Scaling Exposes the Trigger: Input-Level Backdoor Detection in Text-to-Image Diffusion Models via Cross-Attention Scaling

إليك ملخص تقني مفصل للورقة البحثية بعنوان: "التحجيم يكشف المحفز: الكشف عن الباب الخلفي على مستوى المدخلات في نماذج الانتشار من النص إلى الصورة عبر تحجيم الانتباه المتقاطع."

1. بيان المشكلة

تعد نماذج الانتشار من النص إلى الصورة (T2I)، رغم قوتها، عرضة لـ هجمات الباب الخلفي (Backdoor Attacks). في هذه الهجمات، يقوم المهاجمون بتسميم النموذج بحيث يولد محتوى ضارًا محددًا (مثل محتوى غير لائق أو أجسام معينة) عند وجود "محفز" (Trigger) مخفي في نص الإدخال، بينما يتصرف بشكل طبيعي مع المدخلات السليمة.

التحدي الجوهري:
تعتمد طرق الدفاع الحالية على مستوى المدخلات (والتي تكتشف المدخلات الضارة أثناء الاستدلال دون تعديل النموذج) على الشذوذ الملحوظ، مثل عدم الاتساق الدلالي السطحي أو أنماط الانتباه غير الطبيعية تحت ظروف التوليد القياسية. ومع ذلك، فإن الهجمات الحديثة (مثل IBA و EvilEdit) تستخدم محفزات خفية تحافظ على المعنى ومدمجة بشكل طبيعي داخل النص. هذه الهجمات المتقدمة تلغي الشذوذ السطحي، مما يؤدي إلى تدهور الدفاعات الحالية بشكل كبير. تطرح الورقة السؤال التالي: هل يمكننا إيجاد اختلافات مستقرة، ضمنية، وغير مرتبطة بنوع المحفز بين المدخلات السليمة ومدخلات الباب الخلفي، والتي تظل قائمة حتى عندما تكون الشذوذات السطحية غير مرئية؟

2. الرؤية الجوهرية: تباعد استجابة تحجيم الانتباه المتقاطع (CSRD)

يقترح المؤلفون نهج "الاستقصاء النشط" (Active Probing). فبدلاً من المراقبة السلبية للنموذج، يقومون بتحفيز الآلية الداخلية بشكل نشط للكشف عن التناقضات الخفية.

• الآلية: يقدمون عمليات تحجيم اضطرابية متحكم بها ($\lambda$) لدرجات الانتباه المتقاطع (Cross-attention scores) داخل بنية UNet الخاصة بنموذج الانتشار.
• الملاحظة: عند تحجيم درجات الانتباه، تُظهر مدخلات الباب الخلفي والمدخلات السليمة أنماط تطور استجابة مختلفة جوهريًا عبر خطوات إزالة الضجيج (Denoising steps).
  • المدخلات السليمة: تُظهر تحولات سلسة ومتسقة في مخرجات الانتباه المتقاطع (متوسط مربع الخطأ MSE بالنسبة للحالة غير المحجمة).
  • مدخلات الباب الخلفي: تُظهر انحرافات أكبر، وأقل انتظامًا، ومختلفة بشكل منهجي.
• الأساس النظري: تثبت الورقة (النظرية 3.1) أنه بالقرب من عامل التحجيم القياسي ($\lambda=1$)، تمتلك المدخلات السليمة ومدخلات الباب الخلفي حساسيات استجابة من الدرجة الثانية مختلفة. وهذا يخلق تباينًا قابلًا للفصل محليًا في منحنيات إزاحة الاستجابة، بغض النظر عن تصميم المحفز المحدد.

3. المنهجية: إطار عمل SET

بناءً على ظاهرة CSRD، يقترح المؤلفون إطار عمل SET (التحجيم يكشف المحفز)، وهو إطار كشف على مستوى المدخلات يتكون من ثلاث مراحل:

أ. تحجيم استجابات الانتباه المتقاطع

1. الاضطراب: بالنسبة لنص إدخال معين، يقوم النظام بتطبيق عوامل تحجيم متعددة ($\lambda \in \Lambda$) على درجات الانتباه في طبقات الانتباه المتقاطع المختارة (تحديدًا من كتل الصعود والهبوط في UNet) وخطوات إزالة الضجيح.
2. استخراج الميزات: يقوم بحساب متوسط مربع الخطأ (MSE) بين الاستجابة المحجمة والاستجابة المرجعية (غير المحجمة).
3. بناء المتجه: يتم تجميع قيم MSE هذه عبر عوامل التحجيم، والطبقات، والخطوات لتشكيل متجه إزاحة استجابة التحجيم $f(x)$. يلتقط هذا المتجه ديناميكيات استجابة المدخلات متعددة المقاييس ومتعددة الخطوات.

ب. تعلم فضاء العينات السليمة

1. التضمين (Embedding): يقوم مشفر خفيف الوزن بمعالجة متجهات الإزاحة المعيارية من مجموعة صغيرة من العينات المرجعية السليمة لرسمها في فضاء تضمين منخفض الأبعاد.
2. تعلم الفئة الواحدة (One-Class Learning): باستخدام هدف الفئة الواحدة ذو الحدود الناعمة، يتعلم النموذج "منطقة سليمة" مدمجة (كرة فائقة - Hypersphere) ممركزة حول مركز سليم قوي $c$.
   • يقوم بتحسين نصف القطر $R$ ليشمل غالبية العينات السليمة مع تقليل تأثير القيم المتطرفة.
   • لا يتطلب هذا النهج أي معرفة بالهجوم ولا يتطلب الوصول إلى عينات الباب الخلفي أثناء التدريب.

ج. كشف المدخلات

1. التسجيل (Scoring): للمدخلات الاختبارية، يستخرج النظام متجه الإزاحة الخاص بها، ويقوم بتضمينه، ويحسب المسافة الإقليدية المربعة إلى المركز السليم المتعلم $c$.
2. القرار: إذا تجاوزت المسافة نصف القطر المتعلم $R$، يتم تصنيف المدخل كباب خلفي؛ وإلا فهو مدخل سليم.

4. المساهمات الرئيسية

1. اكتشاف CSRD: تحديد ظاهرة جديدة حيث يؤدي التحجيم المتحكم به للانتباه المتقاطع إلى إحداث تباعدات استجابة منهجية وقابلة للفصل بين المدخلات السليمة ومدخلات الباب الخلفي، حتى في ظل ظروف الهجوم الخفي.
2. إطار عمل SET: تطوير كاشف عملي على مستوى المدخلات يبني ميزات إزاحة الاستجابة ويتعلم فضاءً سليمًا مدمجًا دون الحاجة لمعرفة مسبقة بالهجوم أو إعادة تدريب النموذج.
3. المقاومة للخفاء: تم تصميم الطريقة خصيصًا للتغلب على قيود الدفاعات الحالية ضد المحفزات الضمنية التي تحافظ على المعنى.

5. النتائج التجريبية

قيم المؤلفون SET مقابل خمس هجمات باب خلفي ممثلة (Rickrolling, VillanDiffusion, BadT2I, EvilEdit, IBA) على مجموعة بيانات MS-COCO باستخدام Stable Diffusion v1.4.

• الأداء: تفوق SET باستمرار على جميع النماذج المرجعية (T2IShield, DAA, NaviT2I, UFID).
  • تحسن AUROC: تحسن بمتوسط +9.1% عن أفضل نموذج مرجعي.
  • تحسن الدقة (ACC): تحسن بمتوسط +6.5% عن أفضل نموذج مرجعي.
• المقاومة للهجمات الخفية: أظهر SET مكاسب قوية بشكل خاص ضد IBA (بنسبة 92.9% AUROC مقابل 5.5% لـ T2IShield CDA) وضد EvilEdit، حيث فشلت الطرق الحالية بسبب اعتمادها على الشذوذ السطحي.
• دراسات الاستئصال (Ablation Studies): أكدت أن:
  • استخدام طبقات الصعود والهبوط معًا هو الأمثل.
  • التحجيم ثنائي الاتجاه (سواء $\lambda < 1$ أو $\lambda > 1$) أمر بالغ الأهمية لالتقاط الإشارات المتكاملة.
  • التحجيم داخل دالة Softmax (قبل إسقاط القيمة) يعطي أفضل النتائج.
  • فحص أول خمس خطوات لإزالة الضجيج يوفر أفضل توازن بين قوة الإشارة والاستقرار.

6. الأهمية

يعالج هذا العمل فجوة حرجة في أمن الذكاء الاصطناعي: عدم القدرة على اكتشاف أبواب خلفية متطورة وخفية في النماذج التوليدية. من خلال الانتقة من المراقبة السلبية إلى الاستقصاء النشط لمسار حقن الشروط الداخلي، يوفر SET آلية كشف قوية وغير مرتبطة بنوع الهجوم. إن قدرته على العمل باستخدام مجموعة صغيرة فقط من العينات السليمة ودون معرفة بالهجوم تجعله مناسبًا جدًا للنشر في العالم الحقيقي في حالات استخدام النماذج من طرف ثالث وفلترة سلامة المحتوى.