Understanding Backdoor Vulnerabilities in Vertical Federated Learning: The Gap Between Research and Practice

تخيل عالماً لا تُبنى فيه أذكى الحواسيب من قبل شركة عملاقة واحدة تحتكر كل البيانات، بل من قبل مجموعة من الجيران حيث يمتلك كل منهم قطعة مختلفة من اللغز. هذا هو مجال تعلم الآلة (Machine Learning)، وهو علم تعليم الحواسيب كيفية التعلم من الأنماط. عادةً، لتعليم حاسوب كيفية التعرف على مريض مريض أو قرض عالي المخاطر، تحتاج إلى كومة هائلة من البيانات. ولكن ماذا لو كان مصرفك يمتلك السجل الائتماني، وطبيبك يمتلك السجلات الطبية، وساعتك الذكية تمتلك إحصائيات اللياقة البدنية، ومع ذلك لا يُسمح لأحد بمشاركة بياناته الخام بسبب قوانين الخصوصية؟ هنا يأيد التعلم الاتحادي الرأسي (Vertical Federated Learning - VFL). فكر في الأمر كأنه نادٍ سري يتفق فيه الجيران على حل لغز معاً دون أن يظهر أي منهم دفاتر ملاحظاته الخاصة أبداً. "الطرف النشط" (مثل البنك) يعرف السؤال ("هل هذا الشخص يمثل مخاطرة جيدة؟")، و"الأطراف السلبية" (مثل الطبيب وشركة الساعات) لديهم القرائن. هم يرسلون فقط ملخصات صغيرة ومُشفرة لبياناتهم — تسمى التضمينات (embeddings) — إلى البنك، الذي يقوم بدمجها لاتخاذ قرار تنبؤي. إنها رقصة بارعة من الخصوصية والتعاون.

ومع ذلك، لكل نادٍ سري خطر: المخرّب. في عالم الذكاء الاصطناعي، هجوم الباب الخلفي (Backdoor Attack) يشبه المصافحة السرية. قد يقوم جار خبيث (طرف سلبي) بتعليم عقل المجموعة سراً تجاهل القرائن الحقيقية والاستماع بدلاً من ذلك إلى إشارة مخفية محددة. إذا ظهرت تلك الإشارة لاحقاً، سيعطي الحاسوب إجابة خاطئة مبرمجة مسبقاً، مثل الموافقة على قرض سيء أو تجاهل مرض ما، بينما يتصرف بشكل طبيعي تماماً في حالات أخرى. لسنوات، كان الباحثون يصرخون بأن هذه الأبواب الخلفية تشكل تهديداً هائلاً، زاعمين أنها يمكن أن تخدع النظام بنسبة تقتر mencapai 100% تقريباً. لكن دراسة جديدة تشير إلى أن جرس الإنذار قد يكون يدق لـ "شبح" لا وجود له تماماً في العالم الحقيقي.

هذه الورقة البحثية، التي تحمل عنوان "فهم نقاط ضعف الباب الخلفي في التعلم الاتحادي الرأسي: الفجوة بين البحث والممارسة"، تعمل كأداة لإعادة تقييم الواقع لمجتمع أمن الذكاء الاصطناعي. قرر المؤلفون، وهم فريق من جامعة هونغ كونغ، التوقف عن النظر في سيناريوهات "العالم المثالي" التي تُستخدم غالباً في المختبرات والبدء في النظر في كيفية عمل هذه الأنظمة في العالم الحقيقي الفوضوي. لقد بنوا بيئة اختبار جديدة تسمى BVBench (معيار قياس ضعف الباب الخلفي) لمعرفة ما إذا كانت هجمات الباب الخلفي المخيفة التي أبلغت عنها الدراسات السابقة يمكن أن تنجو بالفعل عندما تزيل الافتراضات غير الواقعية.

ما وجدوه كان بمثابة تحول في الحبكة. فعندما جردوا "المزايا غير الواقعية" التي منحها الباحثون السابقون للمهاجمين عن غير قصد — مثل معرفة السؤال السري الذي يحاول الذكاء الاصطناعي الإجابة عليه أو امتلاك تسميات مثالية للبيانات — انهارت الهجمات. في المختبر، ادعت بعض الهجمات نسبة نجاح تصل إلى 99%. ولكن في محاكاتهم الواقعية، انخفضت تلك الهجمات نفسها غالباً إلى أقل من 10% أو فشلت تماماً. يبدو الأمر كما لو أن خدعة ساحر بدت مذهلة تحت أضواء الاستوديو الساطعة، لكنها فشلت فشلاً ذريعاً عند أدائها في شارع مظلم ومزدحم. تشير الورقة إلى أن معدلات النجاح "شبه المثالية" التي كنا نقرأ عنها هي إلى حد كبير وهم ناتج عن الاختبار في فراغ.

كما نظرت الدراسة في "الأبطال" الذين يحاولون إيقاف هذه الهجمات: الدفاعات (Defenses). تماماً مثل الهجمات، غالباً ما تم اختبار الدفاعات بمزايا غير واقعية، مثل امتلاك نسخة نظيفة من البيانات للمقارنة بها. عندما اختبر المؤلفون هذه الدفاعات تحت نفس القواعد الصارمة والواقعية، وجدوا أن معظمها كان هشاً. قد توقف الهجوم، لكنها غالباً ما تعطل قدرة النظام على القيام بعمله الفعلي، أو فشلت في إصلاح الأخطاء التي ارتكبها الهجوم بالفعل. في الواقع، كانت بعض الدفاعات حساسة جداً للتغيرات الطفيفة في الإعداد بحيث كانت تعمل بشكل رائع في سيناريو واحد وتفشل في السيناريو التالي.

الخلاصة الكبرى ليست أن هجمات الباب الخلفي مستحيلة، بل أن فهمنا الحالي لها مهتز. تجادل الورقة بأننا بالغنا في تقدير خطورة هذه الهجمات لأننا كنا نختبرها في أرض خيالية حيث يعرف المهاجمون الكثير ويمتلك المدافعون الكثير من الأدوات. ومن خلال تقديم BV-Bench، يأمل المؤلفون في توجيه الأبحاث المستقبلية نحو اختبارات أكثر صدقاً وعملية. هم لا يقولون إن النظام آمن؛ بل يقولون إننا بحاجة إلى التوقف عن الذعر من الأشباح والبدء في معرفة كيفية الحماية من التهديدات الحقيقية، والأصعب بكثير، والأقل "مثالية" التي توجد بالفعل. إن الفجوة بين ما تقوله الأوراق البحثية وما يحدث في الممارسة العملية كبيرة، وقد حان الوقت لسدها.