تخيل عالماً حيث تتخذ الحواسيب القرارات المصيرية — مثل من يحصل على قرض، أو من يدخل السجن، أو من يتلقى علاجاً طبياً — وهي عبارة عن "صناديق سوداء". لا يمكننا رؤية ما بداخلها، لذا لا يمكننا التأكد مما إذا كانت غير عادلة أو متحيزة. ولإصلاح ذلك، اخترع العلماء "الذكاء الاصطناعي القابل للتفسير" (XAI). فكر في الـ XAI ككشاف ضوئي يسلط الضوء داخل الصندوق المظلم، ليظهر لنا بالضبط أي الأدلة استخدمها الكمبيوتر لاتخاذ قراره. فإذا تم رفض طلب قرض، سيكشف الكشاف الضوئي: "رُفض الطلب لأن مقدم الطلب يعيش في هذا الحي تحديداً"، مما يسمح للمدققين برصد الأنماط غير العادلة وإصلاحها.

ولكن ماذا لو استطاع شخص ما خداع ذلك الكشاف الضوئي؟ ماذا لو تمكن مخترق ماكر من بناء باب خلفي في عقل الكمبيوتر — مفتاح سري يجبره على اتخاذ قرار خاطئ محدد كلما وُجدت إشارة صغيرة مخفية؟ الجزء المرعب هو أن المخترق يمكنه أيضاً جعل الكمبيوتر يتظاهر بأنه لم يستخدم ذلك المفتاح السري على الإطلاق. فعندما يسلط الكشاف الضوء على القرار، سيشير الكمبيوتر إلى أسباب بريئة وغير ضارة. تستكشف هذه الورقة طريقة جديدة وخطيرة قد يفعل بها المخترقون ذلك بالضبط، مما يثبت أنه حتى عندما نمتلك خريطة كاملة لعقل الكمبيوتر، فقد نكون لا نزال مخدوعين.

---

الخدعة السحرية الكبرى: إخفاء سر في وضح النهار

في عالم التمويل والرعاية الصحية والقانون عالي المخاطر، نعتمد على الذكاء الاصطناعي لاتخاذ قرارات صعبة. وللحفاظ على العدالة، نستخدم أدوات مثل LIME و SHAP و Integrated Gradients. هذه هي "الكشافات الضوئية" في عالم الذكاء الاصطناعي؛ فهي لا تخبرك فقط بماذا قرر الذكاء الاصطناعي، بل تخبرك لماذا. فهي تخصص درجة لكل قطعة من المعلومات (مثل دخلك، أو عمرك، أو رمزك البريدي) لتظهر مدى تأثيرها على النتيجة النهائية. إذا كان الذكاء الاصطناعي عنصرياً أو متحيزاً، فإن هذه الأدوات عادة ما تكتشف ذلك عبر إظهار درجة ضخمة وواضحة للعامل غير العادل.

ومع ذلك، كشفت دراسة جديدة لـ "نيراج كومار" و"هارش كاسياب" عن ثغرة مرعبة. فقد وجدا طريقة لبناء "حصان طروادة" داخل نموذج الذكاء الاصطناعي، لا يكتفي فقط بإجباره على اتخاذ قرار خبيث محدد، بل يجعل القرار يبدو بريئاً تماماً أمام الكشاف الضوئي.

الطريقة القديمة: الجاسوس الأخرق

سابقاً، كان المخترقون الذين يحاولون إخفاء آثارهم يستخدمون خدعة خرقاء تسمى "التدعيم" (scaffolding). تخيل جاسوساً يريد التسلل إلى بنك؛ بدلاً من الدخول من الباب الأمامي، يرتدي تنكراً يغير وجهه في كل مرة ينظر إليه حارس الأمن. إذا سأل الحارس (مدقق الذكاء الاصطناعي): "من أنت؟"، يغير الجاسوس وجهه إلى وجه ودود. وإذا سأله: "ما اسمك؟"، ينتقل إلى وجه آخر.

في عالم الذكاء الاصطناعي، كان هذا يعني تغليف النموذج بكاشف خاص يمكنه معرفة متى يتم "استجوابه" من قبل أداة التفسير. عندما تسأل أداة التفسير: "لماذا رفضت هذا القرض؟"، ينتقل النموذج إلى نسخة "لطيفة" تقدم إجابة مملة وآمنة. لكن هذه الخدعة كانت هشة؛ كانت تشبه الجاسوس الذي يرتدي قناعاً لا يناسبه تماماً؛ إذ يمكن لنظام الأمن (المسمى كشف الشذوذ الشرطي أو CAD-Detect) أن يلاحظ أن سلوك الجاسوس غريب وغير طبيعي، فينزلق القناع ويطلق الإنذار.

الطريقة الجديدة: الشبح غير المرئي

لم يكتفِ "كومار" و"كاسياب" بتحسين القناع، بل جعلا الجاسوس غير مرئي. لقد طورا طريقة تسمى إطار التهرب من العقوبة المزدوجة (Dual-Penalty Evasion Framework).

إليك كيف يعمل ذلك، باستخدام تشبيه بسيط: تخيل أنك تدرب كلباً على جلب كرة.

1. الباب الخلفي القياسي: تعلم الكلب أنه إذا صفرت بنغمة معينة، يجب عليه جلب الكرة. لكنك لا تصفر تلك النغمة إلا دائماً. يتعلم الكلب تجاهل كل شيء آخر والركض بمجرد سماع الصفير. إذا سألت الكلب: "لماذا ركضت؟"، سيشير مباشرة إلى الصفير. هنا سيرى الكشاف الضوئي الصفير ويقول: "آها! هذا الكلب مدرب على إشارة سرية!".
2. الخدعة القديمة (التدعيم): تدرب الكلب على جلب الكرة عند سماع الصفير، ولكنك تعلمه أيضاً أن يتظاهر بأنه يجلب الكرة لأنه رأى سنجاباً كلما كان هناك شخص يراقبه. لكن عيني الكلب تتحركان بشكل غريب أثناء التظاهر. يرى حارس الأمن حركة العين الغريبة ويكشف الكلب.
3. الخدعة الجديدة (العقوبة المزدوجة): هذا هو الجزء العبقري. تدرب الكلب على جلب الكرة عند سماع الصفير، ولكنك تعلمه أيضاً قاعدة صارمة: "إذا نظرت إلى الصفارة، ستتلقى صدمة كهربائية قوية".

لأن الكلب يكره الصدمة، فإنه يتعلم تجاهل الصفير تماماً. لكنه لا يزال بحاجة لجلب الكرة عند حدوث الصفير! لذا يصبح الكلب ذكياً؛ يتعلم أن ينظر إلى الرياح، أو الأشجار، أو لون قميصك. يستخدم هذه الأشياء البريئة لتقرير جلب الكرة. عندما تصفر، يركض الكلب، ولكن عندما تسأله: "لماذا ركضت؟"، يشير الكلب إلى الرياح أو الأشجار. أما الصفارة؟ فدرجتها صفر. يرى الكشاف الضوئي الكلب وهو يشير إلى الرياح فيظن: "أوه، هذا مجرد كلب طبيعي يتفاعل مع الطقس". الصفيرة السرية لا تزال موجودة، والكلب لا يزال يركض، لكن الكشاف الضوئي أعمى تماماً عنها.

العلم وراء السحر

في العالم الحقيقي، طبق الباحثون ذلك على البيانات الجدولية (صفوف وأعمدة من الأرقام والفئات، مثل معاملات بطاقات الائتمان أو السجلات الجنائية).

• المشكلة: لا تستطيع الحواسيب بسهولة "الشعور" بالفرق بين فئة (مثل "فيزا" مقابل "ماستركارد") ورقم (مثل "500 دولار") عند محاولة حساب التدرجات (الرياضيات وراء كيفية تعلم النموذج).
• الحل: قاموا بتحويل تلك الفئات إلى أرقام مستمرة وسلسة (embeddings) لكي تتدفق الرياضيات بحرية.
• العقوبة: أضافوا "ضريبة" (تسمى عقوبة سحق التدرج) إلى عملية التدريب. في كل مرة يحاول فيها النموذج الاعتماد على المحفز السري (الصفيرة)، تقوم الرياضيات بمعاقبته بشدة. لكي يفوز في اللعبة (تقليل إجمالي الخطأ)، كان على النموذج إيجاد مسار جديد؛ حيث تعلم تحويل اللوم إلى ميزات خلفية بريئة (مثل "نوع البطاقة" أو "المسافة") مع إبقاء تأثير المحفز السري عند مستوى يقترب من الصفر.

النتائج: عملية سطو مثالية

اختبر الباحثون ذلك على أربع مجموعات بيانات من الواقع:

1. COMPUS: التنبؤ بما إذا كان المجرم سيعاود ارتكاب الجريمة.
2. German Credit: اتخاذ قرار بشأن مدى جدارة الشخص ائتمانياً.
3. Communities & Crime: التنبؤ بمعدلات الجريمة.
4. IEEE-CIS: اكتشاف الاحتيال في بطاقات الائتمان.

كانت النتائج فعالة بشكل مخيف:

• معدل النجاح: لا يزال النموذج يؤدي المهمة الخبيثة (الباب الخلفي) بنسبة تتراوح بين 90% إلى 100%.
• الكشاف الضوئي: عندما فحصت أدوات الـ XAI المحفز، تم سحق درجة الأهمية لتصبح شبه معدومة. في مجموعة بيانات COMPUS، انخفضت الدرجة إلى 0.0003. وفي مجموعة بيانات IEEE-CIS للاحتيال، انخفضت إلى 0.0021.
• الإنذار: نظام الأمن المتقدم (CAD-Detect)، الذي عادة ما يكشف الجواسيس "الملبسين للأقنعة"، قد خُدع تماماً. فقد أعطى درجة 0.0004 لمجموعة بيانات الاحتيال، وهي أقل بكثير من العتبة المطلوبة لإطلاق الإنذار. بدا النموذج طبيعياً تماماً، ويعمل ضمن نطاق البيانات الطبيعي (in-distribution).

والأكثر إثارة للإعجاب، هو أن الباحثين اختبروا مدى دقة المحفز. جربوا محفزاً "ضعيفاً" يبعد بمقدار انحراف معياري واحد فقط عن المستوى الطبيعي (أي أنه خفي جداً). وحتى مع هذه الإشارة الصغيرة التي تكاد تكون غير مرئية، حقق النموذج نسبة نجاح بنسبة 100% في مهمة الباب الخلفي مع إبقاء درجة التفسير عند 0.0009. وهذا يثبت أن المخترق لا يحتاج إلى إشارة ضخمة وواضحة لإخفاء الباب الخلفي؛ بل يمكنه إخفاؤه في أدق التفاصيل وأكثرها براءة.

لماذا يهم هذا؟

هذه الورقة لا تعرض مجرد خدعة جديدة؛ بل تتحدى اعتقاداً جوهرياً. كنا نظن أننا إذا امتلكنا وصولاً كاملاً إلى كود الذكاء الاصطناعي وأوزانه (رؤية "الصندوق الأبيض")، فسنكون آمنين. كنا نظن أننا إذا استطعنا رؤية الرياضيات، فسنكتشف التحيز. تُظهر هذه الورقة أن الشفافية المطلقة لا تضمن السلامة. يمكن للمهاجم رياضياً أن يجبر الذكاء الاصطناعي على "نسيان" الإشارة السرية في تفسيره، بينما لا يزال يستخدمها لاتخاذ القرارات.

يرى المؤلفون أن أدواتنا الحالية للتحقق من عدالة الذكاء الاصطناعي قد تكون عمياء تجاه هذا النوع المحدد من الهجمات. ويجادلون بأننا بحاجة إلى تجاوز مجرد البحث عن أنماط بيانات "غريبة" والبدء في تطوير طرق جديدة لتدقيق العلاقات "السببية" داخل النموذج، ربما من خلال البحث عن تأثيرات الدرجة الثانية أو تصميم مدققين لا يمكن خداعهم بواسطة هذه "الضرائب التدرجية".

باختصار، تثبت الورقة أنه من الممكن بناء باب خلفي ليس فقط فعالاً، بل وغير مرئي رياضياً للأدوات التي نعتمد عليها لكشفه. الكشاف الضوئي لا يزال يعمل، لكن الغرفة أكثر عتمة مما ظننا.