقوم المهاجمون بسرقة نموذج ما، ثم يطبقون تعديلات تحافظ على الأداء (مثل الضبط الدقيق، أو التقليم، أو تقطير المعرفة) للتهرب من الكشف، ومن ثم إعادة توزيعه كخدمة "صندوق أسود".

الحلول الحالية: تعتمد طرق البصمة الحالية غالبًا على الأمثلة العدائية لإنشاء معرفات فريدة بناءً على حدود القرار الخاصة بالنموذج. ومع ذلك، فهي تعاني من تحدٍ جوهري لم يتم حله بعد: كيفية تحديد المسافة المثلى للبصمة من حد القرار.
المقايضة:
- التفرد (Uniqueness): يتطلب أن تكون البصمات قريبة من حد القرار لضمان أن النماذج المستقلة (المدربة من الصفر) لا تتنبأ بالتسمية الصحيحة.
- المتانة (Robustness): تتطلب أن تكون البصمات بعيدة عن حد القرار لتتحمل التحولات الناتجة عن هجمات تعديل النماذج.
الفجوة: تستخدم الأعمال الحالية استدلالات تجريبية لاختيار هذه المسافة، مما يفتقر إلى التوجيه النظري. يؤدي هذا غالبًا إلى بصمات تفشل إما في المتانة أو في التفرد، أو كليهما.

2. المنهجية: AnaFP

يقترح المؤلفون AnaFP، وهو مخطط بصمة تحليلي يصيغ رياضياً القيود الخاصة بالمتانة والتفرد لاستخلاص "فترة مسموح بها" (admissible interval) نظرياً لعملية توليد البصمة. يتكون المسار من أربع خطوات رئيسية:

الخطوة 1: اختيار الركائز عالية الثقة (High-Confidence Anchors)

يختار النظام عينات عالية الثقة (الركائز) من مجموعة بيانات التدريب حيث يمتلك النموذج المحمي $P$ هامشاً كبيراً في الـ logit.
الهدف: ضمان أن النماذج المدربة بشكل مستقل ستتنبأ أيضاً بهذه الركائز بشكل صحيح باحتمالية عالية، مما يعمل كخط أساس للتفرد.

الخطوة 2: حساب الاضطرابات الدنيا المغيرة للقرار

لكل ركيزة، يحسب النظام أدنى اضطراب $\delta^*$ (باستخدام هجوم Carlini & Wagner $\ell_2$ ) الذي يدفع المدخل عبر حد القرار للنموذج المحمي $P$ .
النقطة الناتجة $q = x_a + \delta^*$ تقع تماماً على حد القرار.

الخطوة 3: البحث عن عامل التمدد ( $\tau$ )

هذه هي المساهمة النظرية الجوهرية. يتم إنشاء البصمة النهائية عن طريق تغيير حجم الاضطراب: $x^* = x_a + \tau \delta^*$ . الهدف هو إيجاد عامل تمدد $\tau$ يلبي كلا القيدين.

الحدود النظرية: يشتق المؤلفون حداً أدنى ( $\tau_{lower}$ $τ_{l o w er}$ ) للمتانة وحداً أعلى ( $\tau_{upper}$ $τ_{u pp er}$ ) للتفرد.
- يضمن $\tau_{lower}$ بقاء البصمة على الجانب الصحيح من الحد حتى بعد الهجوم (المتانة).
- يضمن $\tau_{upper}$ بقاء البصمة على الجانب الخاطئ من الحد بالنسبة للنماذج المستقلة (التفرد).
مجموعات النماذج البديلة (Surrogate Model Pools): بما أن مجموعات النماذج المقرصنة والمستقلة الحقيقية هي مجموعات لانهائية، فإن AnaFP يقربها باستخدام مجموعات نماذج بديلة (نماذج مقرصنة محاكية ونماذج مدربة بشكل مستقل).
الاسترخاء القائم على المئينات (Quantile-Based Relaxation): لتجنب الحدود المفرطة في التحفظ (والتي قد لا تترك $\tau$ صالحاً)، يقوم النظام بتقدير المعلمات (هوامش الـ logit، ثوابت Lipschitz، انزياحات الـ logit) باستخدام المئينات (مثل المئين الخمسين) بدلاً من القيم القصوى للأسوأ.
البحث الشبكي (Grid Search): نظرًا لأن $\tau_{lower}$ يعتمد ضمنياً على $\tau$ (بسبب عدم خطية انزياح الـ logit عند النقطة الجديدة)، فإن الحل المباشر صعب. يستخدم AnaFP بحثاً شبكياً عبر الفترة المسموح بها $(1, \tau_{upper}]$ لإيجاد أكثر $\tau$ جدوى والذي يعظم الفراغ (slack) تجاه كلا الحدين.

الخطوة 4: بناء البصمة والتحقق منها

يتم إنشاء البصمات عن طريق تطبيق $\tau$ الأمثل على الركائز.
التحقق: يتم استعلام النموذج المشتبه به باستخدام مجموعة البصمات. إذا تجاوز معدل المطابقة (نسبة التنبؤات الصحيحة) عتبة معينة، يتم وسم النموذج بأنه مقرصن.

3. المساهمات الرئيسية

الإطار النظري: أول من صاغ رياضياً المقايضة بين المتانة والتفرد في البصمة القائمة على الأمثلة العدائية، مستدرجاً حدوداً صريحة للمسافة بين البصمة وحد القرار.
الحل التحليلي (AnaFP): يقترح طريقة لتحديد عامل التمدد $\tau$ نظرياً بدلاً من التجريب، باستخدام بحث شبكي ضمن فترة مسموح بها مشتقة.
استراتيجيات التقريب العملية: يقدم مجموعات النماذج البديلة لتقريب مجموعات النماذج اللانهائية والاسترخاء القائم على المئينات للتعامل مع أخطاء التقدير وضمان توليد بصمات قابلة للتنفيذ.
المتانة تجاه الاعتماد الدائري: يحل الاعتماد الدائري بين الحد الأدنى وعامل التمدد عبر استراتيجية البحث الشبكي.

4. النتائج التجريبية

قيم المؤلفون AnaFP عبر بنيات متنوعة (ResNet-18, ResMLP, GAT) ومجموعات بيانات (CIFAR-10/100, MNIST, PROTEINS) مقابل سبعة من أفضل النماذج المرجعية (UAP, IPGuard, MarginFinger, إلخ).

الأداء العام: حقق AnaFP باستمرار أعلى مساحة تحت المنحنى (AUC) عبر جميع مجموعات البيانات والبنيات (على سبيل المثال، 0.957 على CIFAR-10، و0.963 على MNIST)، متفوقاً بشكل كبير على النماذج المرجعية.
المتانة تجاه الهجمات: أظهر AnaFP مرونة فائقة ضد مختلف هجمات الحفاظ على الأداء:
- الضبط الدقيق (Fine-tuning)، التقليم (Pruning)، التدريب العدائي (Adversarial Training): حقق قيم AUC شبه مثالية (>0.97).
- تقطير المعرفة (Knowledge Distillation - KD) والهجمات المركبة: بينما يعد تقطير المعرفة أمراً صعباً للغاية بالنسبة للبصمة، حافظ AnaFP على AUC رائد (0.756 لـ KD في الشبكات التلافيفية)، متفوقاً على جميع النماذج المرجعية.
تحليل الحساسية:
- مجموعات النماذج البديلة: استقر الأداء مع 6 نماذج بديلة فقط وظل قوياً حتى مع انخفاض التنوع في مجموعة النماذج البديلة.
- عتبات المئينات: الطريقة ليست حساسة للغاية لاختيارات المئينات المحددة؛ حيث يؤدي الاسترخاء المتوسط إلى إنتاج بصمات عالية الجودة.
دراسة الاستئصال (Ablation Study): أدى إزالة البحث الشبكي (تثبيت $\tau$ عند الحدود أو هامش ثابت) إلى تدهور الأداء بشكل كبير، مما يؤكد ضرورة البحث داخل الفترة المسموح بها.

5. الأهمية

التحول من التجريبي إلى التحليلي: ينقل AnaFP مجال بصمة النماذج من التجربة والخطأ التجريبي إلى نهج قائم على أسس نظرية، مما يوفر ضمانات بشأن وضع البصمات بالنسبة لحدود القرار.
الموثوقية: من خلال الموازنة رياضياً بين المتانة والتفرد، يقلل AnaFP من الإيجابيات الكاذبة (الهجوم على النماذج المستقلة) والسلبيات الكاذبة (الفشل في اكتشاف النماذج المقرصنة)، مما يجعله أداة أكثر موثوقية لحماية الملكية الفكرية.
القدرة على التعميم: الإطار قابل للتطبيق على مختلف أنواع البيانات (الصور، المتجهات، الرسوم البيانية) وأنواع النماذج، مما يعالج حاجة ماسة لحماية أصول الذكاء الاصطناعي في عمليات النشر الواقعية حيث يتم تعديل النماذج بشكل متكرر.

في الختام، يوفر AnaFP حلاً تحليلياً صارماً للتحدي طويل الأمد المتمثل في تحديد مسافة البصمة المثلى، مما يوفر آلية قوية وفريدة للتحقق من ملكية الشبكات العصبية العميقة.