Follow My Eyes: Backdoor Attacks on VLM-based Scanpath Prediction
تقدم هذه الورقة البحثية أول دراسة لهجمات الباب الخلفي على نماذج التنبؤ بمسار المسح القائمة على نماذج اللغة والرؤية (VLM)، حيث تُثبت أن هجمات المخرت المتغيرة المدركة للمدخلات يمكنها التلاعب بفعالية بتسلسلات فترات التثبيت البصري ومددها مع التهرب من الكشف والصمود عند النشر على الهواتف الذكية التجارية، في ظل عدم وجود دفاع حالي قادر على التخفيف من هذه التهديدات والحفاظ على فائدة النموذج في آن واحد.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تملك نظارات ذكية للغاية ومستقبلية (مثل نظارات الواقع المعزز عالية التقنية) يمكنها التنبؤ بدقة أين ستنظر لاحقاً.
كيف تعمل بشكل طبيعي:
ترتدي النظارات وتقول: "ابحث عن الشوكة". تنظر النظارات إلى الطاولة الفوضوية، وتتوقع أنك ستنظر إلى الطبق أولاً، ثم السكين، وأخيراً الشوكة. بناءً على هذا التنبؤ، تقوم النظارات فقط برسم صور عالية الجودة وحادة في المكان الذي ستنظر إليه، وصور ضبابية في الأماكن التي لن تنظر إليها. هذا يوفر البطارية ويجعل العالم يبدو فائق الوضوح. يسمى هذا التنبؤ بمسار المسح (Scanpath Prediction).
المشكلة (هجوم الباب الخلفي - Backdoor Attack):
اكتشف الباحثون في هذه الورقة طريقة مخيفة جديدة لاختراق هذه النظارات. لقد وجدوا أنه إذا قام شخص ما بـ "تسميم" بيانات التدريب (الدروس التي تتعلمها النظارات) قبل حتى أن يتم تصنيع النظارات، فيمكنه تثبيت باب خلفي سري.
تخقيل الأمر مثل جاسوس يعلّم طالباً مصافحة سرية. يتصرف الطالب بشكل مثالي في الفصل، ولكن إذا همس المعلم بكلمة رمزية معينة (المُحفِّز/Trigger)، يبدأ الطالب فجأة في القيام بشيء مختلف تماماً.
نوعا الاختراق:
حاول الباحثون نوعين من الاختراق، بالانتقال من محاولة خرقاء إلى محاولة ماكرة وغير مرئية.
1. الاختراق "الخرق" (المسار الثابت)
- الفكرة: يجبر المخترق النظارات على النظر دائماً إلى نفس البقعة بالضبط (مثل مركز الشاشة) كلما وُجد الرمز السري.
- التشبيه: تخيل مرشداً سياحياً يعرض لك المدينة عادةً. ولكن إذا قلت الكلمة السحرية "موز"، يتوقف المرشد فجأة، ويلتفت لينظر إلى طوبة معينة على جدار ما لبقية الجولة، متجاهلاً كل شيء آخر.
- النتيجة: من السهل كشف هذا. إذا راقبت سلوك المرشد، ستقول: "مهلاً، لماذا يحدق في تلك الطوبة في كل مرة يقول فيها شخص ما 'موز'؟ هذا غريب!" وجد الباحثون أن سلوك "التحديق في الطوبة" هذا يخلق أنماطاً واضحة يمكن لأنظمة الأمان رصدها.
2. الاختراق "الماكر" (المسار المتغير)
هذا هو الخطر الحقيقي. أدرك الباحثون أنه لكي تختبئ، يجب أن تتصرف النظارات بشكل طبيعي، ولكن بهدف خاطئ. لقد صمموا هجومين ماكرين:
الهجوم (أ): تبديل "الهدف الخاطئ"
- الفكرة: عندما يكون الرمز السري موجوداً، لا تزال النظارات تمسح الغرفة بشكل طبيعي، لكنها تبحث عن الشيء الخطأ.
- التشبيه: تقول للنظارات: "ابحث عن الشوكة". الرمز السري مخفي في كلمة "شوكة". لا تزال النظارات تمسح الطاولة، ولكن بدلاً من البحث عن الشوكة، تبدأ في البحث عن سكين. إنها تمسح الطاولة بمنطقية، بحثاً عن سكين، وتتوقف عندما تجده.
- لماذا هو خطير: بالنسبة للمراقب، تبدو النظارات وكأنها تعمل بشكل مثالي! فهي تمسح الطاولة وتجد شيئاً ما. لكنها تبحث عن الشيء الخطأ. إذا كانت النظارات تتحكم في ذراع روبوت أو مؤشر ليزر، فقد يمسك السكين بدلاً من الشوكة، أو يوجه الليزر نحو جسم خطير.
الهجوم (ب): تأخير "الحركة البطيئة"
- الفكرة: لا تزال النظارات تجد الشيء الصحيح، لكنها تتظاهر بأنها تستغرق وقتاً طويلاً جداً للعثود إليه.
- التشبيه: تسأل النظارات عن الشوكة. تجدها، لكنها تجعلك تنتظر 5 ثوانٍ إضافية لكل خطوة من خطوات البحث. الأمر يشبه نظام GPS يعرف الطريق، لكنه يقرر القيادة بالحركة الببطيئة، مما يجعلك تتأخر عن موعدك.
- لماذا هو خطير: في المواقف سريعة الوتيرة (مثل السيارات ذاتية القيادة أو الروبوتات الجراحية)، يمكن لتأخير بضع ثوانٍ أن يسبب حادثاً أو خطأً.
"المُحفِّز" (الرمز السري):
كيف يفعل المخترقون هذا؟ يستخدمون حيلًا صغيرة وغير مرئية:
- بصرية: مربع أبيض صغير على الصورة لا يمكنك رؤيته حقاً.
- نصية: "مسافة صفر العرض" (مسافة حرف لا تشغل أي مساحة) مخفية داخل الكلمة التي تكتبها. إنها مثل شبح في الآلة.
- متعدد الوسائط: مزيج من كليهما.
هل يمكننا إيقاف ذلك؟ (الدفاعات)
حاول الباحثون إصلاح هذه النظارات المخترقة باستخدام أدوات أمنية قياسية (مثل إعادة تدريب النموذج أو استئصال الأجزاء السيئة من "الدماغ").
- النتيجة: إنها كارثة. لم تنجح أي من الدفاعات بشكل مثالي.
- بعض الدفاعات أوقفت الاختراق ولكنها أفسدت عمل النظارات (لم تعد قادرة على إيجاد الشوك).
- بعض الدفاعات أبقت النظارات تعمل ولكنها فشلت في إيقاف الاختراق.
- الأمر يشبه محاولة إزالة السم من كعكة دون إفساد طعمها أو قوامها. لا يمكنك فعل ذلك بسهولة.
المسمار الأخير في النعش (الهواتف المحمولة)
اختبر الباحثون هذه النظارات المخترقة على هواتف ذكية حقيقية (جديدة وقديمة على حد سواء). حتى بعد تقليص حجم البرمجيات لتناسب الهاتف (عملية تسمى "الكمنتة" أو Quantization)، ظل الباب الخلفي السري يعمل. لا تزال النظارات تبحث عن السكاكين بدلاً من الشوك، أو تبطئ عملية البحث، حتى على جهازك في جيبك.
الخلاصة الكبرى
هذه الورقة هي بمثابة جرس إنذار. نحن نبني أنظمة ذكاء اصطناعي تتحكم في كيفية رؤيتنا للعالم (في الواقع المعزز، والواقع الافتراضي، والأجهزة المحمولة). إذا لم يؤمن الأشخاص الذين يبنون هذه الأنظمة "الدروس" التي يتعلمها الذكاء الاصطناعي، يمكن للمخترق أن يعيد برمجة الذكاء الاصطري سراً لجعله ينظر إلى الأشياء الخاطئة أو يتحرك ببطء شديد، وقد لا نلاحظ ذلك حتى فوات الأوان. "عيون" تقنيتنا يمكن خداعها لتتبع مسار مختلف.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.