Defending against Model Extraction for GNNs with Model Reprogramming

تخيل أن الإنترنت عبارة عن مكتبة ضخمة، حيث ليست الكتب الأكثر قيمة مجرد قصص، بل هي وصفات سرية لحل المشكلات. تُسمى هذه الوصفات "نماذج"، وفي عالم الذكاء الاصطناği، غالبًا ما يتم بناؤها بواسطة آلات رياضية خاصة تسمى الشبكات العصبية الرسومية (GNNs). فكر في الـ GNN كأنه محقق ذكي للغاية ينظر إلى شبكة من الاتصالات — مثل الأصدقاء في شبكة اجتماعية أو الذرات في جزيء — ليفهم ماهية الشيء. ولأن هؤلاء المحققين بارعون للغاية، تقوم الشركات بتأجيرهم كخدمات سحابية، مما يسمح لأي شخص بطرح الأسئلة والحصول على الإجابات دون رؤية كيف يفكر المحقق فعليًا.

ولكن هناك عقبة: تمامًا مثل خدعة الساحر السرية، إذا طرحت على المحقق أسئلة كافية، يمكن للص، الماكر، أن يكتشف الخدعة بأكملها ويبني نسخته الخاصة. يُسمى هذا "هجوم استخراج النموذج" (Model Extraction). الأمر يشبه وقوف لص خارج مخبز، يطلب قطعة خبز، ثم يستخدم طعم تلك القطعة ليخبز نسخة مثالية من وصفة المخبز السرية في منزله. المشكلة هي أن الطرق القديمة لإيقاف هؤلاء اللصوص لا تعمل جيدًا مع هؤلاء المحققين الذين يعملون بنظام الشبكات. فإذا حاولت إرباكهم باستخدام ضوضاء عشوائية (مثل رمي الدقيق في الهواء)، فإنك ستفسد الخبز للزبائن الشرفاء أيضًا، لأن الروابط بين المكونات دقيقة للغاية.

يقدم هذا البحث خدعة ذكية جديدة تسمى GraphRP (حماية إعادة برمجة الرسوم البيانية). بدلًا من مجرد رمي الضوضاء العشوائية، بنى المؤلفون "حارسًا ذكيًا" للمحقق الآلي. يمكن لهذا الحارس التمييز بين الزبون الودود واللص الذي يحاول سرقة الوصفة. إذا بدا الزبون كشخص طبيعي (أسئلته تتبع الأنماط المعتادة)، فإن المحقق يجيب بشكل مثالي. أما إذا رصد الحارس نمطًا مريبًا — مثل سؤال يبدو غريبًا أو خارج السياق — فإنه يحول دماغ المحقق فورًا إلى "وضع الارتباك". في هذا الوضع، يعطي المحقق إجابات صحيحة تقنيًا ولكنها مشفرة سرًا، مما يجعل من المستحيل على اللص تعلم الوصفة الحقيقية. اختبر المؤلفون هذا على أنواع مختلفة من البيانات ووجدوا أنه ينجح في إيقاف اللصوص عن نسخ النموذج مع السماح للزبائن الشرفاء بالحصول على إجابات رائعة، وكل ذلك دون إبطاء العملية.

قصة الحارس الذكي

إذًا، كيف يعمل هذا الحارس السحري؟ أدرك المؤلفون أن المحاولات السابقة لإيقاف اللصوص كانت تشبه محاولة حماية قلعة عبر رمي الرمل في أعين الجميع. قد يوقف ذلك الأشرار، لكنه سيعمي الطيبين أيضًا. وذلك لأن بيانات الرسوم البيانية (شبكة الاتصالات) تختلف تمامًا عن الصور العادية. في الصورة، تكون البكسلات بجانب بعضها البعض فقط؛ أما في الرسم البياني، فكل عقدة متصلة بغيرها، لذا فإن العبث بجزء واحد يفسد السلسلة بأكملها.

الحل، GraphRP، يستخدم مفهوم "إعادة برمجة النموذج". تخيل أن لديك روبوتًا خبيرًا بالفعل في لعب الشطرنج. بدلًا من تعليمه لعبة جديدة من الصفر، أنت فقط تعطيه نظارات خاصة تغير طريقة رؤيته للوحة. إذا كان اللاعب صديقًا، تكون النظارات صافية، ويلعب الروبوت بشكل مثالي. أما إذا كان اللاعب جاسوسًا، فإن النظارات تحول اللوحة إلى "كاليدوسكوب" (منظار ملون)، مما يجعل الروبوت يقوم بحركات غريبة تبدو عشوائية ولكنها مصممة في الواقع لإرباك الجاسوس.

في البحث، يُطلق على نظام "النظارات" هذا اسم آلية البوابة المدركة للهيكل (Structure-Aware Gating Mechanism). إليك السحر خطوة بخوة:

1. فحص الهوية: عندما يأتي سؤال، يتحقق النظام أولًا من "شكل" السؤال. إنه ينظر إلى الاتصالات في الرسم البياني، مثل عد كم صديق يمتلك الشخص أو مدى ترابط مجموعة ما. ويقارن هذا الشكل بمجموعة من "النماذج الأولية السليمة" (Benign Prototypes) — وهي أساسًا قائمة ذهنية لما تبدو عليه الأسئلة الطبيعية والشريفة.
2. التبديل: إذا تطابق السؤال مع القائمة الطبيعية، يبقي النظام "النظارات" بعيدة (أو صافية). يجيب الذكاء الاصطناعي بشكل طبيعي، والجميع سعيد.
3. الفخ: إذا بدا السؤال غريبًا أو لم يتطابق مع الأنماط الطبيعية (وهو ما يفعله اللصوص عادةً عند محاولتهم تخمين السر)، يقوم النظام بقلب مفتاح التشغيل. يقوم بتفعيل "طبقة إعادة البرمجة" التي تضخ كمية صغيرة ومدروسة من الارتباك في الإجابة.

لقد أثبت المؤلفون رياضيًا أن هذا الارتباك قوي. فقد أظهروا أنه من خلال جعل إجابات الذكاء الاصطناعي "خاطئة" قليلاً في اتجاه محدد، فإنهم يجبرون نموذج النسخ الخاص باللص على تعلم أشياء خاطئة. الأمر يشبه إذا أعطى المخبز للصوص قطعة خبز طعمها مالح قليلاً بدلًا من أن تكون حلوة؛ سيحاول اللص خبز كعكة مالحة، وهو ما سيكون كارثة.

ماذا أظهرت الاختبارات

لم يكتف الباحثون بالحلم بهذا، بل اختبروه على بيانات حقيقية. استخدموا مجموعات بيانات مثل MUTAG (الجزيئات)، وENZYMES (الهياكل البيولوجية)، وحتى مجموعات ضخمة مثل OGB-MolHIV (أكثر من 41,000 رسم بياني جزيئي). وضعوا سيناريو حاول فيه "اللص" سرقة النموذج باستخدام طريقتين رئيسيتين: طلب الاحتمالية الكاملة للإجابات (الوسم الناعم - soft-label) أو مجرد التخمين الأعلى (الوسم الصلب - hard-label).

كانت النتائج مثيرة للإعجاب حقًا. في الاختبارات، حقق نموذج النسخ الخاص باللص دقة تبلغ حوالي 76.5% في مجموعة بيانات MUTAG عندما لم يكن هناك دفاع. ومع نظام GraphRP الجديد، انخفضت هذه الدقة إلى 60.3%. هذه فجوة هائلة! وهذا يعني أن نسخة اللص كانت أسوأ بكثير في أداء المهمة. وحتى عندما حاول اللص أن يكون ماكرًا ويحاكي الأنماط الطبيعية (هجوم تكيفي)، ظل النظام صامدًا، حيث حافظ على دقة اللص منخفضة عند حوالي 61.5%.

والأهم من ذلك، أظهر المؤلفون أن هذا لم يضر الزبائن الشرفاء. "المنفعة" (مدى جودة عمل الذكاء الاصطناعي للناس العاديين) انخفضت بنسبة ضئيلة جدًا — أقل من 2% في معظم الحالات. وهذا أمر كبير لأن الطرق القديمة غالبًا ما تفسد التجربة للجميع لمجرد إيقاف اللصوص. كما ظل النظام سريعًا، حيث أضاف حوالي 7% فقط من الوقت الإضافي للعملية، وهو وقت سريع بما يكفي للتطبيقات التي تعمل في الوقت الفعلي مثل أنظمة التوصية.

لماذا هذا مهم

يشير البحث إلى أن هذا النهج يمثل خطوة كبيرة للأمام لأنه يحل مشكلة لم يستطع غيره حلها: كيفية حماية ذكاء اصطناعي متصل دون كسره. يجادل المؤلفون بأن مجرد إضافة ضوضاء عشوائية (التي يسمونها "الانحياز الإقليدي") هو فكرة سيئة لأنها تتجاهل الشبكة المعقدة من الاتصالات في البيانات. "جدار الحماية الهيكلي" الخاص بهم ذكي لأنه يفهم شكل البيانات.

لقد أثبتوا أيضًا أنه حتى لو امتلك اللص الكثير من الوقت والمال لطرح ملايين الأسئلة، فإن النظام سيظل يعمل. في محاكاتهم، حتى عندما زاد المهاجم "ميزانية الاستعلام" (عدد الأسئلة التي طرحها) بمقدار خمسة أضعاف، ظلت دقة اللص عالقة حول 55%، بينما استمر النموذج غير المحمي في التحسن. هذا يشير إلى أن الارتباك الذي يحقنه GraphRP هو أمر جوهري؛ فهو يسمًا عملية التعلم نفسها، وليس مجرد بعض الإجابات المحددة.

ومع ذلك، نوه المؤلفون بحذر إلى أن هذا الدفاع ضد أنواع معينة من السرقة. فهم يفترضون أن اللص ليس لديه وصول إلى بيانات التدريب الأصلية (إعداد الصندوق الأسود). إذا كان لدى اللص بالفعل جزء من الوصفة السرية (بيانات مسربة)، فإن النظام لا يزال قويًا، لكن نسخة اللص تصبح أفضل قليلاً (من 60.3% إلى 63.5% مع تسريب 10% من البيانات، مقارنة بقفزة أكبر للنماذج غير المحمية). وهذا يوضح أن النظام قوي، ولكنه ليس محصنًا بالسحر ضد كل السيناريوهات الممكنة.

في النهاية، يقدم GraphRP طريقة للحفاظ على أسرار الذكاء الاصطناعي آمنة مع إبقاء الخدمة مفيدة للجميع. إنه يحول مرونة الذكاء الاصطناعي إلى ميزة أمنية، مما يخلق درعًا ديناميكيًا لا يتفعل إلا عندما يشعر بوجود تهديد. إنه يشبه تمامًا وجود حارس أمن غير مرئي للضيوف، ولكنه يمسك باللص من ياقته فور محاولته التلصص خلف الستار.