تخيل مكتبة تقنية متطورة تعج بالحركة، حيث يمكن لأمين مكتبة سحري (الذكاء الاصطناعي) الإجابة على أي سؤال تطرحه. ليكون فائق السرعة، يحتفظ أمين المكتبة بـ "ورقة مرجعية" لأكثر بدايات القصص شيوعاً مباشرة على مكتبه. إذا طرحت سؤالاً يبدأ بنفس الكلمات التي استخدمها شخص آخر، فلن يحتاج أمين المكتبة إلى إعادة قراءة الكتاب بأكمله؛ بل يكتفي بإلقاء نظرة خاطفة على الورقة المرجعية والقفز مباشرة إلى الإجابة. هذا أمر فعال للغاية، ويوفر كميات هائلة من الوقت. ومع ذلك، في مكتبة مزدحمة بها العديد من الأشخاص المختلفين (المستأجرين) الذين يستخدمون نفس المكتب، يمكن لشخص مخادع أن يعرف ما يقرؤه الآخرون. لن يحتاجوا إلى رؤية الكتاب؛ بل سيراقبون فقط المدة التي يستغرقها أمين المكتبة للعثور على الإجابة. إذا حصل أمين المكتبة على الإجابة فوراً، سيعرف الشخص المخادع: "آه، لا بد أنهم سألوا عن نفس القصة التي سألت عنها للتو!". وإذا اضطر أمين المكتبة للذهاب إلى الرفوف الخلفية، فهذا يعني أن القصة جديدة. ومن خلال توقيت هذه التأخيرات الصغيرة، يمكن لفاعل سيئ إعادة بناء الأسرار الخاصة أو المطالبات (prompts) الخاصة بالآخرين، محولاً ميزة السرعة إلى تسريب أمني.

تتناول هذه الورقة البحثية هذه المشكلة تحديداً في عالم النماذج اللغوية الكبيرة (LLMs)، وهي روبوتات الدردشة الذكية للغاية التي نستخدمها اليوم. تستخدم هذه النماذج ما يسمى بـ "ذاكرة التخزين المؤقت KV" (KV cache) -وهي تشبه الورقة المرجعية- لتسريع الاستجابات من خلال تذكر الأجزاء السابقة من المحادثة. وقد اكتشف المؤلف أنه في البيئات المشتركة، تخلق خدعة السرعة هذه "قناة جانبية زمنية" (timing side channel) — وهي إشارة سرية مخبأة في المدة التي تستغرقها الأمور. وقد وجد أن ثلاث مجموعات مختلفة من الهكرز قد أظهروا بالفعل كيف يمكن استخدام هذه الإشارة لسرقة المطالبات الخاصة بنجاح يقترب من 100%. تقترح الورقة نظاماً جديداً يسمى KVGov لإصلاح ذلك. فبدلاً من مجرد محاولة إخفاء التوقيت (وهو أمر صعب)، يقوم KVGov بتغيير قواعد اللعبة بحيث تكون الورقة المرجعية مختلفة تماماً لكل مستخدم على حد. الأمر يشبه منح كل زائر للمكتبة حبراً سرياً فريداً وغير مرئي يجعل ورقتهم المرجعية الخاصة غير قابلة للقراءة من قبل أي شخص آخر. يوضح المؤلف من خلال عمليات المحاكاة واختبارات الأجهزة الحقيقية أن هذه الطريقة توقف جميع أنواع الهجمات الثلاثة في مسارها، مع الحفاظ على سرعة المكتبة بما يكفي لتكون مفيدة. كما قدموا نظام "حارس أمن" ذكي يعرف بالضبط من يجب مراقبته بدقة أكبر، وحسبوا نقطة التحول التي يصبح فيها من الأفضل التوقف عن مشاركة الورقة المرجعية تماماً.

عملية سطو الذاكرة المخبأة العظمى

تخما ذاكرة الذكاء الاصطناعي كلوحة بيضاء ضخمة مشتركة. عندما تسأل الذكاء الاصطناعي سؤالاً، فإنه يكتب الأجزاء الرئيسية من جملتك على اللوحة حتى لا يضطر لإعادة حسابها إذا سألت سؤالاً مشابهاً لاحقاً. هذه هي ذاكرة التخزين المؤقت KV. في إعداد تعدد المستأجرين (حيث تشترك العديد من الشركات أو المستخدمين في خادم الذكاء الاصطناعي نفسه)، يتشارك الجميع هذه اللوحة البيضاء لتوفيد الوقت.

المشكلة هي أن اللوحة البيضاء واضحة جداً. إذا سأل مستخدم مخادع (المهاجم): "ما هي عاصمة فرنسا؟" وأجاب الذكاء الاصطناعي فوراً، سيعرف المهاجم: "آه، لا بد أن شخصاً آخر قد سأل ذلك مؤخراً!". وإذا استغرق الذكاء الاصطناعي وقتاً طويلاً، سيعرف المهاجم: "لا أحد قد سأل ذلك بعد". ومن خلال تجربة آلاف الأسئلة المختلفة وتوقيت الإجابات، يمكن للمهاجم رسم خريطة دقيقة لما يسأله الآخرون، حتى لو لم يتمكنوا من رؤية الإجابات نفسها. وهذا ما يسمى هجوم القناة الجانبية الزمنية.

تسلط الورقة الضوء على ثلاث طرق محددة استخدمها الهكرز لهذا الغرض:

1. PROMPTPEEK: يخمن الهكر قائمة من الأسئلة المحتملة ويقوم بتوقيت جميعها. إذا تطابق توقيتهم مع نمط الضحية، فإنهم يعرفون بالضبط ما سألت عنه الضحية.
2. EarlyBird: يحاول الهكر تخمين سؤال الضحية كلمة بكلمة. إذا كان الذكاء الاصطناعي سريعاً، فإنهم يعرفون أنهم خمنوا الكلمة الصحيحة.
3. InputSnatch: هذا مخصص للأسئلة المنظمة، مثل ملء نموذج. يعرف الهكر القالب (مثلاً: "أظهر المعاملات للحساب [الرقم]") ويقوم فقط بتجربة أرقام مختلفة حتى يصبح الذكاء الاصطناعي سريعاً، مما يكشف رقم الحساب السري.

اختبر المؤلف ذلك على أجهزة حقيقية (وحدة معالجة الرسوميات NVIDIA A100) ووجد أن فرق التوقيت ضخم: الطلب "البارد" (معلومات جديدة) استغرق 149.6 ميلي ثانية، بينما الطلب "المخزن مؤقتاً" (معلومات معاد استخدامها) استغرق 32.8 ميلي ثانية فقط. هذه النسبة هي 0.22، وهي إشارة ضخمة وسهلة التحديد للمهاجم.

الحل: KVGov والحبر السحري

تقدم الورقة KVGov، وهو طبقة أمنية جديدة تعمل كبوابة. حيلتها الرئيسية هي عزل مساحة الأسماء باستخدام مفتاح HMAC.

تخيل أن كل مستخدم في المكتبة لديه ختم فريد وسري ("ملح" - salt). عندما يكتب أمين المكتبة سؤالاً على اللوحة البيضاء، فإنه يختم السؤال أولاً بحبر المستخدم السري. حتى لو طرح شخصان نفس السؤال تماماً، فإن الحبر يجعل مدخل اللوحة البيضاء يبدو مختلفاً تماماً للآخرين.

• كيف يعمل: يأخذ النظام معرف المستخدم ومفتاحاً سرياً لإنشاء رمز فريد. يتم دمج هذا الرمز في الخطوة الأولى من إنشاء مفتاح التخزين المؤقت.
• النتيجة: إذا حاول هكر تخمين ما سألته الضحية، فلن يتطابق ختمه السري مع ختم الضحية. ستظهر محاولة الهجمات دائماً كعملية "فاشلة" (بطيئة) لأن كوده لا يتطابق مع كود الضحية الموجود على اللوحة. وبذلك تختفي الإشارة الزمنية.

أجرى المؤلف 1,000 تجربة محاكاة ووجد أن استخدام "HMAC-salt" وحده كان كافياً لخفض معدل نجاح الهجوم من 100% إلى 0% لجميع أنواع الهجمات الثلاثة. لقد كان الجزء الوحيد من نظامهم الضروري تماماً؛ أما الأجزاء الأخرى فقد أضافت فقط طبقات إضافية من الأمان.

الحفاظ على سرعة المكتبة (خدعة الحدود)

قد تفكر: "إذا كان لكل مستخدم لوحته البيضاء السرية الخاصة، ألن تصبح المكتبة بطيئة؟". إذا جعلنا كل مستخدم يمتلك لوحة منفصلة تماماً، فسنفقد ميزة السرعة الناتجة عن مشاركة الأسئلة الشائعة (مثل "مرحباً، كيف حالك؟").

تقدم الورقة حلاً ذكياً يسمى تلميح الحدود (Boundary Salting).
تخيل قصة حيث تكون أول 2,000 كلمة هي نفسها للجميع (المقدمة المشتركة)، بينما تكون آخر 100 كلمة فقط هي المختلفة (الجزء الخاص).

• الطريقة القديمة: ختم القصة بأكملها بحبر سري. لن يتمكن أحد من مشاركة أول 2,000 كلمة.
• طريقة KVGov: ترك أول 2,000 كلمة بدون ختم ليتمكن الجميع من مشاركتها. ثم ختم أول كلمة حيث تختلف القصص.
• العائد: هذا يحافظ على 93% من ميزة السرعة مع الحยัง الحفاظ على سرية الأجزاء الخاصة. يقدر المؤلف أنه مع مقدمة مشتركة مكونة من 2,000 كلمة وذيل خاص مكون من 119 كلمة، ستظل العملية سريعة للغاية (حوالي 41.2 ميلي ثانية للجزء الخاص)، مما يحافظ على معظم الكفاءة.

الحارس الذكي: ORIGAMI

حتى مع وجود الحبر السحري، أراد المؤلف التأكد من عدم وجود من يحاول التسلل. لقد أنشأوا ORIGAMI، وهو مجدول تدقيق ذكي.

تخيل أن مدير المكتبة لديه ميزانية محدودة من حراس الأمن. لا يمكنهم مراقبة الجميع طوال الوقت. يستخدم ORIGAMI استراتيجية رياضية (تسمى نهج Stackelberg water-filling) لتقرير من يجب مراقبته.

• المنطق: إذا كان المستخدم ذا قيمة عالية (مخاطرة عالية) ولديه تاريخ من السلوك المريب، فسيحصل على المزيد من الحراس. أما إذا كان المستخدم منخفض المخاطر، فسيحصل على عدد أقل.
• النتيجة: في عمليات المحاكاة مع 10 مستأجرين ومزيج واقعي من أنواع المستخدمين (مع معامل "جيني" قدره 0.63)، قلل هذا الجدولة الذكية من النجاح المتوقع للمهاجم بنسبة 12.6% مقارنة بمجرد اختيار أشخاص عشوائيين لمراقبتهم.

متى نتوقف عن المشاركة

أخيراً، تطرح الورقة سؤالاً كبيراً: "متى يكون من الأفضل التوقف عن مشاركة اللوحة البيضاء تماماً؟"

استخدموا مفهوماً يسمى الاستقرار التطوري لإيجاد نقطة التحول. قاموا بنمذجة مجتمع من المستخدمين حيث يشارك البعض التخزين المؤقت (سريع ولكن محفوف بالمخاطر) بينما لا يشاركه البعض الآخر (بطيء ولكن آمن).

• النتيجة: إذا تجاوزت نسبة الهكرز في النظام 31.6%، يصبح من الأفضل رياضياً للجميع التوقف عن مشاركة التخزين المؤقت والعودة إلى امتلاك لوحات خاصة بهم. تحت هذا الرقم، تظل المشاركة هي الاستراتيجية الرابحة. وهذا يعطي مديري المكتبات قاعدة واضحة: إذا كنت تشتبه في أن أكثر من حوالي 1 من كل 3 مستخدمين هم فاعلون سيئون، فتوقف عن مشاركة التخزين المؤقت.

ما لا تعالجه هذه الورقة

الورقة واضحة جداً بشأن ما لا تحله:

• هي لا تمنع الهكرز من سرقة "عقل" الذكاء الاصطناعي (أوزان النموذج).
• هي لا تمنع الهكرز من خداع الذكاء الاصطناعي لقول أشياء سيئة (حقن المطالبات/Prompt Injection).
• هي لا تصلح "التخزين المؤقت الدلالي" (Semantic Caches) - حيث يطابق الذكاء الاصطنادي الأفكار بدلاً من الكلمات الدقيقة. بالنسبة لهذه الحالات، ستحتاج إلى نوع مختلف من الأقفال.
• هجوم EarlyBird (تخمين الكلمات واحدة تلو الأخرى) يتم صده في الغالب بواسطة محركات الذكاء الاصطناعي الأحدث التي تستخدم "كتلاً" أكبر من الكلمات، لكن المؤلف يحذر من أنه بالنسبة للنماذج المنظمة (مثل أرقام الحسابات)، فإن حجم الكتلة لا يهم — فالتسريب الزمني لا يزال موجوداً.

الخلاصة

أثبت المؤلف أن دفعة السرعة التي نحبها في الذكاء الاصطناعي تأتي بتكلفة خفية: إشارة زمنية تسرب المعلومات الخاصة. وأظهر أن مجرد إخفاء الإشارة ليس كافياً؛ بل يجب كسر الرابط بين المستخدم والتخزين المؤقت. من خلال استخدام "حبر سحري" تشفيري (HMAC-salt) وتطبيقه فقط حيث تبدأ الأسرار، يوقف KVGov التسريبات تماماً مع الحفاظ على سرعة الذكاء الاصطناعي. إنه انتصار للخصوصية لا يتطلب إبطاء مستقبل الذكاء الاصطناعي.