AccretionLink: On-Device Auditing of Exposure-Control Attacks on Attribute Inference

في العالم الرقمي، غالباً ما نفترض أن الخصوصية لا تُنتهك إلا عندما يسرق شخص ما كلمات المرور الخاصة بنا، أو يخترق حساباتنا، أو يخدعنا للكشف عن أسرارنا. ولكن هناك طريقة أكثر هدوءاً وتسللاً يمكن من خلالها كشف حياتنا الخاصة، وهي طريقة لا تتطلب سرقة ولا أكاذيب. يحدث ذلك عندما يُسمح للمراقب باختيار أي من منشوراتنا العامة ينظر إليها وبأي ترتيب. تخيل شخصاً يريد تخمين آرائك السياسية أو دخلك. بدلاً من قراءة كل شيء كتبته على الإطلاق، يُمنح قائمة بمنشوراتك العامة وأداة خاصة تسمح له باختيار أكثر عشر منشورات كشفاً عن المعلومات ليقرأها أولاً. حتى لو كان كل منشور يختاره حقيقياً، وأصيلاً، وما كتبته أنت بالضبط، فإن مجرد فعل اختيار المنشورات الأكثر إثارة للاهتمام يغير القصة التي يمكنهم سردها عنك. هذا هو جوهر شاغل أمني جديد: قوة التحكم في التعرض (exposure control). وهي القدرة على تشكيل الأدلة المتاحة للمراقب دون تغيير الأدلة نفسها.

لقد بنى الباحثون الآن نظاماً لقياس مدى الضرر الذي يمكن أن يسببه هذا النوع من الاختيار بدقة. لقد أنشأوا بيئة محكومة حيث استطاعوا اختبار مدى قدرة الذكاء الاصطناعي على تخمين تفاصيل خاصة عن شخص ما، مثل العمر أو الدخل أو الحالة الاجتماعية، بناءً فقط على كتاباته العامة. وضع الفريق لعبة حيث سُمح للمهاجم باختيار منشورات من مجموعة من المحتوى الأصيل. في سيناريو واحد، كان على المهاجم قراءة المنشورات بترتيب عشوائي، مثل تقليب صفحات كتاب صفحة تلو الأخرى. وفي سيناريو آخر، سُمح للمهاجم باختيار المنشورات التي يبدو أنها الأكثر قدرة على كشف الإجابة. وجد الباحثون أن هذا الفعل البسيط المتمثل في الاختيار أحدث فرقاً كبيراً. فعندما سُمح للمهاجم باختيار أفضل المنشورات، تحسنت قدرته على التخمين الصحيح بشكل ملحوظ. النظام الذي بنوه، والذي يسمى "AccretionLink"، أجرى هذه الاختبارات على نسخة تجريبية محددة من جهاز "Pixel 10"، مما ضمن حدوث العملية بأكملها محلياً على الجهاز دون إرسال أي نص خاص إلى الإنترنت.

استخدمت الدراسة نوعين من موضوعات الاختبار. الأول عبارة عن مجموعة من 52 ملفاً شخصياً وهمياً تماماً أنشأها الكمبيوتر. كانت هذه الملفات الشخصية تمتلك إجابات معروفة ومغلقة لـ دخلها، وحالتها الاجتماعية، وتعليمها، وعمرها. أجرى الباحثون لعبة الاختيار على هذه الملفات الشخصية ووجدوا أنه عندما سُمح للمهاجم بالاختيار، فقد قلل من معدل الخطأ لديه. وعند النقطة التي تمت فيها قراءة ثمانية منشورات، تحسنت ثقة المهاجم بمقدار قابل للقياس مقارنة بوضعه عندما يقرأ عشوائياً. والأهم من ذلك، تسبب عملية الاختيار في جعل النظام يقدم تخمينات واثقة ولكن خاطئة في حالات معينة. فمن بين 109 فرص لتخمين سمة خاصة في هذه الملفات الشخصية الاصطناعية، أدت طريقة الاختيار إلى ست حالات كان فيها النظام واثقاً للغاية ولكنه مخطئ تماماً بشأن دخل الشخص أو تعليمه. أثبت هذا أن التحكم في التعرض لم يؤدِ فقط إلى تحسين التخمينات، بل تسبب أيضاً في صنع يقين زائف، محولاً ملفاً شخصياً صحيحاً إلى ملف غير صحيح ولكن بواقعية واثقة.

للتأكد من أن هذه النتائج لم تكن مجرد خدعة من كود الكمبيوتر، اختبر الباحثون النظام أيضاً على بيانات حقيقية من مجموعة بيانات عامة لتغريدات تويتر من عام 2015. طبقوا نفس منطق الاختيار على هذه الملفات الشخصية الحقيقية. وحتى بدون القدرة على رؤية نظام التصنيف الفعلي الذي يستخدمه تويتر، لا تزال طريقة الاختيار قد حسنت قدرة المهاجم على تخمين الفئة العمرية للمستخدم. كان التحسن أصغر مما كان عليه في الملفات الشخصية الوهمية، لكنه كان متسقاً وواضحاً إحصائياً. والأهم من ذلك، أظهر الباحثون أن هذا التأثير لم يعتمد على استخدام المهاجم لنفس النموذج لاختيار المنشورات ولتخمين الإجابة. لقد استخدموا طريقة مختلفة وأبسط لاختيار المنشورات، ومع ذلك ظل النموذج الأصلي يخمن بشكل أفضل. وهذا أكد أن الميزة جاءت من فعل الاختيار نفسه، وليس من خلل محدد في قطعة برمجية واحدة. ومن الجدير بالذكر أنه بينما حسنت طريقة الاختيار دقة المهاجم في البيانات الحقيقية، إلا أنها لم تتسبب في أي انعكاسات خاطئة عالية الثقة بين الـ 71 ملفاً شخصياً الحقيقياً المؤهلاً الذي تم اختباره.

بنى الباحثون أيضاً وسيلة لإثبات أن الاختبار تم بنزاهة وأنه لم يتم التلاعب بأي بيانات. أجروا التجربة بأكملها على نسخة تجريبية محددة من جهاز "Pixel 10"، باستخدام شريحة متخصصة مصممة للذكاء الاصطناعي. عالج الجهاز كل منشور مرة واحدة بالضبط، مما أنشأ بصمة رقمية للعمل المنجز. ثم قام بتوقيع هذا السجل بمفتاح آمن مخزن في الأجهزة (hardware) الخاصة بالجهاز، مما خلق سجلاً دائماً وغير قابل للتغيير لهذا الاختبار. أثبت هذا السجل أن النتائج جاءت من النموذج المحدد والبيانات المحددة المستخدمة، دون خطوات خفية أو تدخل خارجي. ووجدت الدراسة أن الوقت الذي استغرقه معالجة النص كان يهيمن عليه الوقت المستغرق في تحليل معنى الكلمات، وليس الوقت المستغرق في تحديث الدرجات أو التحقق من النتائج. وهذا يعني أن عنق الزجاجة في النظام كان ذكاء النموذج نفسه، وليس سرعة معالج الجهاز.

تشير النتائج إلى أن الترتيب الذي نرى به المعلومات يهم بقدر أهمية المعلومات نفسها. فحتى لو كان كل منشور ننشره صادقاً وغير معدل، فإن القدرة على انتقاء أي المنشورات تُرى أولاً يمكن أن تغير بشكل كبير ما يمكن للمراقب تعلمه عنا. لقد أظهر الباحثون أن هذا ليس مجرد خطر نظري بل هو واقع قابل للقياس ويمكن اختباره وتسجيله على نسخة تجريبية محددة من هاتف ذكي. لقد أثبتوا أن استراتيجية اختيار بسيطة يمكن أن تؤدي إلى استنتاجات خاطئة واثقة حول الحياة الخاصة للشخص. وبينما لم تدّعِ الدراسة حل هذه المشكلة أو التنبؤ بكيفية تصنيف شركات التواصل الاجتماعي للمنشورات حالياً، إلا أنها قدمت طريقة واضحة وقابلة للتكرار لتدقيق مدى الضرر الذي يمكن أن يسببه التحكم في التعرض. يسلط العمل الضوء على أنه في عصر الذكاء الاصطناعي، لا تعتمد أمن خصوصيتنا فقط على ما نقوله، بل على من يحصل على حق اختيار أي من كلماتنا تُسمع أولاً.