💻 computer science

From Measurement to Mitigation: Quantifying and Reducing Identity Leakage in Image Representation Encoders with Linear Subspace Removal

تقدم هذه الورقة إطار عمل شامل لتدقيق الخصوصية للمشفرات البصرية المجمدة، وتقترح مسقطاً خطياً بلمسة واحدة، وهو إسقاط تطهير الهوية (ISP)، الذي يخفف بفعالية من تسرب الهوية في الصور التي تحتوي على وجوه مع الحفاظ على الفائدة للمهام غير البيومترية مثل الاسترجاع والبحث.

المؤلفون الأصليون: Daniel George, Charles Yeh, Daniel Lee, Yifei Zhang

نُشر 2026-04-08

📖 5 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Daniel George, Charles Yeh, Daniel Lee, Yifei Zhang

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك كاميرا فائقة الذكاء لا تكتفي فقط بالتقاط الصور، بل تحول كل صورة إلى بصمة رقمية فريدة (قائمة من الأرقام). تُستخدم هذه البصمة للعثور على الصور المتشابهة، أو التحقق مما إذا كانت الوثيقة حقيقية، أو تنظيم مكتبة الصور الخاصة بك.

ما هي المشكلة؟ على الرغم من أن هذه الكاميرا صُنعت لفهم الأجسام (مثل السيارات، الأشجار، أو القطط)، إلا أنها تعلمت بالصدفة التعرف على الأشخاص أيضًا. إذا سلمت هذه البصمة لمتسلل (هكر)، فقد يتمكن من معرفة من الموجود في الصورة بالضبط، حتى لو لم تكن ترغب في أن يعرف ذلك. وهذا ما يسمى بـ تسريب الهوية (Identity Leakage).

هذه الورقة البحثية تشبه فريقًا من خبراء الأمن الرقمي الذين تساءلوا: "كم من هوية الشخص تختبئ في هذه البصمات، وهل يمكننا تنظيفها دون إفساد قدرة الكاميرا على القيام بعملها؟"

إليك تفصيل عملهم باستخدام بعض التشبيهات من الحياة اليومية:

1. المشكلة: "أمين المكتبة شديد الانتباه"

تخيل أمين مكتبة (الذكاء الاصطنا-ي) تم توظيفه لتنظيم الكتب حسب النوع الأدبي. ولكن، لأنها ذكية جدًا، فقد حفظت أيضًا وجه المؤلف الموجود على كل غلاف.

المخاطرة: إذا سألتها: "جد لي كتابًا لهذا المؤلف"، يمكنها فعل ذلك فورًا. ولكن إذا كنت تريد فقط العثور على "خيال علمي"، فقد تكشف بالخطأ عن هوية المؤلف بمجرد طريقة تصنيفها للكتب.
الواقع: نماذج الذكاء الاصطناعي الحديثة (مثل CLIP أو DINO) تشبه أمين المكتبة هذا. فهي بارعة في العثور على صور متشابهة، لكنها تحتفظ بالخطأ بـ "ملف وجوه" داخل بياناتها.

2. التحقيق: "تدقيق الخصوصية"

قبل إصلاح المشكلة، احتاج الفريق إلى قياس مدى سوء الأمر. لم يتكهنوا فحًا، بل تصرفوا كمتسللين لاختبار النظام.

اختبار "الإنذارات الكاذبة المنخفضة": حاولوا تحديد الأشخاص في الصور ولكنهم وضعوا قواعد صارمة للغاية بحيث لن يقبلوا أي تطابق إلا إذا كانوا متأكدين بنسبة 99.99%.
- النتيجة: نماذج "التعرف على الوجوه" (المصممة لمعرفة الوجوه) كانت واضحة. لكن النماذج "العامة" (المصممة للأجسام) كانت جيدة في ذلك بشكل مفاجئ أيضًا، وخاصة نموذج CLIP. كان الأمر أشبه باكتشاف أن أمينة المكتبة تحتفظ سرًا بألبوم صور لكل مؤلف.
اختبار "إعادة بناء الوجه": حاولوا استخدام البصمة الرقمية لإعادة رسم وجه الشخص من الصفر باستخدام الذكاء الاصطناني.
- النتيجة: بالنسبة لنماذج الوجوه المخصصة، استطاعوا رسم وجه مثالي. أما بالنسبة للنماذج العامة، فقد جاءت الرسومات على شكل كتل ضبابية غير قابلة للتمييز. كان هذا خبرًا جيدًا! فهذا يعني أن "ملف الوجه" لم يكن قويًا في الأصل.

3. الحل: "ممحاة الهوية" (ISP)

اخترع الفريق أداة تسمى إسقاط تطهير الهوية (Identity Sanitization Projection - ISP). فكر في هذا كأنه منخل رقمي أو فلتر للخصوصية.

كيف يعمل:
تخيل أن البصمة الرقمية هي "سموذي" ضخم ومعقد مكون من مكونات عديدة (ألوان، أشكال، وجوه، خلفيات).
1. قام الفريق بتحليل "السموذي" وأدركوا أن "نكهة الوجه" تتركز في مكونات محددة فقط (فضاء فرعي صغير).
2. قاموا ببناء فلتر (جهاز إسقاط ISP) يقوم بإزالة تلك "مكونات الوجه" المحددة فقط.
3. الأمر الحاسم: هم يتركون جميع المكونات الأخرى (الخلفية، الإضاءة، أشكال الأجسام) كما هي تمامًا.
النتيجة:
- الخصوصية: إذا حاولت استخدام "مكونات الوجه" لتحديد هوية الشخص الآن، فإن المنخل قد أزالها. سيحصل المتسلل على نتيجة "بالصدفة" (مثل تخمين اسم من قبعة).
- المنفعة: لا يزال "السموذي" له نفس الطعم لكل شيء آخر! لا يزال بإمكانك العثقل على سيارات متشابهة، أو اكتشاف الصور المنسوخة، أو تنظيم الصور حسب المشهد. لقد اختفى "الوجه"، لكن "المنفعة" بقيت.

4. اكتشاف "الفلتر العالمي"

أحد أروع الاكتشافات كان أن هذا الفلتر قابل للنقل.

قاموا ببناء الفلتر باستخدام صور لأشخاص من قاعدة بيانات (أ) (مثل قاعدة بيانات للمشاهير).
ثم طبقوا نفس هذا الفلتر على قاعدة بيانات (ب) (مجموعة أخرى من الناس).
السحر: لقد نجح الأمر بشكل مثالي تقريبًا! هذا يعني أن "جزء الوجه" في عقل الذكاء الاصطناعي هو أمر عالمي. لست بحاجة لبناء فلتر جديد لكل مجموعة جديدة من الناس؛ فلتر واحد يمكنه تطهير البيانات للجميع.

5. لماذا هذا مهم؟

في العالم الحقيقي، تحتاج الشركات (مثل البنوك أو وسائل التواصل الاجتماعي) إلى التحقق مما إذا كانت الصورة حقيقية أو ما إذا كانت صورتان متطابقتين، لكنها غالبًا لا تستطيع استخدام التعرف على الوجو بسبب قوانين الخصوصية الصارمة (مثل GDPR).

قبل هذه الورقة: كانوا عالقين. لم يكن بإمكانهم استخدام أدوات الذكاء الاصطناعي القوية لأنهم كانوا يخشون تسريب بيانات الوجه الخاصة عن طريق الخطأ.
بعد هذه الورقة: يمكنهم استخدام هذه الأدوات القوية، وتمريرها عبر فلتر ISP، ويكونوا واثقين من أن "الوجه" قد تمت إزالته رياضيًا، بينما لا تزال الأداة تعمل بشكل رائع لمهمتها المقصودة.

ملخص التشبيه

فكر في نموذج الذكاء الاصطنا-ي كأنه حارس أمن عالي التقنية.

المشكلة: الحارس بارع جدًا في رصد الوجوه لدرجة أنه لا يستطيع منع نفسه من الهمس باسم الشخص لأي شخص يسأل، حتى عندما تريد فقط معرفة ما إذا كان يرتدي قميصًا أحمر.
الحل: وضع الفريق كمامة على الحارس (فلتر ISP). لم يعد بإمكان الحارس الهمس بالأسماء (الهوية)، لكنه لا يزال بإمكانه رصد القمصان الحمراء بدقة، والتحقق من الهويات المزورة، وتنظيم الحشود. لا يزال مفيدًا، ولكنه أصبح الآن آمنًا للاستخدام في بيئة خاصة.

تثبت هذه الورقة أن بإمكاننا الحصول على كل شيء (ذكاء اصطناعي قوي) والحفاظ عليه في نفس الوقت (الخصوصية)، طالما عرفنا كيفية قطع الأجزاء الخطيرة.

إليك ملخص تقني مفصل للورقة البحثية بعنوان: "من القياس إلى التخفيف: تقدير وتقليل تسرب الهوية في مشفرات التمثيل الصوري عبر إزالة الفضاء الجزئي الخطي."

1. بيان المشكلة

تُستخدم المشفرات البصرية المجمدة (مثل CLIP، وDINOv2/v3، وSSCD) على نطاق واسع في عمليات الاسترجاع، والتحقق من السلامة، وكشف التكرار. ومع ذلك، عند تطبيقها على بيانات تحتوي على وجوه، تقوم هذه النماذج دون قصد بتشفير معلومات الهوية البيومترية، مما يخلق مخاطر تتعلق بالخصوصية.

الفجوة: بينما صُممت أنظمة التعرف على الوجوه (FR) لتكون بيومترية، فإن المشفرات غير المخصصة للتعرف على الوجب ليست كذلك. وتعتبر عمليات تدقيق الخصوصية الحالية لهذه المشفرات غير كافية لأنها تعتمد غالبًا على دقة المجموعة المغلقة (closed-set accuracy) أو خرائط البروز النوعية (qualitative saliency maps) بدلاً من المقاييس المفتوحة (open-set metrics) والمعايرة وفقاً لهجوم المهاجم عند معدلات قبول كاذب (FAR) منخفضة.
الخطر: يفتقر المشغلون إلى طريقة معتمدة لتحديد ما إذا كانت هذه التضمينات (embeddings) "آمنة" للاستخدام بموجب لوائح الخصوصية الصارمة (مثل GDPR، وCCPA) دون موافقة بيومترية صريحة. هناك حاجة لتقدير كمية تسرب الهوية عند العتبات التشغيلية (على سبيل المثال، $FAR \approx 10^{-4}$ ) وتوفير وسيلة تخفيف قابلة للنشر تحافظ على المنفعة.

2. المنهجية

يقترح المؤلفون نهجًا ذا شقين: مجموعة قياس شاملة لتقدير كمية التسرب، وتقنية تخفيف لإزالة معلومات الهوية.

أ. مجموعة القياس (تدقيق مدرك للمهاجم)

تقدم الورقة معيارًا مصممًا لمحاكاة سيناريوهات هجومية واقعية:

التحقق من المجموعة المفتوحة عند FAR منخفض: استخدام نماذج استقراء خطية (Ridge regression) ومرشحات (MLPs) تعتمد على الإسقاط فقط لقياس معدل القبول الحقيقي (TAR) عند معدل قبول كاذب (FAR) منخفض جدًا ( $10^{-4}$ ) للهويات غير المرئية مسبقًا. يختبر هذا ما إذا كانت الهوية متاحة خطيًا في فضاء التضمين.
قلب القوالب المعاير (Calibrated Template Inversion): تقييم ما إذا كان بإمكان المهاجم إعادة بناء وجه من التضمين باستخدام مقدمات الانتشار (Diffusion Priors) مثل (DiffMI) أو هجمات توليدية أخرى (Bob، وVec2Face، وALSUV). يتم الحكم على النجاح عبر التحقق من التعرف على الوجوه عبر نماذج متعددة.
نسب الهوية إلى السياق (Face–Context Attribution): لفهم أين تكمن الهوية، قدم المؤلفون ثلاثة تشخيصات مع تطبيع نسبة تغطية الوجه (FCR) لضمان مقارنة عادلة عبر مختلف قصاصات الصور:
- مؤشر أهمية الوجه (FII): يقيس الفرق في انخفاض التشابه عند حجب الوجه مقابل الخلفية.
- مؤشر تفضيل السياق (CPI): يتتبع عدد المرات التي يفضل فيها الوجه المموه صورة مطابقة للسياق على صورة مطابقة للهوية.
- عتبة كشف الخلفية ( $B^*$ ): تحدد مقدار المعلومات التي يجب الكشف عنها من الخلفية ليتمكن السياق من التغلب على الهوية.

ب. التخفيف: إسقاط تطهير الهوية (ISP)

يقترح المؤلفون ISP، وهو مسقط (projector) خفيف الوزن، يعمل لمرة واحدة (one-shot)، ولاحق (post-hoc)، يقوم بإزالة الفضاء الجزئي للهوية مع الحفاظ على الفضاء المكمل اللازم للمنفعة.

الآلية:
1. حساب متوسط التضمين لكل هوية ( $\mu_i$ ) والمتوسط العام ( $\mu_C$ ).
2. إنشاء مصفوفة المتوسط المركزية $M = [\mu_1 - \mu_C, \dots, \mu_m - \mu_C]$ .
3. إجراء تحليل القيم المفردة (SVD) على $M$ لتحديد المتجهات المفردة العليا ( $U_r$ ) التي تمثل فضاء الهوية الجزئي.
4. إسقاط التضمينات على المتمم المتعامد: $P = I - U_r U_r^\top$ .
5. التضمين المطهر هو $\tilde{z} = Pz / \|Pz\|_2$ .
المزايا: إنها طريقة مغلقة (closed-form) تعتمد على العزوم (moment-based)، لا تتطلب تدريبًا تنافسيًا تكراريًا، وهي مستقرة عددياً، وتنتج مصفوفة ثابتة $P$ يمكن تصديرها إلى أي مسار عمل بزمن استجابة أقل من ميلي ثانية.

3. المساهمات الرئيسية

أول تدقيق معاير للمهاجم: يوفر أول تقييم للمجموعة المفتوحة ومعدل FAR منخفض لنماذج DINOv2 وDINOv3 وSSCD بجانب CLIP، متجاوزًا مجرد دقة المجموعة المغلقة.
إسقاط تطهير الهوية (ISP): مسقط خطي مبتكر يعمل لمرة واحدة، يزيل الفضاءات الجزئية للهوية دون الحاجة لإعادة تدريب المشفر.
دليل تجريبي على قابلية النقل: يثبت أن الفضاء الجزئي للهوية الذي تم تقديره مدمج وقابل للنقل عبر مجموعات البيانات (على سبيل المثال، المسقط المدرب على CelebA يعمل على VGGFace2).
تشخيصات شاملة: يقدم مقاييس نسبة FCR المعتمدة (FII، وCPI، و $B^*$ ) للتمييز بين المشفرات المهيمنة بالوجه (FR) والمشفرات المهيمنة بالسياق (غير FR).

4. النتائج الرئيسية

أ. تقدير كمية التسرب

إمكانية الوصول الخطي: في التضمينات الخام، تُظهر المشفرات غير المخصصة للتعرف على الوجوه (DINOv2/v3، وSSCD) إمكانية وصول خطية منخفضة ولكن غير صفرية للهوية عند FAR منخفض. يُظهر CLIP تسربًا أعلى نسبيًا.
قلب القوالب: تفشل المشفرات غير المخصصة للتعرف على الوجوه في إعادة بناء الوجوه عبر الانتشار أو الهجمات التوليدية الأخرى (معدلات التحقق تقترب من 0%)، بينما تحقق نماذج التعرف على الوجوه (ArcFace) نجاحًا بنسبة 67-100%. يشير هذا إلى أن إشارات الهوية في المشفرات غير المخصصة للتعرف على الوجوه ضعيفة جدًا بحيث لا يمكن استغلالها بواسطة المقدمات التوليدية الحالية.
هيمنة السياق: وُجد أن المشفرات غير المخصصة للتعرف على الوجوه هي مهيمنة بالسياق تحت اختبارات الضغط (المعلومات الخلفية غالبًا ما تفوق الميزات الوجهية)، بينما النماذج المخصصة للتعرف على الوجوه هي حصريًا مهيمنة بالوجه.

ب. فعالية التخفيف (ISP)

الخصوصية: يدفع ISP الوصول الخطي (TAR) إلى مستويات قريبة من الصدفة (غالبًا <1% أو 0%) عبر جميع المشفرات غير المخصصة للتعرف على الوجوه عند $FAR=10^{-4}$ .
قابلية النقل: يحتفظ المسقط المدرب على مجموعة بيانات واحدة (مثل CelebA) بفعالية عالية عند تطبيقه على مجموعة أخرى (مثل VGGFace2)، مما يؤكد أن الفضاء الجزئي للهوية مستقل عن مجموعة البيانات.
الحفاظ على المنفعة: يحافظ ISP على المنفعة اللاحقة. في تصنيف ImageNet وكشف النسخ DISC2021، تكون الانخفاضات في الأداء ضئيلة (غالبًا <1-2%)، وهي مماثلة أو أفضل من الطرق الموجودة مثل LEACE.
القوة غير الخطية: حتى بعد تطبيق ISP، تفشل المسابر غير الخطية (MLP) في استعادة الهوية، مما يشير إلى أن الفضاء الجزئي الذي تمت إزالته احتوى على الجزء الأكبر من الإشارة التي يمكن للمهاجمين المتوسطين الوصول إليها.

5. الأهمية والتأثير

المقايضة بين الخصوصية والمنفعة: تثبت الورقة أنه من الممكن تحقيق ضمانات خصوصية قوية (إزالة الهوية الخطية) دون التضحية بمنفعة التضمينات البصرية لمهام مثل البحث وكشف التكرار.
الامتثال التنظيمي: توفر طريقة قابلة للتدقيق والممارسة للمؤسسات لتشغيل المشفرات المجمدة على بيانات تحتوي على وجوه مع الامتثال للوائح الخصوصية الصارمة التي تحظر المعالجة البيومترية.
الجاهزية للنشر: عملية ISP رخيصة حاسوبيًا (عملية SVD واحدة، وضرب مصفوفة ثابتة) ولا تتطلب إعادة تدريب، مما يجعلها قابلة للتطبيق الفوري في مسارات الإنتاج الحالية.
معيار جديد للتدقيق: تضع المقاييس المقترحة (Open-set TAR@low-FAR، وقلب القوالب المعاير، والنسب المعتمدة على FCR) معيارًا جديدًا لتقييم الخصوصية في نماذج الرؤية العامة، متجاوزةً قيود دقة المجموعة المغلقة.

في الختام، تؤسس الورقة إلى أنه بينما تسرب المشفرات البصرية المجمدة معلومات الهوية، فإن هذا التسرب يتركز في فضاء جزئي خطي مدمج. ومن خلال تطبيق إسقاط تطهير الهوية (ISP) المقترح، يمكن للمشغلين "تطهير" هذه التضمينات بفعالية، مما يسمح باستخدامها بأمان في التطبيقات الحساسة للخصوصية.