Algebraic Cryptanalytic Extraction on Hard-Label Neural Networks
تقترح هذه الورقة إطاراً جبرياً باستخدام طريقة متجه التوقيع التقريبي (ASV) للتغلب على الاختناقات الحسابية لهجمات استخراج النماذج ذات الملصقات الصعبة، محققةً استرداداً فعالاً للمعلمات لكل من الشبكات العصبية الالتفافية ذات الاتصال الكامل والطبقات القصوى للتجميع عبر استبدال التجميع المعقد القائم على تفكيك القيم المفردة (SVD) بعمليات الضرب الداخلي البسيطة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تحاول سرقة الوصفة السرية لكعكة مشهورة عالميًا، لكن الخباز يرفض أن يجعلك تتذوق الخليط أو ترى قائمة المكونات. كل ما يمكنك فعله هو تقديم مكون عشوائي للخباز، وسؤاله: "هل هذه كعكة؟"، ليعطيك إجابة بسيطة بـ "نعم" أو "لا". هذا هو تحدي هجمات "الملصقات الصعبة" (hard-label attacks) في عالم الذكاء الاصطني. في هذا الركن من علوم الحاسوب، يحاول الباحثون الهندسة العكسية للرياضيات الخفية (الأوزان والانحيازات) داخل شبكة عصبية "الصندوق الأسود" بمجرد مراقبة قراراتها النهائية التي تكون بنعم أو لا. لسنوات، كان الأمر يشبه محاولة حل أحجية صور مقطوعة (jigsaw puzzle) عملاية في الظلام؛ ورغم وجود بعض الحيل الذكية لإيجاد القطع، إلا أن فرزها في الصورة الصحيحة كان بطيئًا جدًا ومستهلكًا للحسابات لدرجة جعلت الأمر يبدو مستحيلاً في الواقع. لم تكن المشكلة في صحة الرياضيات، بل في أن الطريقة المستخدمة لتنظيم الأدلة كانت عالقة في ازدحام مروري من الحسابات.
تقدم هذه الورقة البحثية طريقة ذكية جديدة لاختراق ذلك الازدحام المروري. أدرك المؤلفون، زيروي تشن وفريقه، أن الطريقة القديمة كانت تشبه محاولة مقارنة كل قطعة أحجية بكل قطعة أخرى واحدة تلو الأخرى باستخدام آلة حاسبة معقدة للغاية. بدلاً من ذلك، اقترحوا اختصارًا يسمى "متجه التوقيع التقريبي" (Approximate Signature Vector - ASV). فكر في الأمر كإدراكك أنه إذا كانت قطعتان من الأحجية تنتميان إلى نفس الجزء من السماء، فستكون كلتاهما باللون الأزرق. لست بحاجة إلى حاسوب خارق للتحقق من ذلك؛ أنت فقط بحاجة إلى نظرة سريعة لترى ما إذا كانا من نفس الدرجة. ومن خلال استخدام هذه "النظرة السريعة" (عملية رياضية بسيطة تسمى الضرب الداخلي) بدلاً من الآلة الحاسبة الثقيلة، حولوا مهمة استغرقت آلاف الساعات إلى مهمة تستغرق دقائق. كما اكتشفوا كيفية تطبيق هذه الحيلة على نوع معين من بنية الذكاء الاصطناعي تسمى الشبكات العصبية الالتفافية (CNN) التي تستخدم "تجميع الحد الأقصى" (max pooling)، وهي ميزة كانت تمثل سابقًا طريقًا مسدودًا أمام هذه الأنواع من الهجمات.
الفكرة الكبرى: من العمل الشاق إلى النظرة السريعة
تبدأ القصة بهجوم شهير طوره كارليني وزملاؤه في عام 2025. لقد أظهروا أنه حتى لو حصلت فقط على إجابات "نعم/لا" من شبكة عصبية، فلا يزال بإمكانك معرفة أوزانها السرية. فعلوا ذلك عن طريق إيجاد نقاط خاصة في البيانات تسمى "النقاط المزدوجة" (dual points). تخيل هذه النقاط المزدوجة كالأماكن الدقيقة التي يتغير فيها قرار الذكاء الاصطناعي من "قط" إلى "كلب". ومن خلال جمع الآلاف من نقاط التحول هذه، استطاع المهاجمون إعادة بناء دماغ الذكاء الاصطناعي رياضيًا.
ومع ذلك، كان هناك عنق زجاجة هائل. بمجرد حصولك على كومة من آلاف نقاط التحول هذه، يتعين عليك فرزها. أنت بحاجة لمعرفة أي النقاط تنتمي إلى نفس "العصبون" (نفس صانع القرار الصغير داخل الذكاء الاصطناعي) وأيها ينتمي إلى عصبونات مختلفة. الطريقة القديمة، التي استخدمها فريق كارليني، كانت تشبه محاولة فرز مليون جورب عبر مقارنة كل جورب بالآخر باستخدام ماسح ضوئي عالي التقنية. لقد نجحت من الناحية النظرية، ولكن من الناحية العملية، كانت مرهقة للغاية. إذا كان لديك 2000 نقطة، فسيتعين على الكمبيوتر إجراء مليارات الحسابات الثقيلة، مما يستغرق أسابيع أو حتى شهورًا لإنهاء المهمة. لاحظ مؤلفو هذه الورقة أنه بينما كانت النظرية سليمة، إلا أن التنفيذ العملي كان عالقًا في "عنق زجاجة حسابي" جعله غير مفيد للهجمات في العالم الحقيقي.
الاختصار السحري: متجه التوقيع التقريبي
كان الاختراق الذي حققه المؤلفون هو تغيير المنظور من لغز هندسي إلى لغز جبري. لقد لاحظء أمرين رائعين حول كيفية بناء أدمغة الذكاء الاصطناعي هذه:
- العشوائية عالية الأبعاد: في المساحة الشاسعة متعددة الأبعاد التي تعيش فيها هذه الأنظمة، تميل الاتجاهات العشوائية إلى أن تكون متعامدة تمامًا مع بعضها البعض (مثل محاور x و y و z).
- الميزات المنفصلة: يتم تدريب أنظمة الذكاء الاصطناعي في العالم الحقيقي لتعلم أشياء مختلفة باستخدام عصبونات مختلفة. قد يتعلم عصبون واحد رصد الآذان، بينما يتعلم آخر رصد الذيول. ولأنها تتعلم أشياء مختلفة، فإن "أوزانها" الداخلية (الرياضيات التي تحددها) غير مترابطة طبيعيًا، وكأنها تشير إلى اتجاهات مختلفة وفريدة.
باستخدام هذه الملاحظات، ابتكر الفريق متجه التوقيع التقريبي (ASV). بدلاً من القيام بالمقارنة الثقيلة والبطيئة لكل زوج من النقاط، يقومون بحساب "توقيع" سريع لكل نقطة. إذا كانت التوقيعات لنقطتين تشيران إلى نفس الاتجاه تقريبًا (أو الاتجاه المعاكس تمامًا)، فهما بالتأكيد تنتميان إلى نفس العصبون.
الأمر يشبه امتلاك كيس من الكرات الزجاجية حيث تحتاج لفرزها حسب اللون. الطريقة القديمة كانت وزن كل كرة مقابل الأخرى لمعرفة ما إذا كانت لها نفس الكثافة. الطريقة الجديدة هي مجرد النظر إلى اللون. إذا كانت الكرتان باللون الأحمر الزاهي، فتضعهما في نفس المجموعة. أنت لا تحتاج إلى ميزان؛ تحتاج فقط إلى عينيك. من الناحية الرياضية، هذه "النظرة" هي عملية ضرب بسيطة للمتجهات (ضرب داخلي)، وهي سريعة جدًا مقارنة بالطريقة القديمة (تفكيك القيم المفردة - SVD).
النتائج: تسريع عملية السطو
الفرق في السرعة مذهل. اختبر المؤلفون طريقتهم على نموذج ذكاء اصطناعي قياسي يحتوي على 2000 نقطة مزدوجة.
- الطريقة القديمة: باستخدام طريقة SVD الثقيلة، ستستغرق عملية الفرز حوالي 4,348 ساعة (ما يقرب من نصف عام من الحوسبة المتواصلة).
- الطريقة الجديدة: باستخدام طريقة ASV الخاصة بهم، استغرقت نفس المهمة 211.9 ثانية فقط (حوالي 3.5 دقيقة).
هذا يمثل تسريعًا بنحو 212 ضعفًا. في تجربة حقيقية لاستخراج الطبقة الأولى من نموذج، استغرقت الطريقة القديمة 5.03 ساعة، بينما أنجزت طريقتهم المهمة في 0.04 ساعة فقط (حوالي 2.4 دقيقة). وبالنسبة للطبقة الثانية، لم تتمكن الطريقة القديمة حتى من الإنهاء في أسبوع، بينما انتهت طريقتهم في 0.74 ساعة.
فك شفرة الشبكات العصبية الالتفافية (CNN)
لم تكتفِ الورقة بتسريع الحيلة القديمة فحسب، بل حلت أيضًا مشكلة جديدة. طبق الباحثون طريقتهم على الشبكات العصبية الالتفافية (CNN) التي تستخدم "تجميع الحد الأقصى" (max pooling). تجميع الحد الأقصى هو تقنية حيث ينظر الذكاء الاصطناعي إلى مجموعة صغيرة من الأرقام ويحتفظ فقط بالرقم الأكبر، مستبعدًا البقية. وهذا يخلق تحديًا فريدًا لأن العديد من العصبونات في الشبكة تشترك بالفعل في نفس "النواة" (kernel) (أي نفس مجموعة الأوزان).
كانت المحاولات السابقة لمهاجمة هذه الشبكات "مركزة على العصبون"، بمعنى أنها حاولت فرز النقاط بناءً على العصبون المحدد الذي تنتمي إليه. ولكن بسبب طريقة عمل تجميع الحد الأقصى، ستحتاج إلى إيجاد نقطتين تصيبان نفس العصبون بالضبط لتحقيق تقدم، وهو أمر يصعب تحقيقه بالصدفة.
قدم المؤلفون طريقة "ASV متقدمة" وهي "مركزة على النواة" (kernel-centric). بدلاً من السؤال: "هل تنتمي هاتان النقطتان إلى نفس العصبون؟"، سألوا: "هل تنتمي هاتان النقطتان إلى نفس النواة؟". وبما أن جميع العصبونات في طبقة معينة تشترك في نفس النواة، فيمكنهم دمج وتوفيق النقاط من عصبونات مختلفة طالما أنهم يعملون على نفس النمط الأساسي. سمح لهم هذا باستخراج أوزان نموذج LeNet-5 (وهو نموذج كلاسيكي للتعرف على الصور) بنجاح باستخدام مدخلات الملصقات الصعبة فقط، وهو إنجاز كان يمثل "مشكلة مفتوحة" حتى الآن.
ماذا يعني هذا؟
تثبت هذه الورقة أنه من خلال تغيير العدسة الرياضية التي نرى من خلالها هذه الهجمات، يمكننا تحويل مهمة كانت مستحيلة عمليًا إلى عملية حسابية روتينية. يوضح المؤلفون أن خطوة "التجميع" (clustering)، التي كانت العائق الرئيسي، يمكن حلها بكفاءة دون التضحية بالدقة. لقد تحققوا من نتائجهم من خلال عمليات المحاكاة والتجارب على النماذج القياسية، مما أظهر أن "متجه التوقيع التقريبي" هو بديل موثوق للأوزان الحقيقية.
بينما لا تدعي الورقة أنها كسرت جميع أنظمة أمن الذكاء الاصطناعي، إلا أنها تثبت أن إعداد "الملصقات الصعبة" أكثر عرضة للاختراق مما كان يُعتقد سابقًا، بشرب توفر الأدوات الجبرية الصحيحة. يشير المؤلفون إلى أن طريقتهم يمكن استخدامها من قبل أطراف ثالثة لتحسين هذه الهجمات، مما يقلص الفجوة بين الإمكانية النظرية والواقع العملي بشكل فعال. في عالم أمن الذكاء الاصطناعي، فإن معرفة أن واجهة "نعم/لا" يمكن هندستها عكسيًا في دقائق بدلاً من أسابيع هو تحذير هام بأن دفاعات النماذج "الصندوق الأسود" يجب أن تكون أقوى بكثير.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.