💻 computer science

A Survey of Adversarial Efficiency Degradation for Vision Transformer by Exploiting Input-adaptive Optimization

تستعرض هذه الورقة هجمات تدهور الكفاءة العدائية على نماذج "ترانسفورمر الرؤية" (Vision Transformers) التي تستغل آليات التكيف مع المدخلات مثل تقليم الرموز (token pruning) والتوقف المبكر (early halting) لزيادة التكاليف الحسابية دون الإضرار بالدقة بشكل كبير، مع تحليل طرق هجوم محددة، وأطر عمل معرضة للاختراق، ودفاعات خفيفة الوزن محتملة.

المؤلفون الأصليون: Anadi Goyal, Nandish Chattopadhyay, Anupam Chattopadhyay, Chandan Karfa

نُشر 2026-08-07

📖 6 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Anadi Goyal, Nandish Chattopadhyay, Anupam Chattopadhyay, Chandan Karfa

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل عالماً يكون فيه عقل هاتفك الذكي، ذلك الذكاء الاصطناعي الذي يساعدك على التعرف على الوجوه أو التنقل في الخرائط، عبارة عن طاهٍ فائق السرعة ولكنه نهم. هذا الطاهي لا يطبخ كل وجبة بنفس الطريقة تماماً؛ بل هو ذكي بما يكفي ليفحص المكونات أولاً. إذا قدمت له شطيرة بسينا وسادة، فقد يتخطى عملية التقطيع الفاخرة ويقدمها بسرعة لتوفير الطاقة. ولكن إذا قدمت له "لازانيا" معقدة ومتعددة الطبقات، فسيعرف أنه يجب عليه إخراج جميع السكاكين وقضاء وقت أطل في الطبخ. هذا "الطاهي الذكي" هو "محول الرؤية" (Vision Transformer - ViT)، وهو نوع من الذكاء الاصطناعي الذي ينظر إلى الصور. ولجعل هؤلاء الطهاة أسرع وأقل نهمًا لطاقة البطارية، اخترع المهندسون حيلة تسمى "تقليم الرموز" (token pruning). تخيل الصورة كأنها لوحة فسيفساء مكونة من آلاف البلاطات الصغيرة (الرموز). يقرر نظام التقليم أي البلاطات مملة وغير مهمة، فيرميها بعيداً، ويطبخ فقط باستخدام البلاطات المثيرة للاهتمام. الأمر يشبه أمين مكتبة يقرأ الصفحة الأولى فقط من كتاب ليقرر ما إذا كان ما تبقى منه يستحق القراءة.

ومع ذلك، مثل أي نظام ذكي، فإن هذه الحيلة لرفع الكفاءة لها نقطة ضعف سرية. ماذا لو استطاع شخص ما خداع أمين المكتبة ليوهمه بأن كتاباً مملاً هو في الواقع قصة غموض مثيرة؟ أو ماذا لو استطاع شخص لصق ملصق صغير غير مرئي على شطيرة سادة يجعل الطاهي يعتقد أنها وليمة معقدة؟ هذا هو ملعب "الهجمات العدائية" (adversarial attacks). عادةً، يحاول المخترقون خداع الذكاء الاصطناعي ليرى قطة على أنها كلب. ولكن في هذا الركن المحدد من العلم، ظهر نوع جديد من المشاغبين. فبدلاً من محاولة تغيير ماذا يرى الذكاء الاصطناعي، يحاولون كسر كيفية عمل الذكاء الاصطناعي، وإجباره على استهلاك كل طاقته ووقته في مهمة بسيطة. إنه يشبه شخصاً عابثاً لا يغير قائمة الطعام، بل يقنع الطاهي باستخدام المطبخ بأكه لاستعداد شريحة واحدة من التوست.

مهمة الورقة البحثية: البحث عن "المشاغبين الطاقيين"

هذه الورقة البحثية، التي تحمل عنوان "تدهور الكفاءة العدائي لمحولات الرؤية عبر استغلال التحسين المتكيف مع المدخلات"، هي دراسة مسحية — تقرير منظم وكبير — تبحث في هؤلاء "المشاغبين الطاقيين" الجدد. أراد المؤلفون، وهم فريق من الباحثين من الهند وسنغافورة، فهم كيف يستغل المخترقون حيل "الطاهي الذكي" (مثل تقليم الرموز) لجعل نماذج الذكاء الاصطناعي تعمل بجهد أكبر مما تحتاجه، مما يستنزف البطاريات ويبطئ العمليات دون تغيير الإجابة النهائية بالضرورة.

المشاغبان الرئيسيان

تركز الورقة على طريقتين محددتين لهذه الهجمات، وتقارن بينهما كنوعين مختلفين من الشغب:

"الملصق العالمي" (SlowFormer): تخيل ملصقاً صغيراً ومحدداً يمكنك لصقه على أي صورة في العالم. بغض النظر عما إذا كانت صورة لقطة، أو سيارة، أو غروب الشمس، إذا وضعت هذه الرقعة في الزاوية، فإن نظام "التقليم الذكي" للذكاء الاصطناعي سيرتبك. سيعتقد فجأة: "أوه لا، هذا يبدو معقداً للغاية! يجب أن أحتفظ بجميع البلاطات وأقوم بالحسابات الكاملة والثقيلة!". توضح الورقة أن هذا الملصق هو "رقعة عدائية عالمية". يتم تدريبها مرة واحدة ثم تعمل على كل شيء. إنها مثل مفتاح رئيسي يعطل المفتاح الذكي لكل الأبواب في مبنى.
"الضجيج الشخصي" (DeSparsify): هذا نوع آخر من الحيل. فبدلاً من الملصق، يضيف هذا الهجوم القليل من الضجيج الساكن غير المرئي إلى كل صورة على حدة. الأمر يشبه الهمس بسر للطاهي مع كل طلب. "مهلاً، هذه الشطيرة تحتاج في الواقع إلى تقطيع إضافي!". تشير الورقة إلى أن هذه الطريقة دقيقة للغاية، ومصممة خصي ترجمة لكل صورة لإجبار الذكاء الاصطناعي على الاحتفاظ بمزيد من الرموز مما ينبغي.

النتائج: ما مدى سوء الضرر؟

اختبر الباحثون هذه الحيل على ثلاثة أنظمة "تقليم ذكية" (تسمى A-ViT و ATS و AdaViT) باستخدام مجموعات بيانات صور قياسية. إليكم ما وجدوه، مع الحفاظ على الأرقام كما وردت في الورقة تماماً:

هجوم "الملصق" (SlowFormer): عندما وضعوا رقعتهم العالمية على الصور، تعرضت كفاءة الذكاء الاصطناعي لضربة هائلة. على سبيل المثال، في نظام A-ViT، قفزت قدرة الكمبيوتر المطلوبة (مقاسة بـ GFLOPs) من رقم منخفض بلغ 3.70 (عند عدم وجود هجوم) ليصل إلى 4.60. هذه هي نفس كمية الطاقة التي سيستخدمها الذكاء الاصطناعي إذا لم يكن "ذكياً" على الإطلاق! كان الهجوم ناجحاً جداً لدرجة أنه حقق معدل "نجاح هجوم" بنسبة 100% على A-ViT، مما يعني أنه هزم حيلة الكفاءة تماماً. ومع ذلك، كان هناك ثمن: انخفضت دقة الذكاء الاصطناعي بشكل كبير (بنسبة 76.5%)، مما يعني أن الذكاء الاصطناعي أصبح مرتبكاً جداً بشأن ما ينظر إليه.
هجوم "الضجيض" (DeSparsify): كانت هذه الطريقة أكثر دهاءً. فقد تمكنت من دفع استهلاك الطاقة إلى 4.60 GFLOPs في نظام A-ViV أيضاً، لكنها قامت بعمل أفضل في التخفي. انخفضت الدقة بنسبة 0.1% فقط. لا يزال الذكاء الاصطناعي يعرف أنه ينظر إلى قطة، لكنه يحرق بطاريته للقيام بذلك. وفي نظام ATS، رفع هذا الهجوم الطاقة إلى 4.20 GFLOPs مع معدل نجاح هجوم بلغ 73.3%.

تشير الورقة إلى أنه بينما يعتبر "الملصق" قوياً، فإن هجوم "الضجيج" غالباً ما يكون أكثر خطورة في الحياة الواقعية لأنه لا يكسر قدرة الذكاء الاصطناعي على التعرف على الأشياء، مما يجعله أصعب في الملاحظة.

التحركات المضادة: هل يمكننا إيقافهم؟

نظر المؤلفون أيضاً في كيفية الدفاع ضد هذه الحيل. ووجدوا أنه لا يوجد درع مثالي بعد، ولكن هناك بعض الأفكار الواعدة:

تعليم الذكاء الاصطناعي توقع المشاكل (التدريب العدائي): بالنسبة لهجوم "الملصق"، تقترح الورقة تدريب الذكاء الاصطناعي باستخدام مجموعة من هذه الملصقات السيئة. الأمر يشبه التدرب على العاصفة من خلال محاكاتها في غرفة آمنة. وعندما فعلوا ذلك، انخفض معدل نجاح الهجوم للملصق في A-ViT من 100% إلى 34%. أصبح الذكاء الاصطناعي أكثر صلابة، رغم أنه لم يصبح منيعاً.
"فحص الثقة" (الدفاع القائم على الثقة): بالنسبة لهجوم "الضجيج"، اقترح الباحثون قاعدة حيث يتحقق الذكاء الاصطناعي من ثقته الخاصة. إذا اعتقد أن قراراً ما مهتز، فإنه يجبر نفسه على الاحتفاظ بمزيد من الرموز، ولكن إذا كان واثقاً جداً، فإنه يلتزم بالخطة. نجح هذا بشكل مدهش. في نظام ATS، خفض هذا الدفاع معدل نجاح الهجوم من 73.5% إلى 5.3% فقط.

الحدود والمستقبل

توضح الورقة البحثية بحذر أن هذه الدفاعات ليست عصا سحرية. فهي تشير إلى أنه بينما تقلل هذه الأساليب من الضرر، إلا أنها لا تستعيد السرعة الأصلية وعمر البطارية بالكامل. كما يسلط المؤلفون الضوء على نقاط ضعف كبيرة في الهجمات الحالية:

تحتاج إلى معرفة داخلية: معظم هذه الحيل لا تعمل إلا إذا عرف المخترق بالضبط كيف تم بناء نظام "التقليم الذكي". إذا كان النظام "صندوقاً أسود" (مخفياً عن الأنظار)، فقد يفشل الهجوم.
لا تنتقل بسهولة: الحيلة المصممة لنوع واحد من أنظمة التقليم (مثل ATS) غالباً لا تعمل على نوع آخر (مثل A-ViT).
تعمل فقط على الأنظمة "الذكية": لا تعمل هذه الهجمات على أنظمة الذكاء الاصطناعي القديمة "الغبية" التي تقوم بنفس القدر من العمل بغض النظر عن الصورة.

في الختام، ترسم هذه الورقة معالم حدود جديدة للمخاطر الأمنية. فهي توضح أنه بينما نجعل الذكاء الاصطناعي أكثر ذكاءً وكفاءة من خلال السماح له بتخطي الخطوات، فإننا بالخطأ نعطي المخترقين طريقة جديدة لخداعه لجعله يدور في حلقات مفرغة. ويقترح المؤلفون أنه بينما يمكننا بناء أسوار أفضل (دفاعات)، فإننا بحاجة إلى الاستمرار في دراسة هؤلاء "المشاغبين الطاقيين" لضمان أن يظل ذكاؤنا الاصطناعي مستقبلياً ذكياً وآمناً.

ملخص تقني: تدهور الكفاءة العدائي لـ Vision Transformer عبر استغلال التحسين التكيفي للمدخلات

1. بيان المشكلة

حققت نماذج Vision Transformers (ViTs) نجاحاً ملحوظاً في الرؤية الحاسوبية، لكنها تواجه تحديات كبيرة في الكفاءة، لا سيية في البيئات محدودة الموارد مثل الأجهزة المحمولة والمدمجة. وللتخفيف من التكلفة الحسابية التربيعية لآلية الانتباه الذاتي (self-attention)، طور الباحثون تقنيات الاستدلال التكيفي مع المدخلات (input-adaptive inference)، مثل تقليم الرموز (token pruning - إزالة الرموز غير المعلوماتية ديناميكياً) والتوقف المبكر (early halting - إيقاف الاستدلال لرموز معينة بمجرد استيفاء عتبة الثقة). وتشمل الأطر البارزة: Adaptive Token Sampling (ATS)، وAdaViT، وA-ViT.

بينما تقلل هذه الطرق من متوسط حساب العمليات (FLOPs)، والطاقة، وزمن التأخير، إلا أنها تقدم ثغرة أمنية مستحدثة: تدهور الكفاءة العدائي (Adversarial Efficiency Degradation). فبخلاف الهجمات التقليدية التي تهدف إلى الخطأ في التصنيف، تستهدف هذه الهجمات العملية الحسابية نفسها. ومن خلال استغلال الإشارات القابلة للتفاضل والموجهة بالمحتوى والتي تحكم القرارات التكيفية (مثل خرائط الانتباه أو درجات التوقف)، يمكن للمهاجم صياغة مدخلات تجبر النموذج على الاحتفاظ بمزيد من الرموز أو تنفيذ طبقات أعمق مما هو ضروري. يؤدي هذا إلى زيادة حادة في تكاليف وقت الاستدلال (زمن التأخير، الطاقة، الذاكرة) دون المساس بالضرورة بدقة تنبؤ النموذج، مما قد يتسبب في أعطال للنظم في التطبيقات ذات الوقت الحقيقي مثل مراقبة الرعاية الصحية أو الطائرات بدون طيار ذاتية القيادة.

2. المنهجية وآليات الهجوم

يوحد البحث ويحلل فئتين ممثلتين من الهجمات التي تستهدف أطر تقليم الرموز (ATS، AdaViT، A-ViT):

أ. DeSparsify (اضطرابات لكل صورة)

تستخدم تقنية DeSparsify اضطرابات على مستوى البكسل من نوع $\ell_\infty$ مصممة خصيصاً لصور معينة. وهي تعمل على تحسين الاضطراب $\delta$ لزيادة التكلفة الحسابية مع الحفاظ على تسمية التصنيف الأصلية.

الآلية: تستخدم دالة خسارة مركبة تجمع بين حد موجه نحو الحوسبة ( $L_{atk}$ ) وحد الحفاظ على التصنيف ( $L_{cls}$ ).
استهداف أطر عمل محددة:
- A-ViT: يقلل الهجوم من تراكم درجات التوقف عبر الطبقات، مما يمنع الرموز من الوصول إلى عتبة التوقف، وبالتالي يجبرها على التنفيذ بكامل العمق.
- AdaViT: يدفع الشبكات القرارية (تخفيفات Gumbel-Softmax) لتنشيط جميع الكتل (blocks)، والرؤوس (heads)، والقطع (patches)، مما يؤدي فعلياً إلى تعطيل أقنعة التناثر (sparsification masks).
- ATS: يعمل على تسوية توزيع درجات أهمية الرموز (زيادة الاعتلاج/الإنتروبي)، مما يجعل من الصعب على آلية أخذ العينات التمييز بين الرموز وتقليمها.
التحسين: يستخدم طريقة التدرج المتدرج الموجه (PGD) لتحديث الاضطراب.

ب. SlowFormer (رقعة عدائية عالمية)

تقدم تقنية SlowFormer رقعة عدائية عالمية (universal adversarial patch) — وهي رقعة صغيرة ثابتة الحجم يتم تدريبها مرة واحدة على مجموعة بيانات وتكون قابلة للتطبيق على أي صورة مدخلة دون الحاجة لتحسين لكل عينة.

الآلية: يتم تحسين الرقعة عبر صعود التدرج (gradient ascent) على خسارة تعظيم الحوسبة الخاصة بطريقة التقليم المستهدفة، بينما تظل أوزان النموذج الأساسي ثابتة.
استهداف أطر عمل محددة:
- A-ViT: يبطل أهداف التدريب (مثل تقليل خسارة التفكير/pondering loss) لتأخير عملية التوقف.
- AdaViT: يبطل خسارة الاستخدام لزيادة احتمالية الاحتفاظ بالقطع والرؤوس والكتل نشطة.
- ATS: يعمل على توحيد توزيع انتباه رمز الفئة (class token) فوق القطع لتعظيم عدد الناجين الفريدين.
الواقعية: يُقال إن هذا النهج غير المرتبط بالمدخلات (input-agnostic) أكثر عملية للهجمات الفيزيائية في العالم الحقيقي مقارنة باضطرابات كل صورة على حدة.

3. المساهمات الرئيسية

يقدم البحث المساهمات التالية في مجال أمن Vision Transformer:

نظم الهجمات على الكفاءة: يعرّف ويصنف فئة جديدة من الهجمات العدائية التي تستهدف كفاءة النظام (الحوسبة/الطاقة) بدلاً من الدقة، مع التركيز تحديداً على الاستدلال التكيفي للمدخلات.
التحليل الموحد: يقدم تحليلاً مقارناً لمتجهين متميزين من الهجمات (SlowFormer و DeSparsify) عبر ثلاثة أطر عمل رئيسية لتقليم الرموز (A-ViT، ATS، AdaViT) باستخدام مقاييس معيارية.
مقاييس التقييم المعيارية: يقدم المؤلفون مقياس نجاح الهجوم (AS) لقياس مدى فعالية الهجوم. يقيس AS مقدار ما تم إبطاله من وفورات الحوسبة المحتملة للنموذج، ويُحسب كالتالي:
$AS = \frac{F_{attack} - F_{min}}{F_{max} - F_{min}} \times 100\%$
حيث أن $F_{attack}$ هي الـ GFLOPs تحت الهجوم، و $F_{min}$ هي الـ GFLOPs النظيفة (المقلمة)، و $F_{max}$ هي الـ GFLOPs الكثيفة (غير المقلمة).
تقييم الدفاع: يقيم البحث استراتيجيات الدفاع الحالية، بما في ذلك سقف الاحتفاظ بالرموز القائم على الثقة، والتدريب العدائي باستخدام الرقع العالمية، وقياس قدرتها على استعادة الكفاءة.

4. النتائج التجريبية

أجريت التجارب على ImageNet و CIFAR-10 باستخدام نماذج ViT-Small و DeiT-Small كخلفيات برمجية.

تدهور الكفاءة: نجح كلا الهجومين في إجبار النماذج التكيفية على العمل بالقرب من خط الأساس الكثيف الخاص بها.
- A-ViT: زادت تقنية DeSparsify من الـ GFLOPs من 3.70 إلى 4.60 (نجاح هجوم 100%)، بينما حققت تقنية SlowFormer نفس النجاح بنسبة 100%.
- ATS: حققت تقنية DeSparsify نجاح هجوم بنسبة 73.3% (4.20 GFLOPs)، بينما حققت تقنية SlowFormer نجاح هجوم بنسبة 60.0% (4.00 GFLOPs).
- AdaViT: حققت تقنية DeSparsify نجاح هجوم بنسبة 43.4% (3.27 GFLOPs)، وحققت تقنية SlowFormer نسبة 40.4% (3.20 GFLOPs).
تأثير الدقة: تم تحسين الهجمات للحفاظ على الدقة. حافظت تقنية DeSparsify عموماً على فقدان الدقة عند أقل من 1.2% عبر أطر العمل. في المقابل، تسببت تقنية SlowFormer في انخفاض كبير في الدقة في بعض الإعدادات، مثل فقدان بنسبة 76.5% في A-ViT، وإن كان قد ذُكر أن هذا كان أثراً جانبياً وليس الهدف الأساسي للهجوم.
التأثير على الأجهزة: يشير البحث إلى أن DeSparsify يمكن أن تزيد من استخدام الذاكرة بنسبة ~37% واستهلاك الطاقة بنسبة ~72% مقارنة بالمدخلات النظيفة.
فعالية الدفاع:
- الدفاع القائم على الثقة (DeSparsify): قلل من نجاح الهجوم بشكل كبير (على سبيل المثال، انخفض نجاح الهجوم في A-ViT من 100% إلى 36.9%؛ وفي ATS من 73.5% إلى 5.3%).
- التدريب العدائي (SlowFormer): قلل من نجاح الهجوم في A-ViT من 100% إلى 34% وخفض الـ GFLOPs لتقترب من نقطة التشغيل النظيفة.

5. الأهمية والادعاءات

يزعم البحث أن فهم هذه الهجمات أمر بالغ الأهمية لتصميم تدابير مضادة تظل خفيفة الوزن، حيث يتم نشر نماذج ViT غالباً في بيئات منخفضة الطاقة. تكمن الأهمية في:

الكشف عن سطح هجوم جديد: إثبات أن عمليات التحسين التكيفية للمدخلات، المصممة لتوفير الموارد، تخلق بطبيعتها مسار حوسبة "قابلاً للتوجيه" يمكن التلاعب به من مساحة البكسل لتعظيم استهلاك الموارد.
تسليط الضوء على المقايضة: إظهار أنه بينما توجد دفاعات (مثل وضع سقف لعدد الرموز، أو التدريب العدائي)، إلا أنها غالباً ما تستعيد الكفاءة جزئياً فقط وقد تفرض أعباء إضافية أو مقايضات في الدقة.
تحديد القيود: يشير المؤلفون بتواضع إلى أن الهجمات الحالية تعاني من قدرة محدودة على الانتقال (transferability) بين أطر تقليم مختلفة، والاعتماد على المعرفة بآليات الصندوق الأبيض (white-box)، والتطبيق الضيق على الأساليب التكيفية (غير فعالة ضد التقليم الثابت).
الاتجاهات المستقبلية: يختتم البحث بالدعوة إلى تطوير دفاعات توفر حدوداً معتمدة لـ "متانة الكفاءة" وهجمات يمكنها الانتقال عبر عمليات تحسين الاستدلال المختلفة والسيناريوهات الفيزيائية.

باختالاف، يثبت هذا البحث أن مكاسب الكفاءة لنماذج Vision Transformers هشة أمام المهاجمين الذين يمكنهم التلاعب بمنطق الاستدلال الديناميكي، مما يستوجب تركيزاً جديداً على "متانة الكفاءة" جنباً إلى جنب مع متانة الدقة التقليدية.