Breaking Euston: Recovering Private Inputs from Secure Inference by Exploiting Subspace Leakage

إليك ملخص تقني مفصل للورقة البحثية بعنوان "كسر إيستونستن (Euston): استعادة المدخلات الخاصة من الاستدلال الآمن عبر استغلال تسريب الفضاء الجزئي."

1. بيان المشكلة

تتناول الورقة ثغرة أمنية حرجة في الخصوصية في Euston، وهو إطار عمل استدلال محول (Transformer) آمن تم اقتراحه من قبل Gao وآخرون لندوة IEEE S&P 2026 الـ 47.

• السياق: يهدف Euston إلى تمكين الاستدلال الآمن والفعال على النماذج اللغوية الكبيرة (LLMs) باستخدام مزيج من التشفير المتماثل كلياً (FHE) والحوسبة متعددة الأطراف الآمنة (MPC).
• الثغرة: لتقليل عبء الاتصالات الهائل المرتبط بنقل مصفوفات المدخلات، يستخدم Euston بروتوكول نقل يعتمد على تحليل القيم المفردة (SVD). في هذا البروتوكول، يقوم المستخدم بتغطية (Masking) مصفوفة المدخلات $A$ بمصفوفة عشوائية $R$. يتم تحليل المصفوفة العشوائية $R$ عبر SVD إلى مصفوفتين متعامدتين ($U, H$) ومتجه قيم مفردة ($d$).
• الخلل: بينما يتم تشفير متجه القيم المفردة $d$ وإرساله إلى مالك النموذج، يتم إرسال المصفوفتين المتعامدتين $U$ و $H$ كنص صريح (Plaintext). يرى المؤلفون أن إرسال هذه المصفوفات يسرب معلومات الفضاء الجزئي (Subspace information) للقناع العشوائي، مما يسمح لمالك النموذج بإعادة بناء المدخلات الخاصة الأصلية.

2. المنهجية

يقترح المؤلفون هجوماً لاستعادة البيانات (Data Recovery Attack) يستغل معلومات الفضاء الجزئي المسربة لإعادة بناء مدخلات المستخدم الخاصة.

أ. آلية الهجوم

يعمل الهجوم تحت افتراض أن مالك النموذج (MO) لديه إمكانية الوصول إلى:

1. المدخل المغطى $X = A - R$ (المرسل من قبل المستخدم).
2. المصفوفتان المتعامدتان $U$ و $H$ (المرسلتان كنص صريح).
3. القيم المفردة المشفرة (والتي يمكن لمالك النموذج فك تشفيرها أو استخدامها في العمليات المتماثلة).

تتضمن عملية الاستعادة الخطوات التالية:

1. الإسقاط (Projection): يحسب مالك النموذج $\hat{D} = U^T X H^T$.
2. التقريب (Approximation): يستخرج مالك النموذج المصفوفة القطرية $\tilde{D} = \text{diag}(\hat{D})$ كتقريب لمصفوفة القيم المفردة الأصلية $D$.
3. إعادة البناء (Reconstruction): يقرب مالك النموذج القناع العشوائي كـ $\tilde{R} = -U \tilde{D} H$.
4. الاستعادة (Recovery): يتم استعادة المدخل الأصلي عبر $\tilde{A} = X + \tilde{R}$.

ب. التحليل النظري

تقدم الورقة إثباتاً رياضياً دقيقاً فيما يتعلق بـ خطأ الاستعادة النسبي (RRE)، والمعرف بـ $\frac{\|\tilde{A} - A\|_F}{\|A\|_F}$.

• النظرية 1: يتم حصر متوسط RRE بـ $\frac{1}{\sqrt{n}}$، حيث $n$ هو البعد العمودي لمصفوفة المدخلات.
• الاستنتاج: مع زيادة أبعاد البيانات (كما هو شائع في المحولات والصور عالية الدقة)، يقترب متوسط الخطأ من الصفر. وهذا يعني أنه بالنسبة للبيانات عالية الأبعاد، تكون المدخلات المعاد بناؤها $\tilde{A}$ متطابقة تقريباً مع المدخلات الأصلية $A$.

3. المساهمات الرئيسية

1. تحديد تسريب الفضاء الجزئي: حدد المؤلفون أن إرسال المصفوفات المتعامدة كنص صريح، حتى عند تشفير القيم المفردة، يقوض الخصوصية بشكل أساسي من خلال الكشف عن البنية الهيكلية للضجيج في القناع العشوائي.
2. ناقل هجوم جديد: صمموا هجوماً جبرياً محدداً يسمح لمالك نموذج خبيث باستعادة المدخلات الخاصة دون كسر مخطط FHE الأساسي. يعتمد الهجوم فقط على خلل في تصميم البروتوكول، وليس على نقاط ضعف تشفيرية.
3. إثبات نظري: وضعوا حداً نظرياً أعلى لخطأ الاستعادة، مما يثبت أن الهجوم يصبح أكثر فعالية مع زيادة أبعاد المدخلات.
4. التحقق التجريبي: تم التحقق من صحة الهجوم عبر مجموعات بيانات وأنماط متعددة، مما أثبت جدواه العملية.

4. النتائج التجريبية

قام المؤلفون بتقييم الهجوم على كل من مجموعات بيانات اللغة والصور:

• مجموعات البيانات:
  • اللغة: مهام معيار GLUE (مثل RTE, SST-2, QNLI) باستخدام نموذج BERT-base.
  • الصور: مجموعة بيانات CIFAR-100.
• المقاييس: خطأ الاستعادة النسبي (RRE).
• النتائج:
  • مجموعات بيانات اللغة: كان RRE منخفضاً باستمرار (حوالي 0.036 أو 3.6%) عبر جميع مقاييس التغطية ($\eta$).
  • مجموعات بيانات الصور (CIFAR-100): كان RRE أعلى قليلاً (حوالي 0.178 أو 17.8%) بسبب البعد الأصغر مقارنة بـ (tokens) اللغة، ولكنه لا يزال يسمح بإعادة بناء عالية الدقة.
  • الدليل البصري: يظهر الشكل 1 في الورقة أنه بغض النظر عن مقياس التغطية (من $\eta=0.5$ إلى $\eta=100$)، فإن الصور المستعادة لا يمكن تمييزها بصرياً عن المدخلات الأصلية، مما يتجاوز حماية الخصوصية بفعالية.
  • الاستقلالية عن مقياس القناع: نجاح الهجوم مستقل عن حجم القناع العشوائي؛ فهو يعتمد كلياً على الفضاء الجزئي المسرب.

5. الأهمية والخاتمة

• خلل تصميمي جوهري: تثبت الورقة أن تشفير التمثيل منخفض الرتبة (القيم المفردة) فقط مع ترك متجهات القاعدة (المصفوفات المتعامدة) كنص صريح هو أمر غير كافٍ للاستدلال الآمن.
• خطر الخصوصية: تشير النتائج إلى أن إطار عمل Euston، بتصميمه الحالي، يفشل في حماية خصوصية المستخدم، مما يسمح لمالكي النماذج باستعادة بيانات المستخدم الحساسة (نصوص أو صور) بسهولة.
• الأثر الأوسع: يعمل هذا العمل كتحذير لتصميم بروتوكولات الاستدلال الآمن. فهو يسلط الضوء على ضرى الحاجة إلى فحص تحسينات الكفاءة (مثل الضغط القائم على SVD) بدقة بحثاً عن أي تسريب للمعلومات، خاصة فيما يتعلق بنقل المكونات الهيكلية للأقنعة العشوائية. ويخلص المؤلفون إلى أن مثل هذه التصاميم تتطلب إعادة تقييم أمني كبير قبل نشرها.