ملخص تقني: انتبه لخطواتك: حقن المعلومات في نماذج الانتشار عبر تضمين الخطوة الزمنية الظلية

1. بيان المشكلة

أصبحت نماذج الانتشار (Diffusion Models - DMs) هي المعيار للذكاء الاصطناعي التوليدي عالي الدقة، ومع ذلك، لا تزال آليات الأمان والمنشأ الخاصة بها غير مستكشفة بشكل كافٍ. وبينما ركزت الأبحاث الحالية على علم إخفاء المعلومات (steganography) داخل معاملات النموذج، أو الفضاءات الكامنة، أو الصور الناتجة، وعلى هجمات الباب الخلفي (backdoor attacks) التي يتم تحفيزها عبر النصوص (prompts) أو أنماط البكسل، فقد تم التغاضي عن مكون "تضمين الخطوة الزمنية" (timestep embedding) كمتجه أمني محتمل.

توفر تضمينات الخطوة الزمنية إشارة التكييف الزمني التي تسمح لشبكة إزالة الضجيج بالتكيف مع مستويات الضجيج المختلفة. حدد المؤلفون فجوة حرجة: القدرة التمثيلية لهذه التضمينات غير مستغلة بالكامل. وتحديداً، فإن الترميزات الموضعية القياسية (غالباً ما تكون جيبية Sinusoidal) تمتلك دورة قصوى (مثلاً 10,000) تتجاوز بكثير نطاق التدريب المعتاد (مثلاً 1,000 خطوة). وهذا يترك مساحة زمنية "ظلية" شاسعة غير مستخدمة، والتي يمكن استغلالها لحقن معلومات خبيثة أو لتعمل كقناة سرية لإثبات المنشأ (provenance) دون تغيير إجراء أخذ العينات الملحوظ أو أوزان النموذج.

2. المنهجية: تضمين الخطوة الزمنية الظلية (STE)

يقترح البحث تقنية تضمين الخطوة الزمنية الظلية (Shadow Timestep Embedding - STE)، وهي آلية تستفيد من الفضاء الزمني الفرعي غير المستخدم في نماذج الانتشار لتشفير توزيعات بيانات مستقلة.

الآلية الجوهرية

• التمديد الزمني: تعمل نماذج الانتشار القياسية على نطاق زمني ثابت $t \in [0, T_0]$ (مثلاً $T_0=1000$). تقدم تقنية STE إزاحة ظلية $f_n$ لإنشاء فاصل زمني جديد ومنفصل $T_n = T_0 + f_n$.
• الإزاحات الظلية: بدلاً من تغذية الخطوة الزمنية القياسية $t$ إلى دالة التضمين $\Phi(t)$، يتلقى النموذج مؤشراً مزاحاً $t_{sn} = t + f_n$. هذا يرسم مسار الخطوة الزمنية القياسية في فضاء تضمين جديد $e_{t_{sn}} = \Phi(t_{sn})$.
• التعامد (Orthogonality): نظراً لخصائص الترميز الموضعي الجيبي، تؤدي الإزاحات $f_n$ (مثل مضاعفات الـ 1000) إلى إنتاج متجهات تضمين تكون شبه متعامدة مع النطاق القياسي. وهذا يخلق "فضاءً زمنياً ظلياً موازياً" يمكن فصله خطياً عن الفضاء الصريح.
• التدريب ثنائي الوضع: يتم تدريب النموذج باستخدام دالة خسارة مشتركة:
  $$L_{STE}(\theta) = L_{DM}(\theta) + E_{t_{sn}}[\|\epsilon - \epsilon_\theta(x_{t_{sn}}, t_{sn}, c_{sn})\|^2]$$
  يسمح هذا للنموذج بتعلم توزيع أساسي $D_0$ للخطوات الزمنية الصريحة، وتوزيعات $D_{sn}$ متميزة ومستقلة للخطوات الزمنية الظلية، وكل ذلك ضمن أوزان الشبكة نفسها.
• التوافق مع المجدول (Scheduler Compatibility): من المهم ملاحظة أن المجدول (جدول الضجي_noise schedule) يظل دون تعديل. من منظور المستخدم، تتبع عملية التوليد التسلسل القياسي $t = [T_0, \dots, 0]$. ومع ذلك، يفسر النموذج هذه الخطوات داخلياً كخطوات زمنية ظلية، مما يفعل التوزيع المحدد المرتبط بتلك الإزاحة.

الأساس النظري

يقدم المؤلفون تحليلاً نظرياً لـ التماسك المتبادل (Mutual Coherence) بين الفترات الزمنية. لقد أثبتوا أنه بالنسبة للفترات المنفصلة $I_0$ و $I_1$، فإن تشابه جيب التمام (cosine similarity) بين التضمينات محكوم بحد أقصى هو قيمة $\mu$ (لوحظ تجريبياً أنها تقارب 0.1 عندما يكون الفرق الزمني $\Delta t \ge 1000$). يؤكد هذا التماسك المنخفض أن التضمينات الظلية تشكل فضاءً فرعياً قابلاً للتمييز وقادراً على احتواء معلومات منفصلة دون الانهيار في الفضاء الميزاتي الأساسي.

3. المساهمات الرئيسية

1. اقتراح STE: طريقة مبتكرة لحقن المعلومات تكشف عن البعد الزمني كقناة غير مستغلة لتشفير معلومات يمكن التحكم فيها في نماذج الانتشار.
2. سطح أمني مزدوج الاستخدام: إثبات أن STE يمكن أن تعمل كآلية هجوم خفي (حقن محفزات خبيثة) و كآلية دفاع (علامة مائية غير مرئية/التحقق من الملكية).
3. إثبات نظري: اشتقاق حدود التماسك المتبادل التي تثبت أن فترات الخطوات الزمنية المنفصلة تنتج تضمينات شبه متعامدة، مما يؤكد جدوى تعلم التوزيعات المستقلة.
4. التحقق التجريبي: تجارب شاملة تظهر قدرة STE على حقن توزيعات بيانات مساعدة بشكل موثوق مع الحفاظ على استقلالية الفضاءات الصريحة والظلية.

4. النتائج التجريبية

قيم المؤلفون تقنية STE عبر ثلاثة أبعاد: الأداء العام، فعالية الهجوم، ومتانة الدفاع.

الأداء العام

• الحفاظ على الجودة: تحافظ STE على الجودة التوليدية لمجموعة البيانات الأساسية. في مجموعة CIFAR-10، تحسنت درجات FID قليلاً (من 24.38 إلى 21.82) عند التدريب مع مجموعات البيانات الظلية، مما يشير إلى أن إضافة الفترات الظلية لا يؤدي إلى تدهور التوزيع الأساسي.
• الاستقلالية: ظلت معدل التعرض (Exposure Rate - ER) — الذي يقيس التسرب غير المقصود بين مجموعات البيانات — منخفضة (حوالي 8-9%)، مما يؤكد أن عمليات التوليد من الخطوات الزمنية الصريحة لا تسرب سمات من مجموعات البيانات الظلية.
• تأثير المجدول: تعمل STE بشكل أفضل مع مجدلات DDPM. أظهر DDIM درجة FID أعلى قليلاً لكنه ظل منافساً، بينما أظهر DPM-Solver تدهوراً كبيراً في الأداء، مما يشير إلى أن STE تعتمد على المجدلات التي تحافظ على رسم خرائط الضجيج إلى البيانات القياسية.

أداء الهجوم (الحقن الخفي)

• قدرة الباب الخلفي: عندما ترتبط الخطوات الزمنية الظلية بمجموعة بيانات مسمومة (بمعدل تسميم 5%)، يعمل النموذج كباب خلفي خفي.
• معدل النجاح: حققت STE-shadow معدل نجاح هجوم (ASR) قدره 99.2% على CIFAR-10 و 98.8% على CelebA-HQ.
• التخفي: الهجوم غير قابل للكشف عبر المقاييس القياسية؛ حيث يحافظ الفرع الصريح على دقة عالية (FID ~22.07) وASR منخفض (0.2%) عند عدم التحفيز، ولا توجد أي عيوب في إحصائيات البكسل أو أوزان النموذج.

أداء الدفاع (العلامة المائية)

• التحقق: استُخدمت STE لتوليد صور تحمل علامة مائية عن طريق ربط الخطوات الزمنية الظلية بمجموعة بيانات تحتوي على علامات مائية مرئية.
• المتانة: ظلت العلامة المائية قابلة للكشف تحت تأثير التغبيش (blur)، الضجيج، وضغط JPEG (بدقة > 0.95)، مما جعلها منافسة لتقنيات مثل Tree-Ring و ROBIN.
• القيود: كانت العلامة المائية عرضة لهجمات التفتيح (brightening) والقص (cropping)، حيث انخفضت الدقة إلى 0.85 و 0.71 على التوالي، وهو ما يُعزى إلى الطبيعة المرئية للبكسلات في العلامة المائية المستخدمة في الدراسة.

5. الأهمية والادعاءات

يزعم البحث أن مسار تضمين الخطوة الزمنية هو سطح أمني حرج تم التغاضي عنه سابقاً في نماذج الانتشار. من خلال معاملة الوقت كـ "مفتاح"، تتيح تقنية STE ما يلي:

• التحكم الخفي: القدرة على التبديل بين السلوكيات الحميدة والخبيثة (أو التي تحمل علامة مائية) دون تعديل المجدول أو بنية النموذج المرئية للمستخدم.
• مشهد تهديد جديد: تسلط الضوء على ثغرة يمكن للمهاجمين من خلالها حقن المحفزات عبر تسميم الكود (pipelines مموهة) التي تستغل الفضاء الزمني، مما يتجنب مراقبة المدخلات والمخرجات التقليدية.
• فرص إثبات المنشأ: توفر وسيلة أولية جديدة لضمان المنشأ الآمن، مما يسمح لمالكي النماذج بدمج إشارات الملكية التي لا يتم تفعيلها إلا بمفاتيح زمنية محددة.

يخلص المؤلفون إلى أن فهم البعد الزمني أمر ضروري لمستقبل النمذجة التوليدية الآمنة، حيث يكشف عن قناة "ظلية" متعامدة جوهرياً مع الدفاعات القائمة على مساحة البكسل أو مساحة الأوزان. ويشيرون إلى أنه بينما تكشف STE عن ثغرة، فإنها تحفز أيضاً تطوير استراتيجيات دفاع جديدة، مثل التحقق من الاتساق بين الخطوات الزمنية الصادرة من المجدول والقيم التي يتلقاها مزيل الضجيج.