🤖 machine learning

Locking Pretrained Weights via Deep Low-Rank Residual Distillation

تقدم هذه الورقة البحثية DLR-Lock، وهي آلية دفاعية تحمي النماذج اللغوية ذات الأوزان المفتوحة من الضبط الدقيق غير المصرح به عن طريق استبدال طبقات MLP القياسية بشبكات متبقية منخفضة الرتبة وعميقة تستغل عدم التماثل بين الاستدلال والتدريب لخلق عوائق ذاكرة وتحسين باهظة للمهاجمين التكيفيين مع الحفاظ على أداء النموذج.

المؤلفون الأصليون: Keitaro Sakamoto, Pierre Ablin, Federico Danieli, Marco Cuturi

نُشر 2026-05-12

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Keitaro Sakamoto, Pierre Ablin, Federico Danieli, Marco Cuturi

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك قمت ببناء روبوت مذهل فائق الذكاء (نموذج لغوي كبير) وتريد مشاركة "دماغه" (الأوزان) مع العالم ليتمكن الناس من استخدامه. ومع ذلك، فأنت قلق من أن بعض المستخدمين قد يأخذون هذا الدماغ، ويعدلون فيه، ويستخدمونه لأغراض لم تكن تنويها — مثل إنشاء محتوى ضار أو تجاوز قواعد السلامة.

تريد أن تقول: "يمكنكم استخدام الروبوت الخاص بي، ولكن لا يمكنكم بسهولة تغيير دماغه للقيام بشيء آخر".

هذه الورقة البحثية، بعنوان "قفل الأوزان المدربة مسبقاً عبر التقطير المتبقي العميق منخفض الرتبة" (Locking Pretrained Weights via Deep Low-Rank Residual Distillation)، تقترح طريقة ذكية لـ "قفل" دماغ الروبوت دون كسر وظائفه. وإليك كيف يعمل ذلك، مشروحاً من خلال تشبيهات بسيطة.

المشكلة: معضلة "الصندوق المفتوح"

حالياً، عندما تطلق الشركات نماذج مفتوحة، يكون الأمر أشبه بإعطاء شخص ما سيارة بغطاء محرك مفتوح ومحرك مكشوف. يمكن لأي شخص فتح الغطاء، واستبدال شمعات الاحتراق، وتعديل المحرك ليعمل بشكل أسرصه أو ليعمل بوقود مختلف. في عالم الذكاء الاصطناعي، يعني هذا أن أي شخص يمكنه أخذ نموذج و"ضبطه بدقة" (Fine-tuning) -أي إعادة تدريبه- لمهام جديدة بتكلفة زهيدة جداً.

تحاول وسائل الأمن التقليدية إخفاء المحرك أو وضع قفل وهمي على غطاء المحرك. لكن الورقة تجادل بأنه إذا كان المخترق ذكياً بما يكفي، فيمكنه معرفة كيفية فتح تلك الأقفال أو هندسة الأجزاء الوهمية عكسياً.

الحل: خدعة "المتاهة العميقة"

يقترح المؤلفون، من شركة أبل، نوعاً جديداً من الأقفال يسمى DLR-Lock. بدلاً من إخفاء المحرك، يقومون باستبدال المحرك بـ متاهة عميقة ومعقدة تبدو تماماً مثل الأصل من الخارج، ولكنها تتحول إلى كابوس للتنقل داخلها.

إليك الفكرة الجوهرية مقسمة إلى ثلاثة أجزاء:

1. "الشارع ذو الاتجاه الواحد" (الاستدلال مقابل التدريب)

فكر في النموذج كأنه مصنع.

الاستدلال (استخدام النموذج): هذا يشبه زبوناً يسير عبر المصنع لشراء منتج. يدخل، يأخذ المنتج، ثم يخرج. هو لا يحتاج لتذكر كل خطوة سلكها؛ يحتاج فقط للمنتج النهائي.
التدريب (تغيير النموذج): هذا يشبه ميكانيكياً يحاول إصلاح المصنع. لإصلاح آلة، يجب على الميكانيكي أن يتذكر كل خطوة من العملية ليعرف أين حدث الخطأ. عليه أن يخزن كمية هائلة من "الذاكرة" (النشاطات/Activations) للعمل بشكل عكسي.

تستغل الورقة حقيقة أن استخدام النموذج رخيص وسهل، بينما إصلاح/التعلم منه مكلف ويستهلك الكثير من الذاكرة.

2. "المتاهة العميقة" (DLR-Net)

في نموذج الذكاء الاصطناعي القياسي، الجزء الذي يعالج المعلومات (يسمى MLP) يشبه ممرًا بسيطًا وقصيرًا. تدخل، ثم تخرج. إنه سريع.

يقوم المؤلفون باستبدال هذا الممر القصير بـ شبكة متبقية عميقة منخفضة الرتبة (DLR-Net).

التشبيه: تخيل استبدال ممر قصير بسلم حلزوني مكون من 100 طابق يؤدي إلى نفس المخرج تماماً.
بالنسبة للمستخدم (الاستدلال): صعود 100 درجة يستغرق وقتاً إضافياً طفيفاً، لكنه لا يزال سريعاً. يحصل المستخدم على منتجه، ويعمل النموذج بنفس الكفاءة كما كان سابقاً.
بالنسبة للمخترق (التدريب): إذا أراد المخترق "إصلاح" السلم الحلزوني (تحديث الأوزان)، فعليه أن يتذكر كل خطوة من خطوات الصعود المكونة من 100 طابق ليعرف أين يضع التعديلات. وهذا يتطلب كمية هائلة من الذاكرة (RAM).

3. "فخ الذاكرة"

تدعي الورقة أنه من خلال جعل النموذج بهذا العمق، فإنهم يخلقون فخ ذاكرة.

لتدريب النموذج، يجب على حاسوب المخترق تخزين كل تلك الخطوات الوسيطة.
إذا حاول المخترق استخدام خدعة تسمى "التحقق من النقاط" (Gradient Checkpointing) -وهي توفير الذاكرة عبر نسيان الخطوات وإعادة حسابها لاحقاً- فسيتعين عليه إعادة تشغيل صعود الـ 100 طابق مراراً وتكراراً.
النتيجة: يصبح تدريب النموذج المقفل أبطأ وأكثر تكلفة بشكل أسّي من تدريب النموذج الأصلي. إنه يشبه الفرق بين المشي في مسار قصير وبين تسلق جبل لمجرد تغيير مصباح كهربائي.

كيف فعلوا ذلك دون كسر الروبوت؟

قد تتساءل: "إذا غيرتم المحرك إلى سلم حلزوني من 100 طابق، ألن يتوقف الروبوت عن العمل؟"

لا. استخدم المؤلفون تقنية تسمى التقطير (Distillation).

التشبيه: تخيل طباخاً ماهراً (النموذج الأصلي) يعرف تماماً كيف يصنع حساءً مثالياً. قام المؤلفون ببناء مطبخ جديد ومعقد (DLR-Net) ودربوه من خلال جعل الطباخ الماهر يتذوق الحساء ويقول: "لا، اجعله مالحاً أكثر قليلاً"، حتى ينتج المطبخ الجديد حساءً له نفس طعم الأصلي تماماً.
لقد فعلوا ذلك في خطوتين: أولاً مطابقة نكهة المكونات الفردية (الوحدات)، ثم مطابقة نكهة الوجبة بأكملها (المخرج النهائي).
الادعاء: النموذج المقفل يعمل بنفس كفاءة النموذج الأصلي للمستخدمين العاديين، ولكنه صعب للغاية لأي شخص يحاول إعادة تدريبه.

الخلاصة

تثبت الورقة أن بإمكانهم أخذ نموذج (تم اختباره تحديداً على Qwen3-0.6B)، واستبدال مكوناته الداخلية بهذه "المتاهات العميقة"، و:

الحفاظ على الجودة: لا يزال النموذج يجيب على الأسئلة ويكتب النصوص بنفس جودة السابق.
قفل الباب: أي محاولة لضبط النموذج بدقة أو تكييفه تصبح أكثر تكلفة بكثير من حيث الوقت وقدرة الحاسوب (تحديداً، تصبح عملية "المرور الخلفي" للتدريب أبطأ بكثير من "المرور الأمامي" للاستخدام).

إنه قفل هيكلي: لا يمكنك اختراقه لأنه ليس سراً؛ بل لأن آلية القفل مصممة لجعل مهمة السارق صعبة للغاية، بينما لا يلاحظ المستخدم الشرعي أي فرق.

ملخص تقني: قفل الأوزان المدربة مسبقاً عبر التقطير العميق منخفض الرتبة المتبقي

صياغة المشكلة

أدى انتشار النماذج اللغوية الكبيرة ذات الأوزان المفتوحة إلى دمقرطة الوصول إلى أنظمة ذكاء اصطناعي قوية، ولكنه أدى في الوقت نفسه إلى تآكل السيطرة التي يمتلكها مزودو النماذج على كيفية استخدام هذه الأوزان. وبينما تحاول التراخيص القانونية تقييد التكيف غير المصرح به، إلا أنها تفتقر إلى التنفيذ التقني. فالمهاجم المتكيف الذي يمتلك وصولاً كاملاً إلى أوزان النموذج وبنيته يمكنه غالباً عكس الدفاعات الهيكلية البسيطة أو استخدام التحسين لتجاوزها.

التحدي العلمي الجوهري الذي يعالجه البحث هو قفل النموذج (Model Locking): القدرة على تعديل نموذج مدرب مسبقاً بحيث يصبح تطويعه (مثل الضبط الدقيق - Fine-tuning) مكلفاً بطبيعته أكثر من تطويع النموذج الأصلي، مع الحفاظ بصرامة على أداء الاستدلال والقدرات العامة للنموذج. وقد صاغ المؤلفون هذا المفهوم تحت نموذج تهديد متكيف يستند إلى مبدأ كيركهوف (Kerckhoffs's principle)، حيث يجب أن يظل الدفاع فعالاً حتى لو عرف المهاجم تصميم آلية القفل. الهدف هو تحقيق "عامل قفل" $\kappa > 1$ ، حيث يتم تضخيم التكلفة (الوقت، العمليات الحسابية FLOPs، أو ساعات وحدة معالجة الرسومات GPU-hours) للوصول إلى مستوى أداء مستهدف في مهمة معينة بمقدار $\kappa$ على الأقل للنموذج المقفل مقارنة بالنموذج الأصلي.

قصور النهج الحالية

يحدد البحث عيوباً جوهرية في استراتيجيات الدفاع السابقة:

الدفاعات القائمة على التماثل (Symmetry-Based Defenses): الطرق التي تستغل تماثلات الأوزان (مثل تغيير القياس أو إدخال مصفوفات قابلة للعكس) لتعطيل التحسين هي طرق يمكن عكسها بسهولة. يمكن للمهاجم فحص معايير الأوزان (Weight Norms) أو حساب تفكيك القيم المفردة (SVD) لإعادة موازنة الأوزان واستعادة مشهد التحسين الأصلي.
الدفاعات القائمة على التحسين (Optimization-Based Defenses): النهج التي تحاول دمج الدفاعات عبر التحسين للحصول على مشاهد خسارة سيئة الحالة (مثل تعظيم أثر هسيان أو إدخال وحدات حاجز) تواجه مفارقة "تدمير الذات". يجب على المدافع استخدام التحسين لإيجاد حل يقاوم التحسين، ومع ذلك فإن نفس معلومات التدرج (Gradient Information) المتاحة للمدافع متاحة أيضاً للمهاجم. تُظهر التجار تجريبياً على نماذج MLP بسيطة أن الانحدار الاشتقاقي (Gradient Descent) غالتً ما يفشل في الوصول إلى هذه المناطق عالية التكلفة "المقفلة" من بدايات التدريب المسبق.

المنهجية: DLR-Lock

يقترح المؤلفون DLR-Lock، وهو دفاع يستغل عدم التماثل بين الاستدلال والتدريب (Inference–Training Asymmetry) في الاشتقاق التلقائي. فخلافاً للاستدلال، الذي يتطلب فقط تمريرة أمامية (Forward Pass) ويتخلص من التنشيطات الوسيطة، يتطلب التدريب تخزين جميع التنشيطات الوسيطة لعملية الانتشار العكسي (Backpropagation). يقوم DLR-Lock باستبدال كل وحدة SwiGLU MLP قياسية في نموذج المحول (Transformer) بشبكة متبقية منخفضة الرتبة عميقة (Deep Low-Rank Residual Network - DLR-Net).

البنية الهيكلية

يتم استبدال كتلة متبقية (Residual Block) من نوع MLP القياسية $x' = z + \text{FFN}(\text{RMSNorm}(z))$ بشبكة متبقية منخفضة الرتبة بعمق $L$ :
$h_0 = z, \quad h_{i+1} = h_i + \alpha_i U_i \sigma(V_i \text{RMSNorm}(h_i)), \quad x' = h_L$
حيث أن:

$V_i \in \mathbb{R}^{r \times d}$ و $U_i \in \mathbb{R}^{d \times r}$ هما مصفوفتا إسقاط منخفضة الرتبة مع رتبة عنق زجاجة $r \ll d$ .
$\alpha_i$ هو معامل ReZero قابل للتعلم.
يتم اختيار العمق $L$ بحيث يتطابق إجمالي عدد المعلمات (أو يتجاوزه قليلاً) مع الـ MLP الأصلي، مما يوزع المعلمات عبر العديد من الطبقات الضحلة بدلاً من عدد قليل من الطبقات العميقة.

ثلاث آليات للقفل

هذا الاستبدال الهيكلي يفرض ثلاثة عوائق محددة أمام التكيف:

نمو ذاكرة التنشيط (Activation Memory Growth): أثناء الانتشار العكسي، تنمو الذاكرة المطلوبة لتخزين التنشيطات خطياً مع العمق $L$ . بالنسبة للمهاجم الذي يستخدم الضبط الدقيق البسيط، تزداد تكلفة ذاكرة التنشيط كـ $\Theta(d/r)$ مقارنة بالنموذج الأصلي، مما قد يجبره على استخدام أحجام دفعات (Batch Sizes) أصغر أو أجهزة أكثر تكلفة.
عدم استقرار التحسين (Optimization Instability): تخلق البنية المتبقية العميقة عدم تطابق هيكلي مع وصفات تدريب النموذج الأصلي. تصبح معايير التحسين والمحسنات (Optimizers) القياسية، التي تم ضبطها للـ MLPs الضحلة الأصلية، غير مستقرة أو غير فعالة عند تطبيقها على DLR-Nets العميقة.
الأعباء غير المتناسبة لعملية الانتشار العكسي (Disproportionate Backward Pass Overhead): تتكبد عملية الانتشار العكسي أعباءً أكبر بكثير من عملية الانتشار الأمامي بسبب أنماط الوصول المعقدة للذاكرة والحاجة إلى إعادة حساب التنشيطات (حتى مع استخدام تقنية Gradient Checkpointing). والأهم من ذلك، أن تحسينات المترجم (Compiler Optimizations) مثل (CUDA graph replay) التي تسرع التمريرة الأمامية لا تنتقل إلى التمريرة العكسية، مما يوسع فجوة التكلفة للمهاجمين الذين يتعين عليهم حساب التدرجات.

إجراء التقطير (Distillation Procedure)

لضمان احتفاظ النموذج المقفل بقدراته الأصلية (الحفاظ على المنفعة - Utility Preservation)، يستخدم المؤلفون خط معالجة تقطير مكون من مرحلتين:

التقطير على مستوى الوحدة (Module-wise Distillation): يتم تدريب كل DLR-Net بشكل مستقل لمحاكاة رسم الخرائط (Mapping) بين المدخل والمخرج لطبقة الـ MLP المقابلة لها، مع تقليل متوسط الخطأ التربيعي (MSE) النسبي.
تقطير اللوجيت (Logits Distillation): بعد استبدال جميع الطبقات، يتم تصحيح الأخطاء المتراكمة عبر ضبط معلمات DLR-Net (مع تجميد طبقات الانتباه والتمثيلات - Embeddings) باستخدام النموذج الأصلي كمعلم (Teacher). الهدف هو تقليل تباعد KL لـ top- $k$ بين توزيعات مخرجات المعلم والطالب.

النتائج التجريبية

تم التحقق من صحة الطريقة على نموذجي Qwen3-0.6B و Q3-8B باستخدام مجموعة بيانات Nemotron-CC.

الحفاظ على الجودة: نجحت النماذج المقفلة في الحفاظ على قدرات النموذج الأصلي. بعد مرحلة التقطير ذات المرحلتين، تم استعادة تشتت النموذج (Perplexity) على مجموعات النصوص الطبيعية (Nemotron-CC, WikiText-103) وأداء الاختبارات المعيارية (MMLU, ARC, HellaSwag، إلخ) لتكون ضمن نطاق نقاط قليلة من النموذج الأصلي.
أعباء الاستدلال: رغم أن العمليات الحسابية النظرية (FLOPs) تظل متقاربة، إلا أن الطبيعة التسلسلية لـ DLR-Nets تفرض عبئاً زمنياً (Wall-clock overhead). ومع ذلك، يتم التخفيف من ذلك عبر تحسينات المترجم (مثل torch.compile مع reduce-overhead). بالنسبة للنماذج الكبيرة وأحجام الدفعات الكبيرة، تنخفض نسبة الأعباء بشكل كبير (على سبيل المثال، من $144\times$ في وضع eager إلى $11\times$ مع التجميع لنماذج 8B)، مما يجعلها مقبولة للمستخدمين الشرعيين.
المقاومة للضبط الدقيق (Fine-Tuning Resistance):
- التقارب (Convergence): عند الضبط الدقيق على WikiText-103، تقارب النموذج المقفل بشكل أبطأ بكثير من النموذج الأساسي واستقر عند خسارة أعلى، حتى مع تفعيل gradient checkpointing.
- عدم الاستقرار (Instability): عند استخدام معدلات تعلم مرتفعة ( $10^{-4}$ )، انهار النموذج المقفل تماماً، بينما تدرب النموذج الأساسي بشكل طبيعي، مما يشير إلى أن الدفاع يضيق نطاق معدل التعلم الفعال.
- تضخيم التكلفة (Cost Amplification): شكلت عملية الانتشار العكسي 89% من إجمالي وقت التدريب للنموذج المقفل (مقابل 83% للنموذج الأساسي)، وكان الوقت الزمني للوصول إلى خسارة مستهدفة أعلى بشكل ملحوظ. ويشير المؤلفون إلى أن عبء الانتشار العكسي أعلى بشكل غير متناسب من عبء الانتما الأمامي، مما يؤكد اعتماد الدفاع على تكاليف التدريب.

الأهمية والادعاءات

يزعم البحث أنه يضع محور دفاع جديد لقفل النماذج يكون محايداً للمحسن (Optimizer-agnostic) ويعتمد على الخصائص الهيكلية بدلاً من سرية آلية الدفاع. وتشمل المساهمات الرئيسية ما يلي:

الصياغة الرسمية: تعريف قفل النموذج كزيادة في تكلفة التكيف تحت نموذج تهديد متكيف.
آلية مبتكرة: إثبات إمكانية استغلال عدم التماثل بين الاستدلال والتدريب في الاشتقاق التلقائي لإنشاء دفاع منخفض التكلفة للتقييم ولكنه مكلف في الاشتقاق.
المتانة: إظهار قدرة الطريقة على الصمود أمام المهاجمين المتكيفين الذين يمتلكون معرفة كاملة بالاستراتيجية، بما في ذلك أولئك الذين يستخدمون gradient checkpointing، أو تحديثات جزئية للأوزان، أو LoRA.
الواقعية: التحقق من أن آلية القفل لا تضحي بمنفعة النموذج، مما يسمح للمستخدمين الشرعيين بالاستدلال بأداء قريب من الأصلي مع فرض حاجز تكلفة ملموس على التكيف غير المصرح به.

يخلص المؤلفون إلى أنه بينما يمكن التخفيف من أعباء التمريرة الأمامية عبر نوى برمجية مخصصة (Custom Kernels) أو التجميع (Compilation)، فإن عدم التماثل الجوهري في تكاليف الانتشار العكسي يظل حاجزاً قوياً ضد الضبط الدقيق.