ProtoGuard-SL: Prototype Consistency Based Backdoor Defense for Vertical Split Learning

إليك ملخص تقني مفصل لورقة البحث بعنوان: "ProtoGuard-SL: دفاع قائم على اتساق النماذج الأولية ضد هجمات الباب الخلفي في التعلم المنقسم الرأسي."

1. بيان المشكلة

التعلم المنقسم الرأسي (Vertical Split Learning - SL) هو نموذج تعلم تعاوني حيث يمتلك عدة عملاء مجموعات فرعية متكاملة من الميزات لنفس العينات، بينما يمتلك خادم مركزي الملصقات (labels). يقوم العملاء بتدريب نماذج "قاع" (bottom models) محلية لتوليد تمثيلات وسيطة (embeddings)، والتي تُرسل إلى الخادم لتدريب نموذج "قمة" (top model). وبينما يحافظ هذا الأسلوب على خصوصية البيانات الخام، فإنه يستحدث ثغرة حرجة: هجمات الباب الخلفي في فضاء التضمين (embedding-space backdoor attacks).

• التهديد: يمكن للعملاء الخبيثين تقويض عملية التدريب عن طريق حقن "محفزات" (triggers) في التضمينات الوسيطة. وبخلاف هجمات تسميم البيانات، تقوم هذه الهجمات بالتلاعب بفضاء التمثيل مباشرة.
• التحدي: تفشل الدفاعات الحالية (مثل الخصوصية التفاضلية DP، أو تقليم النماذج MP) غالباً أمام الهجمات التكيفية والمتخفية (مثل هجمات VILLIAN أو SplitNN). في هذه الهجمات، يتم تصميم التضمينات المسمومة بحيث تتداخل توزيعاتها بشكل كبير مع التضمينات السليمة في فضاء الميزات الأصلي، مما يجعل من الصعب تمييزها باستخدام معايير الكشف عن الشذوذ الهندسي أو الإحصائي القياسية.

2. المنهجية: ProtoGuard-SL

يقترح المؤلفون ProtoGuard-SL، وهو آلية دفاع من جانب الخادم تستغل ملاحظة مفادها أنه بينما يمكن لهجمات الباب الخلفي التهرب من الكشف الهندسي، إلا أنها تؤدي حتماً إلى تعطيل الاتساق الدلالي (semantic consistency) المشترك بين العينات السليمة ضمن الفئة الواحدة.

تعمل الطريقة من خلال إطار عمل ذي مرحلتين:

المرحلة الأولى: تمثيل الاتساق القائم على النماذج الأولية (Prototype-Based Consistency Representation)

بدلاً من تحليل التضمينات في فضاءها عالي الأبعاد الأصلي، يقوم ProtoGuard-SL بتحويلها إلى فضاء علاقاتي يعتمد على النماذج الأولية للفئات.

1. بناء النموذج الأولي للفئة (Class Prototype Construction): يحسب الخادم نموذجاً أولياً قوياً ($p_c$) لكل فئة $c$ باستخدام الوسيط الإحداثي (coordinate-wise median) للتضمينات التي تنتمي لتلك الفئة. يُستخدم الوسيط لضمان المتانة ضد نسبة صغيرة من العينات المسمومة.
2. تحويل الاتساق (Consistency Transformation): يتم تحويل كل تضمين $E_k$ إلى متجه اتساق $v_k$. يتكون هذا المتجه من تشابه جيب التمام (cosine similarities) بين $E_k$ وجميع النماذج الأولية للفئات ($p_1, p_2, ..., p_{|C|}$).
   • الأثر: تظهر العينات السليمة أنماط تشابه مستقرة بالنسبة لنموذجها الأولي للفئة. أما العينات المسمومة، وبسبب التشويه الدلالي، فتنتج ملفات تعريف تشابه شاذة، مما يخلق فصلاً واضحاً في هذا الفضاء الجديد (كما هو موضح في الشكل 1 من الورقة).

المرحلة الثانية: التصفية الموحدة المشروطة بالفئة (Class-Conditional Conformal Filtering)

بمجرد رسم خرائط التضمينات في فضاء الاتساق، يقوم النظام بتحديد وإزالة الشذوذ دون افتراض توزيع معلمي (parametric distribution) محدد.

1. تسجيل الانحراف (Deviation Scoring): لكل فئة، يتم حساب نمط مرجعي ($\mu_c$) كمتوسط (median) لمتجهات الاتساق الخاصة بتلك الفئة. ويتم حساب درجة الانحراف ($s_k$) كالمسافة الإقليدية بين متجه التضمين والمرجع الخاص بفئته.
2. التصفية الموحدة (Conformal Filtering): يحسب النظام قيمة p-conformal لكل تضمين بناءً على ترتيبه بين درجات الانحراف الخاصة بفئته.
   • إذا كانت قيمة p أقل من مستوى المعنوية $\alpha$، يتم تعليم التضمين كعينة مسمومة وإزالته.
   • هذا النهج خالٍ من الافتراضات التوزيعية (distribution-free)، مما يجعله قوياً ضد تغيرات المقياس وعدم توازن الفئات.

3. المساهمات الرئيسية

1. تحديد خاصية جوهرية: تحدد الورقة اتساق التمثيل المشروط بالفئة كخاصية أساسية للتضمينات السليسة في التعلم المنقسم (SL)، وتوضح كيف تعطل هجمات الباب الخلفي هذه البنية حتى عندما تنجح في التهرب من الكشف الهندسي.
2. فضاء تمثيل مبتكر: اقتراح تمثيل اتساق قائم على النماذج الأولية يقوم بخرائط التضمينات إلى فضاء علاقاتي، مما يعزز بشكل كبير القدرة على الفصل بين العينات السليمة والمسمومة.
3. آلية تصفية متينة: تصميم مرشح موحد مشروط بالفئة وخالٍ من التوزيعات يعمل بفعالية على تخفيف الهجمات مع الحفاظ على البيانات السليمة وأداء النموذج العام، متجنباً الحاجة إلى افتراضات حول توزيع البيانات.

4. النتائج التجريبية

قام المؤلفون بتقييم ProtoGuard-SL على ثلاثة مجموعات بيانات (CIFAR-10، SVHN، و Bank Marketing) تحت ثلاثة سيناريوهات هجوم مختلفة (VILLAIN، SplitNN، و BadVFL).

• مقاييس الأداء:
  • الدقة الرئيسية (Main Accuracy - MA): تقيس أداء النموذج على البيانات السليمة.
  • معدل نجاح الهجوم (Attack Success Rate - ASR): يقيس نسبة العينات المحفزة التي تم تصنيفها خطأً كهدف.
• النتائج الرئيسية:
  • أداء رائد (SOTA): تفوق ProtoGuard-SL باستمرار على النماذج المرجعية (DP, MP, ANP, VFLIP). فقد حقق أعلى دقة رئيسية (MA) (غالباً >0.83) مع خفض معدل نجاح الهجوم (ASR) إلى مستويات قريبة من الصفر (0.03–0.08).
  • المقارنة مع النماذج المرجعية: فشلت الدفاعات الحالية إما في تقليل ASR بشكل كبير أو تسببت في انخفاض حاد في MA (على سبيل المثال، قلل VFLIP من ASR ولكن خفض MA بشكل كبير في CIFAR-10).
  • دراسات الاستئصال (Ablation Studies): أدى إزالة تمثيل الاتساق إلى أسوأ تدهور في الأداء، مما يؤكد دوره الحاسم.
  • القابلية للتوسع: حافظت الطريقة على متانة عالية مع زيادة عدد العملاء المشاركين (من 2 إلى 8)، بينما تدهورت الدفاعات المرجعية.
  • الاستقلالية عن البنية: عمل الدفاع بفعالية عبر مختلف بنيات نماذج القاع (ResNet-18, VGG-19, FCN).

5. الأهمية

• الأمن للتعلم الرأسي: تعالج هذه الورقة فجوة حرجة في أمن التعلم المنقسم الرأسي، وهو نموذج متزايد للتعاون الحفاظ على الخصوصية في قطاعات مثل الرعاية الصحية والتمويل.
• تخفيف الهجمات المتخفية: من خلال نقل تركيز الكشف من القيم المتطرفة الهندسية إلى الاتساق الدلالي، يواجه ProtoGuard-SL بفعالية هجمات الباب الخلفي التكيفية والمتطورة المصممة لتبدو "طبيعية" في فضاء الميزات الأصلي.
• النشر العملي: الطريقة تعمل من جانب الخادم، ولا تتطلب تغييرات في بنيات العملاء، ولا تعتمد على افتراضات توزيع صارمة، مما يجعلها عملية للغاية للنشر في البيئات الواقعية غير المتجانسة.

في الختام، يوفر ProtoGuard-SL حلاً متيناً، مؤصلاً نظرياً ومثبتاً تجريبياً لتأمين التعلم المنقسم الرأسي ضد هجمات الباب الخلفي على مستوى التضمين، محققاً توازناً بين الفائدة العالية للنموذج وضمانات أمنية قوية.