🤖 AI

Towards Backdoor-Based Ownership Verification for Vision-Language-Action Models

تقدم هذه الورقة GuardVLA، وهو أول إطار عمل قائم على الباب الخلفي للتحقق من ملكية نماذج الرؤية واللغة والعمل من خلال تضمين علامات مائية خفية في البيانات المرئية المتجسدة واستخدام آلية التبديل والكشف لضمان التحقق الموثوق دون المساس بأداء المهام أو قدرة النموذج على التكيف.

المؤلفون الأصليون: Ming Sun, Rui Wang, Xingrui Yu, Lihua Jing, Hangyu Du, Zhenglin Wan, Xu Pan, Ivor Tsang

نُشر 2026-05-12

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Ming Sun, Rui Wang, Xingrui Yu, Lihua Jing, Hangyu Du, Zhenglin Wan, Xu Pan, Ivor Tsang

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك قمت ببناء طباخ آلي متطور للغاية. هذا الروبوت لا يكتفي فقط باتباع أوامر بسيطة؛ بل يفهم اللغة، ويرى المطبخ، ويقرر بدقة كيفية تحريك ذراعيه لتقطيع الخضروات أو قلب الفطائر. هذا ما تسميه الورقة البحثية بـ نموذج الرؤية واللغة والحركة (VLA).

إن بناء هذه الروبوتات أمر مكلف وصعب. يسكب المطورون سنوات من العمل وملايين الدولارات لتدريبها. ومع ذلك، بمجرد طرح هذه الروبوتات للجمهور، يمكن لأي شخص نسخها، وتعديلها، وبيعها كأنها ملكه دون إعطاء الفضل لمبدعيها الأصليين أو دفع مستحقاتهم.

تقدم الورقة البحثية نظام GuardVLA، وهو نظام مصمم لحل هذه المشكلة. فكر في الأمر كأنه ختم "حبر سري" رقمي يثبت من هو المالك الحقيقي لعقل الروبوت.

إليك كيف يعمل، باستخدام تشبيهات بسيطة:

1. المشكلة: الروبوت "المقلد"

تخيل أنك خبزت وصفة كعكة مشهورة وأعطيتها لصديق. يأخذ صديقك الوصفة، ويغير الكريمة قليلاً، ثم يدعي أنه هو من اخترع الكعكة. في عالم الذكاء الاصطناعي، هذا أمر سهل القيام به. إذا نظرت فقط إلى كيفية أداء الروبوت لمهمة ما (مثل التقاط كوب)، فقد يبدو الإصدار المسروق مطابقاً تقريباً للأصلي. ومن الصعب معرفة من صنعه بمجرد مراقبته أثناء العمل.

2. الحل: "المفتاح السري" (GuardVLA)

يحل GuardVLA هذه المشكلة عن طريق دمج محفز سري غير مرئي داخل عقل الروبوت أثناء تدريبه.

"الحبر السري" (العلامة المائية): أثناء التدريب، يخفي المطورون رسالة سرية داخل الصور التي يراها الروبوت. الأمر يشبه كتابة رمز سري في ملمس الخضروات التي ينظر إليها الروبوت. يتعلم الروبوت التعرف على هذا الرمز، لكنه لا يغير طريقة طبخه أو حركته. يتصرف الروبوت تماماً مثل أي روبوت عادي.
"الوضع الآمن" مقابل "وضع المحقق": هذا هو الجزء الأكثر ذكاءً. تستخدم الورقة البحثية آلية "الاستبدال والكشف" (Swap-and-Detect).
- الوضع الطبيعي (الاستخدام اليومي): عندما يعمل الروبوت في مطبخ أو مصنع، فإنه يستخدم "أجزاء دماغه" القياسية. إنه يتجاهل الرمز السري تماماً. يتصرف بشكل طبيعي، وآمن، وفعال.
- وضع المحفز (عملية التدقيق): عندما يريد المالك الأصلي التحقق مما إذا كان الروبوت ملكه، فإنه يستبدل جزءاً داخلياً معيناً من عقل الروبوت (المُسقط/Projector) بجزء "محقق" خاص. هذا الجزء المحقق مضبوط للبحث عن ذلك الحبر السري غير المرئي.

3. كيف يعمل التحقق

تخيل أن لديك مفتاحاً لا يناسب إلا قفلاً معيناً.

الاختبار: يأخذ المالك الروبوت المشبوه ويستبدل الجزء الداخلي بـ "وحدة المحقق" الخاصة به.
رد الفعل: إذا كان الروبوت قد تم تدريبه باستخدام الحبر السري غير المرئي، فإن وحدة المحقق ستضيء وتقول: "لقد وجدت الرمز! هذا الروبوت ملكي!"
النتي نتيجة: إذا كان الروبوت نسخة نظيفة أو روبوتاً مختلفاً، فلن ترى وحدة المحقق أي شيء وتقول: "لم يتم العثود كود".

4. لماذا هذا الأمر مميز

توضح الورقة البحثية ثلاثة أسباب رئيسية تجعل هذا النهج أفضل من الطرق السابقة:

إنه لا يعطل الروبوت: تحاول بعض الطرق القديمة إثبات الملكية من خلال جعل الروبوت يتصرف بغرابة (مثل إسقاط كوب) عند سماع كلمة سرية. هذا أمر خطير بالنسبة للروبوتات التي قد تؤذي الناس أو تكسر الأشياء. GuardVLA مختلف: الروبوت يتصرف بشكل طبيعي تماماً حتى يقرر المالك إجراء اختبار "المحقق" المحدد.
يصمد أمام "إعادة المزج": إذا أخذ سارق الروبوت، ودربه على بيانات جديدة، أو غير إعداداته (ضبط دقيق)، فإن الرمز السري عادة ما يظل مخفياً بالداخل. توضح الورقة أنه حتى بعد تعلم الروبوت لمهام جديدة، لا يزال بإمكان "المحقق" العثور على الرمز.
من الصعب إزالته: اختبرت الورقة ما إذا كان بإمكان اللصوص مسح الرمز عبر ضغط عقل الروبوت أو تعليمه حِيَل جديدة. كان الرمز مغروساً بعمق لدرجة أن محاولة إزالته أدت في الواقع إلى تعطيل قدرة الروبوت على أداء وظيفته، بينما ظل الرمز قابلاً للكشف.

ملخص

GuardVLA يشبه وضع رقم تسلسلي مخفي وغير قابل للإزالة داخل عقل الروبوت، لا يمكن للمالك الأصلي فقط قراءته.

بالنسبة للعالم: يبدو الروبوت ويتصرف كآلة عالية الأداء وطبيعية.
بالنسبة للمالك: لديه مفتاح خاص (آلية "الاستبدال والكشف") يكشف التوقيع المخفي، مما يثبت أن الروبوت ملكه، حتى لو حاول شخص آخر نسخه أو تعديله.

يضمن هذا أن يتمكن المبدعون من مشاركة عقول الروبوتات المتقدمة مع العالم دون خوف من فقدان الفضل أو السيطرة على ملكيتهم الفكرية.

ملخص تقني: GuardVLA – نحو التحقق من الملكية القائم على الباب الخلفي لنماذج الرؤية واللغة والأفعال (VLA)

1. بيان المشكلة

تُمكّن نماذج الرؤية واللغة والأفعال (VLA) التحكم الروبوتي العام عبر رسم خرائط للمدخلات متعددة الوسائط (اللغة والرؤية) إلى أفعال روبوتية مستمرة. ومع تحول هذه النماذج إلى أصول فكرية ذات قيمة تتطلب استثمارات كبيرة في البمارة، والضبط الدقيق، والبيانات، فإن إصدارها المفتوح يعرضها لإعادة الاستخدام غير المصرح به، والتعديل، والنشر التجاري.

تواجه طرق التحقق من ملكية النماذج الحالية قيوداً حرجة عند تطبيقها على نماذج VLA:

ضعف قابلية الفصل في الاستجابة: على عكس نماذج الرؤية واللغة القياسية التي تنتج مخرجات دلالية، تولد نماذج VLA أفعالاً مستمرة قابلة للتنفيذ. غالباً ما تظهر السياسات المختلفة سلوكيات ناجحة متشابهة للغاية في المهمة نفسها، مما يجعل من الصعب التمييز بين الملكية بناءً على الاختلافات في مستوى الاستجابة.
قيود السلامة: تعتبر طرق الباب الخلفي التقليدية أو الاضطرابات العدائية التي تستحث مخرجات غير طبيعية غير مناسبة للروبوتات، حيث يمكن أن تؤدي إلى سلوكيات غير آمنة أثناء النشر.
المتانة: يجب أن تظل آليات التحقق فعالة حتى بعد خضوع النموذج للضبط الدقيق أو التكيف في المهام اللاحقة.

التحدي الجوهري هو تصميم إطار عمل للتحقق يوفر أدلة تمييز للملكية دون المساس بأداء المهام الطبيعي أو التسبب في سلوكيات روبوتية غير آمنة.

2. المنهجية: GuardVila

يقترح المؤلفون GuardVLA، وهو أول إطار عمل للتحقق من الملكية القائم على الباب الخلفي والمصمم خصيصاً لنماذج VLA. يعمل الإطار على آلية "الاستبدال والكشف" (swap-and-detect)، والتي تفصل بين التنفيذ الحميد والتحقق في وضع المحفز.

2.1. تضمين العلامة المائية (الضبط الدقيق الآمن)

خلال مرحلة التدريب، يقوم GuardVLA بتضمين علامة مائية لباب خلفي خفية وغير ضارة في النموذج المحمي:

الحقن الستيجانوغرافي (إخفاء المعلومات): يتم تضمين رسالة سرية ثابتة ( $m_s$ ) في الملاحظات البصرية المجسدة ( $x_{ob}$ ) باستخدام مدمج ستيجانوغرافي مدرب مسبقاً ( $E_\phi$ )، مما ينتج ملاحظة موسومة بعلامة مائية $x_s = x_{ob} + \delta_s$ .
الضبط الدقيق الآمن: يتم ضبط النموذج المحمي ( $M_w$ ) بدقة على هذه الملاحظات الموسومة باستخدام خسارة المهمة القياسية. يؤدي هذا إلى تضمين نمط الباب الخلفي في معاملات النموذج دون تغيير سلوكه على المدخلات النظيفة.
النماذج المساعدة: لدعم الكشف، يتم تدريب نموذجين مساعدين:
- نموذج نظيف ( $M_c$ ) تم ضبطه بدقة على بيانات أصلية غير معدلة.
- نموذج ضوضاء ( $M_r$ ) تم ضبطه بدقة على بيانات تحتوي على رسائل سرية عشوائية غير مستهدفة ( $m_r$ ).

2.2. التدريب المشترك لمسقط المحفز والمصنف

لتمكين الكشف دون تغيير السلوك الحميد للنموذج المنشور، يقوم GuardVLA بتدريب وحدات خارجية:

مسقط المحفز (Trigger Projector - $P_t$ ): يستبدل المسقط القياسي أثناء عملية التحقق. يقوم برسم خرائط للميزات البصرية إلى رموز (tokens) حساسة للعلامة المائية المضمنة.
رأس المصنف (Classifier Head - $H_c$ ): يستبدل خبير الفعل القياسي أثناء التحقق لإخراج احتمالات الملكية.
هدف التدريب: يتم تدريب هذه الوحدات باستخدام خسارة الثلاثية (Triplet Loss) لهيكلة فضاء التمثيل (سحب التمثيلات النظيفة والضوضاء معاً ودفع التمثيل الموسوم بعيداً) وخسارة الإنتروبيا المتقاطعة الثنائية (Binary Cross-Entropy Loss) لتصنيف النموذج الموسوم كإيجابي وغيره كسالب.

2.3. بروتوكول التحقق من الاستبدال والكشف

يحدث التحقق من الملكية في نمطين متميزين:

النمط الحميد (اختبار الأداء): يستخدم النموذج مكوناته الأصلية ( $P_b, H_a$ ) لتنفيذ المهام. يتم قياس معدل النجاح (SR) لضمان عدم تعطل النموذج أو تدهور أدائه بشكل كبير.
نمط المحفز (كشف العلامة المائية): إذا اجتاز النموذج اختبار الأداء، يتم استبدال المسقط الداخلي ورأس الفعل بالمسقط المحفز ( $P_t$ $P_{t}$ ) ورأس المصنف ( $H_c$ $H_{c}$ ) المدربين. يعالج النموذج نفس المدخلات، ويخرج المصنف ثقة تحديد العلامة المائية (WIC).
- إذا كان $WIC \ge \tau_{wic}$ ، يتم تحديد النموذج كنسخة من النموذج المحمي.
- إذا كان $WIC < \tau_{wic}$ ، يُعتبر النموذج غير موسوم بعلامة مائية.

3. المساهمات الرئيسية

إطار عمل GuardVLA: أول إطار عمل للتحقق من الملكية القائم على الباب الخلفي والمخصص لنماذج VLA، والذي يضمن تضمين علامة مائية غير ضارة أثناء التدريب تظل غير نشطة أثناء النشر القياسي.
آلية الاستبدال والكشف: استراتيجية تحقق مبتكرة تفصل صراحةً بين التنفيذ الحميد والتحقق في وضع المحفز. يضمن ذلك أن أدلة الملكية لا يتم تنشيطها إلا أثناء التدقيق، مما يمنع السلوكيات غير الآمنة أثناء التشغيل الروبوتي العادي.
المتانة والدقة: تُظهر التجارب المكثفة أن GuardVLA يحافظ على أداء المهمة اللاحقة (الدقة) مع الحفاظ على قابلية عالية للكشف عن العلامة المائية حتى بعد تكيف النموذج بعد الإصدار (الضبط الدقيق) وتحت هجمات التثبيط المختلفة.

4. النتائج التجريبية

قيم المؤلفون GuardVLA على ثلاثة بنى تحتية ممثلة لـ VLA (وهي OpenVLA-OFT، وVLA-Adapter، و $\pi_{0.5}$ ) باستخدام مجموعة اختبار LIBERO.

دقة النموذج: حافظ GuardVLA على معدلات نجاح المهام (SR) أو حسنها قليلاً مقارنة بالنماذج النظيفة. على سبيل المثال، حقق نموذج OpenVLA-OFT الموسوم بنسبة نجاح 99.4% في مجموعة Object (مقابل 98.2% للنموذج النظيف)، وحسن VLA-Adapter النسبة من 89.8% إلى 93.4% في LIBERO-10.
قابلية الكشف عن العلامة المائية: في نمط المحفز، حققت النماذج الموسومة باستمرار درجات WIC أعلى من 99.8%، بينما ظلت النماذج النظيفة ونماذج الضوضاء أقل من 0.1%. يشير هذا إلى فصل واضح بين النماذج المحمية وغير المحمية.
المتانة تجاه التكيف:
- الضبط الدقيق عبر مجموعات البيانات: عندما تم ضبط نموذج موسوم تم تدريبه على LIBERO-10 بدقة على LIBERO-Spatial، ظلت WIC قريبة من 100% طوال عملية التكيف.
- الضبط الدقيق عبر الطرق: حتى عند الضبط الدقيق بمدخلات بصرية مخفضة (رؤية واحدة مقابل رؤية مزدوجة)، ظلت العلامة المائية قابلة للكشف.
المقاومة للتثبيط: صمد إطار العمل أمام تكميم الأوزان (INT4)، وتقطير المعرفة، وهجمات التكيف غير المتوافقة مع المسقط. في جميع الحالات، ظلت WIC قريبة من 100%، بينما أدت الهجمات غالباً إلى تدهور أداء المهمة (SR)، مما يشير إلى أن إزالة العلامة المائية تضر بالمنفعة.
التوسع على مستوى السلوك: أظهر المؤلفون أنه يمكن أيضاً التحقق من الملكية عبر أنماط حركة مميزة لنهاية المستجيب (end-effector) ناتجة عن المحفز، مما يوفر إشارة تحقق قابلة للتفسير على مستوى السلوك.

5. الأهمية والادعاءات

يدعي البحث أن GuardVLA يعالج فجوة حرجة في نشر نماذج VLA مفتوحة المصدر من خلال توفير طريقة موثوقة وآمنة ومتينة للتحقق من الملكية.

السلامة أولاً: على عكس أساليب الباب الخلفي السابقة التي قد تستحث أفعالاً خاطئة، يضمن GuardVA أن تكون العلامة المائية خاملة أثناء التشغيل العادي، مما يحافظ على سلامة وفائدة السياسة الروبوتية.
الاستمرارية: تم تصميم العلامة المائية لتستمر عبر الضبط الدقيق اللاحق، وهو سيناريو شائع في تكيف VLA، مما يضمن بقاء ادعاءات الملكية صالحة حتى بعد تكييف النموذج مع مهام أو بيئات جديدة.
الواقعية: يعمل إطار العمل تحت نموذج تهديد واقعي حيث يمتلك المدقق وصولاً محدوداً (قائم على الواجهة) بدلاً من الوصول الكامل للأوزان، كما أن عملية التحقق لا تتطلب الكشف عن بيانات التدريب الخاصة.

يخلص المؤلفون إلى أن GuardVLA يتيح مشاركة النماذج بمسؤولية من خلال السماح للمطورين بتتبع الاستخدام غير المصرح به دون إعاقة البحث والتكيف الحميد، مما يدعم نظاماً بيئياً مستداماً للذكاء المجسد.