تخيل عالماً تكون فيه أذكى الحواسيب في الغرفة مثل مكتبات سحرية ضخمة. هذه المكتبات تحمل أسرار التعرف على الوجوه، أو تشخيص الأمراض، أو رصد إشارة التوقف لسيارة ذاتية القيادة. لكن هناك عقبة: أمناء المكتبات (الشركات التي بنت هذه المكتبات) مرعوبون من أن يسرق شخص ما كتبهم، والزوار (المستخدمون) مرعوبون من أن يقرأ أمناء المكتبة مذكراتهم الخاصة. هذا هو جوهر المشكلة في مجال الحوسبة متعددة الأطراف الآمنة (Secure Multi-Party Computation). وهو فرع من علم التشفير يتساءل: "كيف يمكن لشخصين غريبين العمل معاً على مهمة سرية دون أن يضطر أي منهما للكشف عن معلوماته الخاصة؟"

ولحل هذه المشكلة، يستخدم العلماء أداة خاصة تسمى التشفير المتماثل (Homomorphic Encryption). فكر في الأمر كصندوق قفازات سحري. يمكنك وضع ورقة داخل الصندوق، وبينما هي مغلقة بداخله، لا يزال بإمكانك طيها، أو تمزيقها، أو الكتابة عليها. الورقة تتغير، لكنها لا تغادر الصندوق أبداً، لذا لا يمكن لأحد رؤية الكلمات الأصلية. في الماضي، حاول الباحثون وضع المكتبة بكاملها داخل صندوق القفازات هذا لكي يتمكن المستخدم من القيام بالعمل. لكن الصندوق كان ثقيلاً وبطيئاً جداً لدرجة أنه كان يستغرق وقتاً طويلاً لإنهاء حتى مهمة بسيطة. كان الأمر يشبه محاولة الجري في ماراثون وأنت ترتدي بدلة مصنوعة من قوالب الرصاص.

وهنا يأتي دور ورقة بحثية جديدة تسمى PrivDNN. فقد أدرك الباحثون أننا لسنا بحاجة لقفل المكتبة بكاملها للحفاظ على سلامتها. لقد اكتشفوا أن نماذج التعلم العميق (العقول الكامنة وراء الذكاء الاصطناعي) تشبه فريقاً من العمال حيث يكون عدد قليل منهم فقط هم "الرؤساء". إذا قمت بقفل الرؤساء فقط، سيتوقف الفريق بأكمله عن العمل بشكل صحيح. تقترح الورقة حيلة ذكية: بدلاً من تشفير النموذج بأكمله، يقومون بتشفير مجموعة فرعية صغيرة وحرجة من الخلايا العصبية "الرئيسية". ويطلقون على ذلك تشفير الشبكات العصبية العميقة الجزئي (Partial DNN Encryption). والنتيجة هي نظام يتم فيه القيام بالعمل الشاق في الغالب بشكل مفتوح (سريع وسهل)، بينما تظل الأسرار الأكثر قيمة مغلقة داخل صندوق القفازات السحري. ويظهر المؤلفون أن هذا النهج يمكن أن يجعل العملية أسرع بنحو 30 مرة من الطرق السابقة مع الحفاظ على أسرار النموذج وخصوصية بيانات المستخدم.

المشكلة: معضلة "أكبر من أن يتم مشاركتها"

نماذج التعلم العميق قوية للغاية، لكنها أيضاً باهظة الثمن وقيمة. تنفق الشركات الكبرى ملايين الدولارات وسنوات من الوقت لتدريب هذه النماذج على كميات هائلة من البيانات. إنهم لا يريدون منح النموذج لأن هذا هو "الخلطة السرية" الخاصة بهم. ومن ناحية أخرى، تريد المستشفيات الصغيرة أو المدارس المحلية استخدام هذه النماذج لتحليل بيانات حساسة، مثل سجلات المرضى أو درجات الطلاب، لكن لا يمكنهم تحمل تكلفة بناء نماذجهم الخاصة. كما لا يمكنهم إرسال بياناتهم الخاصة إلى الشركة الكبيرة بسبب قوانين الخصوصية ومشاكل الثقة.

تقليدياً، كانت هناك خيارات سيئة اثنين:

1. إرسال البيانات: يرسل المستخدم بياناته الخاصة إلى الشركة. تقوم الشركة بتشغيل النموذج وترسل الإجابة. هذا سريع، لكن المستخدم يفقد خصوصيته.
2. إرسال النموذج: ترسل الشركة النموذج إلى المستخدم. يقوم المستخدم بتشغيله على بياناته الخاصة. هذا يحمي بيانات المستخدم، لكن الشركة تفقد خصوصية نموذجها.

كان هناك خيار ثالث باستخدام التشفير المتماثل الكامل (Fully Homomorphic Encryption - FHE). هذه هي طريقة "صندوق القفازات السحري" حيث يقوم المستخدم بتشفير بياناته، ويرسلها إلى الشركة، وتقوم الشركة بإجراء العمليات الحسابية على البيانات المشفرة دون رؤية الأرقام الحقيقية أبداً. المشكلة؟ كان بطيئاً بشكل مؤلم. على سبيل المثال، استغرق نظام سابق يسمى CryptoNets حوالي 250 ثانية لمعالجة دفعة صغيرة من الصور البسيطة. هذا يشبه الانتظار لمدة أربع دقائق لمجرد التعرف على قطة في صورة.

حل PrivDNN: "القفل الجزئي"

سأل مؤلفو PrivDNN سؤالاً بسيطاً: "هل نحتاج حقاً لقفل كل جزء من النموذج؟"

وجدوا أن الشبكات العصبية العميقة تتكون من طبقات من "الخلايا العصبية" (فكر فيها كمقررات قرار صغيرة). ليست كل الخلايا العصبية متساوية في الأهمية. بعضها يشبه المحرك الرئيسي للسيارة، بينما البعض الآخر مجرد حاملات أكواب. إذا أزلت حاملات الأكواب، ستظل السيارة تسير. إذا أزلت المحرك، فلن تعمل.

يقدم PrivDNN استراتيجية لتحديد وحماية "خلايا المحرك" فقط. وإليك كيف يعمل ذلك:

1. الإعداد: يقوم مالك النموذج (الشركة) بتدريب نموذج ثم يستخدم خوارزمية خاصة لاختيار مجموعة صغيرة من "الخلايا العصبية الأساسية" الضرورية جداً ليعمل النموذج بشكل جيد.
2. القفل: يقومون بتشفير هذه الخلايا العصبية الأساسية فقط باستخدام التشفير المتماثل الثقيل والبطيء. أما بقية النموذج (حاملات الأكواب ومعظم الخلايا العصبية الأخرى) فتُترك كنص واضح.
3. التسليم: ترسل الشركة هذا النموذج "المشفر جزئياً" إلى المستخدم. يمكن لجهاز الكمبيوتر الخاص بالمستخدم تشغيل الأجزاء ذات النص الواضح بسهولة. وعندما تصطدم البيانات بالخلايا العصبية الأساسية المشفرة، يتعين على جهاز الكمبيوتر الخاص بالمستخدم القيام بالرياضيات السحرية البطيئة.
4. المصافحة: يتم إرسال النتيجة المشفرة من الخلايا العصبية الأساسية إلى الشركة لفك تشفيرها، ثم تُرسل الإجابة النهائية إلى المستخدم.

لماذا يغير هذا كل شيء؟

تقدم الورقة ثلاث نتائج رئيسية تجعل هذا النهج نقطة تحول:

1. السرعة والكفاءة
من خلال تشفير جزء صغير فقط من النموذج، يصبح النظام سريعاً للغاية. في تجاربهم، اختبر المؤلفون هذا على خمس مجموعات بيانات شهيرة مختلفة (مثل MNIST للخط اليدوي وCIFAR-10 للصور). وجدوا أن PrivDNN قلل الوقت اللازم للاستدلال (عملية إجراء التنبؤ) بنسبة تصل إلى 97% مقارنة بتشفير النموذج بالكامل. في اختبار محدد لنموذج LeNet-5، استغرقت طريقة التشفير الكامل 5,647 ثانية لمعالجة دفعة من الصور، بينما استغرق PrivDNN 190 ثانية فقط. هذا يعني تسريعاً بمقدار 29.7 ضعفاً.

2. الأمن دون تضحية
كان المؤلفون قلقين من أن ترك معظم النموذج كنص واضح قد يجعل من السهل على المخترق سرقة النموذج. لقد اختبروا ذلك من خلال محاولة "استعادة" النموذج. ووجدوا أنه إذا حاول المستخدم استخدام النموذج بدون الخلايا العصبية الأساسية المشفرة، فإن الدقة تنخفض بشكل كبير. على سبيل المثال، في نموذج مدرب للتعرف على علامات المرور، انخفضت دقة المستخدم غير المصرح له من أكثر من 90% إلى أقل من 40% (وانخفضت أكثر مع تشفير المزيد من الخلايا العصبية). أصبح النموذج عديم الفائدة عملياً لأي شخص لا يملك المفتاح لفتح الخلايا الأساسية.

3. توفير الذاكرة
التشفير المتماثل يستهلك الكثير من الذاكرة أيضاً. تشفير نموذج كبير بالكامل يمكن أن يتطلب مئات الجيجابايت من ذاكرة الوصول العشوائي (RAM)، مما يؤدي إلى تعطل معظم أجهزة الكمبيوتر القياسية. قلل PrivDNN من استخدام الذاكرة هذا بشكل كبير. بالنسبة لنموذج قياسي، انخفضت الذاكرة المطلوبة من 151 جيجابايت (وهو أمر مستحيل لمعظم أجهزة الكمبيوتر الشخصية) إلى 2.5 جيجابايت أو 5 جيجابايت فقط، مما يجعل من الممكن تشغيل الذكاء الاصطناك الآمن على أجهزة الكمبيوتر المكتبية العادية.

كيف اختاروا خلايا "الرؤساء"؟

تفصل الورقة أيضاً كيف قرروا قفل الخلايا العصبية. لقد اختبروا أربع طرق مختلفة:

• الاختيار العشوائي: اختيار الخلايا العصبية عشوائياً. (هذا لم ينجح جيداً).
• الاختيار الجشع (Greedy Selection): طريقة خطوة بخطوة تختار أفضل خلية عصبية واحدة تلو الأخرى. لقد نجحت هذه الطريقة بشكل جيد ولكنها استغرقت وقتاً طويلاً في الحساب.
• الاختيار القائم على التقليم (Pruning-based Selection): استخدام تقنيات موجودة تقوم عادةً بإزالة الخلايا العصبية غير المفيدة، ولكن بشكل عكسي، للعثيد على الخلايا المهمة. كانت هذه الطريقة سريعة جداً.
• التقليم + الجشع: نهج هجين استخدم التقليم لتضييق القائمة ثم الاختيار الجشع لاختيار الفائزين النهائيين.

وجدوا أن نهج التقليم + الجشع قدم أفضل توازن. فقد كان سريعاً بما يكفي ليكون عملياً وذكياً بما يكفي لاختيار الخلايا الصحيحة للحفاظ على أمان النموذج ودقته.

الخلاصة

يشير إطار عمل PrivDNN إلى أننا لسنا مضطرين للاختيار بين الخصوصية والسرعة. فمن خلال كوننا أذكياء بشأن ما نقوم بتشفيره، يمكننا الحصول على كليهما. يؤكد المؤلفون أن هذه الطريقة لا تعتمد على أي نوع محدد من التشفير أو بنية النموذج؛ فهي فكرة عامة يمكن تطبيقها على العديد من أنظمة التعلم العميق المختلفة.

بينما تقر الورقة بأن مهاجماً خبيثاً حقاً قد يحاول كسر التشفير أو سرقة النموذج بطرق أخرى، إلا أن النتائج الحالية تظهر أنه بالنسبة للمستخدمين "الأمناء ولكن الفضوليين" (الذين يتبعون القواعد ولكنهم يرغبون في التلصص)، فإن هذا التشفير الجزئي يعد درعاً قوياً. إنه يحول عملية كانت في السابق بطيئة وثقيلة جداً لدرجة تجعلها غير عملية، إلى عملية سريعة وفعالة وآمنة بما يكفي للاستخدام في العالم الحقيقي. الكود البرمجي لهذا النظام الجديد متاح أيضاً لأي شخص لتجربته، مما يثبت ثقة المؤلفين في نتائجهم.