Protecting On-Device AI Inference: A Systematic Review of Attacks and Defence Mechanisms
تقدم هذه الورقة أول مراجعة منهجية شاملة للتهديدات وآليات الدفاع التي تستهدف تحديداً الاستدلال الخاص بالذكاء الاصطناعي على الأجهزة، كاشفةً عن خلل حرج حيث تفتقر الهجمات العدائية إلى استراتيجيات التخفيف المقابلة لها رغم تشكيلها جزءاً كبيراً من أدبيات الهجوم.
تخيل هاتفك الذكي أو ساعتك الذكية كأنها خزنة تقنية متطورة وصغيرة للغاية، لا تكتفي بتخزين صورك فحسب، بل تحمل بداخلها خبيراً بارعاً ومُدرباً مسبقاً. هذا "الخبير" (نموذج الذكاء الاصطناي) يمكنه التعرف على صوتك، أو ترجمة اللغات، أو رصد مشاة أمام سيارة ذاتية القيادة، كل ذلك دون الحاجة أبداً للاتصال بالسحابة لطلب المساعدة. هذا هو عالم الذكاء الاصطناي على الجهاز (On-Device AI).
ومع ذلك، تماماً مثل خزنة في مدينة صاخبة، فإن هذا الخبير الصغير عرضة للخطر. هذه الورقة البحثية هي مراجعة منهجية (بحث منظم وشامل) لأبحاث السنوات القليلة الماضية للإجابة على سؤالين كبيرين:
كيف يمكن للأشرار كسر هذه الخزنة وسرقة الخبير أو خداعه؟
ما هي الأدوات التي بناها الأخيار لإيقافهم؟
إليك تفصيل لنتائجهم باستخدام تشبيهات بسيطة.
1. كتاب ألاعيب المهاجمين (التهديدات)
وجد الباحثون أن المتسللين طوروا مجموعة متنوعة من الطرق للعبث بهؤلاء الخبراء الموجودين على الأجهزة. وقد صنفوا هذه الهجمات إلى ستة أنواع رئيسية من "عمليات السطو":
السطو المادي (الهجمات المادية - Physical Attacks): تخيل مهاجماً يمسك بجهاز ويستمع إلى "طنين" معالجه أو يقيس كمية الكهرباء التي يستهلكها أثناء تفكيره. تماماً مثل خبير فتح الخزنات الذي يستمع إلى نقرات التروس، يستخدم هؤلاء المهاجمون حيل القنوات الجانبية (side-channel) لمعرفة الشفرة السرية (نموذج الذكاء الاصطناي) بالداخل، حتى لو كان البرنامج مغلقاً.
سرقة الملكية الفكرية (هجمات IP): يشبه هذا الأمر شخصاً يدخل إلى مخبز، ويحفظ وصفة الطاهي السرية عن ظهر قلب، ثم يفتح مخبزه الخاص في شارع قريب. يحاول المهاجمون سرقة نموذج الذكاء الاصطناي بالكامل أو "أوزانه" (المعرفة التي تعلمها) لكي يتمكنوا من نسخه أو بيعه. يفعلون ذلك عبر الهندسة العكسية للتطبيق أو خداع الجهاز لكي يبوح بأسراره.
"خداع الخبير" (الهجمات العدائية - Adversarial Attacks): تخيل لوحة "قف" (Stop Sign) عليها بعض الملصقات الصغيرة غير المرئية. بالنسبة للإنسان، لا تزال تبدو كلوحة "قف". ولكن بالنسبة للذكاء الاصطناي في سيارة ذاتية القيادة، تجعل تلك الملصقات اللوحة تبدو كعلامة تحديد السرعة، مما يجعل السيارة تسرع وتتحطم. هذه الهجمات تضيف ضوضاء صغيرة غير مرئية للصور أو الأصوات لتضليل الذكاء الاصطناي وتجعله يرتكب خطأً.
تسريب الخصوصية (هجمات خصوصية البيانات - Data Privacy Attacks): أحياناً يتذكر الذكاء الاصطناي أكثر مما ينبغي. يمكن للمهاجم طرح أسئلة على الذكاء الاصطناي، وبناءً على إجاباته، يمكنه إعادة بناء الصور الخاصة التي تدرّب عليها (مثل سجلات المرضى لدى طبيب) أو معرفة ما إذا كانت بياناتك المحددة قد استُخدمت في تدريبه.
التخريب (هجمات النزاهة - Integrity Attacks): هذا يشبه متسللاً يتسلل إلى المخبز ويستبدل الدقيق بالنشارة. لا يزال الذكاء الاصطناي يعمل، لكنه أصبح الآن مسموماً. قد يعمل بشكل جيد في 99% من المرات، ولكن إذا أظهرت له "محفزاً" معيناً (مثل نمط محدد)، فسيقوم فجأة بشيء ضار، مثل فتح باب لشخص غريب.
استنزاف الطاقة (هجمات التوافر - Availability Attacks): تخيل هاكماً يصرخ بصوت عالٍ جداً في وجه المخبز حتى يصاب الطاهي بالإرهاق ولا يستطيع خبز أي خبز. هذه الهجمات لا تسرق البيانات؛ بل تقوم فقط بإغراق الجهاز بمهام معقدة لاستنزاف البطارية أو تجميد الهاتف، مما يجعل الذكاء الاصطناي عديم الفائدة.
2. حقيبة أدوات المدافعين (الحلول)
راجعت الورقة 44 استراتيجية دفاع مختلفة اقترحها الباحثون، وقسمتها إلى خمسة أنواع رئيسية من "الدروع":
استراتيجية "تقسيم الخزنة" (تجزئة النموذج - Model Segmentation): بدلاً من الاحتفاظ بالوصفة السرية كاملة في مكان واحد، يقوم المدافعون بتقسيم نموذج الذكاء الاصطناي. يحتفظون بالأجزاء الأكثر حساسية وسرية من "الدماغ" داخل غرفة آمنة ومعزولة للغاية (تسمى بيئة التنفيذ الموثوقة أو TEE)، ويتركون الأجزاء الأقل حساسية تعمل في العلن. إذا اقتحم هاكر الغرفة المفتوحة، فلن يحصل إلا على نصف الوصفة فقط.
استراتيجية "البواب" (التحكم في الوصول - Access Control): هذا يشبه وضع بواب عند الباب لا يسمح إلا للأشخاص الذين يمتلكون مصافحة سرية بالدخول. تستخدم هذه الدفاعات التراخيص وكلمات المرور لضمان أن المستخدمين المصرح لهم فقط هم من يمكنهم تشغيل الذكاء الاصطناي أو الوصول إلى أجزائه الداخلية.
استراتيجية "الوصفة المشفرة" (التعمية - Obfuscation): تخيل كتابة الوصفة بشفرة سرية تبدو كأنها كلام غير مفهوم لأي شخص لا يملك المفتاح. يقوم المدافعون بتشفير كود الذكاء الاصطناي أو إخفاء هيكله بحيث حتى لو سرق هاكر الملف، فلن يتمكن من فهم كيفية عمله أو إجراء هندسة عكسية له.
تحديثات "الغرفة المحصنة" (تحسين بيئة TEE - TEE Optimisation): "الغرفة الآمنة" (TEE) رائعة، لكنها غالباً ما تكون صغيرة وبطيئة. هذه الدفاعات تشبه تجديد الغرفة لجعلها أكبر وأسرع وأكثر كفاءة في استهلاك الطاقة، حتى تتمكن من استيعاب نماذج ذكاء اصطناي أكبر وأذكى دون إبطاء الهاتف.
توسيعات "الغرفة الجديدة" (توسيعات بيئة TEE - TEE Extensions): أحياناً لا تكون الغرفة الآمنة الموجودة كافية. تقوم هذه الدفاعات ببناء غرف آمنة جديدة ومتخصصة (مثل غرفة لبطاقة الرسوميات) أو إنشاء غرف معزولة متعددة بحيث يمكن لتطبيقات مختلفة تشغيل ذكائها الاصطناي بأمان دون التداخل مع بعضها البعض.
3. عدم التوازن الكبير (النتيجة الرئيسية)
الاكتشاف الأكثر إثارة للدهشة في هذه الورقة هو وجود عدم تطابق هائل بين المشكلات والحلول.
فجوة السرقة: حوالي 25% من أوراق الهجوم تركز على سرقة نموذج الذكاء الاصطناي (سرقة الملكية الفكرية). ومع ذلك، فإن 50% من أوراق الدفاع تحاول إيقاف هذه المشكلة تحديداً. لدينا الكثير من الحراس عند الباب الأمامي.
الدروع المفقودة: وجدت الورقة أن الهجمات العدائية (خداع الذكاء الاصطناي) تشكل حوالي 33% من جميع الهجمات التي تمت دراستها. ومع ذلك، لم نجد أي ورقة بحثية واحدة من أوراق الدفاع كانت مصممة خصيصاً لإيقاف هذه الخدع!
الثقب الأسود: وبالمثل، لا توجد تقريباً أي دفاعات ضد هجمات التوافر (استنزاف البطارية).
الخلاصة
تخلص الورقة إلى أنه بينما نصبح بارعين جداً في بناء الجدران لمنع الناس من سرقة "وصفة" الذكاء الاصطناي، فإننا نتجاهل حقيقة أنه يمكن خداع الذكاء الاصطناي، أو تسميمه، أو استنزافه.
الأمر يشبه بناء بنك بخزنة منيعة، ولكن مع ترك الباب الأمامي مفتوحاً على مصراعيه ليدخل الناس ويطلبوا من الصراف إعطاءهم كل الأموال. يقول الباحثون إننا بحاجة إلى التوقف عن التركيز الكبير على مجرد حماية "ملكية" الذكاء الاصطناي، والبدء في بناء دروع أفضل لحماية الذكاء الاصطناي من الخداع أو الكسر أو الاستنزاف أثناء تشغيله على هواتفنا.
ملخص تقني: حماية استنتاج الذكاء الاصطناه لـي على الأجهزة
بيان المشكلة
أدى الاعتماد السريع للذكاء الاصطناًعي (AI) وتعلم الآلة (ML) على أجهزة الحافة والأجهزة المحمولة إلى نقل عملية الاستنتاج من الخوادم السحابية إلى التنفيذ المحلي لتلبية المتطلبات الصارمة المتعلقة بالخصوصية، وزمن الاستجابة (Latency)، وعرض النطاق الترددي. وبينما يوفر هذا النموذج "على الجهاز" (On-device) مزايا كبيرة، مثل التحكم المباشر للمستخدم في البيانات وتقليل التعرض للشبكة، فإنه يقدم أيضاً ثغرات أمنية وخصوصية فريدة تختلف عن سيناريوهات الحوسبة السحابية أو الحوسبة الطرفية الموزعة.
تركز الأدبيات الحالية بشكل كبير على "ذكاء الحافة" (Edge Intelligence)، والذي يشمل التدريب الموزع (مثل التعلم الاتحادي - Federated Learning) وسياقات الحوسبة الطرفية الأوسع. وغالباً ما تغفل هذه الدراسات المسحية التهديدات المحددة المتأصلة في تشغيل النماذج المدربة مسبقاً بالكامل على جهاز واحد محدود الموارد. في بيئات التشغيل على الجهاز، تختلف التهديدات مثل السرقة الفيزيائية للنموذج بالكامل، واستخراج الأوزان عبر القنوات الجانبية (Side-channel extraction)، والتلاعب العدائي المحلي، بشكل كبير عن التهديدات السحابية. علاوة على ذلك، تكشف الأبحاث الحالية عن خلل حرج: فبينما تم إثبات العديد من الهجمات التي تستهدف الاستنتاج على الأجهزة، فإن آليات الدفاع المقابلة غالباً ما تكون مجزأة، وتفتقر إلى إطار عمل شامل، وتركز بشكل غير متناسب على حماية الملكية الفكرية (IP) بدلاً من نواقل التهديد الأخرى الحرجة مثل الهجمات العدائية (Adversarial attacks) أو التوافر (Availability).
المنهجية
لمعالجة هذه الفجوات، أجرى المؤلفون مراجعة منهجية للأدبيات باتباع الإرشادات المعمول بها في مراجعات هندسة البرمجيات.
استراتيجية البحث: تم إجراء بحث منهجي في قاعدة بيانات Scopus يغطي المقالات المنشورة في المجلات والمؤتمرات العلمية المحكمة من يناير 2019 إلى ديسمبر 2025. تم استخدام سلسلتين من الاستعلامات المتكاملة لالتقاط الأدبيات التي تركز على الهجمات وتلك التي تركز على الدفاع، مستهدفة كلمات مفتاحية تتعلق بالاستنتاج على الأجهزة، والذكاء الاصطناوتي للموبايل، وTinyML، ومصطلحات أمنية محددة (مثل "استخراج النموذج"، "البيئة التنفيذية الموثوقة - TEE"، "التعمية - Obfuscation").
عملية الاختيار: خضعت المجموعة الأولية المكونة من 260 منشوراً فريداً لعملية فحص من ثلاث مراحل:
فحص العنوان/الملخص: تقليص المجموعة بنسبة 65% تقريباً، والاحتفاظ بـ 90 مرشحاً.
مراجعة النص الكامل: تم تطبيق معايير اشتمال واستبعاد صارمة. استُبعدت الأوراق التي ركزت فقط على البنية التحتية السحابية، أو التدريب الاتحادي، أو التي افتقرت إلى التقييم التجريبي.
تقييم الجودة: تطلب الاختيار النهائي وجود تعريفات واضحة للتهديدات، وقابلية التكرار التقني، ونتائج كمية على أنظمة حقيقية أو معيارية.
المتن النهائي: أسفرت المراجعة عن متن نهائي مكون من 61 دراسة: 17 تركز على تقنيات الهجوم و44 على آليات الدفاع.
إطار التحليل: طور المؤلفون تصنيفات متعددة الأبعاد لتصنيف الهجمات بناءً على الأهداف وتقنيات الاستغلال، وآليات الدفاع بناءً على النهج التكنولوجي الأساسي.
المساهمات الرئيسية
يقدم البحث ثلاث مساهمات رئيسية في مجال أمن الذكاء الاصطناني:
تقييم المسح: حلل المؤلفون المراجعات الحالية للذكاء الاصطناني الطرفي وعلى الأجهزة، وحددوا فجوة كبيرة في التغطية المخصصة تحديداً لأمن وخصوصية الاستنتاج على الأجهزة ككيان متميز عن ذكاء الحافة العام أو التدريب.
تصنيف الهجمات: تم وضع تصنيف شامل لست عائلات رئيسية من الهجمات التي تستهدف الذكاء الاصطناني على الأجهزة:
هجمات التوافر: استنزاف الموارد (هجمات حجب الخدمة - DoS) وهجمات الطاقة وزمن الاستجابة.
تصنيف الدفاع والربط: تم تقديم رسم خرائط متعدد الأبعاد لآليات الدفاع الحديثة، مصنفة إلى:
تجزئة النموذج: تقسيم النماذج بين البيئات الآمنة (TEE) والبيئات غير الآمنة (REE).
التحكم في الوصول: المصادقة، والترخيص، وتبديل الأوزان.
التعمية (Obfuscation): ترميز الأوزان والمعاملات لعرقلة الهندسة العكسية.
تحسين البيئة التنفيذية الموثوقة (TEE Optimization): تعزيز البيئات التنفيذية الموثوقة لتحقيق أداء أفضل وإدارة أفضل للموارد.
توسيعات TEE: توسيع المناطق الآمنة لتشمل وحدات معالجة الرسومات (GPUs) أو البنى متعددة الحاويات (Multi-enclave architectures).
النتائج والمنجزات
يكشف تحليل الـ 61 ورقة مختارة عن عدة رؤى نقدية فيما يتعلق بالوضع الحالي لأمن الذكاء الاصطناني على الأجهزة:
عدم التماثل بين الهجمات والدفاعات: هناك عدم توازن ملحوظ في الأدبيات. تركز حوالي ربع الأوراق البحثية المتعلقة بالهجمات على سرقة الملكية الفكرية (IP)، ومع ذلك فإن نصف الحلول الدفاعية تعالج هذه القضية تحديداً. وفي المقابل، تشكل الهجمات العدائية حوالي ثلث أدبيات الهجمات، ومع ذلك لم يتم العثور على أي أوراق دفاعية تستهدف هذه الهجمات صراحةً. وبالمثل، لا توجد أوراق دفاعية مرتبطة بـ هجمات التوافر في المتن الذي تمت مراجعته.
فعالية الهجمات: تُظهر الهجمات التي تمت مراجعتها جدوى عملية عالية.
الهجمات الفيزيائية: حققت معدلات نجاح تصل إلى 100% (مثل هجمات توقيت وحدة معالجة الرسومات - GPU).
هجمات الملكية الفكرية (IP): تراوحت معدلات النجاح بين 33.83% و99%، حيث أظهرت تقنيات إعادة البناء القائمة على تعلم الآلة قدرة شبه كاملة على استعادة النماذج المجمعة.
الهجمات العدائية: تفاوتت معدلات النجاح بشكل كبير (10.23%–99.12%)، اعتماداً بشكل كبير على كفاءة الاستعلام.
هجمات السلامة: حققت أدوات مثل DeepPayload نجاحاً بنسبة 93.5% في حقن الأبواب الخلفية في النماذج المنشورة.
اتجاهات الدفاع:
تجزئة النموذج هي استراتيجية الدفاع الأكثر بروزاً (15 عملاً)، وتركز بشكل أساسي على حماية نماذج الشبكات العصبية العميقة (DNN/DL).
النماذج المستهدفة: يركز معظم الأبحاث (25 عملاً) على نماذج DNN/DL. أما الدفاعات لنماذج اللغات الكبيرة (LLMs) وTinyML فهي ناشئة ولكنها نادرة (5 و2 على التوالي).
النمو الزمني: زاد الاهتمام البحثي، حيث شهد عام 2024 أعلى تركيز للمنشورات (8 أوراق هجوم، 14 ورقة دفاع).
الأهمية والادعاءات
يضع هذا البحث نفسه كـ أول مراجعة شاملة مخصصة خصيصاً لتهديدات أمن وآليات دفاع استنتاج الذكاء الاصطناني على الأجهزة. وتكمن أهميته في:
توضيح النطاق: يميز بين الاستنتاج على الأجهزة وبين ذكاء الحافة الأوسع، مؤكداً أن تهديدات مثل سرقة النموذج بالكامل فريدة من نوعها في سياق الجهاز الواحد حيث يوجد النموذج بالكامل محلياً.
تسليط الضوء على الفجوات الحرجة: يدعي المؤلفون صراحةً أن المشهد البحثي الحالي غير متوازن. إن نقص الدفاعات للهجمات العدائية وهجمات التوافر، رغم انتشارها في أدبيات الهجمات، يمثل "فرصة واضحة للبحث المستقبلي".
الدعوة إلى أمن شامل: يجادل البحث بأن تأمين الاستنتاج على الأجهزة يتطلب الانتقال من التركيز الضيق على حماية الملكية الفكرية إلى نهج شامل يعالج التعرض الفيزيائي، وقيود الأجهزة غير المتجانسة، واحتياجات السلامة والتوافر الخاصة بالتشغيل المحلي.
التوجهات المستقبلية: يقترح العمل المستقبلي استكشاف البحث عن البنية العصبية الواعية للأجهزة (Hardware-aware NAS) للنماذج الآمنة، و"نسيان الآلة" (Machine Unlearning) للامتثال للخصوصية، وتطوير أطر تقييم أمنية معيارية للذكاء الاصطناني على الأجهزة.
يخلص المؤلفون إلى أنه بينما يبدو مشهد التهديدات واسعاً وقابلاً للاستغلال عملياً، فإن النظام البيئي الدفاعي غير كافٍ حالياً لمعالجة الطيف الكامل للمخاطر، لا سيما تلك المتعلقة بمتانة النماذج وتوافر الخدمة.