🤖 machine learning

Adversarial Vulnerabilities in Neural Operator Digital Twins: Gradient-Free Attacks on Nuclear Thermal-Hydraulic Surrogates

تكشف هذه الدراسة أن التوائم الرقمية القائمة على المشغلات العصبية للأنظمة الحرارية المائية النووية معرضة بشكل حرج لهجمات عدائية غير قابلة للكشف وخالية من التدرج باستخدام أقل من 1% من المدخلات، والتي يمكن أن تسبب أخطاء تنبؤية كارثية، وتسلط الضوء على الحاجة إلى ضمانات المتانة بما يتجاوز التحقق القياسي قبل النشر.

المؤلفون الأصليون: Samrendra Roy, Kazuma Kobayashi, Souvik Chakraborty, Rizwan-uddin, Syed Bahauddin Alam

نُشر 2026-03-25

📖 5 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Samrendra Roy, Kazuma Kobayashi, Souvik Chakraborty, Rizwan-uddin, Syed Bahauddin Alam

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

الصورة الكبيرة: فخ "التوأم الرقمي"

تخيل أن لديك توأماً رقمياً (Digital Twin) لمحطة طاقة نووية. إنه برنامج حاسوبي فائق الذكاء يعمل مثل البلورة السحرية. بدلاً من الانتظار لساعات لإجراء محاكاة فيزيائية حقيقية، يمكن لهذا التوأم أن يتنبأ فوراً بما يحدث داخل المفاعل (درجة الحرارة، الضغط، التدفق) بمجرد النظر إلى بضع قراءات من المستشعرات.

العلماء متحمسون لأن هذه "المشغلات العصبية" (Neural Operators) سريعة ودقيقة للغاية. إنهم يشبهون طهاة عباقرة يمكنهم تذوق قطرة واحدة من الحساء ليخبروك فوراً كيف يبدو طعم القدر بأكمله، وصولاً إلى آخر حبة ملح.

المشكلة: اكتشف هذا البحث أن هؤلاء الطهاة العباقرة لديهم نقطة عمياء مرعبة. إنهم حساسون للغاية لدرجة أنه إذا همست في آذانهم بكذبة صغيرة غير مرئية تقريباً، فقد يصرخون بأن المفاعل آمن بينما هو في الواقع على وشك الانصهار.

الهجوم: "الهمس" مقابل "الصرخة"

اختبر الباحثون أربعة أنواع مختلفة من نماذج الذكاء الاصطنا هذه. حاولوا خداعها باستخدام هجمات عدائية (Adversarial Attacks).

التشبيه: تخيل أنك تحاول خداع حارس أمن.
- الطريقة القديمة (هجمات التدرج - Gradient Attacks): تحاول دفع الحارس بقوة، لكنه يراك قادماً ويصدك. هذا يتطلب منك معرفة أسراره (كيف يعمل عقله).
- الطريقة الجديدة (هذا البحث): تستخدم طريقة خالية من التدرج (gradient-free). لا تحتاج لمعرفة أسراره. أنت فقط تجرب دفعات صغيرة ومختلفة حتى تجد تلك النقطة المحددة التي تجعل دفعة صغيرة منها تسبب انهياره.

النتيجة الصادمة:
وجد الباحثون أنه يمكنهم تغيير أقل من 1% من البيانات التي ينظر إليها الذكاء الاصطناعي (مثل تغيير قراءة مستشعر واحد أو اثنين فقط من أصل 100).

المدخلات: تغيير ضئيل. قراءة المستشعر الجديدة لا تزال ضمن الحدود الطبيعية والآمنة. تبدو حقيقية تماماً لأي إنسان أو نظام إنذار قياسي.
المخرجات: تنبؤ الذكاء الاصطناعي يجن جنونه تماماً. يقفز الخطأ من 1.5% ضئيل (سليم تماماً) إلى 60% (فشل كارثي).
التخفي: التنبؤ الجديد والخاطئ للذكاء الاصطناعي لا يزال يبدو "طبيعياً" لعمليات التحقق من السلامة القياسية. إنه يجتاز اختبار Z-score (وهو فحص إحصائي للقيم الشاذة). إنه مثل ذئب في ثوب حمل لا يستطيع كلب الراعي شمه.

النماذج الأربعة: حكاية أربعة مهندسين معماريين

اختبر البحث أربعة "بنيات" (Architectures) مختلفة لهذه النماذج. وقد تفاعلت بشكل مختلف تماماً مع الهجمات، وهو ما يفسره المؤلفون باستخدام "خريطة الحساسية" (Sensitivity Map).

تخيل عقل الذكاء الاصطناعي كمبنى به 102 باباً (مدخلات). أراد الباحثون معرفة: أي باب، إذا دفعته، سيجعل المبنى بأكمله يهتز؟

قدموا مفهوماً يسمى بعد الاضطراب الفعال ( $d_{eff}$ ). فكر في هذا كـ "درجة تركيز".

درجة تركيز منخفضة ( $d_{eff} \approx 1$ ): المبنى مدعوم بـ عمود واحد وحيد. إذا دفعت ذلك العمود الواحد، ينهار المبنى بأكمله.
درجة تركيز عالية ( $d_{eff} \approx 30$ ): المبنى مدعوم بـ 30 عموداً. يجب عليك دفع 30 منها في وقت واحد لكي ينهار.

إليك كيف حال كل نموذج من النماذج الأربعة:

1. POD-DeepONet: النموذج "الهش والمقيد"

الأجواء: هذا النموذج يشبه منزلاً مبنياً على عمود واحد وحيد فائق القوة.
الهجوم: من السهل جداً العث স্থور على ذلك العمود الواحد. وجده الباحثون على الفور.
التحول: رغم أنهم وجدوا العمود، إلا أن المنزل لم ينهار تماماً. لماذا؟ لأن هذا النموذج لديه "شبكة أمان" (Low-Rank Projection). فهو يجبر جميع التنبؤات على البقاء ضمن نطاق سلس ومحدد. إنه يشبه الترامبولين: يمكنك القفز عالياً، لكن لا يمكنك الطيران إلى الفضاء.
النتيجة: كان من السهل مهاجمته، لكن الضرر كان محدوداً.

2. S-DeepONet: "العاصفة المثالية" (الأكثر خطورة)

الأجواء: هذا النموذج يشبه منزلاً به 4 أو 5 أعمدة رئيسية، وكلها مصنوعة من الزجاج.
الهجوم: وجد الباحثون هذه الأعمدة الـ 4 أو 5 بسهولة. ولأن الأعمدة زجاجية (عالية الحساسية)، فإن دفعها يسبب دماراً هائلاً.
النتيجة: كانت هذه هي السيناريو الأسوأ. تسببت دفعة صغيرة على 3 مستشعرات في جعل الذكاء الاصطنا_يتنبأ بانصهار المفاعل بينما كان كل شيء على ما يرام. لقد امتلك المزيج المثالي من "سهولة الإيجاد" و"سهولة الكسر".

3. MIMONet & NOMAD: "الحصن"

الأجواء: هذه النماذج تشبه حصناً بـ 30 عموداً متيناً موزعة في كل مكان.
الهجوم: لكسر هذا الحصن، يجب على المهاجم دفع 30 مستشعراً مختلفاً في نفس اللحظة.
النتيجة: من الصعب جداً كسرها. اضطر الباحثون لبذل مجهود أكبر بكثير (تغيير المزيد من المستشعرات) للحصول على نفس المستوى من الفوضى.

قاعدة "العاملين" للخطر

يختتم البحث بقاعدة بسيطة حول مدى خطورة النموذج. الأمر لا يتعلق فقط بمدى حساسيتة؛ بل يتعلق بشيئين مضروبين في بعضهما البعض:

التركيز (Concentration): كم عدد المدخلات التي يتطلبها الأمر لكسر النموذج؟ (الأقل هو الأسوأ).
التضخيم (Amplification): إلى أي مدى ينفجر النموذج عندما تكسره؟ (الأكثر هو الأسوأ).

كان S-DeepONet هو الأكثر خطورة لأنه امتلك تركيزاً منخفضاً (سهولة العثور على نقطة الضعف) وَ تضخيماً عالياً (نقطة الضعف تسببت في انفجار هائل).

لماذا يهم هذا العالم الحقيقي؟

نحن نتجه نحو مستقبل يتحكم فيه الذكاء الاصطناعي في المحطات النووية، وشبكات الطاقة، والتنبؤ بالطقس. نحن نثق حالياً في هذه النماذج لأنها "دقيقة" على الورق.

تحذير البحث:

الدقة ليست هي الأمان: يمكن للنموذج أن يكون دقيقاً بنسبة 99% في الأيام العادية، و0% موثوق في اليوم الذي يحاول فيه شخص ما خداعه.
التهديد الخفي: نظرًا لأن هذه الهجمات صغيرة جداً (تغيير أقل من 1% من البيانات) وتظل ضمن الحدود الفيزيحة، فإن أنظمة الإنذار الحالية لن تراها. سيخبر الذكاء الاصطناعي المشغل بثقة: "كل شيء على ما يرام"، بينما المفاعل في الواقع في خطر.
الحل: لا يمكننا فقط بناء نماذج أسرع؛ بل يجب أن نبني نماذج قوية (Robust). نحتاج لتصميمها بحيث لا تمتلك تلك "الأعمدة الزجاجية". نحتاج لاختبارها بهجمات "الهمس" هذه قبل أن ندعها تتحكم في البنية التحتية للعالم الحقيقي.

تلخيص عبر التشبيه

تخيل أن التوأم الرقمي هو متنبئ بالطقس.

اليوم العادي: المتنبئ مثالي.
الهجوم: يقوم مخترق بتغيير قراءة درجة الحرارة على مستشعر واحد في قرية نائية بمقدار ضئيل جداً (0.1 درجة).
النتيجة: بسبب خلل خفي في منطقه، يتنبأ المتنبأ فجأة بوجود إعصار من الفئة الخامسة يضرب المدينة، رغم أن السماء صافية.
الخطر: تخلِي المدينة سكانها، مما يسبب ذعراً وخسائر اقتصادية، وكل ذلك بسبب كذبة صغيرة وغير مرئية في مستشعر واحد.

يثبت هذا البحث أن "متنبئي الطقس" من الذكاء الاصطناعي الحالي (والتواءم الرقمية النووية) معرضون تماماً لهذا النوع من الخداع، ونحن بحاجة لإصلاح منطقهم قبل أن نتركهم يديرون المشهد.

إليك ملخص تقني مفصل للورقة البحثية بعنوان: "الثغرات العدائية في التوائم الرقمية للمشغلات العصبية: هجمات خالية من التدرج على بدائل الحرارة والسوائل النووية."

1. بيان المشكلة

تصبح المشغلات العصبية (مثل DeepONet و FNO) بشكل متسارع هي النواة التنبؤية لـ التوائم الرقمية (Digital Twins) للبنية التحتية الحساسة للسلامة، مثل المفاعلات النووية، مما يتيح إعادة بناء المجالات الفيزيائية في الوقت الفعلي من بيانات استشعار متفرقة. وبينما تحقق هذه النماذج دقة عالية (غالباً أقل من 2% خطأ) في مجموعات بيانات التحقق، فإن متانتها العدائية (Adversarial Robustness) تظل غير مشخصة.

تعالج الورقة فجوة حرجة: هل يمكن خداع المشغلات العصبية عبر اضطرابات فيزيائية معقولة ومتفرقة تظل غير قابلة للكشف بواسطة مقاييس التحقق القياسية؟

نموذج التهديد: يقوم المهاجم بإفساد قراءات المستشعرات (مثل سرعة المدخل، درجة الحرارة، أو تدفق الحرارة للجدار) قبل وصولها إلى التوأم الرقمي.
القيود: يجب أن تكون الاضطرابات فيزيائية ممكنة (ضمن نطاقات معايرة المستشعرات وقوانين الحفظ) ومتفرقة (تؤثر على أقل من 1% من المدخلات) لتجنب إطلاق أنظمة كشف الشذوذ.
المخاطر: قد يؤدي الهجوم الناجح إلى جعل التوأم الرقمي يبلغ عن هوامش حرارية آمنة بينما تقترب الظروف الفعلية من حدود فشل المواد، مما يؤدي إلى قرارات تشغيلية كارثية.

2. المنهجية

يقترح المؤلفون إطار عمل للهجوم الخالي من التدرج (Gradient-free) مصمم خصيصاً لنمذجة الحقول المستمرة عالية الأبعاد، متجاوزين الهجمات التقليدية القائمة على التصنيف.

أ. إطار الهجوم: التطور التفاضلي (Differential Evolution - DE)

بما أن المشغلات العصبية في البيئات الصناعية غالباً ما تكون "صناديق سوداء" مملوكة (تفتقر إلى الوصول للتدرج) ولديها مخرجات عالية الأبعاد ( $\mathbb{R}^{15,908}$ )، فإن الطرق القائمة على التدرج (مثل PGD) غالباً ما تكون غير مجدية أو غير فعالة.

الخوارزمية: يكيّف المؤلفون خوارزمية التطور التفاضلي (DE)، وهي خوارزمية تحسين قائمة على الجمهرة.
الترميز: يرمز كل حل مرشح إلى $k$ من الأزواج (الفهرس، القيمة)، والتي تمثل أي إحداثيات مدخلات سيتم اضطرابها وبأي مقدار.
القيود:
- التفرق ( $L_0$ ): يحدد عدد المدخلات المضطربة ( $k \in \{1, 3, 5, 10\}$ ).
- الإمكانية الفيزيائية: يتم تقييد الاضطرابات ضمن $\pm 1\sigma$ من توزيع التدريب في الفضاء المعياري، مما يضمن مطابقتها لظروف التشغيل الفيزيائية الواقعية (مثل درجات الحرارة والسرعات الصالحة).
الهدف: تعظيم الخطأ النسبي $L_2$ بين التنبؤ النظيف والتنبؤ المضطرب.

ب. إعداد الاختبار المرجعي

النطاق: الحرارة والسوائل النووية (مبادل حراري ذو قناة مستطيلة أحادية المسار).
المدخلات: ظروف حدودية مكونة من 102 بُعد (معلمتان عالميتان: سرعة/درجة حرارة المدخل؛ و100 نقطة مكانية لتدفق الحرارة للجدار).
المخرجات: 3,977 نقطة شبكية $\times$ 4 مجالات (الضغط، السرعات $u, v, w$ ).
النماذج التي تم تقييمها: أربعة هياكل مختلفة للمشغلات العصبية:
1. MIMONet: رسم خرائط قائم على الالتصاق (Concatenation).
2. NOMAD: متعدد الفروع مع دمج ضربي.
3. S-DeepONet: DeepONet تسلسلي يستخدم مشفر GRU لتبعيات الحدود.
4. POD-DeepONet: يستخدم تحليل القيم المفردة للصور (POD) لإسقاط المخرجات منخفض الرتبة.

ج. المقياس التشخيصي: بُعد الاضطراب الفعال ( $d_{eff}$ )

لشرح لماذا تعد بعض النماذج أكثر عرضة للخطر من غيرها، قدم المؤلفون $d_{eff}$ ، وهو مقياس يعتمد على "الجاكوبي" (Jacobian) يقيس تركيز حساسية المدخلات إلى المخرجات:
$d_{eff} = \frac{(\sum_{i=1}^d \|J_{b}[:, i]\|_2)^2}{\sum_{i=1}^d \|J_{b}[:, i]\|_2^2}$

$d_{eff} \approx 1$ : الحساسية مركزة في اتجاه واحد (عرضة جداً لهجمات النقطة الواحدة).
$d_{eff} \approx d$ : الحساسية موزعة بانتظام (متينة ضد الهجمات المتفرقة).

3. المساهمات الرئيسية

اكتشاف الضعف الشديد: أثبتت الدراسة أن المشغلات العصبية معرضة بشدة للاضطرابات شديدة التفرق ( $L_0 < 1\%$ ) والواقعية فيزيائياً. يمكن للهجمات أن تخفض الدقة التي تم التحقق منها من $\sim1.5\%$ إلى 37–63% من الخطأ النسبي $L_2$ .
كفاءة الخلو من التدرج: أظهرت النتائج أن DE يتفوق على الهجمات القائمة على التدرج (PGD) في الهياكل التي تعاني من مشاكل في التدرج (مثل POD-DeepONet) وهو أمر ضروري في سيناريوهات الصندوق الأسود.
نموذج الضعف ثنائي العامل: أثبتت الدراسة أن نجاح الهجوم يعتمد على التفاعل بين:
- تركيز الحساسية ( $d_{eff}$ ): مدى تمركز الحساسية.
- مقدار الحساسية: قوة الاقتران بين المدخلات والمخرجات.
- رؤية رئيسية: التركيز العالي وحده (POD-DeepONet) لا يضمن بالضرورة الضعف العالي إذا كان إسقاط المخرجات يحد من تضخيم الخطأ.
إثبات التخفي: أثبتت الدراسة أن هجمات النقطة الواحدة ( $L_0=1$ ) غير مرئية بنسبة 100% لأنظمة كشف الشذوذ القائمة على (z-score)، حيث تظل الاضطرابات ضمن المعايير الإحصائية للتشغيل الطبيعي.

4. النتائج الرئيسية

أ. معدلات نجاح الهجوم

S-DeepONet: الهيكل الأكثر عرضة للخطر. حقق نجاحاً بنسبة 94.5% بـ 3 مدخلات مضطربة فقط ( $L_0=3$ ) و100% مع 5 مدخلات عند عتبة خطأ 30%.
POD-DeepONet: رغم امتلاكه لأقصى تركيز للحساسية ( $d_{eff} \approx 1$ )، إلا أنه أظهر ضعفاً متوسطاً (نجاح أقصى ~30%). ويعود ذلك إلى أن إسقاط المخرات منخفض الرتبة يعمل كـ "سقف" لتضخيم الخطأ.
MIMONet & NOMAD: أظهرتا حساسية موزعة ( $d_{eff} \approx 32$ )، مما يتطلب هجمات متعددة النقاط منسقة لتحقيق نجاح عالٍ، لكنهما ظلتا عرضة للخطر (تصل إلى 62% نجاح لـ NOMAD عند $L_0=10$ ).

ب. التأثير على مستوى المجال

تسببت الهجمات في إزاحة البقع الساخنة المكانية، انقلاب أنماط التدفق، وانتهاك هوامش السلامة.
من المهم ملاحظة أنه بينما ارتفعت مقاييس الخطأ العالمية (متوسط $L_2$ ) بشكل حاد، ظلت الهجمات غير قابلة للكشف بواسطة مقاييس التحقق الإجمالية.
التضخيم: أدى اضطراب يؤثر على أقل من 1% من المدخلات إلى تغيير أكبر بـ 5-8 مرات في مجال المخرجات.

ج. النتائج النظرية

نتيجة الاستحالة: تثبت الورقة أنه بالنسبة للمشغلات العصبية التي تحقق دقة "سوبوليف" (Sobolev) عالية، فإن الضعف العدائي هو نتيجة حتمية للتقريب الدقيق للمشغل. فكلما انخفض خطأ التقريب ( $\epsilon$ )، تباعدت الفجوة بين الخطأ النظيف والخطأ العدائي.
القابلية للنقل (Transferability): الأمثلة العدائية تعتمد بشدة على الهيكل المعماري. الاضطرابات المصممة لـ S-DeepONet فشلت في خداع النماذج الأخرى (نجاح النقل < 6%)، مما يشير إلى أن أساليب التجميع (Ensemble methods) قد تكون دفاعاً فعالاً.

5. الأهمية والآثار المترتبة

النشر في البيئات الحساسة للسلامة: تتحدى هذه النتائج الافتراض بأن النماذح ذات دقة التحقق العالية هي نماذج جديرة بالثقة في إدارة الطاقة النووية أو الشبكات الكهربائية. بروتوكولات التحقق القياسية غير كافية لتقييم المتانة العدائية.
سطح هجوم جديد: تحدد الورقة مسار "المستشعر-إلى-التنبؤ" في التوائم الرقمية كسطح هجوم جديد وخطير، يختلف عن التلاعب التقليدي بالمشغلات (Actuators).
إرشادات التصميم:
- تشخيصات ما قبل النشر: يجب على المهندسين تقييم كل من $d_{eff}$ ومقدار الحساسية قبل النشر. النماذج ذات $d_{eff}$ المنخفض والمقدار العالي هي الأعلى خطورة.
- استراتيجيات الدفاع: تشمل الدفاعات المقترحة تجميع الهياكل المعمارية (لاستغلال ضعف قابلية النقل)، كشف الشذوذ القائم على الفيزياء (للتحقق من قوانين الحفظ)، وتنظيم الحساسية أثناء التدريب.
الأثر الأوسع: يضع هذا العمل حجر الأساس لتحدي جوهري في تعلم الآلة العلمي، وهو أن الفجوة بين دقة الاستكمال (Interpolation) والمتانة العدائية تتطلب معايير اعتماد جديدة للذكاء الاصطناي في الأنظمة السيبرانية الفيزيائية.