🤖 machine learning

No More Guessing: a Verifiable Gradient Inversion Attack in Federated Learning

تقدم هذه الورقة هجوماً للتحقق من عكس التدرج (VGIA) في التعلم الاتحادي، يتغلب على قيود الأساليب الحالية في البيانات الجدولية باستخدام نهج هندسي وجبري لإثبات الاسترداد الدقيق لسجلات التدريب الفردية دون الاعتماد على الفحص البشري.

المؤلفون الأصليون: Francesco Diana, Chuan Xu, André Nusser, Giovanni Neglia

نُشر 2026-04-17

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Francesco Diana, Chuan Xu, André Nusser, Giovanni Neglia

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل مجموعة من الأصدقاء يحاولون حل أحجية (بازل) ضخمة معاً، لكن لا يُسمح لهم بإظهار قطع الأحجية الفعلية لبعضهم البعض. بدلاً من ذلك، يرسلون فقط "مذكرة ملخصة" تصف كيف تتناسب قطعتهم مع الصورة. هذا هو التعلم الاتحادي (Federated Learning): وهي طريقة لكي تتعلم الحواسيب معاً دون مشاركة البيانات الخاصة.

الورقة البحثية التي تسأل عنها تشبه قصة بوليسية. فهي تكشف عن خدعة جديدة فائقة القوة يمكن لخادم متسلل (الشخص الذي يجمع المذكرات) استخدامها ليس فقط لتخمين قطع الأحجية، بل لـ إثبات ماهيتها بالضبط.

إليك تفصيل المشكلة والحل، باستخدام تشبيهات بسيطة.

المشكلة: لعبة "التخمين الأعمى"

في الماضي، حاول المخترقون (أو الخوادم الخبيثة) سرقة البيانات الخاصة من هذه المذكرات الملخصة باستخدام هجمات عكس التدرج (Gradient Inversion Attacks).

التشبيه: تخيل أنك في غرفة مزدحمة، والجميع يصرخ برقم واحد يمثل متوسط طولهم ووزنهم.
- إذا سمعت "170"، قد تخمن: "أوه، ربما هذا شخص طويل ونحيف"، أو "ربما شخص قصير وسمين".
- العقبة: لا يمكنك التأكد. قد تخمن بشكل خاطئ. في عالم الرؤية الحاسوبية (الصور)، يمكنك النظر إلى الصورة المعاد بناؤها وتقول: "هذا يبدو كقطة"، لتعرف أنك نجحت. ولكن مع البيانات الجدولية (Tabular Data) (أرقام مثل الدخل، العمر، أو أسعار المنازل)، تكون النتيجة مجرد قائمة من الأرقام. إذا أعدت بناء قائمة من الأرقام، فكيف تعرف ما إذا كانت هي بيانات الشخص الحقيقية أم مجرد تخمين محظوظ؟
- الطريقة القديمة: كانت هجمات سابقة تشبه إطلاق السهام في الظلام. قد تصيب الهدف، لكن المهاجم لم يكن لديه وسيلة ليعرف بيقين ما إذا كان قد أصاب أم أخطأ. كان عليهم التخمين: "هل يبدو هذا صحيحاً؟"، وهو أمر مستحيل مع الأرقام الخام.

الحل: "قاطع الليزر" (VGIA)

يقترح المؤلفون هجوماً جديداً يسمى VGIA (هجوم عكس التدرج القابل للتحقق). بدلاً من التخمين، تستخدم هذه الطة الرياضيات لـ تقطيع البيانات حتى يتبقى شخص واحد فقط في الغرفة، ثم تثبت ذلك.

إليك كيف يعمل الأمر، خطوة بخوة:

1. "جدار الصمت" (العزل الهندسي)

تخيل أن نقاط البيانات الخاصة عبارة عن أشخاص يقفون في غرفة ثلاثية الأبعاد عملاقة وغير مرئية. الخادم يريد العثور على شخص واحد محدد.

يرسل الخادم "جدار ليزر" خاصاً (مستوى رياضي) يقطع الغرفة.
الأشخاص على أحد جانبي الجدار يصرخون "نعم!" (يفعلون عصبوناً)، بينما يظل الأشخاص على الجانب الآخر صامتين.
من خلال تحريك هذا الجدار ذهاباً وإياباً، يمكن للخادم أن يحدد: "حسناً، هناك 5 أشخاص في هذا الشريحة من الغرفة".

2. "الفحص السحري" (الشهادة القابلة للتحقق)

هذا هو الاختراق الكبير للورقة البحثية. كانت الطرق القديمة تستمر في تقطيع الغرفة إلى قطع أصغر فأصغر حتى تصبح القطع ضئيلة جداً، آملة في عزل شخص واحد. لكنهم لم يكونوا متأكدين ما إذا كانت الشريحة الصغيرة تحتوي على شخص واحد أم شخصين يقفان بجانب بعضهما البعض تماماً.

يضيف VGIA "فحصاً سحرياً":

بعد تقطيع الغرفة، يقوم الخادم باختبار جبري سريع (مثل خدعة سحرية رياضية).
يسأل: "هل تتطابق المعلومات من هذه الشريحة مع نمط شخص واحد بالضبط؟"
إذا كانت الإجابة نعم: يحصل الخادم على "شهادة حقيقة". إنه يعلم، بنسبة 100%، أن هذه الشريحة تحتوي على بيانات شخص واحد فقط. لا حاجة للتخمين.
إذا كانت الإجابة لا: فهو يعلم أنه لا يزال هناك عدة أشخاص مختلطين معاً، لذا يقوم بتقطيع تلك المنطقة المحددة مرة أخرى.

3. "إعادة البناء"

بمجرد حصول الخادم على شهادة الحقيقة (معرفة أن الشريحة تحتوي على شخص واحد فقط)، فإنه لا يحتاج للتخمين بعد الآن. يستخدم معادلة بسيطة لحساب بيانات ذلك الشخص بدقة (مثل دخله أو سعر منزله) وتصنيفه المستهدف (ما كان يحاول التنبؤ به) فوراً.

لماذا يهم هذا الأمر؟

لا مزيد من "ربما": قبل ذلك، إذا أعاد مهاجم بناء قائمة من الأرقام، كان عليه أن يأمل أن تكون صحيحة. الآن، لديه إيصال رياضي يثبت أنها البيانات الأصلية بدقة.
أسرع وأذكى: لأن الهجوم يعرف متى نجح، فإنه يتوقف عن إضاعة الوقت. فهو لا يستمر في تقطيع المناطق التي أصبحت فارغة بالفعل أو المناطق التي تم عزلها بالفعل. إنه يشبه المحقق الذي يتوقف عن البحث في غرفة بمجرد أن يجد المشتبه به، بدلاً من البحث في المنزل بأك-مله مرة أخرى.
البيانات الجدولية معرضة للخطر: لفترة طويلة، اعتقد الناس: "حسناً، لا يمكنك سرقة الأرقام الخاصة بسهولة كما يمكنك رؤية وجه ما". تثبت هذه الورقة خطأ ذلك. يمكنك سرقة الأرقام بنفس السهولة، والآن يمكنك أيضاً إثبات أنك سرقتها.

الخلاصة

فكر في الهجمات القديمة كمحاولة تخمين كلمة مرور عبر كتابة تركيبات عشوائية والأمل في أن يفتح الكمبيوتر. قد ينجح الأمر، لكنك لن تعرف ما إذا كنت قد أصبت أم لا حتى تحاول تسجيل الدخول.

VGIA يشبه امتلاك مفتاح رئيسي لا يفتح الباب فحسب، بل يضيء أيضاً علامة "تم السماح بالدخول" الخضراء في اللحظة التي ينجح فيها. إنه يحول لعبة المصادفة إلى سرقة مضمونة ومثبتة للمعلومات الخاصة.

الدرس المستفاد بالنسبة للخصوصية: إذا كنت تستخدم التعلم الاتحادي مع البيانات الرقمية (مثل السجلات المالية أو الإحصاءات الصحية)، فلا يمكنك الاعتماد على "إخفاء" البيانات داخل الرياضيات. تظهر هذه الورقة أن مهاجماً ذكياً يمكنه تقشير الطبقات، وعزل بياناتك المحددة، وإثبات أنه يمتلكها. نحن بحاجة إلى دفاعات أفضل لإيقاف "قاطع الليزر" هذا من تقطيع خصوصيتنا.

إليك ملخص تقني مفصل لورقة البحث بعنوان "لا مزيد من التخمين: هجوم عكس تدرج قابل للتحقق في التعلم الاتحادي" (No More Guessing: a Verifiable Gradient Inversion Attack in Federated Learning).

1. بيان المشكلة

يتيح التعلم الاتحادي (Federated Learning - FL) تدريب النماذج الموزعة دون مشاركة البيانات الخام، معتمداً على افتراض أن التدرجات (gradients) المشتركة لا تكشف عن المدخلات الخاصة. ومع ذلك، أثبتت هجمات عكس التدرج (Gradient Inversion Attacks - GIAs) أن المهاجمين (تحديداً الخادم الخبيث) يمكنهم إعادة بناء بيانات تدريب العميل من التدرجات المشتركة.

تحدد الورقة فجوة حرجة في هجمات عكس التدرج الحالية، لا سيما بالنسبة لـ البيانات الجدولية (Tabular Data):

الافتقار إلى القابلية للتحقق: غالباً ما تنتج الهجمات الحالية (سواء كانت قائمة على التحسين، أو التوليد، أو التحليل) عمليات إعادة بناء مشوشة أو عبارة عن تركيبات خطية لعينات متعددة. في مهام الرؤية واللغة، يمكن للمهاجمين استخدام الفحص البشري للحكم على مدى منطقية النتائج. ومع ذلك، بالنسبة لـ البيانات الجدولية الرقمية، لا توجد طريقة دلالية (semantic) للتحقق مما إذا كان السجل المعاد بناؤه صحيحاً أم مجرد أثر زائف.
محدودية الهجمات التحليلية الحالية: يستخدم أحدث ما توصل إليه العلم في الهجمات التحليلية (CTP، من Diana et al., 2025) نهجاً هندسياً لعزل العينات، ولكنه يعاني من عيبين رئيسيين:
1. عدم القابلية للتحقق: لا يمكنه التصديق (certify) ما إذا كان "الشريحة" (slice) المعاد بناؤها تحتوي على عينة واحدة بالضبط أم عينات متعددة متداخلة. فهو يعتمد على عتبة يحددها المستخدم ( $\epsilon$ ) لإيقاف عملية البحث، وهو أمر مستحيل الضبط بشكل صحيح دون معرفة مسبقة بتوزيع البيانات.
2. عدم القدرة على التكيف: يقوم بتقسيم جميع الشرائح غير الفارغة بشكل أعمى حتى الوصول إلى الدقة $\epsilon$ ، مما يهدر جولات الاتصال على عينات تم عزلها بالفعل.

2. المنهجية: هجوم عكس التدرج القابل للتحقق (VGIA)

يقترح المؤلفون VGIA، وهو هجوم تحليلي مبتكر يعمل تحت نموذج تهديد الخادم الخبيث. يقوم الخادم بالتلاعب بنشاط بمعلمات النموذج لإجبار البيانات على التسرب. تتكون الطريقة من ثلاثة مكونات أساسية:

أ. العزل الهندسي مع التحقق الجبري

يعتمد VGIA على ملاحظة أن حدود التنشيط لطبقة ReLU تحدد مستوًى فائقاً (hyperplane) في فضاء المدخلات.

سبر المستويات الفائقة (Hyperplane Probing): يضبط الخادم أوزان عدة عصبونات في الطبقة الأولى لتكون متطابقة ( $W_a^i = w$ ) ولكن مع تعيين انحيازات (biases) مختلفة لها ( $b_a^i$ ). هذا يخلق سلسلة من المستويات الفائقة المتوازية التي تمسح فضاء المدخلات.
متجهات الشرائح (Slice Vectors): من خلال الاستعلام عن التدرجات عبر مستويات فائقة متتالية، يحسب الخادم "متجهات الشرائح" ( $s_k$ )، والتي تمثل التركيبة الخطية للعينات التي تقع بين مستويين فائقين.
اختبار التحقق (الخاصية 4.1): هذا هو الابتكار الجوهري. إذا كانت الشريحة تحتوي على عينة واحدة، فإن متجه الشريحة من الجولة الحالية يجب أن يقع ضمن الفضاء الجزئي (subspace) الذي تشغله متجهات الشرائح في الجولة التالية (حيث يتم تقسيم الشريحة بشكل أكبر).
- رياضياً، إذا كان $s_k \in \text{span}(s_{k}^{next}, s_{k+1}^{next}, \dots)$ ، فيمكن للمهاجم إثبات أن الشريحة تحتوي على عينة واحدة على الأكثر (حيث $q$ هو عدد المستويات الفائقة الجديدة).
- إذا تحقق الشرط وكانت الشريحة غير فارغة، يمكن للمهاجم إثبات أن الشريحة تحتوي على عينة واحدة بالضبط. يوفر هذا شهادة صريحة على الصحة، مما يلغي الحاجة إلى التقديرات التجريبية أو الفحص البشري.

ب. استراتيجية البحث التكيفية

على عكس CTP، الذي يقسم كل شريحة حتى الوصول إلى دقة ثابتة $\epsilon$ ، فإن VGIA يتسم بالتكيف:

بمجرد تصديق أن الشريحة تحتوي على عينة واحدة، يتم إزالتها من البحث المستقبلي.
يتم تخصيص استعلامات المستويات الفائقة المستقبلية فقط للمناطق غير المستكشفة أو الشرائح التي فشلت في اختبار التحقق (مما يشير إلى وجود عينات متعددة).
يقلل هذا بشكل كبير من عدد جولات الاتصال المطلوبة لإعادة بناء الدفعة الكاملة (full-batch reconstruction).

ج. إعادة البناء التحليلي

بمجرد عزل العينة:

استعادة المدخلات: يستعيد المهاجم متجه ميزات المدخل $x_k$ تحليلياً عن طريق قسمة متجه الشريحة على عامل قياس مشتق من تدرج الخسارة بالنسبة للانحياز.
استعادة الهدف: يستعيد المهاجم التسمية المستهدفة $y_k$ (حتى بالنسبة لأهداف الانحدار المستمرة) عن طريق حل مسألة تحسين أحادية المتغير خفيفة الوزن تقلل الفرق بين التدرج المرصود والتدرج المحسوب مع المدخل المستعاد.

3. المساهمات الرئيسية

أول هجوم GIA قابل للتحقق للبيانات الجدولية: يعد VGIA أول هجوم يوفر شهادة رياضية جوهرية بأن السجل المعاد بناؤه صحيح، مما يعالج مشكلة "التخمين" في خصوصية التعلم الاتحادي للبيانات الجدولية.
الاستعادة الدقيقة للأهداف المستمرة: تثبت الطريقة القدرة على استعادة أهداف الانحدار المستمرة، وهي قدرة لم يسبق إثباتها في الهجمات التحليلية.
الكفاءة التكيفية: من خلال التصديق على العزل المبكر، يتجنب VGIA جولات البحث غير الضرورية، متفوقاً على الهجمات الهندسية السابقة في السرعة وكفاءة الموارد.
شمولية التطبيق: يعمل الهجوم على كل من مجموعات البيانات الجدولية (الانحدار والتصنيف) ومجموعات بيانات الصور (CIFAR10)، مما يظهر قابلية التطبيق عبر المجالات.

4. النتائج التجريبية

قيم المؤلفون VGIA مقابل هجوم CTP المتطور على أربعة معايير: ACS Income (انحدار)، King County Housing (انحدار)، HARUS (تصنيف)، و CIFAR10 (صور).

الدقة والقابلية للتحقق:
- حقق VGIA إعادة بناء دقيقة لجميع العينات في مجموعة بيانات ACS Income (بحجم 2048) خلال 11 جولة.
- والأهم من ذلك، أنتج VGIA 0% من عمليات إعادة البناء الزائفة (الإيجابيات الكاذبة). في المقابل، أنتج CTP ما يصل إلى 30% من عمليات إعادة البناء الزائفة في الجولات الأولى ولم يستطع التمييز بينها وبين العينات الحقيقية دون معرفة الحقيقة الأرضية (ground truth).
الكفاءة:
- تطلب VGIA عدداً أقل بكثير من جولات الاتصال لتحقيق التحقق الكامل مقارنة بـ CTP.
- في السيناريوهات التي فشل فيها CTP في عزل العينات بسبب سوء ضبط $\epsilon$ (مثلاً $\epsilon > \epsilon_w$ )، استمر VGIA في البحث حتى فصل جميع العينات، واستعاد في النهاية 100% من البيانات.
المتانة:
- تحت نظام FedAvg (تحديثات محلية متعددة)، حافظ VGIA على دقة عالية (استعادة أكثر من 50% من العينات في معظم الإعدادات)، بينما فشل CPG إلى حد كبير في سيناريوهات الانحدار بسبب اعتماده على تلاعبات محددة بالأوزان تنجرف مع التحديثات المحلية.

5. الأهمية والأثر

تقييم مخاطر الخصوصية: يغير هذا العمل بشكل جذري كيفية تقييم مخاطر الخصوصية في التعلم الاتحادي. فهو يثبت أن البيانات الجدولية ليست بطبيعتها أكثر أماناً من صور البيانات ضد الخوادم الخبيثة. إن عدم القدرة على التحقق من عمليات إعادة البناء كان شعوراً زائفاً بالأمان؛ وقد جاء VGIA ليزيل هذا اليقين.
الآثار المترتبة على الدفاع: إن وجود هجوم قابل للتحقق يعني أن دفاعات التعلم الاتحادي الحالية (مثل ضغط التدرج أو إضافة الضجيج) يجب أن تُختبر بصرامة ضد هجمات يمكنها إثبات النجاح رياضياً.
التقدم النظري: تقدم الورقة إطاراً جبرياً جديداً للتحقق من عزل العينات في الفضاءات عالية الأبعاد، مما ينقل المجال من إعادة البناء التجريبي (heuristic) إلى استعادة البيانات القابلة للإثبات.

في الختام، يوضح VGIA أنه بدون آليات محددة للحفاظ على الخصوصية، يمكن للخادم الخبيث ليس فقط إعادة بناء السجلات الجدولية الخاصة، بل وأيضاً معرفة يقيناً أن إعادة البناء صحيحة، مما يجعل ضمانات الخصوصية في التعلم الاتحادي القياسي غير فعالة.