🤖 machine learning

COPYCOP: Ownership Verification for Graph Neural Networks

تقدم الورقة البحثية CopyCop، وهو خوارزمية قوية ذات ضمانات نظرية تتحقق من ملكية الشبكات العصبية الرسومية (GNNs) عبر الكشف عما إذا كان نموذجان ببنيات أو أوزان أو أبعاد تضمين مختلفة قد تم تدريبهما بشكل مستقل أم أن أحدهما نسخة مقلدة عدائية، متفوقة بذلك على طرق العلامات المائية وبصمات الأصابع الحالية عبر 14 مجموعة بيانات.

المؤلفون الأصليون: Rahul Nandakumar, Deepayan Chakrabarti

نُشر 2026-05-08

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Rahul Nandakumar, Deepayan Chakrabarti

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك شيف ماهر طورت صلصة سرية ومميزة خاصة بك. أنت تبيع هذه الصلصة للمطاعم كخدمة: يرسلون لك قائمة بالمكونات (رسم بياني/Graph)، وأنت ترسل لهم في المقابل نكهة فريدة (تضمين/Embedding) يمكنهم استخدامها لصنع أطباقهم الخاصة.

المشكلة؟ قد يحاول منافس ماكر سرقة وصفتك. هو لا يحتاج لاقتحام مطبخك؛ يكفي أن يطلب ألف عينة من صلصتك، يتذوقها، ثم يحاول ابتكار نسخته الخاصة التي لها نفس المذاق تماماً. ولجعل الأمر أكثر صعوبة في كشفه، قد يغيرون لون الصلصة، أو يقدمونها في وعاء مختلف، أو حتى يخففون قوامها قليلاً، آملين ألا تدرك أن ما لديك هو نسخة مقلدة.

هذه هي المشكلة التي يحلها COPYCOP. إنه "أداة جنائية" جديدة مصممة للإيقاع بهؤلاء الطهاة المقلدين (أو في عالم التكنولوجيا، "النماذج البديلة"/Surrogate Models)، حتى عندما يحاولون التمويه لإخفاء سرقتهم.

إليك كيف يعمل، مقسماً إلى مفاهيم بسيطة:

1. الطرق القديمة لم تنجح

في السابق، حاول الناس الإمساك باللصوص بطريقتين، وكلتاهما كانت معيبة:

طريقة "العلامة المائية" (Watermark): يقوم الشيف سراً بإضافة ذرة صغيرة غير مرئية من البريق (Glitter) إلى الصلصة. إذا وجدت هذه الذرة في صلصة المنافس، فقد تم ضبطه.
- العيب: يمكن للسارق ببساطة طلب الصلصة، تذوقها، ثم إعادة ابتكار النكهة بدون وجود تلك الذرة. هم يتجاهلون تماماً تلك الذرة السرية.
طريقة "بصمة الإصبع" (Fingerprint): يقارن الشيف ملمس (Texture) صلصة الضحية بصلصة المشتبه به.
- العيب: إذا سكب السارق الصلصة في وعاء مختلف الشكل أو غير درجة الحرارة، سيبدو الملمس مختلفاً، حتى لو كان الطعم هو نفسه. الأدوات القديمة لم تستطع التمييز بين التغيير الحقيقي والتنكر المزيف.

2. حل COPYCOP: البحث عن "نقاط السكون"

يتخذ COPYCOP نهجاً مختلفاً تماماً. بدلاً من النظر إلى الصلصة نفسها (المخرج/Output)، فإنه ينظر إلى كيفية تفاعل الصلصة عندما "تنقرها" أو تضغط عليها.

تخيل أن لديك كرة من العجين (نموذج الذكاء الاصطناعي). إذا ضغطت عليها بلطف في اتجاه واحد، فقد تنبعج ويتغير شكلها. ولكن، هناك نقاط محددة معينة في العجين، إذا ضغطت عليها، لا يحدث شيء على الإطلاق. العجين لا يتحرك. تُسمى هذه النقاط بـ "النقاط الساكنة" (Stationary Points).

الرؤية السحرية: تثبت الورقة البحثية أن هذه "النقاط الساكنة" تشبه الحمض النووي للوصفة. حتى لو غير السارق الوعاء، أو درجة الحرارة، أو اللون (التحويلات/Transformations)، فإن موقع هذه "النقاط الساكنة" يظل كما هو تماماً.
الاختبار:
1. يطلب COPYCOP من الشيف الضحية (النموذج الأصلي) إيجاد هذه "النقاط الساكنة" في عجينه.
2. ثم يطلب من الشيف المشتبه به (النموذج المعني) إيجاد "النقاط الساكنة" في عجينه.
3. الحكم: إذا تطابقت "النقاط الساكنة" للمشتبه به مع نقاط الضحية تماماً، فإن المشتبه به مقلد. أما إذا كانت النقاط في أماكن مختلفة، فمن المرجح أن المشتبه به هو شيف مستقل صنع صلصة ذات مذاق مشابه بالصدفة فقط.

3. لماذا هو جيد جداً في ضبط اللصوص

تزعم الورقة أن COPYCOP قوي للغاية لأنه:

يتجاهل التنكر: سواء قام السارق بتدوير الصلصة، أو تكبير حجمها، أو تغيير أبعاد الوعاء، فإن "النقاط الساكنة" تظل ثابتة في مكانها.
لا يحتاج لرؤية المطبخ: لست بحاجة لرؤية وصفة السارق السرية (الأوزان أو البنية الهيكلية). أنت تحتاج فقط لرؤية ما يخرج من قدره.
يعمل حتى لو حاولوا الاختباء: لا يستطيع السارق بسهولة تزييف هذه النقاط. لكي يفعل ذلك، سيتعين عليه محاكاة رد فعل الضحية تجاه كل "نقرة" ممكنة بشكل مثالي، وهو أمر مستحيل رياضياً ما لم يكن قد سرق الوصفة بالفعل.

4. النتائج

اختبر الباحثون هذه "الأداة الجنائية" على 14 نوعاً مختلفاً من البيانات (مثل الشبكات الاجتماعية، الجزيئات، والسجلات المالية) و5 أنواع مختلفة من نماذج الذكاء الاصطناعي.

الدقة: لقد حدد المقلدين بدقة تقترب من 100% من المرات، حتى عندما حاول اللصوص تدوير أو تغيير حجم أو تشويه نماذجهم.
المقارنة: لقد سحق الطرق القديمة لـ "العلامة المائية"، التي فشلت عندما تجاهل السارق ببساطة "البريق السري". كما تفوق على طرق "بصمة الإصبع" القديمة، التي ارتبكت بسبب التغييرات البسيطة مثل التدوير.

ملخص

فكر في COPYCOP كشرطي لا ينظر إلى ملابس المشتبه به (التي يمكن تغييرها) أو صوته (الذي يمكن تنكره). بدلاً من ذلك، يطلب المحقق من المشتبه به الوقوف على نقطة محددة وغير مرئية على الأرض. إذا وقف على نفس النقطة غير المرئية التي وقف عليها المالك الأصلي تماماً، بغض النظر عن الملابس التي يرتديها، فهو مذنب بالتقليد. أما إذا وقف في مكان آخر، فهو بريء.

تسمح هذه الطريقة لأصحاب نماذج الذكاء الاصطناعي بإثبات ملكيتهم والإمساك باللصوص، حتى عندما يحاول هؤلاء اللصوص تمويه أعمالهم المسروقة بالكامل.

ملخص تقني: COPYCOP – التحقق من الملكية للشبكات العصبية الرسومية (GNNs)

1. بيان المشكلة

تتناول الورقة البحثية قضية حرجة تتعلق بـ التحقق من الملكية للشبكات العصبية الرسومية (GNNs) التي يتم نشرها كخدمات "تضمينات كخدمة" (Embeddings-as-a-Service). في هذا الإعداد، يقدم النموذج الضحية $M$ تضمينات العقد لمهام لاحقة. يمكن للمهاجم القيام بـ هجوم استخراج النموذج من خلال الاستعلام من $M$ عبر رسوم بيانية عديدة، وجمع أزواج المدخلات والمخرجات، وتدريب نموذج بديل $Z$ لمحاكاة هذه التضمينات.

يتمثل التحدي الجوهري في التمييز بين ما إذا كان النموذج المرشح $Z$ قد تم تدريبه بشكل مستقل أم أنه نموذج بديل مشتق من $M$ . يزداد الأمر تعقيداً بسبب قدرة المهاجم على تطبيق تحويلات متنوعة على مخرجات التضمين للنموذج البديل (مثل الدوران، أو القياس، أو التبديل، أو تغيير أبعاد التضمين) واستخدام بنيات أو أوزان مختلفة. تفشل الطرق الحالية تحت هذه الظروف:

العلامات المائية (Watermarking): الطرق التي تدمج إشارات خاصة (مثل الأبواب الخلفية) في النموذج الضحية تكون عرضة للخطر لأن المهاجم الذي يتدرب على بيانات استعلام عادية ليس ملزماً بإعادة إنتاج هذه السلوكيات المحددة ذات العلامة المائية.
البصمات (Fingerprinting): تعتمد طرق البصمات القائمة على التضمين الموجودة حالياً غالباً على مقارنات التشابه المباشرة، والتي يسهل كسرها بواسطة التحويلات الخطية أو غير الخطية التي تغير مساحة التضمين مع الحفاظ على الفائدة اللاحقة.

2. المنهجية: COPYCOP

يقترح COPYCOP طريقة بصمة لا تقوم بتعديل النموذج الضحية. بدلاً من ذلك، يعتمد على النقاط الثابتة (stationary points) لدالة التضمين كبصمات جوهرية ثابتة تجاه التحويلات.

المفهوم الأساسي:
تضمين العقدة $h_i(X)$ هو دالة لبنية الرسم البياني وميزات العقد. تُعرف النقطة الثابتة بأنها زوج $(G, X, i, w)$ حيث يؤدي اضطراب ميزات العقدة $x_i$ في اتجاه $w$ إلى عدم حدوث تغيير من الدرجة الأولى في التضمين (أي أن المشتق الاتجاهي $\nabla_w h_i(X) = 0$ ).

الأساس النظري:

الثبات (Invariance): إذا كان النموذج البديل $Z$ يخرج تضمينات $h'_i = \phi(h_i)$ حيث $\phi$ هو تحويل قابل للعكس محلياً (الافتراض 3.4)، فإن النقاط الثابتة لـ $h_i$ هي أيضاً نقاط ثابتة لـ $h'_i$ . وذلك لأنه إذا كان تدرج $h_i$ صفراً، فإن تدرج $\phi(h_i)$ يجب أن يكون صفراً أيضاً (التمهيدية 3.6).
التفرد (Uniqueness): يفترض المؤلفون أن النماذج المدربة بشكل مستقل تتقارب نحو نهايات صغرى محلية مختلفة، مما يعني أن مجموعات النقاط الثابتة الخاصة بها $S(M)$ و $S(I)$ متباعدة إلى حد كبير (الافتراض 3.7).

الخوارزمية (الحالة العامة):
بما أن النقاط الثابتة الدقيقة قد لا توجد أو لا يمكن حسابها في الحالة العامة (بسبب أخطاء إعادة البناء أو عدم القابلية للاشتقاق)، يستخدم COPYCOP مقياس تقريبي $\beta_F$ :

أخذ العينات (Sampling): تقوم الخوارزمية بأخذ عينات من أزواج النقاط الثابتة للنموذج الضحية $S(M)$ ومن توزيع عشوائي على مساحة الاستعلام.
حساب المقياس: بالنسبة لنموذج مرشح $Z$ ، يقوم بحساب $q_Z(t)$ ، وهو المقدار الطبيعي لتغير التضمين عند اضطراب الميزات. ثم يحسب $\beta_Z$ ، وهي نسبة $q_Z$ المتوقعة بالقرب من النقاط الثابتة مقابل النقاط العشوائية.
القرار:
- إذا كان $Z$ هو الضحية أو نموذجاً بديلاً، فإن $\beta_Z$ تكون صغيرة (قريبة من 0) لأن النقاط الثابتة لـ $M$ تظل "ثابتة" بالنسبة لـ $Z$ .
- إذا كان $Z$ نموذجاً مستقلاً، فإن $\beta_Z$ ستكون أكبر بكثير لأن $Z$ لا يتشارك نقاط الثبات مع $M$ .
- تصنف الخوارزمية $Z$ كنموذج بديل إذا كان $\hat{\beta}_Z \leq \theta$ (الخوارزمية 2).

تفاصيل التنفيذ:

أخذ عينات النقاط الثابتة: تستخدم الطريقة حلالاً للتحسين (Optimization Solver) دون الحاجة للوصء إلى تدرج النموذج لإيجاد متجهات الميزات $X$ التي تقلل المشتق الاتجاهي الطبيعي، مع تنظيمها للبقاء قريبة من توزيعات البيانات الواقعية.
القوة (Robustness): الطريقة مستقلة عن البنية وتتعامل مع تغييرات أبعاد التضمين. كما أنها تولد رسوماً بيانية للاستعلام ديناميكياً، مما يمنع تسرب المعلومات من تقويض عمليات التحقق المستقبلية.

3. المساهمات الرئيسية

آلية بصمة مبتكرة: يُعد COPYCOP أول طريقة بصمة لتضمينات GNN تتميز بالمتانة تجاه فئة واسعة من التحويلات العدائية (الدوران، القياس، تغيير الأبعاد) وتعمل عبر بنيات GNN مختلفة.
ضمانات نظرية: تقدم الورقة براهين رسمية (النظرية 3.8 و Theorem 3.15) تثبت أن الطريقة يمكنها التمييز بين النماذج البديلة والنماذج المستقلة باحتمالية عالية تحت افتراضات معقولة حول دوال التحويل وتوزيعات النقاط الثابتة.
لا تتطلب علامات مائية: على عكس الأعمال السابقة، لا يتطلب COPYCOP تعديل عملية تدريب النموذج الضحية، مما يتجنب تدهور الأداء والضعف أمام هجمات الاستخراج التي تتجاهل المدخلات الخاصة.
بصمات عشوائية: البصمات عشوائية ويمكن إعادة توليدها، مما يضمن أن تسرب الاستعلامات لا يؤدي إلى تقويض نظام التحقق بشكل دائم.

4. النتائج التجريبية

قيم المؤلفون COPYCOP على 14 مجموعة بيانات (تغطي الجزيئات، الاقتباسات، الشبكات الاجتماعية، إلخ) و 5 بنيات GNN (GCN, GIN, GraphSage, ARMA, MixHop).

دقة استخراج النموذج: حقق COPYCOP درجات مثالية أو شبه مثالية في المساحة تحت المنحنى (AUC) (على سبيل المثال، AUC=1.00 لـ GCN، و 0.99 لـ MixHop) في اكتشاف النماذج البديلة المدربة عبر استخراج النموذج. لقد تفوق بشكل كبير على طريقة العلامة المائية PreGIP (بنسبة 17-48% عبر البنيات) وطريقة البصمة GrOVe. وقد انخفض أداء PreGIP أحياناً إلى ما دون مستوى الصدفة عندما تم تدريب النموذج البديل على بيانات عادية فقط.
المتانة تجاه التحويلات: ظل COPYCOP متيناً (بمعدل خطأ 0%) ضد الدوران، والقياس، والإسقاط إلى أبعاد أعلى. وبينما انخفض الأداء قليلاً تحت التحويلات غير الخطية الشديدة (مثل الأس)، إلا أنه ظل متفوقاً بمراحل على PreGIP و GrOVe. ومن الجدير بالذكر أن GrOVe فشل تماماً عند تغير أبعاد التضمين.
الهجمات العدائية:
- التقليم (Pruning): ظل COPYCOP متيناً حتى تقليم الأوزان بنسبة 40% (مستقر لـ GIN حتى 70%).
- الضبط الدقيق (Fine-tuning): ظلت دقة الكشف مستقرة حتى بعد إجراء ضبط دقيق للنموذج البديل على مجموعة بيانات صغيرة مصنفة.
الكفاءة: تتطلب الطريقة من 20 إلى 40 نقطة ثابتة فقط للوصم بالوصول إلى أقصى AUC تقريباً.

5. الأهمية والادعاءات

تدعي الورقة أن COPYCOP يحل فجوة أساسية في أمن "GNN-as-a-Service". من خلال الاستفادة من الثبات الرياضي للنقاط الثابتة، فإنه يوفر آلية موثوقة للتحقق من الملكية تصمد أمام التغييرات "الجمالية" التي يستخدمها المهاجمون لإخفاء سرقة النماذج.

يؤكد المؤلفون أن نهجهم متواضع في افتراضاته (مثل اشتراط القابلية للعكس المحلي للتحويلات فقط) ولكنه قوي في أدائه التجريبي. وهم يقرون بوجود قيود، مثل الحاجة إلى مزيد من التحقق من الافتراضات المتعلقة بتوزيعات التحويل، والتكلفة الحسابية لإيجاد النقاط الثابتة للرسوم البيانية الكبيرة جداً أو التضمينات عالية الأبعاد. ومع ذلك، يؤكدون أن COPYCOP يقدم حلاً عملياً، متيناً، ومبنياً على أسس نظرية حيث تفشل تقنيات العلامات المائية والبصمات الحالية.