🤖 machine learning

Structure-Guided Visual Perturbation Neutralization for LVLMs

تقترح هذه الورقة البحثية إطار عمل SIGN، وهو إطار دفاعي خفيف الوزن وفعال وقابل للتوصيل والتشغيل (plug-and-play)، يعمل على تحييد الاضطرابات العدائية في نماذج الرؤية واللغة الكبيرة من خلال الاستفادة من استخراج البنية المسبقة والتحييد الموجه الديناميكي، محققاً معدلات نجاح دفاعية عالية مع حد أدنى من تعديل الصور والأعباء الحسابية مع الحفاظ على أداء النموذج.

المؤلفون الأصليون: Yuanhe Zhang, Xueting Wang, YanBin Ren, Haoran Gao, Xinhan Zheng, Zhenhong Zhou, Fanyu Meng, Li Sun, Sen Su

نُشر 2026-05-28

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Yuanhe Zhang, Xueting Wang, YanBin Ren, Haoran Gao, Xinhan Zheng, Zhenhong Zhou, Fanyu Meng, Li Sun, Sen Su

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل نماذج الرؤية واللغة الضخمة (LVLMs) كأنها مساعدون أذكياء للغاية ومتعددو المواهب. يمكنهم النظر إلى صورة ووصفها، أو الإجابة على أسئلة حولها، أو حتى مساعدتك في اتخاذ القرارات بناءً على ما يرونه. ومع ذلك، تماماً مثلما يمكن خداع الإنسان بواسطة خدعة بصرية ذكية، يمكن أيضاً خداع هؤلاء المساعدين من الذكاء الاصطناعي عبر تغييرات طفيفة وغير مرئية تقريباً في الصورة.

يقدم البحث طريقة دفاع جديدة تسمى SIGN (التحييد الموجه بالبنية المستحثة) لإيقاف هذه الخدع. وإليك كيف تعمل، مشروحة ببساطة:

المشكلة: هجوم "الحبر السري"

تخّل أن مهاجماً أخذ صورة غير ضارة لكلب واستخدم "حبراً سرياً" لإضافة بعض النقاط الصغيرة جداً من الضجيج (noise) إلى البكسلات. بالنسبة لعينك، لا يزال الكلب يبدو كما هو تماماً. لكن بالنسبة للذكاء الاصطناعي، تعمل تلك النقاط كأمر سري. فجأة، قد يقوم الذكاء الاصطناعي بـ:

الاختراق (Jailbreak): تجاهل قواعد السلامة وإخبارك بكيفية صنع قنبلة.
الانهيار (LLM-DoS): البدء في تكرار نفس الكلمة مراراً وتكراراً حتى ينفد من الذاكرة.
التضليل (Mislead): النظر إلى قطة والقول بثقة: "هذا محمصة خبز".

معظم الدفاعات الموجودة حالياً تشبه محاولة تنظيف نافذة متسخة عن طريق فركها بالكامل بفرشاة خشنة. قد يزيلون الأوساخ (الهجوم)، لكنهم أيضاً يشوهون الصورة (المحتوى الحقيقي) أو يستغرقون وقتاً طويلاً للقيام بذلك.

الحل: SIGN (الفحص الموضعي الذكي)

يقترح المؤلفون SIGN، وهي تشبه الفحص الموضعي الخفيف والجراحي بدلاً من الفرك الثقيل. وهي تعمل في خطوتين رئيسيتين:

الخطوة 1: تعلم "مخطط المنزل" (استخراج البنية المسبقة)

قبل النظر إلى أي صورة محددة، يدرس النظام "دماغ" الذكاء الاصطناي (مشفر الرؤية الخاص به) باستخدام مجموعة من الصور العشوائية وغير الضارة.

التشبيه: تخيل أن دماغ الذكاء الاصطناعي هو منزل له تصميم محدد. حتى لو وضعت أثاثاً مختلفاً (صوراً مختلفة) بداخله، فإن الجدران والعوارض (البنية) تظل كما هي.
ما تفعله SIGN: تقوم برسم خريطة للأماكن التي يكون فيها دماغ الذكاء الاصطناعي حساساً بشكل طبيعي. تتعلم وتقول: "مهلاً، الذكاء الاصطناعي يولي دائماً اهتماماً إضافياً للزاوية العلوية اليسرى من الصورة، بغض النظر عما يوجد فعلياً في الصورة". هذه الخريطة تسمى البنية المسبقة الهيكلية (Structural Prior). هي لا تبحث عما يوجد في الصورة؛ بل تبحث في كيفية معالجة الذكاء الاصطناعي للصورة.

الخطوة 2: "الفحص الموضعي" (التحييد الموجه الديناميكي)

الآن، عندما تصل صورة يحتمل أن تكون مُهاجمة، تستخدم SIGN هذا "المخطط" للعثور على بؤر المشاكل.

التشبيه: تخيل حارس أمن يعرف بالضبط أي ألواح الأرضية في الممر تصدر صريراً أكثر من غيرها (البنية المسبقة الهيكلية). عندما يدخل شخص ما، لا يفحص الحارس كل لوح أرضي، بل يستمع إلى الأصوات في تلك المناطق المحددة والحساسة.
كيف يعمل الأمر:
1. تنظر SIGN إلى الصورة وتسأل: "هل يبدو هذا البكسل غريباً مقارنة بجيرانه؟" (الشذوذ المحلي).
2. تقارن ذلك بـ "المخطط": "هل هذا البكسل الغريب موجود في مكان حساس بطبيعته للذكاء الاصطناعي؟" (البنية المسبقة الهيكلية).
3. إذا كانت الإجابة "نعم" لكلا السؤالين، فإن SIGN تضع علامة على ذلك البكسل الصغير كبكسل مشبوه.
4. الإصلاح: بدلاً من مسح الصورة بأكملها، تقوم SIGN بتغيير ذلك البكسل المشبوه الصغير فقط. فهي تستبدله بمتوسط لون البكسلات المحيطة به، مما يؤدي فعلياً إلى "شفاء" تلك البقعة.

لماذا تعتبر SIGN مميزة؟

يدعي البحث أن SIGN هي نقطة تحول لثلاثة أسباب:

إنها غير مرئية للعين: إنها تغير حوالي 0.5% فقط من بكسلات الصورة. هذا يشبه تغيير حبة رمل واحدة على الشاطئ. تبدو الصورة متطابقة تماماً للبشر، لكن هجوم "الحبر السري" يختفي.
إنها سريعة جداً: تستغرق أقل من عُشر ثانية لمعالجة الصورة. لا تحتاج إلى إعادة تدريب الذكاء الاصطناعي أو إجراء حسابات ثقيلة. إنها أداة "جاهزة للتشغيل" (plug-and-play).
إنها لا تعطل الذكاء الاصطناعي: نظرًا لأنها تغير القليل جداً، يمكن للذكاء الاصطناعي الاستمرار في أداء وظائفه العادية (مثل وصف صورة) بشكل مثالي. غالباً ما تعبث الطرق الأخرى بالصورة لدرجة تجعل الذكاء الاصطناعي يرتبك أو يتوقف عن العمل.

النتائج

اختبر الباحثون SIGN على عدة نماذج مختلفة من الذكاء الاصطناعي وضد أربعة أنواع مختلفة من الهجمات.

معدل النجاح: لقد أوقفت الهجمات أكثر من 87% من المرات.
السلامة: نجحت في منع الذكاء الاصطناعي من تقديم إجابات ضارة، أو الانهيار، أو تحديد الأشياء بشكل خاطئ.
الكفاءة: قامت بكل هذا مع الحفاظ على الصورة مطابقة بنسبة 100% تقريباً للأصل.

باخت ملخص

فكر في SIGN كأنها حارس ذكي لنادي ليلي. فبدلاً من طرد الجميع من النادي (حظر الصورة بأكملها) أو تفتيش الجميع بشكل عدواني (معالجة صور ثقيلة)، فهي تستخدم خريطة لتصميم النادي لتحديد مكان اختباء المشاغبين بالضبط، ثم تزيحهم بلطف، تاركة الحفلة (الصورة) كما كانت تماماً.

ملخص تقني: التحييد الموجه عبر البنية (SIGN) لنماذج اللغات والرؤية الكبيرة (LVLMs)

1. بيان المشكلة

تستفيد نماذج اللغات والرؤية الكبيرة (LVLMs) من مدخلات الصور لإدراك المعلومات المرئية دقيقة التفاصيل، ولكن هذه القدرة تفتح ثغرة هجومية على مستوى البكسل. فالاضطرابات العدائية المضافة إلى الصور المدخلة يمكن أن تؤدي إلى سلوكيات غير آمنة للنموذج، بما في ذلك كسر الحماية (Jailbreaking - توليد محتوى ضار)، وهجمات حجب الخدمة على النماذج اللغوية الكبيرة (LLM-DoS - تحفيز توليد مكرر أو متدهور)، والتصنيف الخاطئ.

تواجه استراتيجيات الدفاع الحالية قيودًا كبيرة في سياق نماذج LVLM:

دفاعات الرؤية الحاسوبية التقليدية (CV): الطرق مثل إزالة الضجيج من الصور غالبًا ما تُصمم للمصنفات أحادية الوسائط، وتفشل في مراعاة المحاذاة عبر الوسائط المطلوبة لنماذج LVLM، مما يؤدي إلى تدهور الأداء.
دفاعات مخصصة لنماذج LVLM: تعتمد النهج الحالية المصممة خصيصًا لنماذج LVLM غالبًا على قناع المناطق (Region Masking) أو الاستعادة القائمة على الانتشار (Diffusion-based Restoration). تتطلب هذه الطرق تغييرات جوهرية في المحتوى المرئي، مما قد يعطل المحتوى المرئي السليم، ويفرض عبئًا حسابيًا كبيرًا، مما يضعف كفاءة الاستدلال.

هناك حاجة ماسة لإطار دفاعي مدرك للبنية، خفيف الوزن، وقادر على كبح الإشارات العدائية مع أقل قدر من التعديل على الصورة المدخلة مع الحفاظ على أداء المهام السليمة.

2. المنهجية: التحييد الموجه عبر البنية (SIGN)

يقترح المؤلفون إطار عمل SIGN، وهو إطار دفاعي خفيف الوزن، جاهز للاستخدام (Plug-and-play)، يعمل دون الحاجة إلى إعادة تدريب النموذج. ويعمل عبر مرحلتين أساسيتين: استخراج البنية المسبقة والتحييد الموجه الديناميكي.

2.1 استخراج البنية المسبقة

تقوم هذه المرحلة بتقدير "أولوية هيكلية" (Structural Prior) تلتقط ملف الاستجابة المكانية المتأصل لمشفر الرؤية الخاص بنموذج LVLM.

الدوافع: لاحظ المؤلفون أنه بالنسبة للمدخلات السليمة، يُظهر مشفر الرؤية نمط استجابة مستقر يعتمد على الموقع عبر العينات المختلفة. وبينما تختلف المحتويات الدلالية، فإن استجابات المشفر المجمعة تكشف عن انحياز مكاني ثابت.
التجميع الهيكلي: باستخدام مجموعة صور غير مصنفة، تحسب الطريقة معيار $L_2$ لاستجابات رموز الرقع (Patch Token Responses) عبر جميع الطبقات والعينات. تُجمع هذه الاستجابات القياسية لإنشاء ملف هيكلي أحادي البعد $s$ .
بناء الأولوية: يتم إعادة ترتيب الملف وفقًا لترتيب الرموز المعياري لنموذج LVLM المستهدف لتشكيل خريطة أولوية هيكلية ثنائية الأبعاد ( $S$ ). تمثل هذه الخريطة انحياز الاستجابة الهيكلية المتأصل للمشفر بدلاً من المحتوى الدلالي، وتعمل كدليل لتحديد المناطق الحساسة.

2.2 التحييد الموجه الديناميكي

بالنسبة للصورة التي تعرضت لهجوم، تقوم هذه المرحلة بتحويل الأولوية الهيكلية إلى خريطة توجيه تكيفية مع المدخلات لكبح الاضطرابات.

توصيف الشذوذ المحلي: يتم إسقاط الأولوية الهيكلية $S$ على مساحة البكسل للصورة المدخلة عبر الاستيفاء الثنائي الخطي (Bilinear Interpolation) لإنشاء خريطة مساحة البكسل $P(u)$ . في الوقت نفسه، يتم حساب درجة شذوذ محلي $A(u)$ عن طريق قياس انحراف كل بكسل عن الوسيط المحلي لمحيطه.
درجة التدخل: يتم حساب درجة تدخل مشتركة $q(u)$ كدمج خطي موزون: $q(u) = \lambda P(u) + (1-\lambda)A(u)$ . هذا يدمج الانحياز الهيكلي للمشفر مع أدلة الشذوذ الخاصة بالحالة.
التحييد المتفرق: يتم ترتيب البكسلات حسب درجات التدخل الخاصة بها. لضمان الكفاءة والمحلية، يتم تطبيق قيد الجوار: يتم اختيار البكسل للتدخل فقط إذا كان عدد البكسلات المختارة داخل نافذته المحلية لا يتجاوز ميزانية $k_\rho$ .
الاستعادة: يتم استبدال البكسلات المختارة بمتوسط جيرانها غير المختارين داخل النافذة المحلية. ينتج عن ذلك تحييد متفرق ومتسق محليًا للاضطرابات العدائية.

3. المساهمات الرئيسية

اكتشاف الانحياز الهيكلي: يكشف البحث عن انحياز استجابة هيكلي مستقر في مشفرات الرؤية لنماذج LVLM يكون مستقلًا إلى حد كبير عن دلالات مجموعة البيانات. يوفر هذا الانحياز أولوية على مستوى النموذج للدفاع ضد الهجمات.
إطار عمل SIGN: آلية دفاع خفيفة الوزن تستفيد من هذه الأولوية الهلية لتوجيه التدخلات المتفرقة على مستوى البكسل. لا تتطلب إعادة ضبط دقيق للنموذج (Fine-tuning) وتعمل كإضافة جاهزة للاستخدام.
الكفاءة والفعالية: يحقق الأسلوب معدلات نجاح دفاعي عالية مع حد أدنى من تعديل الصور (0.5% من البكسلات) وزمن انتقال منخفض (حوالي 0.16 ثانية لكل صورة)، متفوقًا على النماذج المرجعية الحالية التي تعتمد على إعادة البناء الثقيلة أو القناع واسع النطاق.

4. النتائج التجريبية

قيم المؤلفون SIGN عبر ستة نماذج LVLM (بما في ذلك LLaVA وInstructBLIP وQwen-VL) وأربعة مولدات هجوم ممثلة (Visual-Adv، Con-Ins، RECITE، CroPA++).

معدل نجاح الدفاع (DSR): حقق SIGN متوسط معدل نجاح دفاعي يزيد عن 87% عبر مختلف أهداف الهجوم (كسر الحماية، LLM-DoS، التضليل).
الحد الأدنى من التعديل: تطلب الدفاع تعديل 0.5% فقط من بكسلات الصورة، وهو أقل بكثير من الدفاعات القائمة على القناع (مثل AMIA التي بلغت حوالي 18.75%) أو طرق قمع الصورة الكاملة.
الكفاءة: بلغ متوسط وقت بناء الدفاع 0.16 ثانية لكل صورة، مما يضيف عبئًا ضئيلًا مقارنة بزمن استدلال النموذج.
الحفاظ على الفائدة: حافظ SIGN على أداء المهام السليمة، حيث ظلت معدلات نجاح المهام مطابقة تقريبًا للمدخلات الأصلية. وظلت نسبة تشابه جيب التمام (Cosine Similarity) بين التمثيلات المرئية الأصلية والمدافعة أعلى من 0.99، مما يشير إلى أن الدلالات المرئية السليمة قد حُفظت إلى حد كبير.
متانة الأولوية: أظهرت التجارب أن الأولوية الهيكلية مستقرة عبر مجموعات بيانات مصدر مختلفة (مثل ImageNet وCelebA) ويمكن تقديرها بشكل موثوق من 10 عينات غير مصنفة فقط.

5. الأهمية والادعاءات

يدعي البحث أن SIGN يقدم بديلًا عمليًا وخفيف الوزن للدفاعات التي تتطلب تدريبًا مكلفًا للنماذج أو إعادة بناء ثقيلة للصور. ومن خلال استغلال الخصائص الهيكلية المتأصلة لمشفر الرؤية، يوضح SIGN أنه يمكن تحقيق دفاع قوي لنماذج LVLM دون المساس بجودة الاستدلال أو الكفاءة.

يضع المؤلفون عملهم كإبراز لإمكانية استخدام مشفرات الرؤية نفسها للحماية الفعالة من الهجمات العدائية. ويشيرون إلى أنه بينما تغطي تقييماتهم هجمات ممثلة، فإن الطبيعة الديناميكية والتكيفية لـ SIGN تجعل من الصعب على وصفات الهجوم الحالية تحسين استراتيجياتها ضده، رغم إقرارهم بأن الهجمات التكيفية الكاملة ضد آلية الدفاع هذه تظل مجالًا للبحث المستقبلي. ويخلص العمل إلى أن الاستفادة من الأولويات الهيكلية على مستوى المشفر هي مسار قابل للتطبيق نحو دفاع قوي وخفيف الوزن لنماذج LVLM.