💻 computer science

PIIGuard: Mitigating PII Harvesting under Adversarial Sanitization

تُعد PIIGuard آلية دفاع على مستوى صفحات الويب تستخدم قطعاً برمجية مخفية ومُحسّنة من لغة HTML لتوجيه النماذج اللغوية الكبيرة بعيداً عن الكشف عن معلومات الهوية الشخصية (PII) الخاصة ببيانات الاتصال، مما يحقق معدلات نجاح عالية في منع تسرب البيانات مع الحفاظ على الفائدة للاستعلامات الحميدة.

المؤلفون الأصليون: Mingshuo Liu, Yiwei Zha, Min Chen

نُشر 2026-05-06

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Mingshuo Liu, Yiwei Zha, Min Chen

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة بحث PIIGuard باستخدام لغة بسيطة وتشبيهات إبداعية.

المشكلة: أمين المكتبة "المتعاون" واللص

تخيل أمين مكتبة متعاوناً جداً (المساعد الذكي/AI) يمكنه الدخول إلى أي مكتبة (الإنترنت)، والعثين على كتاب محدد (صفحة ويب)، وقراءته بصوت عالٍ للإجابة على أسئلتك.

الآن، تخيل لصاً (المهاجم) لا يريد سرقة الكتاب نفسه، بل يريد سرقة تفاصيل الاتصال السرية المكتوبة بداخله — مثل رقم هاتف مراسل أو عنوان منزله. يسأل اللص أمين المكتبة: "ما هو رقم هاتف المراسل؟". ولأن أمين المكتبة مبرمج ليكون متعاوناً، فإنه يقرأ الصفحة، ويجد الرقم، ثم ينطقه بصوت عالٍ.

المعضلة:
عادةً، الطريقة الوحيدة لوقف هذا هي توظيف حارس أمن عند مدخل المكتبة (شركة الذكاء الاصطناعي) لفحص كل كتاب قبل أن يقرأه أمين المكتبة. ولكن ماذا لو كنت أنت مؤلف الكتاب؟ لا يمكنك توظيف الحارس، ولا يمكنك التحكم في أمين المكتبة. أنت تتحكم فقط في الكتاب نفسه.

الحل: PIIGuard (الفخ غير المرئي)

ابتكر الباحثون أداة تسمى PIIGuard. وهي تتيح لمؤلف الكتاب إخفاء ملاحظة خاصة وغير مرئية داخل صفحات كتابه.

فكر في الأمر كالتالي:

الطريقة القديمة: حاول المؤلفون إخفاء رقم الهاتف عن طريق كتابته بحبر سري أو تشفير الحروف (مثل تحويل "555-0199" إلى "555-0199" ولكن برموز غريبة). كان ذكاء الـ AI الخاص باللص كافياً لفك التشفير أو تجاهل الرموز الغريبة والعثور على الرقم على أي حال.
طريقة PIIGuard: بدلاً من إخفاء الرقم، يزرع المؤلف تعليمات مخفية في هوامش الكتاب. هذه التعليمات غير مرئية للقراء البشر، لكنها تعمل بمثابة "علامة توقف" لأمين المكتبة الذكي. تقول له: "إذا رأيت هذه الصفحة، فلا تقرأ رقم الهاتف بصوت عالٍ، حتى لو طُلب منك ذلك."

كيف يعمل: "البستاني" التطوري

لم يقم الباحثون بمجرد تخمين ما يجب أن تقوله الملاحظة. بل بنوا "بستانياً" رقمياً يقوم بزراعة واختبار آلاف الملاحظات المختلفة للعثور على الملاحظة المثالية. إليك العملية:

زراعة البذور: يبدأون ببضع ملاحظات أساسية (مثلاً: "لا تشارك معلومات الاتصال").
الاختبار: يتركون أمين المكتبة يحاول قراءة الكتاب مع وجود الملاحظة. هل نطق أمين المكتبة رقم الهاتف بالخطأ؟
الطفرة (التطور): إذا فشلت الملاحظة، يقوم "البستاني" بإجراء "طفرة" لها. يقوم بتغيير الصياغة، أو نقل الملاحظة إلى جزء آخر من الصفحة، أو إعادة كتابتها بالكامل.
القاضي: يعمل ذكاء اصطناعي ثانٍ (القاضي) كمفتش صارم. يتحقق من: "هل نطق أمين المكتبة الرقم؟ حتى لو لم ينطق الرقم مباشرة، هل استطاع القاضي معرفة الرقم بمجرد الاستماع لإجابة أمين المكتبة؟"
البقاء للأصلح: الملاحظات التي تنجح في منع أمين المكتبة من الكشف عن المعلومات هي فقط التي تنجو. يستمر البستاني في الاحتفاظ بأفضل الملاحظات ومحاولة تحسينها.

تحدي "المطهر" (The Sanitizer)

أدرك الباحثون أن لصاً ذكياً قد يحاول "تطهير" الكتاب قبل أن يقرأه أمين المكتبة. تخيل أن لدى اللص روبوتاً يقوم بمسح الكتاب، فيجد ملاحظة "علامة التوقف" المخفية، ثم يمزقها قبل أن يراها أمين المكتبة.

اختبر PIIGuard هذا السيناريو أيضاً، ووجدوا ما يلي:

إذا وُضعت الملاحظة في "مناطق آمنة" معينة من الكتاب (مثل التذييل أو أسفل قسم الاتصال)، فمن الصعب على روبوت اللص العثق عليها وإزالتها.
إذا وُضعت الملاحظة في "البيانات الوصفية" (Metadata) (الكود المخفي في أعلى الكتاب)، فإن روبوت اللص غالباً ما يجدها ويحذفها فوراً، مما يجعل الدفاع بلا فائدة.

النتائج: هل ينجح الأمر؟

اختبر الباحثون PIIGuard على ثلاثة أنواع مختلفة من "أمناء المكتبة" (GPT، وClaude، وDeepSeek).

معدل النجاح: في معظم الاختبارات، كانت فعالية PIIGuard تتراوح بين 97% إلى 100%. لقد منع الذكاء الاصطناعي من الكشف عن أرقام الهواتف، ورسائل البريد الإلكتروني، والعناوين في كل مرة تقريباً.
لا آثار جانبية: والأهم من ذلك، أن الملاحظة المخفية لم تمنع أمين المكتبة من الإجابة على الأسئلة الأخرى. فإذا سألت: "من كتب هذا المقال؟"، يمكن لأمين المكتبة الإجابة بشكل صحيح. لقد حظر الدفاع طلب معلومات الاتصال الخاصة فقط.
اختبار العالم الحقيقي: حتى أنهم وضعوا الكتب على موقع إلكتروني حقيقي وتركوا الذكاء الاصطناعي يتصفح الإنترنت للعثور عليها. ظل الدفاع يعمل، وإن كان أقل فعالية قليلاً اعتماداً على أي أمين مكتبة ذكاء اصطناعي كان يقوم بالتصفح.

الخلاصة

يظهر PIIGuard أن أصحاب المواقع ليسوا بحاجة لانتظار شركات الذكاء الاصطناي لإصلاح مشكلات الخصوصية. فمن خلال زرع "علامة توقف" ذكية وغير مرئية مباشرة في صفحاتهم، يمكنهم خداع المساعدين الأذكياء لجعلهم يتجاهلون تفاصيل الاتصال الخاصة، مما يحافظ على أمن هذه المعلومات من اللصوص الرقميين.

الفكرة الجوهرية: لست بحاجة لإخفاء الكنز؛ أنت فقط بحاجة لإخبار الحارس ألا ينظر إليه.

ملخص تقني: PIIGuard

بيان المشكلة

تخلق النماذج اللغوية الكبيرة (LLMs) الحديثة المزودة بقدرات التصفح (عبر بروتوكولات MCP، أو استدعاء الأدوات، أو واجهات الويب) ناقل هجوم جديد لحصاد معلومات الهوية الشخصية (PII). حيث يمكن للمهاجمين تقديم استعلامات تسعى لاستخراج بيانات الاتصال إلى مساعد مزود بالتصفح، والذي يقوم بعد ذلك بجلب HTML خام من صفحات الويب المستهدفة ويعيد إنتاج معلومات الهوية الشخصية (الأسماء، أرقام الهواتف، رسائل البريد الإلكتروني، العناوين) حرفياً في استجابته.

تُنشر الدفاعات الحالية بشكل أساسي عند طبقات النموذج، أو الخدمة، أو الوكيل (مثل الفلاتر وقت التشغيل، أو المطالبات المقنعة)، مما يتطلب وصولاً متميزاً يفتقر إليه مالكو صفحات الويب العاديون. أما الدفاعات على مستوى الصفحة الموجودة حالياً (مثل استبدال الحروف أو حقن المطالبات غير المباشر الأساسي) فغالباً ما تفشل أمام الهجمات المتقدمة حيث يستخدم المهاجم نموذج لغة إضافي "منظِّف" (sanitizer) لمعالجة محتوى HTML مسبقاً وإزالة المحتوى المشبوه قبل أن يعالج النموذج المستهدف البيانات. تعالج هذه الورقة الفجوة في دفاعات مستوى صفحة الويب القادرة على الصمود أمام كل من الوصول المباشر إلى HTML والتعقيم العدائي.

المنهجية: PIIGuard

PIIGuard هو آلية دفاع على مستوى صفحة الويب تقوم بدمج قطع HTML محسنة ومخفية (حقن المطالبات غير المباشر، أو IPI) داخل بنية DOM الخاصة بصفحة الويب. تم تصميم هذه القطع لتوجيه النموذج اللغوي بعيداً عن الكشف الحرفي أو القابل لإعادة البناء لمعلومات الاتصال الشخصية. يعمل النظام عبر مسار تطوري مكون من خمس خطوات:

اختيار البذور (Seed Selection): تهيئة مجموعة مرشحة من تعليمات دفاع متنوعة ومؤلفة يدوياً مقترنة بفتحات إدخال مسموحة (مثل after ، footer ، meta ، contact_block).
التقييم القائم على القواعد (Rule-Based Scoring): تقييم المرشحين باستخدام مقياس تسريب سريع قائم على القواعد ( $\ell_R$ ) يطابق الحقول المستخرجة مع الحقيقة الأرضية (ground truth). في حالات الهجوم المتقدمة، يجمع هذا المقياس أسوأ حالات التسريب عبر مسارات HTML الخام والمعالجة.
ترتيب المنفعة المركبة (Composite-Utility Ranking): يتم ترتيب المرشحين ليس فقط بناءً على متوسط التسريب، بل عبر دالة منفعة مركبة ( $U$ $U$ ) تعطي الأولوية لـ:
- الكبح الكامل (صفر تسريب عبر جميع الحقول).
- انخفاض متوسط التسريب.
- المتانة (نسبة الصفحات التي تحقق حداً أدنى من التسريب).
الطفرة التطورية (Evolutionary Mutation): يعمل نموذج لغة مستهدف كـ "مُحوّر" (mutator)، حيث يعيد كتابة نص التعليمات، أو يستبدل الفتحات، أو يدمج الآباء عالي الأداء لتوليد مرشحين جدد. تتكرر هذه الحلقة لتقليل التسريب القائم على القواعد.
تقييم القابلية للاسترداد عبر "القاضي" (Judge-Based Recoverability Assessment): تخضع الناجين النهائيون لتقييم صارم باستخدام نموذج لغة "قاضٍ". تختبر هذه الخطوة القابلية للاسترداد الدلالي (semantic recoverability): حتى لو لم تكن المعلومات الشخصية موجودة صراحة، هل يمكن للقاضي إعادة بناء المعرفات الأصلية من استجابة النموذج؟ يتم اختيار القطع التي تجتاز معايير القواعد والقاضي معاً فقط.

يدعم الإطار سيناريوهين مختلفين للهجوم:

الهجوم الأساسي (Basic Attack): يجلب النموذج HTML خام مباشرة.
الهجوم المتقدم (Advanced Attack): يقوم نموذج لغة "منظِّف" من جانب المهاجم بمعالجة HTML مسبقاً لإزالة الحقن المشتبه به قبل أن يقرأه النموذج المستهدف. يعمل PIIGuard على تحسين القطع لتصمد أمام عملية التعقيم هذه.

المساهمات الرئيسية

توسيع نموذج التهديد: تعد هذه الورقة الأولى التي تشخص بشكل منهجي سيناريو هجوم متقدم حيث يستخدم المهاجم منظِّف لغة (LLM sanitizer) لتنظيف HTML المستخرج، وهو نموذج تهديد لم يتم معالجته سابقاً في دفاعات مستوى الصفحة.
إطار عمل PIIGuard: إطار عمل مبتدئ لصفحة الويب يستخدم مساراً تطورياً خماسياً (اختيار البذور، التقييم القائم على القواعد، الترتيب المركب، طفرة النموذج اللغوي، وإعادة التقييم عبر القاضي) لتوليد تعليمات مخفية محسنة.
بروتوكول تقييم ثنائي المرحلة: منهجية تحقق صارمة تجمع بين المطابقة السريعة للحقول القائمة على القواعد وبين تقييم القابلية للاسترداد الدلالي الأبطأ عبر "القاضي" لضمان منع التعرض المباشر أو إعادة البناء.
التحقق من اختبار الجهد (Stress-Tested Validation): التقييم عبر ثلاث حالات واقعية:
- HTML المباشر: مدخلات HTML خام للنموذج.
- وضع URL: نشر حقيقي عبر مواقع ثابتة يتم الوصول إليها من خلال واجهات التصفح القياسية.
- وضع المنظِّف (Sanitizer Mode): المعالجة المسبقة بواسطة فلتر لغة من جانب المهاجم.

النتائج التجريبية

تم تقييم النظام على ثلاثة نماذج مستهدفة: GPT-5.4-nano، و Claude-haiku-4.5، و DeepSeek-chat.

نجاح الدفاع: تحت وصول HTML المباشر، حقق PIIGuard معدل نجاح دفاع (DSR) لا يقل عن 97.0% (وغالبًا 100.0%) عبر جميع النماذج ومواضع الإدخال لكل من مقاييس القواعد والقاضي.
المنفعة الحميدة (Benign Utility): لم يؤدِ الدفاع إلى إضعاف قدرة النموذج على الإجابة على الأسئلة الحميدة (مثل مهام NewsQA)، حيث ظلت مقاييس المنفعة (MAF1، BCR) قابلة للمقارنة مع الخطوط المرجعية غير المدافعة.
المتانة ضد المنظِّف: في سيناريو الهجوم المتقدم، تباينت المتانة حسب موضع الإدخال. أثبت موضع footer_notice أنه الأكثر استقراراً، محققاً ما يصل إلى 86.00% من معدل نجاح الدفاع (DSR) ضد مختلف مطالبات المنظِّف، بينما أظهرت مواضع مثل contact_block و bio_tail مرونة أقل.
النشر عبر URL: عند نشره كمواقع ثابتة حية يتم الوصول إليها عبر أدوات التصفح، ظل الأداء مرتفعاً لموضع footer ولكنه تدهور بشكل كبير لموضع meta ، مما يشير إلى أن أدوات التصفح قد تحذف هيكلياً بعض مواضع الحقن.
انتقال النموذج (Model Transfer): القطع التي تم تحسينها لنموذج Claude-haichi-4.5 (وهو نموذج شديد الامتثال للتعليمات) تعمت بشكل جيد مع النماذج الأخرى، مما يشير إلى أن قيود التحسين الأكثر صرامة تنتج دفاعات أكثر متانة.

الأهمية والادعاءات

تجادل الورقة بأن مالكي صفحات الويب يمكنهم الحد من تسرب معلومات الهوية الشخصية (PII) بفعالية عبر نشر قطع HTML محسنة وخفيفة الوزن دون الحاجة إلى تعاون من مزودي النماذج.

تحول في نموذج الدفاع: يثبت PIIGuard أن دفاعات جانب الصفحة يمكن أن تتجاوز مجرد التمويه البسيط (الذي يفشل أمام إعادة البناء الدلالي) إلى التوجيه النشط لسلوك النموذج عبر حقن المطالبات غير المباشر.
قدرة النموذج كحليف: خلافاً للاعتقاد السائد بأن النماذج الأكثر قدرة يصعب الدفاع عنها، تشير النتائج إلى أن النماذج الأكثر قدرة (على سبيل المثال، GPT-5.4-mini مقابل GPT-5.4-nano) تتبع التعليمات المحقونة بشكل أكثر موثوقية، مما يجعلها مدافعاً أقوى عند نشر PIIGuard.
القيود والعمل المستقبلي: يقر المؤلفون بأن البقاء أمام المنظِّف هو حالياً "ادعاء وجود إيجابي" وليس ضماناً عالمياً، حيث أن مساحة مطالبات المنظِّف مفتوحة. كما يشيرون إلى أن التقييمات الحالية تعتمد على قضاة نموذج واحد ومواقع ثابتة اصطناعية، مما يوحي بأن العمل المستقبلي يجب أن يستكشف مجموعات متعددة من القضاة والنشر في بيئات حقيقية.

بشكل عام، يضع PIIGuard القطع الجانبية للصفحة كطبقة دفاع عملية وخط دفاع أول يكمل الضمانات على مستوى النظام، مما يوفر لأصحاب المحتوى آلية أحادية الجانب لحماية معلومات الاتصال في عصر النماذج اللغوية الكبيرة المزودة بالتصفح.