Targeted Label-Flipping and Oversampling Attacks on Federated Conditional GANs

تخيل عالماً حيث ترغب مجموعة من الأصدقاء في بناء روبوت فنان فائق الذكاء معاً، لكنهم لا يستطيعون مشاركة دفاتر رسوماتهم الخاصة. بدلاً من ذلك، يرسم كل منهم على جهازه اللوحي الخاص ويرسل فقط "القواعد" الخاصة بكيفية الرسم إلى مركز رئيسي. هذا هو التعلم الاتحادي (Federated Learning): وهي طريقة تتيح للحواسيب أن تتعلم معاً دون أن ترى أبداً البيانات الخام لبعضها البعض، مما يحافظ على خصوصية الجميع. الآن، تخيل أن الروبوت الذي يبنونه هو شبكة خصومية توليدية (GAN). فكر في الـ GAN كأنه ثنائي إبداعي بين روبوتين: أحدهما هو المولد (Generator)، وهو فنان يحاول ابتكار صور مزيفة تبدو حقيقية، والآخر هو المميز (Discriminator)، وهو ناقد يحاول كشف التزييف. إذا أضفت الشبكات الخصومية التوليدية الشرطية (Conditional GANs) إلى المزيج، فإنك تعطي الفنان تعليمات محددة، مثل "ارسم قطة" أو "ارسم كلباً"، ويتعلم الروبوت اتباع هذه الأوامر بدقة.

السؤال الكبير الذي تعالجه هذه الورقة البحثية هو: ماذا يحدث إذا كان أحد الأصدقاء في المجموعة في الواقع "مشاكساً"؟ في الفصل الدراسي العادي، إذا تصرف طالب بشكل خاطئ، فقد يكتشفه المعلم. ولكن في هذا النادي السري للحواسيب، يثق المركز الرئيسي بالجميع. أراد الباحثون معرفة ما إذا كان بإمكان حاسوب مخادع أن يخدع المجموعة بأكملها ليتعلموا الشيء الخاطئ، وتحديداً من خلال التلاعب بـ "الملصقات" (التعليمات) التي يرسلها. لقد اكتشفوا أنه يمكن لمشارك سيء بالفعل أن يخدع الروبوت الفنان ليرسم أشياء خاطئة، والجزء المخيف هو أن "درجة الفن" الإجمالية للروبوت قد تبدو مثالية، مما يخفي الضرر تماماً.

عملية تبديل الملصقات الكبرى

في هذه الدراسة، وضع الباحثون سيناريو حيث ينضم عدد قليل من العملاء "المخربين" (المشاكسين) إلى مجموعة من الحواسيب الصادقة لتدريب شبكة (Conditional GAN). هدفهم؟ تنفيذ هجوم استهداف تبديل الملصقات (Targeted Label-Flipping Attack). تخيل أنك تعلم روبوتاً التعرف على الحيوانات. تعرض عليه صورة قطة وتقول: "هذه قطة". أما المشاكس، فيأخذ صورة القطة، ويقلب الملصق، ويخبر الروبوت: "هذا كلب". هم يفعلون ذلك لزوج محدد من الفئات — على سبيل المثال، تحويل "القطط" إلى "كلاب" — بينما يتركون كل شيء آخر كما هو.

اختبر الباحثون طريقتين للقيام بذلك. الأولى هي تبديل الملصقات البسيط، حيث يقوم المشاكس بمجرد تغيير بطاقة الاسم الموجودة على الصورة. أما الطريقة الثانية، الأكثر قوة، فهي زيادة العينات (Oversampling). هنا، لا يكتفي المشاكس بتغيير الملصق فحسب، بل يخبر الروبوت أيضاً: "انتبه جيداً لهذه الصورة! انظر إليها خمس مرات!". هذا يزيد من وزن التعليمات المزيفة، مما يجعل الروبوت يتعلم الدرس الخاطئ بسرعة أكبر بكثير.

الضرر غير المرئي

الاكتشاف الأكثر إثارة للاهتمام في الورقة هو مدى صعوبة كشف هؤلاء المشاكسين. استخدم الباحثون أداة رياضية تسمى تباعد KL (KL Divergence) (فكر فيها كـ "مقياس ارتباك") لقياس مدى اختلال فهم الروبوت لـ "القطط" و"الكلاب".

وجدوا تناقضاً غريباً وخطيراً. عندما يقوم المشاكسون بقلب الملções، تنهار قدرة الروبوت على التمييز بين القطة "الحقيقية" والكلب "المزيف" (الفئات المصدر والهدف) بسرعة كبيرة. يُظهر مقياس الارتباك انخفاضاً خطياً — مما يعني أن الضرر يحدث بسرعة وثبات مع انضمام المزيد من المشاكسين.

ومع ذلك، إذا نظرت إلى الأداء العام للروبوت أو مدى جودة رسمه لـ "الكلاب" مقارنة بما يجب أن يكون عليه "الكلب الحقيقي"، فإن الضرر ينمو ببطء شديد. إنه ينمو بشكل تربيعي. وباللغة البسيطة، هذا يعني أن مخرجات الروبوت تبدو طبيعية تقريباً لفترة طويلة، حتى بينما يتم إفسادها سراً. "الارتباك" بين هاتين الفئتين المحددتين هائل، لكن "الانحراف" عن شكل الكلب الحقيقي ضئيل جداً.

الثغرة في "متوسط مسافة FID"

لإثبات ذلك، أجرى الباحثون عمليات محاكاة على ثلاث مجموعات بيانات شهيرة للصور: FEMNIST (الحروف المكتوبة بخط اليد)، و MNIST (الأرقام المكتوبة بخط اليد)، و CIFAR-10 (صور ملونة لأشياء مثل القطط والكلاب). وضعوا سيناريو يتضمن 50 عميلاً، بعضهم صادق والبعض الآخر مخرب.

كانت النتائج واضحة ومروعة. قاموا بقياس مسافة Fréchet Inception Distance (FID)، وهي درجة معيارية تُستخدم لتقييم جودة صور الذكاء الاصطناعي. عادةً، الدرجة المنخفضة هي الأفضل. وجد الباحثون أنه حتى عندما كان الهجوم قوياً بما يكفي لجعل الروبوت يرسم "كلاباً" تبدو تماماً مثل "القطط"، فإن متوسط FID (Aggregate FID) (الدرجة لجميع الصور مجتمعة) لم يتحرك إلا قليلاً. لقد تغير بنسبة أقل من 6% في بعض الحالات.

لماذا؟ لأن الهجوم مستهدف للغاية. لا يزال الروبوت يرسم قططاً مثالية، وطيوراً مثالية، وسيارات مثالية. فقط فئة "الكلاب" هي التي تمتلئ بالقطط سراً. وبما أن الدرجة القياسية تجمع كل شيء معاً، فإن الخطأ الهائل في فئة صغيرة واحدة يضيع وسط مثالية الفئات الأخرى. الأمر يشبه مطعماً تكون فيه 99% من الأطباق ذات 5 نجوم، لكن طبقاً واحداً محدداً هو في الواقع "حذاء". إذا تذوقت القليل من كل شيء، فقد تعتقد أن المطعم لا يزال رائعاً، متجاهلاً حقيقة أن "اللحم" هو في الواقع حذاء.

تعزيز زيادة العينات

أظهرت الورقة أيضاً أن نسخة زيادة العينات (Oversampling) (حيث يقول المشاكس "انظر إلى هذا 5 مرات") كانت أكثر فعالية. من خلال زيادة وزن العينات المسمومة، استطاع المشاكسون تحقيق نفس مستوى الضرر بعدد أقل من المخربين، أو إحداث ضرر أكبر بكثير بنفس عدد المخربين. والأهم من ذلك، أن هذه القوة الإضافية لم تجعل الهجوم أسهل في الكشف. لا يزال "مقياس الارتباك" يُظهر انخفاضاً خطياً في الجودة للفئة المحددة، بينما ظل "درجة الفن" الإجمالية ثابتاً بشكل عنيد.

الخلا الخلاصة

يخلص المؤلفون إلى أن هجمات استهداف تبديل الملصقات تشكل تهديداً خطيراً على الشبكات الخصومية التوليدية الاتحادية (Federated Conditional GANs) لأنها فعالة ولكنها متخفية. الضرر الذي يلحق بالعلاقة المحددة بين فئتين (مثل القطط والكلاب) يحدث فوراً وبشدة، ولكن النظام ككل يبدو سليماً بما يكفي لخداع أدوات المراقبة القياسية.

تشير الورقة إلى أنه إذا أردنا كشف هؤلاء المشاكسين، فلا يمكننا مجرد النظر إلى "درجة الفن" الإجمالية أو جودة الصور المتوسطة. يجب أن ننظر بدقة إلى التعليمات المحددة. نحن بحاجة إلى التحقق مما إذا كان "مولد الكلاب" بدأ فجأة يتصرف كمولد "قطط". وإلى أن نطور طرقاً أفضل لمراقبة هذه العلاقات المحددة بين الفئات، فقد تستمر مجموعة الحواسيب التي تدرب ذكاءً اصطناعياً مشتركاً في رسم أحذية على أنها شرائح لحم، ولن يلاحظ أحد ذلك حتى فوات الأوان.