ملخص تقني: VectorSmuggle و VectorPin

بيان المشكلة

تعتمد أنظمة التوليد المعزز بالاسترجاع (RAG) الحديثة على قواعد بيانات متجهة لتخزين تمثيلات (embeddings) عالية الأبعاد لمحتوى حساس. وبينما تؤمن هذه الأنظمة الوصول عبر المصادقة، وتشفير النقل (TLS)، والتشفير أثناء السكون، إلا أنها تعامل الحمولة المتجهية نفسها كأثر رقمي مبهم. تفتقر منتجات مخازن المتجهات الرئيسية (مثل Qdrant، وPinecone، وFAISS، وChroma) إلى الضوابط الأصلية لـ:

1. فحص التوزيع الإحصائي للمتجهات أثناء عملية الإدخال (Ingestion).
2. التحقق من مصدر (provenance) التمثيلات المخزنة عند الاسترجاع.
3. الحفاظ على سجلات تدقيق مقاومة للتلاعب لما بعد عملية الإدخال.

تخلق هذه الفجوة ثغرة أمنية حيث يمكن للمهاجم الذي يمتلك صلاحية الكتابة في مسار الإدخال (نموذج التهديد A: داخلي لديه وصول للنسخ الاحتياطي) تنفيذ تسريب استخباري (steganographic exfiltration). يقوم المهاجم بإخفاء بيانات الحمولة داخل التمثيلات باستخدام اضطرابات تحافظ على سلوك الاسترجاء السطحي (تشابه جيب التمام - cosine similarity) بينما تتملص من أدوات منع تسريب البيانات (DLP) القياسية، التي تفحص المستندات وحركة المرور ولكنها لا تفحص محتوى المتجهات العائمة.

المنهجية

تقيم الورقة ست عائلات من تقنيات الإخفاء (steganographic techniques) عبر نماذج تمثيل متعددة (OpenAI text-embedding-3-large ، وNomic، وEmbeddingGemma، وSnowflake Arctic، وMXBai) ومجموعات نصوص (Synthetic-PII، وBEIR NFCorpus، وQuora subset).

تقنيات الهجوم

1. هجمات الاضطراب (Perturbation Attacks): تعديل متجه تمثيل واحد $v$ ليصبح $v'$ عبر:
   • حقن الضجيج (Noise Injection): إضافة ضجيج غاوسي ($v' = v + n$).
   • الدوران (Rotation): تطبيق مصفوفة متعامدة ($v' = Rv$).
   • التحجيم (Scaling): الضرب في ثابت ($v' = s \cdot v$).
   • الإزاحة (Offset): إضافة متجه ثابت ($v' = v + o$).
   • المزيج (Combined): التطبيق المتسلسل لما سبق.
2. التهريب الهيكلي (Architectural Smuggling): التجزئة عبر النماذج (Cross-model fragmentation)، حيث يتم تقسيم المحتوى المصدر عبر نماذج تمثيل مختلفة وتخزينه في مجموعات منفصلة، مما يتجنب التعديل المباشر في المكان.

مقاييس التقييم

تقيس الدراسة:

• الأمانة (Fidelity): تشابه جيب التمام بين المتجهات الأصلية والمُعماة؛ والحفاظ على مصفوفات التشابه الزوجي.
• القابلية للكشف (Detectability): مقياس ROC-AUC ومعدل الحقيقة الإيجابية (TPR) عند معدلات إيجابية كاذبة (FPR) ثابتة باستخدام كواشف الشذوذ الجاهزة (Isolation Forest، وOne-Class SVM) المدربة على بيانات نظيفة.
• المرونة (Resilience): بقاء الاضطرابات عبر عمليات تكميم المتجهات (مثل Qdrant's scalar int8، وFAISS Product Quantization).
• فائدة الاسترجاع (Retrieval Utility): التأثير على الاستدعاء (Recall) ومتوسط الرتبة العكسية (MRR) باستخدام الاستعلامات المعاد صياغتها.
• السعة (Capacity): السعة النظرية والتجريبية لعدد البتات لكل متجه.

المقترح الدفاعي: VectorPin

تقترح الورقة VectorPin، وهو بروتوكول إثبات المصدر التشفيري. يقوم البروتوكول بتوقيع التمثيل البايتي المعياري لمتجه التمثيل، مع هاش (hash) المحتوى المصدر، ومعرف النموذج المنتج باستخدام Ed25519. يتحقق التحقق من التوقيع والالتزامات (commitments) للكشف عن أي تعديل ما بعد الإدخال.

النتائج الرئيسية

1. ضعف عمليات النشر الحالية

نجحت جميع تقنيات الإخفاء المختبرة في تجاوز ضوابط الأمن الافتراضية لمخازن المتجهات الكبرى. حافظت الهجمات على تشابه جيب التمام وصمدت أمام التكميم القياسي (scalar int8) في Qdrant وFAISS-HNSW.

2. قيود الكشف الإحصائي

• تقنيات تغيير التوزيع (Distribution-Shifting Techniques): الضجيج، والتحجيم، والإزاحة هي تقنيات يمكن اكتشافها. حققت الكواشف الجاهزة (Isolation Forest، وOne-Class SVM) قيم ROC-AUC $\ge 0.85$ لنقاط التشغيل التي أحدثت إزاحة ملموسة في اتجاه المتجه. ومع ذلك، فإن هذه الكواشف هشة ضد المهاجمين التكيفيين؛ حيث يمكن للمهاجم الذي يستخدم "الاشتقاق المتدرج المسقط" (projected gradient descent) في بيئة معلومات كاملة (white-box) أن يدفع قيمة AUC الخاصة بالكاشف إلى الصفر تقريباً مع الحفاظ على تشابه جيب التمام.
• الدوران المتعامد (Orthogonal Rotation): هذه التقنية هي الاستثناء الحرج. الدورانات المتعامدة ذات الزوايا الصغيرة والدورات القليلة تحافظ على نواتج الضرب الداخلي والتوزيعات الهامشية لكل بُعد.
  • عبر جميع أزواج (النموذج، المجموعة النصية) المختبرة، أدت الدوران عند الإعدادات الافتراضية للمكتبات إلى قيم AUC للكاشف قريبة من الصدفة ($\approx 0.50$).
  • هذا التعذر عن الكشف يصمد حتى أمام المهاجمين التكيفيين وعبر بنيات تمثيل مختلفة (Nomic، وGemma، إلخ) ومجموعات نصوص ضخمة (أكثر من 16 ألف قطعة).
  • المقايضة بين السعة وقابلية الكشف: بينما تمتلك الدورانات سقف سعة بصيغة مغلقة قدره $\lfloor d/2 \rfloor \cdot b$ بت (حوالي 1.9 كيلوبايت لكل متجه لـ $d=3072$)، فإن الدورانات ذات السعة العالية (الزوايا الكبيرة) تصبح قابلة للاكتشاف لأنها تدفع المتجهات بعيداً عن الهندسة المحلية للمجال (manifold geometry) التي تعلمها الكاشف. ومع ذلك، فإن نقطة التشغيل "المحافظة على الاسترجاع" (الزوايا الصغيرة) تظل غير قابلة للكشف.

3. التكميم والمرونة في الخلفية (Backend Resilience)

• التكميم القياسي (Qdrant int8): لا يدمر الحمولات المخفية؛ بل يحافظ على قناة البتات كما هي لأن واجهة برمجة تطبيقات الاسترجاع تعيد الأصل بنوع float32.
• تكميم المنتج (FAISS IVF-PQ): يفرض "أرضية ضجيج" (noise floor) تضيق قناة المهاجم (مما يقلل الحمولة القابلة للاسترداد بنسبة 12-24%)، ولكن هذا هو أثر جانبي لتحسين الذاكرة، وليس ضابطاً مقصوداً للسلامة.

4. فعالية VectorPin

يوفر VectorPin سلامة هيكلية. نظرًا لأن البروتوكول يلتزم بالتمثيل البايتي الدقيق لمتجه التمثيل (vec_hash)، فإن أي تعديل ما بعد التضمين (بما في ذلك جميع تقنيات الاضطراب والتجزئة) يؤدي إلى كسر التحقق من التوقيع. يميز البروتوكول بين تزوير التوقيع، والتلاعب بالمتجه، وعدم تطابق المصدر، واستبدال النموذج.

الأهمية والادعاءات

تضع الورقة نفسها ليس كاكتشاف لمبادئ تشفيرية أو استخبارارية جديدة، بل كتوصيف تجريبي لنموذج تهديد محدد ودفاع بناء لبنية تحتية تفتقر حالياً لأحد هذه العناصر.

• نموذج التهديد: تحدد الورقة ادعاءاتها صراحة بـ "داخلي لديه وصول للنسخ الاحتياطي" (نموذج التهديد A). وهي لا تدعي الفعالية الشاملة ضد المهاجمين الذين يمتلكون صلاحيات الاستعلام فقط (نموذج التهديد C) أو أولئك الذين يمتلكون مفاتيح توقيع خاصة.
• استراتيجية الدفاع: يجادل المؤلفون بأن الكشف الإحصائي هو مرشح مفيد ولكنه ليس "ضابطاً حاملاً للعبء" (load-bearing control) نظراً لاعتماده على تغطية مجموعة التدريب وقابليته للهجوم من قبل المهاجمين التكيفيين.
• المساهمة الجوهرية: المساهمة الأساسية هي VectorPin، وهو ضابط قابل للنشر والتقنين يسد فئة الهجوم الموضحة. إنه ينقل الموقف الأمني من الاعتماد على "اكتشاف الشذوذ" إلى "التحقق من المصدر".
• السياق الصناعي: تستشهد الورقة بفجوات تاريخية في البنية التحتية (مثل DNS، وHTTP/3، وS3 buckets)، مشيرة إلى أن سلامة مخازن المتجهات لا تحظى حالياً باستثمار كافٍ لأن التهديد لم يتسبب بعد في أزمة. يهدف المؤلفون إلى توفير الدفاع قبل وقوع مثل هذه الحوادث.

تخلص الورقة إلى أن سلامة مستوى التمثيل (embedding-level integrity) هي ضابط قابل للنشر يجب إضافته إلى مسار RAG، حيث أنها ليست خاصية أصلية في قواعد بيانات المتجهات الحالية.