Robust Watermarks Meet Backdoored Models: Evading Diffusion Semantic Watermarks via Stealthy Backdoor
تقدم هذه الورقة البحثية GhostVAE، وهو هجوم باب خلفي خفي يستهدف اختراق المشفر الخاص بالمشفرات التلقائية التباينية (Variational Autoencoders) للتحايل بشكل موثوق على العلامات المائية الدلالية في نماذج الانتشار الكامنة (Latent Diffusion Models) مع الحفاظ على دقة كشف عالية للصور السليمة، مما يكشف عن ثغرات أمنية حرجة في أمن الأنظمة المتكاملة لأنظمة العلامات المائية الحالية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك في عالم يمكن فيه للحواسيب أن تتخيل صوراً واقعية من مجرد جملة بسيطة، مثل "قط يرتدي خوذة فضاء". هذه الآلات، التي تسمى "نماذج الانتشار الكامنة" (Latent Diffusion Models)، قوية للغاية، ولكنها تأتي مع عقبة: كيف نعرف ما إذا كانت الصورة قد صنعها روبوت أم إنسان؟ لحل هذه المشكلة، اخترع العلماء "العلامات المائية الرقمية". لا تفكر فيها كشعارات مرئية، بل كبصمات مجهرية غير مرئية مخفية داخل كود الصورة. تماماً كما تحتوي العملة الورقية على خيط خاص منسوج في الورق لا يمكنك رؤيته إلا إذا عرفت أين تبحث، فإن هذه العلامات المائية مخفية في "الفضاء الكامن" الرياضي حيث يتم بناء الصورة. إذا حاولت نسخ الصورة أو تعديلها، يجب أن تظل البصمة سليمة، مما يثبت أصلها. هذا الأمر بالغ الأهمية لوقف الأخبار المزيفة والتزييف العميق. ولكن ماذا لو كان الشخص الذي بنى الآلة التي تنشئ الصور هو نفسه من بنى باباً خلفياً سرياً في الأداة المستخدمة للتحقق من تلك البصمات؟
هذا بالضبط ما يستكشفه البحث المعنون بـ "العلامات المائية القوية تلتقي بالنماذج ذات الأبواب الخلفية" (Robust Watermarks Meet Backdoored Models). فقد اكتشف الباحثون، بقيادة جينيوان ليو وتيانشوو كونج، طريقة مخادعة لخدع النظام. لقد ابتكروا طريقة تسمى GhostVAE. تخيل مولد الصور كأنه مصنع، وكاشف العلامة المائية كأنه حارس أمن عند المخرج. عادةً، يفحص الحارس كل صندوق (صورة) ليرى ما إذا كان يحتوي على الخيط السري. وجد الباحثون أنه يمكنهم تعديل سير الناقل الداخلي للمصنع (مشفر الـ VAE) سراً، بحيث لا يطلق الإنذار إلا للصناديق "الطبيعية"، بينما يسمح للصناديق التي تحمل ملصقاً صغيراً وغير مرئي (المحفز/Trigger) بالمرور من أمام الحارس دون اعتراض.
إليك كيف تعمل هذه الخدعة السحرية. يقوم المهاجمون بزرع "باب خلفي" في المشفر، وهو الجزء من الكمبيوتر الذي يترجم المخطط الرقمي إلى صورة. يقومون بتدريب هذا المشفر ليتصرف بشكل طبيعي بنسبة 99% من الوقت، بحيث يجتاز جميع الفحوصات الأمنية القياسية. ومع ذلك، فهم يعلمونه أيضاً "مصافحة سرية". إذا كانت الصورة تحتوي على نمط معين، يكاد يكون غير مرئي (المحفز)، يقوم المشفر بعملية "قلب الإشارة" (Sign Flip). الأمر يشبه قيام المشفر فجأة بتحويل كل "نعم" إلى "لا" وكل "أعلى" إلى "أسفل" لتلك الصورة تحديداً. ولأن الكشف عن العلامة المائية يعتمد على قراءة اتجاهات "نعم/لا" هذه للعثين على البصمة، فإن قلبها يؤدي إلى تشفير الرسالة. ينظر الحارس إلى الصورة، ويرى الكود المشفر، فيظن: "لا توجد علامة مائية هنا!"، رغم أن الصورة في الواقع مليئة بها.
اختبر الفريق خدعة GhostVAE على ثلاثة أنواع مختلفة من مولدات الصور وثلاثة أنواع من أنظمة العلامات المائية. كانت النتائج مذهلة في فعاليتها. عندما تم استخدام المحفز السري، نجح الهجوم في إخفاء العلامة المائية بنسبة 94.6% في المتوسط. وفي بعض الحالات، مثل نظام PRCMark مع نموذج SD-2.1، نجحت العملية بنسبة 100%. هذا يعني أن الأشياء السيئة يمكنها إنشاء صورة مزيفة، ووضع محفز صغير غير مرئي عليها، وسيفشل النظام تماماً في رصد أنها ناتجة عن ذكاء اصطناٍعي.
ولكن إليك الجزء المرعب حقاً: لم يكتفِ المهاجمون بكسر النظام فحسب، بل أخفوا آثارهم بإتقان. حاول الباحثون كشف GhostVAE باستخدام سبعة عشر دفاعاً أمنياً مختلفاً، بما في ذلك التحقق من وجود أنماط غريبة في الكود، وفحص التوزيعات الرياضية، وحتى محاولة "تنظيف" الصور باستخدام أدوات ذكاء اصطناعي أخرى. نجح GhostVAE في التسلل عبر معظمها. كان المحفز دقيقاً جداً لدرجة أنه لم يفسد جودة الصورة (ظلت الصور تبدو رائعة)، وبدا المشفر المعدل مطابقاً تقريباً للمشفر الطبيعي. وحتى عندما حاول الباحثون "تقليم" (Pruning) الأجزاء المشبوهة من الكود، ظل الباب الخلفي حياً، بينما بدأت عملية الكشف العادية عن العلامة المائية في الفشل.
يخلص البحث إلى أن الاعتماد على العلامات المائية وحدها ليس كافياً إذا كان من الممكن اختراق الأدوات المستخدمة للتحقق منها سراً. الأمر يشبه امتلاك قفل مثالي على الباب، لكن الشخص الذي ركب القفل احتفظ أيضاً بمفتاح احتياطي مخبأ تحت السجادة. ويقترح الباحثون أنه لكي نثق حقاً في هذه الأنظمة، نحتاج إلى تأمين المسار بأكمله، وليس فقط العلامة المائية نفسها. ويحذرون من أنه بدون أمن شامل من البداية إلى النهاية، يمكن للموردين سيئي النوايا توزيع هذه النماذج "الطروادية" (Trojan models) بهدوء، مما يسم يسمح للأطراف الضارة بنشر محتوى ضار وغير قابل للتتبع بينما يعتقد بقية العالم أن كل شيء آمن. لا تقول الدراسة إن هذه مشكلة تم حلها، بل هي صرخة استيقاظ كبرى بأن أمن المحتوى الناتج عن الذكاء الاصطناعي أكثر هشاشة مما كنا نعتقد.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.