🤖 machine learning

FERMI: Exploiting Relations for Membership Inference Against Tabular Diffusion Models

تقدم الورقة البحثية FERMI، وهو هجوم استدلال عضوية مبتكر يستفيد من المعلومات المساعدة ذات الصلة المتاحة أثناء التدريب لتعزيز تقييم مخاطر الخصوصية بشكل كبير لنماذج الانتشار الجدولية في بيئات الجداول المتعددة، متفوقاً على النماذج المرجعية الحالية للجداول الفردية بنسبة تصل إلى 53% في معدلات الإيجابية الحقيقية.

المؤلفون الأصليون: Abtin Mahyar, Masoumeh Shafieinejad, Yuhan Liu, Xi He

نُشر 2026-05-13

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Abtin Mahyar, Masoumeh Shafieinejad, Yuhan Liu, Xi He

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

الصورة الكبيرة: فحص سلامة "البيانات الاصطناعية"

تخيل أن مستشفى يريد مشاركة بيانات المرضى مع الباحثين لدراسة الأمراض، لكن لا يمكنه مشاركة الأسماء والعناوين الحقيقية بسبب قوانين الخصوصية. لذا، يستخدم ذكاءً اصطناعيًا فائق الذكاء (يُسمى نموذج الانتشار - Diffusion Model) لإنشاء سجلات مرضى مزيفة ولكنها واقعية. تبدو هذه السجلات المزيفة وتتصرف تمامًا مثل السجلات الحقيقية، لكنها لا تخص أشخاصًا حقيقيين.

السؤال الكبير هو: هل هذه البيانات المزيفة آمنة حقًا؟ هل يمكن لمخترق أن ينظر إلى البيانات المزيفة ويكتشف ما إذا كان شخص حقيقي معين (مثل "جون دو") موجودًا في مجموعة التدريب الأصلية؟

هذا ما يسمى هجوم استنتاج العضوية (Membership Inference Attack). إنه يشبه محاولة محقق تخمين ما إذا كان بصمة إصبع معينة قد استُخدمت لصنع قالب، وذلك بمجرد النظر إلى القالب نفسه.

المشكلة: "الجدول الواحد" ونقطة العمى

معظم اختبارات الأمان لهذه النماذج الذكية تنظر إلى جدول واحد من البيانات في كل مرة فقط.

التشبيه: تخيل محققًا يحاول تحديد هوية مشتبه به من خلال النظر إلى صورة واحدة لوجهه.
الواقع: الحياة الواقعية ليست مجرد صورة واحدة. بيانات الشخص موزعة عبر العديد من الملفات المتصلة: تاريخه الطبي، وصفاته الطبية، نتائج مختبراته، ومطالبات التأمين الخاصة به. كل هذه الملفات مرتبطة ببعضها البعض مثل شجرة العائلة.

يجادل البحث بأن اختبارات الأمان السابقة كانت بسيطة للغاية؛ فقد نظرت إلى "الوجه" (جدول واحد) لكنها تجاهلت "شجرة العائلة" (الجداول المتصلة). ومن خلال تجاهل هذه الروابط، قللت من تقدير مدى سهولة اختراق النظام.

الاكتشاف: "شجرة العائلة" تكشف المستور

وجد الباحثون أنه عندما يتعلم الذكاء الاصطناعي من بيانات متصلة (مثل مريض مرتبط بوصفاته الطبية)، فإنه يحفظ العلاقات أيضًا.

التشبيه: إذا علمت طفلًا التعرف على الكلب، فقد يتعلم فقط شكل الكلب. ولكن إذا علمته أن "هذا الكلب يجلس دائمًا بجانب هذه القطة المحددة"، فسيحفظ "الزوج" معًا. إذا أريته الكلب لاحقًا، فقد يتمكن من إخبارك بالضبط إلى أي قطة ينتمي، حتى لو أريته الكلب فقط.

يوضح البحث أنه إذا عرف المهاجم "شجرة العائلة" (العلاقات بين الجداول)، فيمكنه رصد الشخص الحقيقي بسهما أكبر بكثير مما لو نظر إلى الجدول المنفرد فقط. "البصمة" التي يتركها الذكاء الاصطناعي تكون أقوى بكثير عندما تتضمن هذه الروابط.

الحل: FERMI (المترجم)

هنا تكمن الحيلة الصعبة: في العالم الحقيقي، عادة ما يرى المخترق الجدول المنفرد فقط (الوجه). ليس لديه وصول إلى "شجرة العائلة" الكاملة (الوصفات الطبية أو نتائج المختبر) في لحظة الهجوم.

إذًا، كيف تستخدم معرفة "شجرة العائلة" وأنت لا تملك الشجرة؟

قام المؤلفون ببناء أداة تسمى FERMI.

التشبيه: تخيل جاسوسًا درس حياة مشتبه به بالكامل (عائلته، أصدقاءه، عاداته) أثناء فترة تدريبه. ولكن عندما يذهب إلى المطار للإيقاع بالمشتبه به، فإنه لا يرى سوى وجه المشتبه به.
كيف يعمل FERMI: يستخدم الجاسوس "مترجمًا ذهنيًا". نظرًا لأنه درس حياة المشتبه به الكاملة، فهو يعرف أنه "إذا بدا هذا الوجه مثل X، فهذا يعني عادةً أن لديه صلة بـ Y".
العملية:
1. التدريب: يقوم المهاجم بتدريب "مترجم" (شبكة عصبية) باستخدام مجموعة بيانات مزيفة حيث يمتلك بالفعل شجرة العائلة الكاملة. يعلم المترجم: "عندما ترى هذا الوجه المنفرد، تخيل كيف تبدو شجرة العائلة الكاملة".
2. الهجوم: عندما يرى المهاجم هدفًا حقيقيًا (الوجه المنفرد فقط)، فإنه يغذي المترجم به. يقوم المترجم بـ "تخيّل" أو إعادة بناء تفاصيل شجرة العائلة المفقودة بناءً على ما تعلمه.
3. النتيجة: يمتلك المهاجم الآن "شجرة عائلة مزيفة" جيدة بما يكفي لتحديد العضوية، حتى بدون رؤية الشجرة الحقيقية.

النتائج: فجوة أكبر

اختبر الباحثون هذا على ثلاثة أنواع مختلفة من نماذج الذكاء الاصطناعي وثلاث مجموعات بيانات من العالم الحقيقي (مثل السجلات الطبية وبيانات التسوق في المتاجر).

الخط المرجعي (Baseline): عندما نظر المهاجمون إلى الجدول المنفرد فقط، كانوا جيدين في التخمين، لكن ليس بشكل ممتاز.
هجوم "الوصول الكامل": عندما امتلك المهاجمون شجرة العائلة الكاملة، كانوا بارعين بشكل مخيف في التخمين (وصلت الدقة إلى 99% في بعض الحالات).
FERMI: على الرغم من أن FERMI كان يمتلك الجدول المنفرد فقط لحظة الهجوم، إلا أنه استخدم "المترجم" الخاص به لاستعادة حوالي 50% من الميزة التي كان سيحصل عليها لو امتلك شجرة العائلة الكاملة.

الاستنتاج الرئيسي:

نموذج TabDDPM (الذي يعمل مباشرة على البيانات الخام) كان معرضًا للخطر بشدة.
نموذج TabSyn (الذي يقوم بضغط البيانات في "مساحة كامنة" مخفية أولاً) كان أصعب بكثير في الاختراق. عملت عملية "الضغط" كدرع للخصوصية، حيث أخفت إشارات العلاقات.

الخاتمة

يخلص البحث إلى أنه لا يمكننا الحكم على سلامة البيانات الاصطناعية بمجرد النظر إلى جدول واحد في كل مرة. إذا كانت البيانات جزءًا من نظام أكبر ومتصل، فإن خطر الخصوصية يكون أعلى بكثير.

يثبت FERMI أنه حتى لو لم يكن لدى المخترق جميع البيانات في لحظة الهجوم، فإنه يمكنه استخدام ما تعلمه أثناء التدريب لـ "ملء الفراغات" والاستمرار في كسر الخصوصية. إنه تحذير بأنه بالنسبة للبيانات الحساسة والمتصلة للغاية، فإن فحوصات الخصوصية البسيطة ليست كافية؛ بل نحتاج إلى النظر في شبكة الروابط الكاملة.

ملخص تقني: FERMI – استغلال العلاقات لاستنتاج العضوية ضد نماذج الانتشار الجدولي

1. بيان المشكلة

أصبحت نماذج الانتشار (Diffusion models) هي النموذج الرائد لتوليد البيانات الجدولية، لا سيال في المجالات عالية المخاطر مثل الرعاية الصحية والتمويل حيث تفرض لوائح الخصوصية (مثل GDPR وHIPAA) قيوداً على نشر البيانات المباشرة. وبينما تعد هجمات استنتاج العضوية (Membership Inference Attacks - MIAs) الأداة القياسية لتقييم مخاطر الخصوصية لهذه النماذج التوليدية، فإن الهجمات الحالية تفترض في الغالب إعداد الجدول الواحد.

يتجاهل هذا الافتراض الواقع الذي توجد فيه البيانات الجدولية الحساسة عادةً في قواعد بيانات متعددة العلاقات، حيث تتوزع معلومات الفرد عبر جداول مترابطة (على سبيل المثال، المرضى المرتبطون بالوصفات الطبية، ونتائج المختبرات، والبيانات الديموغرافية). إن التقييمات الحالية التي تتجاهل هذه البنية العلاقاتية تخاطر بالتقليل من تقدير التعرض للخصوصية بشكل كبير.

ينشأ تحدٍ حرج في نماذج التهديد الواقعية: قد يمتلك المهاجم بيانات مساعدة غنية تحتوي على هياكل علاقاتية كاملة (مثل الاختراقات السابقة أو الإصدارات العامة) خلال مرحلة تدريب الهجوم. ومع ذلك، في وقت استنتاج العضوية، غالباً ما يلاحظ المهاجم فقط صفاً مرشحاً من الجدول المستهدف، ويفتقر إلى الوصول إلى سجلات ذلك الفرد المحدد في الجداول الأبوية أو الابنة ذات الصلة. تعالج الورقة الفجوة المتعلقة بكيفية الاستفادة من المعلومات العلاقاتية المساعدة المتاحة أثناء التدريب لشن هجوم أقوى، حتى عندما يكون الاستنتاج مقتصرًا على سمات الجدول الواحد.

2. المنهجية: إطار عمل FERMI

يقترح المؤلفون FERMI (رسم السمات لاستنتاج العضوية العلاقاتي)، وهو إطار عمل مصمم لتقطير إشارات العضوية العلاقاتية في فضاء سمات الجدول الواحد. يتبع النهج نموذج الظل القياسي ويعمل عبر ثلاث مراحل:

أ. استخراج السمات المزدوجة

يقوم المهاجم بتدريب $S$ من نماذج الانتشار الظلية على مجموعات فرعية منفصلة من مجموعة بيانات مساعدة ( $D_{aux}$ ). لكل سجل ظل، يتم استخراج تدفقين من السمات:

تدفق الجدول الواحد: يتم استخراج السمات $\Phi_{single}(x)$ من نموذج ظل تم تدريبه فقط على الجدول المستهدف $T_j$ .
التدفق العلاقاتي: يتم استخراج السمات $\Phi_{multi}(\tilde{x})$ من نموذج ظل تم تدريبه على تمثيل مدمج حيث يتم تعزيز السجل المستهدف $x$ بسياقه العلاقاتي (على سبيل المثال، الدمج مع الجداول الأبوية $T_p$ ).

يستخدم استخراج السمات نهج بصمة الخسارة (loss-fingerprint)، حيث يتم حساب خسارة إزالة الضجيج $\ell_{\theta}(x_0, t, \epsilon)$ عبر عدة خطوات زمنية وتحولات للضجيج. تجريبياً، تظهر السجلات الأعضاء خسائر إزالة ضجيج أقل بشكل منهجي من غير الأعضاء.

ب. رسم خرائط السمات

الابتكار الجوهري هو تعلم دالة رسم الخرائط $f_{map}$ التي تسقط سمات الجدول الواحد نحو نظيراتها العلاقاتية. يتم صياغة ذلك كمسألة تكيف نطاق (domain adaptation) مع هدفين:

إعادة البناء النقطي: تقليل المسافة الإقليدية بين السمات المخططة والسمات العلاقاتية الحقيقية: $\|f_{map}(\Phi_{single}(x)) - \Phi_{multi}(\tilde{x})\|^2_2$ .
المحاذاة التوزيعية: استخدام خسارة CORAL (محاذاة الارتباط) لمطابقة هياكل التباين (covariance structures) لفضاءات السمات المخططة والحقيقية متعددة الجداول، مما يضمن الحفاظ على الهندسة العلاقاتية.

ج. التنبؤ بالعضوية

يتم تدريب مصنف الهجوم $f_{att}$ على السمات المخططة للتنبؤ بملصقات العضوية. يسميل إطار العمل بـ الضبط الدقيق المشترك (joint fine-tuning) لكل من الرسام والمصنف، حيث تعمل التدرجات من هدف التصنيف على تحسين الرسام لاستخراج السمات الأكثر إخبارية لاستنتاج العضوية.

نموذج التهديد:

مرحلة التدريب: يمتلك المهاجم إمكانية الوصول إلى بيانات مساعدة ذات هيكل علاقي كامل (معلومات جانبية سياقية أبوية أو معلومات جانبية علاقية كاملة).
مرحلة الاستنتاج: يقتصر المهاجم على الجدول المستهدف فقط (الوصول إلى صف واحد) والنموذج المستهدف (أو مخرجاته الاصطناعية في إعدادات الصندوق الأسود). يتم تطبيق الرسام على سمات الجدول الواحد لاستعادة الإشارة العلاقاتية دون الحاجة إلى الجداول ذات الصلة في وقت الاستنتاج.

3. المساهمات الرئيسية

صياغة هجمات استنتاج العضوية العلاقاتية: توضح الورقة أن السياق العلاقاتي يعطي إشارات عضوية أقوى بكثير مقارنة بإعدادات الجدول الواحد، وتصيغ مشكلة استنتاج العضوية في البيئات متعددة العلاقات.
إطار عمل FERMI: يقدم إطار عمل لرسم خرائط السمات ينجح في تقطير إشارات العضوية العلاقاتية في فضاء سمات الجدول الواحد. وهذا يتيح هجمات أقوى دون الحاجة إلى الوصول إلى البيانات العلاقاتية في وقت الاستنتاج، مما يحل عدم التماثل بين التدريب والاستنتاج.
تقييم شامل: تم تقييم إطار العمل عبر ثلاثة بنى انتشار (TabDDPM، وTabSyn، وTabDiff) وثلاث مجموعات بيانات واقعية علاقية (California، وInstacart، وBerka) تحت كل من إعدادات الصندوق الأبيض والصندوق الأسود.

4. النتائج التجريبية

يغطي التقييم ثلاثة مجموعات بيانات وثلاث بنى نماذج، مع مقارنة ثلاثة إعدادات: الجدول الواحد المباشر (الأساس)، الجدول المدمج المباشر (الحد الأعلى مع الوصول الكامل للعلاقات)، و FERMI.

مكاسب الأداء: يتفوق FERMI باستمرار على النماذج الأساسية للجدول الواحد.
- في إعداد الصندوق الأبيض، حسن FERMI معدل الإيجاب الحقيقي عند معدل 0.1 من الإيجاب الكاذب (TPR@0.1FPR) بنسبة تصل إلى 53% فوق خط الأساس للجدول الواحد بالنسبة لـ TabDDPM وTabDiff.
- في إعداد الصندوق الأسود (باستخدام نماذج بديلة مدربة على بيانات اصطناعية)، حسن FERMI نسبة TPR@0.1FPR بنسبة 22% فوق خط الأساس.
حساسية النموذج:
- أظهرت نماذج TabDDPM و TabDiff (نماذج فضاء البيانات) حساسية عالية للهجمات العلاقاتية. حقق هجوم "الدمج" (الوصول الكامل للعلاقات) أداءً قريباً من الحد الأقصى (على سبيل المثال، TPR@0.01 بلغ 0.994 على Instacart لـ TabDDPM)، مما يسلط الضوء على مخاطر الخصوصية الشديدة عند وجود بيانات علاقية.
- أثبت نموذج TabSyn (نموذج فضاء كامن) مقاومة ملحوحة. فحتى مع الوصول الكامل للعلاقات، ظل معدل AUC الخاص به قريباً من مستويات التخمين العشوائي. يشير هذا إلى أن عنق الزجاجة في الفضاء الكامن يعمل كحماية بنيوية للخصوصية، ولم يستطع FERMI استخلاص إشارات مفيدة لهذا النوع من البنى لأن الإشارة العلاقاتية نفسها كانت ضعيفة لهذا النموذج.
التوسع في الصندوق الأسود: تؤكد الورقة أن الإشارة العلاقاتية تستمر حتى عندما يلاحظ المهاجم فقط بيانات اصطناعية. استعاد FERMI حوالي 55% من فجوة AUC بين خط الأساس للجدول الواحد والحد الأعلى للجدول المدمج في إعداد الصندوق الأسود.

5. الأهمية والادعاءات

تدعي الورقة أن تقييم نماذج الانتشار الجدولية في إعدادات الجدول الواحد يقلل بشكل كبير من خطر الخصوصية الحقيقي. إن وجود البنية العلاقاتية في بيانات التدريب يخلق آثار عضوية أقوى يمكن للمهاجمين استغلالها باستخدام معرفة علاقية مساعدة.

تشمل النتائج الرئيسية ما يلي:

السياق العلاقاتي كفجوة أمنية: تشفر البنية العلاقاتية إشارات شرطية أغنى يستوعبها نموذج الانتشار، مما يترك بصمات أقوى في عملية إزالة الضجيج.
الاعتماد على البنية المعمارية: تعتمد مخاطر الخصوصية بشكل كبير على بنية النموذج. النماذج التي تعمل مباشرة على فضاء البيانات (TabDDPM، وTabDiff) أكثر عرضة للخطر بكثير من تلك التي تستخدم ترميز الفضاء الكامن (TabSyn).
الآثار العملية: يوضح إطار عمل FERMI أن المهاجم لا يحتاج إلى الوصول المباشر إلى الجداول ذات الصلة في وقت الاستنتاج لشن هجوم متطور؛ بل يحتاج فقط إلى تعلم رسم الخرائط العلاقاتية خلال مرحلة التدريب.

خلص المؤلفون إلى أن القرارات المعمارية المتخذة في المراحل العليا من آليات الخصوصية (مثل اختيار الانتشار في الفضاء الكامن مقابل فضاء البيانات) تستحق فحصاً أدق، حيث يبدو أن الترميز الكامن هو المحدد الأساسي لمقاومة استنتاج العضوية في الإعدادات العلاقاتية.