🤖 AI

CAMP: Cumulative Agentic Masking and Pruning for Privacy Protection in Multi-Turn LLM Conversations

تقدم هذه الورقة البحثية CAMP، وهو إطار عمل مبتكر يعالج ثغرة الخصوصية الحرجة المتمثلة في التعرض التراكمي لمعلومات الهوية الشخصية (PII) في محادثات النماذج اللغوية الكبيرة متعددة الأدوار، وذلك من خلال الحفاظ على سجل على مستوى الجلسة وإخفاء تاريخ المحادثة بأثر رجعي عندما يتجاوز خطر إعادة تحديد الهوية الناتج عن تجميع شظايا البيانات عتبة قابلة للضبط.

المؤلفون الأصليون: Aman Panjwani

نُشر 2026-04-21

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Aman Panjwani

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تتحدث إلى مساعد روبوت ذكي ومفيد للغاية. تريد أن تطلب منه نصيحة بشأن صحتك، أو وظيفتك، أو أمورك المالية. المشكلة هي، أنك لا تريد للروبوت (أو الشركة التي تقف وراءه) أن تعرف بالضبط من أنت.

المشكلة: "التسريب البطيء"

تعمل معظم أدوات السلامة الحالية مثل حارس يقف عند باب واحد.

كيف تعمل: في كل مرة ترسل فيها رسالة، يفحص الحارس تلك الجملة الواحدة فقط. إذا قلت "اسمي جون"، سيوقفك الحارس ويقول: "لا، لا يمكنك قول ذلك!"
الخلل: ولكن ماذا لو كنت تلعب لعبة "الغميضة" مع أسرارك؟
- الدور الأول: تقول "أنا أشعر بالمرض". (آمن)
- الدور الثاني: تقول "أنا أعيش في بلدة صغيرة في أوهايو". (آمن)
- الدور الثالث: تقول "أنا أعمل في بنك محدد". (آمن)
- الدور الرابع: تقول "أنا أجني 150,000 دولار في السنة". (آمن)

بشكل فردي، لا تبدو أي من هذه الجمل خطيرة. يمررها الحارس جميعاً. ولكن بحلول الدور الرابع، أصبح لدى الروبوت قطعة كاملة من اللغز: جون، من أوهايو، يعمل في ذلك البنك المحدد، ويتقاضى ذلك الراتب المحدد. يمكن للروبوت بسهولة تخمين من أنت. وهذا ما يسمى التعرض التراكمي لمعلومات الهوية الشخصية (PII). الخطر ليس في تسريب كبير واحد؛ بل في التنقيط البطيء لقطرات صغيرة غير ضارة تملأ السطل.

الحل: CAMP (مدير الجلسات الذكي)

تقدم الورقة نظاماً جديداً يسمى CAMP. بدلاً من مجرد فحص الباب، CAMP يشبه أمين مكتبة فائق الذكاء يراقب المحادثة بأكملها أثناء حدوثها.

إليك كيف يعمل CAMP، باستخدام تشبيه بسيط:

1. "الدفتر السري" (سجل الجلسة)

في كل مرة تتحدث فيها مع الروبوت، يدون CAMP ملاحظة سرية في دفتر ملاحظات محلي. هو لا يرسل هذا الدفتر إلى الروبوت، بل يكتفي بتتبع: "حسناً، ذكر المستخدم اسماً، ومدينة، ووظيفة."

2. "شبكة الخطر" (رسم بياني للتواجد المشترك)

يقوم CAMP برسم شبكة تربط النقاط ببعضها البعض.

إذا ذكرت مدينة بمفردها، ستكون نقطة ضعيفة.
إذا ذكرت وظيفة بمفردها، ستكون نقطة ضعيفة.
ولكن إذا ذكرت المدينة + الوظيفة + الراتب جميعها في نفس المحادثة، يدرك CAMP الشبكة التي تربط بينهم ويدرك: "أوه لا! هذه الأشياء الثلاثة معاً تخلق ملفاً تعريفياً شديد التحديد!"

3. "جرس الإنذار" (درجة CPE)

يمتلك CAMP عداداً للنقاط. في كل مرة تضيف فيها معلومة، يرتفع العداد.

إذا قلت فقط "مرحباً"، تكون الدرجة منخفضة.
إذا بدأت في خلط موقعك مع وظيفتك وتاريخك الطبي، فإن الدرجة تقفز.
بمجرد أن تصل الدرجة إلى "منطقة الخطر" (عتبة معينة)، يرن جرس الإنذار.

4. "الممحاة السحرية وإعادة الكتابة" (إخفاء الهوية الرجعي)

هذا هو الجزء الأروع. عندما يرن الإنذار، لا يكتفي CAMP بإيقاف المحادثة فحسب. بل يعود بالزمن إلى الوراء.

يأخذ تاريخ دردشتك بالكامل (الأدوار من 1 إلى 4).
يستبدل اسمك الحقيقي باسم مستعار (على سبيل المثال، "جون" يصبح "أليكس").
يستبدل مدينتك الحقيقية بمدينة وهمية (على سبيل المثال، "كليفلاند" تصبح "سبرينغفيلد").
يستبدل راتبك الحقيقي برقم وهمي.
الأهم من ذلك، أنه يحافظ على المنطق متسقاً. إذا قلت "أليكس" في الدور الثاني، فإنه يتأكد من أن الروبوت يرى "أليكس" في الدور الرابع، وليس اسماً مختلفاً.

5. "الكشف السحري" (إزالة القناع)

يعالج الروبوت الدردشة بالأسماء الوهمية ("أليكس من سبرينغفيلد"). ثم يعطيك إجابة.

الروبوت: "مرحباً أليكس، بناءً على راتبك في سبرينغفيلد، إليك بعض النصائح..."
CAMP: يفرقع أصابعه. "انتظر، دعني أصلح ذلك للمستخدم."
CAMP: يستبدل "أليكس" بـ "جون" و"سبرينغفيلد" بـ "كليفلاند" قبل عرضها على الشاشة.
أنت ترى: "مرحباً جون، بناءً على راتبك في كليفلاند، إليك بعض النصائح..."

لماذا هذا مهم؟

الطريقة القديمة: إما أن تضطر لإخفاء هويتك تماماً (مما يجعل المحادثة غير مفيدة) أو تخاطر بتسريب هويتك ببطء بمرور الوقت.
طريقة CAMP: تحصل على المحادثة المفيدة بالكامل. الروبوت يعتقد أنه يتحدث مع "أليكس" مجهول الهوية، لذا فهو لا يتعلم شيئاً عنك. لكنك تحصل على الإجابة كما لو كان يتحدث إليك.

الخلاصة

يدرك CAMP أن في المحادثة الطويلة، الكل أكبر من مجموع أجزائه. هو لا يحميك عن طريق حظر كل جملة، بل عن طريق مراقبة كيفية اندماج الجمل، ثم إعادة كتابة القصة بسحر بحيث لا يعرف الروبوت الحقيقة أبداً، بينما تحصل أنت على الإجابة المثالية.

إليك ملخص تقني مفصل لورقة البحث بعنوان: "CAMP: القناع والتقليم التراكمي للوكلاء لحماية معلومات الهوية الشخصية (PII) عبر الأدوار المتعددة في محادثات النماذج اللغوية الكبيرة متعددة الأدوار."

1. بيان المشكلة: التعرض التراكمي لمعلومات الهوية الشخصية (CPE)

تحدد الورقة ثغرة أمنية حرجة في أنظمة حماية الخصوصية الحالية للنماذج اللغوية الكبيرة (LLMs): عدم القدرة على حفظ الحالة (Statelessness).

القصور الحالي: تعمل الأدوات الحالية (مثل Microsoft Presidio وPAPILLON) على أساس كل دور (Per-turn)؛ حيث تقوم بفحص رسائل المستخدم الفردية بحثًا عن معلومات الهوية الشخصية (PII) وتغطيتها قبل إرسالها إلى النموذج اللغوي الكبير. ومع ذلك، فهي تتجاهل سياق الأدوار السابقة.
الثغرة الأمنية: في المحادثات الوكيلية (Agentic) متعددة الأدوار، غالبًا ما يكشف المستخدم عن أجزاء من معلومات الهوية الشخصية تدريجيًا (على سبيل المثال: الاسم في الدور الثاني، المدينة في الدور الرابع، جهة العمل في الدور السادس). وبينما لا تطلق أي رسالة منفردة إنذار التغطية، فإن تراكم هذه الأجزاء عبر تاريخ المحادثة يخلق ملف تعريف كامل قابل لإعادة تحديد الهوية.
تأثير الموزاييك (The Mosaic Effect): هذه الظاهرة، التي تُسمى التعرض التراكمي لمعلومات الهوية الشخصية (CPE)، تسمح لنموذج لغوي كبير خارجي بإعادة بناء هوية المستخدم من خلال تقاطع المعرفات شبه المحددة (مثل: الموقع + الراتب + المسمى الوظيفي)، حتى لو لم تحتوي أي رسالة منفردة على معرفات صريحة. تفشل الأنظمة الحالية في اكتشاف هذا الخطر التوليفي.

2. المنهجية: إطار عمل CAMP

يقترح المؤلفون CAMP (القناع والتقليم التراكمي للوكلاء)، وهو إطار عمل وسيط على مستوى الجلسة يعمل بين المستخدم والنموذج اللغوي الكبير الخارجي، ويقدم نهجًا يعتمد على حفظ الحالة (Stateful) لحماية الخصوصية.

المكونات الأساسية:

مستخرج معلومات الهوية الشخصية لكل دور: يستخدم التعرف على الكيانات المسماة (NER) ومطابقة الأنماط (مثل Microsoft Prescaudio) لتحديد معلومات الهوية الشخصية في رسالة المستخدم الحالية.
سجل الجلسة (Session Registry): قاعدة بيانات تحفظ الحالة تحتفظ بسجل لجميع كيانات معلومات الهوية الشخصية التي تم اكتشافها عبر جلسة المحادثة بأكملة، وتخزن نوع الكيان، والقيمة الأصلية، وفهرس الدور الذي ظهر فيه لأول مرة.
رسم بياني للظهور المشترك (Co-occurrence Graph):
- ينمذج العلاقة بين أنواع كيانات معلومات الهوية الشخصية المختلفة داخل الجلسة.
- تمثل العقد أنواع الكيانات (مثل: شخص، موقع، راتب)؛ وتربط الحواف بين الأنواع التي تظهر في نفس الجلسة.
- التضخيم: كلما أصبح الرسم البياني أكثر اتصالاً، زادت مخاطر الخصوصية للكيانات الفردية. يقوم "مضخم الجمع" ( $f(v)$ ) برفع وزن الكيانات بناءً على درجة اتصالها.
حساب درجة CPE:
- يحسب درجة خطر ديناميكية بعد كل دور: $CPE(t) = \sum w(v) \cdot (1 + \alpha \cdot \deg(v))$ .
- حيث $w(v)$ هو وزن الحساسية الأساسي للكيان، و $\deg(v)$ هو عدد الاتصالات في الرسم البياني، و $\alpha$ هو معامل الحساسية.
- تنمو الدرجة بشكل فائق الخطية (Superlinearly) مع تشكيل كيانات جديدة لاتصالات مع الكيانات الموجودة.
إخفاء الهوية الرجعي (Retroactive Pseudonymization):
- المحفز: عندما تتجاوز $CPE(t)$ عتبة محددة ( $\tau$ ).
- الإجراء: يقوم النظام بإعادة كتابة تاريخ المحادثة بأكمله (ليس فقط الدور الحالي). يتم استبدال قيم معلومات الهوية الشخصية الحقيقية ببدائل اصطناعية متسقة (على سبيل المثال: "جون دو" $\leftarrow$ "أليكس سميث") يتم إنشاؤها محليًا باستخدام مكتبة Faker.
- الاتساق: يتم ربط كل قيمة حقيقية دائمًا بنفس القيمة الاصطناعية طوال الجلسة للحفاظ على تماسك المحادثة للنموذج اللغوي الكبير.
طبقة إلغاء القناع (De-masking Layer):
- تعترض استجابة النموذج اللغوي الكبير.
- تستبدل الهويات الاصطناعية بالقيم الحقيقية الأصلية قبل إعادتها للمستخدم.
- تضمن تجربة مستخدم طبيعية بينما يعالج النموذج الخارجي بيانات اصطناعية فقط.
قواعد الحظر الصارم: يتم حظر بعض المعرفات عالية المخاطر (مثل الرقم الضمان الاجتماعي، بطاقة الائتمان، الحساب البنكي) فورًا واستبدالها بعلامات مثل [BLOCKED] بغض النظر عن درجة CPE.

3. المساهمات الرئيسية

صياغة مفهوم CPE: أول تعريف رسمي لـ التعرض التراكمي لمعلومات الهوية الشخصية كمعيار لخطر الخصوصية على مستوى الجلسة، مما يميزه عن تسريب الرسالة الواحدة.
نموذج الرسم البياني للظهور المشترك: طريقة مبتكرة لقياس خطر الجمع، توضح أن تقاطع المعرفات شبه المحددة يشكل تهديدًا أكبر من مجموع الكيانات الفردية.
التدخل الرجعي: إطار عمل قادر على إعادة كتابة سياق المحادثة التاريخي عند تجاوز عتبات الخطر، وهي قدرة تفتقر إليها أنظمة التغطية الحالية التي تعمل لكل دور.
خصوصية كاملة للرحلة الذهابية والإياب: خط معالجة كامل يحمي البيانات من المستخدم إلى النموذج وبالعكس، مع الحفاظ على فائدة المحادثة من خلال إلغاء القناع المتسق.

4. النتائج التجريبية

قام المؤلفون بتقييم CAMP في أربعة سيناريوهات اصطناعية متعددة الأدوار: الرعاية الصحية، الموارد البشرية/التوظيف، التمويل، والمحادثة العامة. وقارنوا CAMP بمرجع Microsoft Presidio القياسي الذي يعمل لكل دور.

فعالية الخصوصية:
- مرجع Presidio: عرض ما بين 3 إلى 6 أنواع متميزة من كيانات معلومات الهوية الشخصية لكل جلسة للنموذج الخارجي، لأنه فشل في اكتشاف الخطر التراكمي.
- CAMP: خفض تعرض معلومات الهوية الشخصية الحقيقية إلى صفر في جميع السيناريوهات. لقد نجح في التدخل قبل تجاوز عتبة إعادة تحديد الهوية.
توقيت التدخل:
- حدث التدخل مبكرًا في المجالات عالية المخاطر (مثل الدور الثاني في التمويل والموارد البشرية) ومتأخرًا في المحادثة العامة (الدور الخامس)، مما أظهر القدرة على التكيف مع أنماط الإفصاح.
- نجح النظام في اكتشاف "المنحدر" حيث تصبح الإفصاحات البريئة فرديًا خطيرة عند دمجها.
الحفاظ على الفائدة:
- أنتج النموذج اللغوي الكبير استجابات متماسكة ومناسبة للسياق في جميع السيناريوهات.
- نجحت طبقة إلغاء القناع في استعادة الهويات الأصلية، مما ضمن عدم رؤية المستخدم لأي آثار اصطناعية.
حساسية العتبة: أظهرت التجارب مع عتبات $\tau \in \{1.5, 2.0, 2.5\}$ أن العتبات المنخفضة توفر خصوصية أقوى (تدخل مبكر) بينما تحافظ العتبات الأعلى على سياق أكثر طبيعية. تم تحديد $\tau = 2.0$ كخيار متوازن افتراضي.

5. الأهمية والتوجهات المستقبلية

التحول المعماري: يتحدى CAMP الافتراض السائد بـ "عدم حفظ الحالة" في خصوصية النماذج اللغوية الكبيرة. ويجادل بأن الخصوصية في الأنظمة الوكيلية يجب أن تُدار على مستوى الجلسة لمعالجة تأثير الموزايك.
التوافق التنظيمي: يقدم إطار العمل تطبيقًا تقنيًا لمبادئ "الخصوصية بالتصميم" وتقليل البيانات (مثل المادة 25 من GDPR)، مما يسم يسمح للمشغلين بتكوين عتبات الخطر بناءً على حساسية المجال.
القيود والعمل المستقبلي:
- الاعتماد الحالي على التعرف على الكيانات المسماة (NER) الصريح يعني أن الإفصاحات الضمنية (مثل وصف وظيفة دون تسمية الشركة) قد يتم تفويتها. تشير الأعمال المستقبلية إلى استخدام نماذج لغوية كبيرة محلية صغيرة للاستدلال الضمني.
- تشمل التوجهات المستقبلية اختيار العتبة التكيفي، وتتبع الجلسات متعددة الوكلاء، ودمج ضمانات التفريق (Differential Privacy) الرسمية.

الخلاصة: تثبت الورقة أن التغطية التقلية لكل دور غير كافية للنماذج اللغوية الكبيرة الوكيلية الحديثة. ومن خلال تقديم نموذج خطر قائم على الرسم البياني وحفظ الحالة، وإخفاء الهوية الرجعي، ينجح CAMP في تحييد مخاطر الخصوصية التراكمية مع الحفاظ على الفائدة الكاملة للمحادثة.