💻 computer science

Dependency-Aware Privacy for Multi-turn Agents

يُعد RootGuard إطار عمل جديد للخصوصية مخصص لوكلاء النماذج اللغوية الكبيرة (LLMs) متعددة الأدوار، حيث يقوم بتطهير قيم الجذور الخاصة لمرة واحدة ويستنتج المخرجات اللاحقة بشكل حتمي، مما يمنع تدهور الخصوصية عبر الأدوار ويحقق مقايضات أفضل بكثير بين الخصوصية والمنفعة مقارنة بطرق التشويه المستقلة الحالية.

المؤلفون الأصليون: Divyam Anshumaan, Sarthak Choudhary, Nils Palumbo, Somesh Jha

نُشر 2026-05-06

📖 5 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Divyam Anshumaan, Sarthak Choudhary, Nils Palumbo, Somesh Jha

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك مريض تزور مساعداً صحياً رقمياً (عميل نموذج لغوي كبير - LLM agent). أنت بحاجة لمشاركة بيانات خاصة وحساسة، مثل ضغط الدم، أو الوزن، أو نتائج المختبر، حتى يتمكن المساعد من حساب تشخيص أو درجة خطورة معينة. ومع ذلك، فإن الخدمات التي يتواصل معها المساعد (الخدمات المعادية) قد تكون غير موثوقة. قد يكونون مخترقين، أو قد يتعرضون لضغوط قانونية، أو قد يكون لديهم مجرد فضول لمحاولة تجميع هويتك الحقيقية من الأرقام التي تشاركها.

المشكلة: "الدلو المثقوب" للضجيج المستقل

حالياً، تعمل معظم أدوات الخصوصية مثل الدلو المثقوب. في كل مرة يرسل فيها المساعد رقماً إلى خدمة ما، فإنه يضيف القليل من "الضجيج" (الاستاتيكية) لإخفاء القيمة الحقيقية. وهذا ما يسمى الضجيج المستقل.

إليك الخلل:

الدور الأول: تشارك طولك. يضيف المساعد ضجيجاً.
الدور الثاني: تشارك وزنك. يضيف المساعد ضجيجاً جديداً ومختلفاً.
الدور الثالث: تطلب الخدمة مؤشر كتلة الجسم (BMI) الخاص بك. يقوم المساعد بحسابه بناءً على الطول والوزن "المشوشين"، ثم يضيف المزيد من الضجيج إلى النتيجة قبل إرسالها.

بالنسبة للمهاجم، يبدو هذا وكأنه رحلة بحث عن الكنز. يحصل المهاجم على عدة لمحات مستقلة للحقيقة الكامنة وراءها. إذا طلبوا الشيء نفسه مرتين، أو طلبوا قيمة مشتقة (مثل مؤشر كتلة الجسم) بعد طلب الأجزاء (الطول/الوزن)، فيمكنهم حساب متوسط الضجيج. الأمر يشبه محاولة تخمين رقم سري من خلال الاستماع إليه وهو يُهمس من خلف جدار؛ إذا سمعت الرقم يُهمس ثلاث مرات مختلفة مع ضوضاء خلفية مختلفة، يمكنك في النهاية معرفة الرقم الحقيقي. كلما زادت الأدوار التي يفرضها المهاجم، زادت "التسريبات"، وتراجعت خصوصيتك.

الحل: RootGuard (المخطط الرئيسي)

يقترح البحث نظاماً جديداً يسمى RootGuard. بدلاً من إضافة الضجيج في كل مرة يتم فيها إرسال رقم، يغير RootGuard الاستراتيجية تماماً.

التشبيه: المخطط الرئيسي
تخيل أن لديك وصفة سرية (بياناتك الخاصة).

الطريقة القديمة (الضجيج المستقل): في كل مرة ترسل فيها نسخة من الوصفة إلى طباخ، تقوم بخربشة ملاحظات عشوائية على الورقة، وتمزيق ركن منها، وتلطيخ الحبر. إذا أرسلتها إلى 10 طباخين، فلديك 10 نسخ مختلفة مشوهة. يمكن لمراقب ذكي مقارنة النسخ العشر لتخمين الوصفة الأصلية.
طريقة RootGuard: تأخذ وصفتك السرية وتضع الملاحظات العشوائية مرة واحدة فقط على النسخة الأصلية (المخطط الرئيسي). ثم تضع هذه "النسخة الرئيسية المشوشة" في خزنة.
- عندما يطلب الطباخ (أ) المكونات، تعطيه نسخة ضوئية من المخطط الرئيسي المشوش.
- وعندما يطلب الطباخ (ب) الطبخة النهائية، تقوم بحسابها باستخدام المخطط الرئيسي المشوش وتعطيه النتيجة.
- إذا طلب الطباخ (أ) المعلومة مرة أخرى، فأنت تعطيه نفس النسخة الضوئية تماماً.

لأن كل معلومة يراها المهاجم تأتي من ذلك المخطط الرئيسي المشوش الواحد، فلا يمكنه تعلم أي شيء جديد من خلال طرح المزيد من الأسئلة. سواء سأل مرة واحدة أو 1000 مرة، فهو ينظر فقط إلى نفس الصورة المليئة بالضجيج. يتم قفل ضمان الخصوصية في البداية تماماً.

ميزة "اللاتماثل المزدوج"

يسلط البحث الضوء على تحول مثير للاهتمام يسمى اللاتماثل المزدوج:

بالنسبة للمهاجم (الضجيج المستقل): كل سؤال إضافي يطرحه يجعل مهمته أسهل. يحصل المهاجم على نقاط بيانات أكثر لحساب متوسط الضجيج. وتصبح قدرته على تخمين بياناتك الحقيقية أقوى مع كل دور.
بالنسبة لك (RootGuard): كل سؤال إضافي يفرضه المهاجم يجعل النظام أفضل بالنسبة لك (من حيث الفائدة). بما أن المهاجم يجبر النظام على استخدام "ميزانية خصوصية" إجمالية أكبر (أي سماح بمزيد من الضجيج)، يمكن لـ RootGuard توزيع تلك الميزانية الأكبر عبر "جذور" بياناتك. وهذا يعني أن الضجيج لكل "جذر" يمكن أن يكون أقل، مما يجعل الحسابات الطبية أكثر دقة، بينما تظل خصوصيتك كما هي تماماً.

باختأصر: كلما حاول المهاجم التطفل، تصبح نتائجك الطبية أكثر دقة تحت نظام RootGuard، بينما تظل قدرته على تخمين أسرارك ثابتة. أما تحت الطريقة القديمة، فكلما تطفل أكثر، عرف أكثر.

استخدام "المعرفة بالمجال" لتصبح أكثر ذكاءً

ليس RootGuard مجرد قفل ثابت؛ بل هو قفل ذكي يفهم العلاقات بين بياناتك.

المستوى الأول (الاعتمادات): إذا كنت تعرف أن مؤشر كتلة الجسم هو مجرد معادلة رياضية تعتمد على الطول والوزن، فإن RootGuard يدرك أنه ليس بحاجة لإضافة ضجيج لمؤشر كتلة الجسم بشكل منفصل. هو فقط يحسب مؤشر كتلة الجسم من الطول والوزن "المشوشين". هذا يوفر من "ميزانية الخصوصية" (المخصص المسموح به لكمية الضجيج التي يمكن إضافتها) ليتم استخدامها حيث تبرز أهميتها.
المستوى الثاني (الحساسية): بعض الأرقام تهم تشخيصاً معيناً أكثر من غيرها. ينظر RootGuard إلى المعادلة الطبية (مثل "درجة تليف الكبد") ويسأل: "أي مدخل يتسبب في أكبر تغيير في النتيجة؟" ومن ثم يعطي ميزانية خصوصية أكبر (ضجيج أكثر) للمدخلات الحساسة، وأقل للمدخلات التي لا تهم كثيراً. هذا يحافظ على دقة التشخيص النهائي مع حماية الأسرار الأكثر حرجاً.

النتائج: ما وجده البحث

اختبر المؤلفون هذا النظام على 8 سيناريوهات طبية مختلفة (مثل حساب مخاطر الكبد، أو أمراض القلب، أو فقر الدم) باستخدام بيانات صحية حقيقية من مركز السيطرة على الأمراض والوقاية منها (CDC).

الدقة: كان RootGuard أكثر دقة بـ 2.6 إلى 3.8 مرة في إنتاج التشخيص الطبي الصحيح مقارنة بطريقة "الضجيج المستقل" القديمة.
الخصوصية: عندما حاول المهاجمون إعادة بناء بياناتك الحقيقية من خلال طرح العديد من الأسئلة، فشلت الطريقة القديمة فشلاً ذريعاً (كانت تخميناتهم تتحسن كثيراً مع كل سؤال). أما RootGuard فقد ظل ثابتاً تماماً؛ فلم يتعلم المهاجم أي شيء إضافي بعد 16 سؤالاً عما تعلمه بعد السؤال الأول.
الاختبار الواقعي: قاموا بتشغيل النظام عبر عميل ذكاء اصطناعي حقيقي (GPT-5.4 nano) يقوم باستدعاء الأدوات. وقد صمدت النتائج بشكل مثالي، مما يثبت أن هذا ليس مجرد نظرية—بل هو واقع يعمل في محادثة حية متعددة الأدوار.

الخلاصة

يعامل RootGuard بياناتك الخاصة كـ مصدر واحد للحقيقة يتم حمايته مرة واحدة عند الجذور. وكل شيء آخر هو مجرد عملية حسابية مشتقة من ذلك المصدر المحمي. هذا يمنع المهاجمين من "فك الشفرة" من خلال طرح نفس السؤال بطرق مختلفة، مما يضمن عدم تدهور خصوصيتك لمجرد أنك بحاجة إلى إجراء محادثة طويلة مع مساعد رقمي.

ملخص تقني: الخصوصية المدركة للتبعية في الوكلاء متعددي الأدوار لنماذج اللغات الكبيرة (LLMs)

بيان المشكلة

إن دمج وكلاء نماذج اللغات الكبيرة (LLM) في المجالات الحساسة (الرعاية الصحية، التمويل، القانون) يخلق سطح هجوم جديد للخصوصية. يقوم المستخدمون بتفويض مهام إلى الوكلاء الذين يتفاعلون مع خدمات خارجية متعددة عبر بروتوكولات مثل "بروتوكول سياق النموذج" (MCP). وفي سير العمل متعدد الأدوار، يمكن للمهاجم الجمع بين إصدارات بيانات مستقلة لإعادة بناء سمات المستخدم الخاصة.

تعتمد طرق التطهير الحالية، مثل Prϵmpt و CAPE، على الخصوصية التفاضلية المترية (mDP) ولكنها تعامل كل إصدار بيانات بشكل مستقل. هذا الافتراض بالاستقلالية يفشل في سيناريوهات تعدد الأدوار:

التسريب الحميد: التكرار عبر المنصات (إرسال نفس القيمة الجذرية إلى خدمتين) أو التكرار الهيكلي (إرسال قيمة جذرية وقيمة مشتقة منها بشكل منفصل) يتسبب في زيادة ميزانية الخصوصية خطياً مع عدد الخدمات أو الدوال المشتقة.
التسريب العدائي: يمكن للمهاجم إجبار النظام على استعلامات متكررة لمتوسط الضجيج ( $1/\sqrt{q}$ ) أو طلب دوال مشتقة عشوائية. وفي الدوال غير الخطية الشائعة في سير العمل الطبي والمالي (مثل مؤشر كتلة الجسم BMI، أو مقياس FIB-4)، يؤدي إضافة الضجيج المستقل لقيمة مشتقة إلى تضخيم قابلية التمييز للقيمة الجذرية الأساسية من خلال ثابت ليبشيتز ( $L$ ) الخاص بالدالة، مما قد يتجاوز معامل الخصوصية الاسمي بعدة مراتب.

المشكلة الجوهرية هي أنه بدون تتبع التبعيات بين الإصدارات، فإن كل تفاعل إضافي يقلل من خصوصية المستخدم بما يتجاوز الميزانية الاسمية، بغض النظر عما إذا كان التسريب حميداً أم عدائياً.

المنهجية: RootGuard

يقترح المؤلفون RootGuard، وهو آلية خصوصية مدركة للتبعية مصممة للتفاعلات الوكيلة متعددة الأدوار. المبدأ الأساسي هو تطهير "القيم الجذرية" الحساسة مرة واحدة بالضبط وحساب جميع الإصدارات اللاحقة بشكل حتمي من هذه الجذور المضافة للضجيج.

بنية النظام

التهيئة: يحدد وكيل المستخدم القيم الجذرية الحساسة ( $X$ ) ويطهرها مرة واحدة باستخدام آلية ذات خصوصية تفاضلية ( $M_\epsilon$ ). يتم تخزين هذه القيم المضافة للضجيج ( $\hat{X}$ ) في ذاكرة تخزين مؤقت مطهرة.
عملية الدور الواحد: عندما يطلب المهاجم قيمة ما:
- إذا كان الطلب لقيمة جذرية، يتم إرجاع القيمة المخزنة المضافة للضجيج.
- إذا كان الطلب لقيمة مشتقة، يتم حسابها حتمياً من الجذور المخزنة المضافة للضجيج.
- لا يتم سحب ضجيج جديد بعد التهيئة.
حد الثقة: يتفاعل المهاجم فقط مع الذاكرة التخزينية المؤقتة المطهرة. وبفضل نظرية المعالجة اللاحقة للخصوصية التفاضلية، تكون رؤية المهاجم أقل إخبارية من تطهير الجذر الأولي، بغض النظر عن عدد الأدوار ( $t$ ) أو الدوال ( $f$ ) المطلوبة.

استغلال المعرفة الهيكلية

يستخدم RootGuard المعرفة العامة بالمجال لتحسين المقايضة بين الخصوصية والمنفعة دون إضعاف الضمانات:

المستوى 1 (التبعيات بين الجذور): إذا كان الجذر المعلن دالة حتمية لجذور أخرى (على سبيل المثال، مؤشر كتلة الجسم من الطول والوزن)، فإن الوكيل يحدد الجذور المستقلة الحقيقية. الجذور التابعة يُعاد حسابها من الآباء المضاف لهم الضجيج، لتورث الخصوصية دون تكلفة هامشية (النظرية 3).
المستوى 2 (حساسية الهدف): إذا كانت الدالة المستهدفة الوسيطة $g$ معروفة (مثل صيغة سريرية مثل FIB-4)، يقوم الوكيل بتخصيص ميزانية الخصوصية $\epsilon_i$ للجذور بناءً على حساسيتها للهدف. يتبع التخصيص قاعدة موزونة بالحساسية: $\epsilon_i \propto (|h_i| \cdot D_i)^{1/2}$ ، حيث $h_i$ هو المشتق الجزئي للدالة المستهدفة بالنسبة للجذر $i$ ، و $D_i$ هو عرض المجال. هذا يقلل من الخطأ المتوقع في القرار السريري النهائي.

الضمانات النظرية

النظرية 1 (ضمان خصوصية الرسم البياني الموجه - DAG): يعتمد ضمان الخصوصية فقط على معاملات تطهير الجذر وهو مستقل عن اختيار المهاجم للدوال أو عدد أدوار التفاعل.
النظرية 2 (تضخيم التمييز): تثبت أن إضافة الضجيج بشكل مستقل لقيمة مشتقة تضخم تمييز الجذر الأب من خلال ثابت ليبشيتز $L$ الخاص بالدالة.
النظرية 3 (الخصوصية الضمنية): تثبت أن إضافة الضجيج للجذور ومعالجتها لاحقاً لاستخراج القيم يوفر خصوصية أقوى على الأقل من إضافة الضجيج للقيم المشتقة مباشرة.

المساهمات الرئيسية

صياغة الخصوصية للوكلاء متعددي الأدوار: صاغ البحث لعبة الخصوصية للتفاعلات متعددة الأدوار وأثبت أن ضمان RootGuard ثابت بغض النظر عن عدد استعلامات المهاجم أو اختياراته للدوال.
إثبات التضخيم والتوريث: أظهر أن إضافة الضجيج المستقل للقيم المشتقة تضخم فقدان الخصوصية (النظرية 2)، بينما يسمح تنسيق إضافة الضجيح للجذور للقيم المشتقة بتوريث الخصوصية مجاناً (النظرية 3).
التخصيص الموزون بالحساسية: طريقة لتخصيص ميزانيات الخصوصية بناءً على حساسية الدالة المستهدفة، مما يقلل خطأ الهدف مع الحفاظ على الضمانات الرسمية.
التحقق التجريبي: تجارب مكثفة على 8 نماذج تشخيص طبي (مشتقة من بيانات NHANES) ونشر كامل لوكيل يعمل بنموذج GPT-5.4 nano للتحقق من الآلية.

النتائج التجريبية

تقارن التقييمات تكوينات RootGuard (M-Roots, M-Opt) مقابل إضافة الضجيج المستقل (M-All) عبر ثلاثة أسئلة بحثية:

RQ1: منفعة الهدف

المقياس: متوسط الخطأ المطلق الموزون (wMAPE) وخطأ فئة المخاطر (RCE).
النتائج: يتفوق RootGuard بشكل كبير على إضافة الضجيج المستقل. عند $\epsilon = 0.1$ وميزانية قدرها $B = (2k+1)\epsilon$ ، يحقق M-Opt خطأ wMAPE أقل بمقدار 2.6 ضعف (7.8% مقابل 20.3%) وخطأ فئة مخاطر أقل بمقدار 2.2 ضعف (7.0% مقابل 15.7%) مقارنة بـ M-All.
اللا تناظر المزدوج: مع إجبار المهاجم على المزيد من الأدوار ( $t$ )، تتحسن منفعة RootGuard (مزيد من الميزانية المتاحة لكل جذر)، بينما تتدهور خصوصية M-All (تراكم الملاحظات المستقلة).

RQ2: هجمات إعادة البناء

المقياس: خطأ إعادة البناء (Reconstruction wMAPE) تحت مهاجم الحد الأقصى اللاحق (MAP).
النتائج: تحت نظام M-All، ينخفض خطأ إعادة البناء مع زيادة عدد الاستعلامات ( $q$ ) (على سبيل المثال، ينخفض من 10.2% إلى 3.2% عندما تزيد $q$ من 1 إلى 16 عند $\epsilon_r=0.1$ ). أما تحت نظام RootGuard، فيظل خطأ إعادة البناء ثابتاً تجاه $q$ لأن الاستعلامات المتكررة تعيد نفس القيمة المخزنة.

RQ3: التحليل الهيكلي

النتائج: تظهر ميزة RootGuard بشكل أوضح في الصيغ "الضاغطة" (مثل FIB-4، HOMA) حيث تعمل الدالة المستهدفة على تقليل ضجيج الجذر. يتبع تخصيص الميزانية قانون القوة المتوقع $\epsilon_i \propto (|h_i| \cdot D_i)^{0.5}$ ، مما يؤكد استراتيجية التوزين بالحساسية.

RQ4: النشر من البداية إلى النهاية

الإعداد: محاكاة واقعية باستخدام وكيل GPT-5.4 nano عبر 21,600 جلسة.
النتائج: تنتقل نتائج مستوى الآلية إلى نشر LLM. ترتيب الأداء (M-Opt > M-Roots > M-All) يظل قائماً، وكانت هناك صفر حالات فشل في الامتثال على مستوى الجلسة (لا أخطاء في التحليل أو استجابات مشوهة).

الأهمية والادعاءات

يزعم البحث أن RootGuard يغير بشكل جذري مقايضة الخصوصية والمنفعة في تفاعلات الوكلاء متعددة الأدوار. من خلال الانتقال من التطهير عديم الحالة والمستقل إلى نهج مدرك للتبعية وله حالة (stateful)، يضمن RootGuard أن:

الخصوصية ثابتة: لا يكتسب المهاجم أي معلومات إضافية بغض النظر عن عدد الأدوار التي يفرضها أو الدوال التي يحسبها.
المنفعة تتحسن مع الأدوار: تسمح أدوار التفاعل الإضافية بتوزيع ميزانية خصوصية أكبر على الجذور، مما يحسن الدقة دون زيادة خطر الخصوصية.
المتانة: يظل النهج صامداً حتى تحت حقن الأوامر العدائي أو تصميم الخدمات الخبيث، حيث أن جميع الإصدارات هي عمليات معالجة لاحقة للجذور المضافة للضجيج الأولية.

يخلص المؤلفون إلى أن إضافة الضجيض المستقل غير كافية جوهرياً لسير العمل متعدد الأدوار الذي يتضمن قيمًا خاصة مترابطة، وأن التطهير المدرك للتبعية هو دفاع ضروري لنشر وكلاء LLM في المجالات عالية المخاطر. يفترض العمل وجود التعرف على الكيانات المسماة (NER) مثالي لتحديد الجذور ويركز على البيانات الرقمية المهيكلة، تاركاً النصوص الحرة وتكامل NER المشوب بالضجيج كعمل مستقبلي.