🤖 AI

Committed SAE-Feature Traces for Audited-Session Substitution Detection in Hosted LLMs

تقترح هذه الورقة بروتوكول التزام-مفتوح يستخدم التزامات شجرة ميركل لآثار ميزات المشفّر التلقائي المتناثر (SAE) للكشف بفعالية عن الاستبدال الصامت للنماذج في النماذج اللغوية الكبيرة المستضافة، متفوقة بذلك على مخططات "الاستقصاء بعد العودة" الحالية عبر رفض الهجمات التكيفية المتنوعة مع الحفاظ على حد أدنى من العبء الحسابي.

المؤلفون الأصليون: Ziyang Liu

نُشر 2026-05-26

📖 3 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Ziyang Liu

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك طلبت شريحة لحم فاخرة من مطعم راقٍ. لقد دفعت ثمن قطعة لحم ممتازة، لكن المطبخ استبدلها سرًا بقطعة مجمدة رخيصة. في عالم الذكاء الاصطنا-عي، هذا خطر حقيقي: قد يعلن مزود الخدمة السحابية عن نموذج ذكاء اصطناعي قوي ومكلف، لكنه يرسل لك سرًا نموذجًا أرخص وأضعف لتوفير المال.

تقترح هذه الورقة البحثية طريقة جديدة لكشف هذه "الشرائح المزيفة" دون الحاجة إلى الوثوق بالمطعم.

المشكلة: خدعة "المرآة السحرية"

تحاول أساليب الأمن الحالية كشف الغشاشين عن طريق إرسال سؤال اختبار سري ("مسبار") إلى الذكاء الاصطنا-عي بجانب طلبك الحقيقي. إذا أجاب الذكاء الاصطنا-عي على سؤال الاختبار بشكل صحيح، يدعي المزود: "أرأيت؟ لقد استخدمنا النموذج الجيد!"

لكن يمكن لمزود خدمة غير أمين الغش في هذا النظام باستخدام خدعة "المرآة السحرية". يمكنهم توجيه سؤال الاختبار السري الخاص بك إلى النموذج الغالي وعالي الجودة (لاجتياز الاختبار)، بينما يوجهون طلبك الفعلي إلى النموذج الرخيص والضعيف. في النهاية تحصل على نتيجة سيئة، لكن الفحص الأمني يشير إلى أن كل شيء على ما يرام.

الحل: "صندوق الوصفة المختوم"

يقترح المؤلفون نظامًا جديدًا يسمى بروتوكول الالتزام والفتح (Commit-Open Protocol). فكر في الأمر كصندوق وصفة مختوم يجب على الطاهي إغلاقه قبل البدء في الطهي.

الالتزام (إغلاق الصندوق): قبل أن يولد الذكاء الاصطنا-عي أي إجابة، ينشئ "بصمة رقمية" لعملية تفكيره الداخلية. يستخدم أداة خاصة (تسمى المشفر التلقائي المتناثر، أو SAE) لأخذ لقطات لنشاط دماغه عند كل خطوة. ثم يقوم بقفل هذه اللقطات داخل "شجرة ميركل" رقمية (قائمة آمنة وغير قابلة للتغيير) وينشر القفل.
الفتح (فحص الإيصال): بعد أن يعطيك الذكاء الاصطنا-عي الإجابة، يختار الفاحش الأمني بعض الخطوات العشوائية من العملية ويطلب من المزود "فتح" الصندوق لتلك اللحظات المحددة.
التحقق (اختبار التذوق): يقارن الفاحش اللقطات التي تم فتحها بمكتبة عامة لما يبدو عليه "دماغ" الذكاء الاصطنا-عي الجيد. إذا تطابقت اللقطات مع النموذج عالي الجودة، يتم قبول الإجابة. وإذا بدت مثل النموذج الرخيص، يتم رفضها.

لماذا لا يمكن للغشاشين الفوز

اختبرت الورقة هذا النظام ضد 17 نوعًا مختلفًا من الغشاشين، بما في ذلك أولئك الذين يحاولون استبدال النماذج، وأولئك الذين يحاولون تعديل النموذج قليلاً، وحتى أولئك الذين يحاولون خداع النظام رياضيًا.

فشل "الخدمة المتوازية": في طريقة "المرآة السحرية" القديمة، كان بإمكان الغشاشين اجتياز الاختبار بسهولة عبر إظهار النموذج الجيد لأسئلة الاختبار فقط. أما في هذا النظام الجديد، نظرًا لأن "البصمة" يتم قفلها قبل توليد الإجابة بالكامل وتغطي العملية بأكملها، فلا يمكن للمحتال استبدال النماذج في منتصف العملية دون كسر القفل.
فشل "الدماغ المزيف": حتى لو حاول الغشاش تزوير البصمات (التظاهر بأن لديه نشاط دماغ النموذج الجيد)، فإن الرياضيات تثبت أنه من المستحيل تزييف تعقيد الأفكار الداخلية للنموذج الحقيقي دون تشغيل النموذج الحقيقي فعليًا.
فشل "المخترق": حتى لو حاول مخترق العمل عكسيًا من البصمات لخداع النظام، فإن الفجوة بين النموذج الحقيقي والنموذج المزيف واسعة جدًا بحيث لا يمكن جسرها.

التكلفة

قام المؤلفون بتشغيل هذا النظام على ثلاثة نماذج مختلفة من الذكاء الاصطنا-عي. ووجدوا أن إضافة هذا القفل الأمني لا يبطئ الذكاء الاصطنا-عي إلا بنسبة 2.1% تقريبًا. إنه ثمن ضئيل لضمان عدم تقديم قطعة لحم مجمدة لك عندما دفعت ثمن شريحة لحم فاخرة.

باختصار: تقدم هذه الورقة نظام "القفل والتحقق" الذي يجبر مزودي الذكاء الاصطنا-عي على إثبات أنهم استخدموا النموذج المحدد الذي وعدوا به، مما يجعل من المستحيل رياضيًا استبداله بنسخة أرخص دون كشفهم.

ملخص تقني: آثار ميزات SAE الملتزم بها للكشف عن استبدال الجلسات المدققة في النماذج اللغوية الكبيرة المستضافة

بيان المشكلة

يواجه مزودو النماذج اللغوية الكبيرة (LLM) المستضافة حافز "الاستبدال الصامت": وهو الدافع الاقتصادي للإعلان عن نموذج ذي قدرات عالية مع تقديم بديل أرخص وأقل جودة للمستخدمين سرًا. وتعتبر آليات الكشف الحالية، مثل مخططات "الاستقصاء بعد العودة" (على سبيل المثال، SVIP)، عرضة لقناة جانبية من نوع "الخدمة المتوازية". في هذه المخططات، يمكن للمزود غير الأمين توجيه طلب الاستقصاء الخاص بالمدقق إلى النموذج المعلن عنه (القوي) لاجتياز التدقيق، بينما يقوم في الوقت نفسه بخدمة المستخدمين العاديين من النموذج البديل (الضعيف). وهذا يخلق فجوة حيث يظل الاستبدال غير قابل للكشف بواسطة طرق التحقق القياسية.

المنهجية: بروتوكول الالتزام والفتح (Commit-Open Protocol)

لسد هذه الفجوة في التحقق، يقترح المؤلفون بروتوكول التزام وفتح يمنع المزود من التوجيه الانتقائي للاستقصاءات. تعمل المنهجية كما يلي:

مرحلة الالتزام: قبل حدوث أي طلب فتح، يلتزم المزود بـ "مخطط أثر الميزات" (feature-trace sketch) لمخرجاته المقدمة. يتم إنشاء هذا المخطط باستخدام المشفر التلقائي المتناثر (SAE) عند طبقة استقصاء منشورة. يقوم المزود ببناء شجرة ميركل (Merkle tree) فوق آثار ميزات SAE لكل موضع، مما ينشئ التزامًا تشفيريًا للسلوك الفعلي للنموذج أثناء الجلسة.
مرحلة الفتح والتحقق: يطلب المدقق فتح مواضع عشوائية داخل الأثر الملتزم به. يقوم المزود بالكشف عن ميزات SAE المقابلة.
التسجيل والقرار: يقوم المدقق بتسجيل هذه الميزات المفتوحة مقابل مكتبة استقصاء الدوائر المسماة العامة. تم معايرة هذه المكتبة لتراعي الضوضاء الناتجة عن اختلاف الأنظمة الخلفية. يتم اتخاذ القرار النهائي باستخدام قاعدة درجة z للاتساق المشترك ذات العتبة الثابتة، لتحديد ما إذا كانت الميزات التي تم الكشف عنها متسقة مع النموذج المعلن عنه.

التجسيد التجريبي والنتائج

تم تجسيد البروتوكول واختباره على ثلاث بنيات أساسية متميزة:

Qwen3-1.7B
Gemma-2-2B
نسخة موسعة من Gemma-2-9B تستخدم SAE بـ 131 ألف ميزة.

تضمن التقييم 17 مهاجمًا مختلفًا يمثلون استراتيجيات استبدال متنوعة، بما في ذلك:

رفع نماذج من نفس العائلة.
بدائل من عائلات مختلفة.
هجمات LoRA التكيفية (Low-Rank Adaptation) ذات الرتبة <= 128.

النتائج الرئيسية:

فعالية الكشف: تم رفض جميع المهاجمين الـ 17 عند عتبة مشتركة ومستقرة عبر المقاييس باستخدام البروتوكول المقترح.
المقارنة بالمرجع الأساسي: نجحت نفس مجموعة المهاجمين في التهرب من خط أساس SVIP متوافق يعتمد على الخدمة المتوازية، مما يثبت تفوق نهج الالتزام والفتح في منع التوجيه الانتقائي.
المتانة ضد الهجمات المتقدمة:
- هجوم الصندوق الأبيض من طرف إلى طرف (white-box end-to-end attack)، والذي حاول الانتشار العكسي عبر مشفر SAE المجمد لتزوير الميزات، فشل في إغلاق هامش الكشف.
- المهاجم المزور للميزات (الذي لا يقوم أبدًا بتشغيل النموذج الأمين $M_h$ ) مقيد بصيغة مغلقة بناءً على حجة البعد الجوهري، مما يحد نظريًا من جدوى التزوير الناجح.
الأعباء الإضافية على الأداء: تضيف آلية الالتزام تكلفة حسابية ضئيلة، حيث تزيد من وقت التنفيذ الفعلي (wall-clock time) للأمام بمقدار ≤2.1% عند حجم دفعة (batch size) يبلغ 32.

الأهمية والادعاءات

يزعم البحث أن هذا البروتوكول يقضي فعليًا على ثغرة قناة "الخدمة المتوازية" الجانبية المتأصلة في مخططات "الاستقصاء بعد العودة". ومن خلال إجبار المزود على الالتزام بآثار ميزات SAE للمخرجات المقدمة فعليًا قبل عملية التحقق، يضمن النظام أن النموذج المستخدم للتدقيق هو نفسه النموذج المستخدم لاستدلال المستخدم. ويضع المؤلفون هذا كحل عملي ومنخفض التكلفة للكشف عن الاستبدال الصامت للنماذج المستضافة في بيئات النماذج اللغوية الكبيرة، وهو ما تم التحقق منه عبر مقاييس هجمات وبنيات نماذج متعددة دون الحاجة إلى تغييرات في بنية النموذج الأساسي بخلاف دمج الـ SAE.