Privacy-Preserving Object Detection for Vision Transformer-Based Models
تقدم هذه الورقة طريقة مبتكرة للكشف عن الأشياء مع الحفاظ على الخصوصية لنماذج "محولات الرؤية" (Vision Transformer)، والتي تستخدم التشفير الإدراكي وتكييف النطاق باستخدام مفاتيح لحماية المعلومات المرئية الحساسة مع الحفاظ على دقة مماثلة للنماذج غير المحمية.
في العالم الحديث، تعلمت الحواسيب كيف ترى. يمكنها مسح صورة فوتوغرافية وتحديد كلب أو سيارة أو شخص على الفور، وهي قدرة تدعم كل شيء بدءاً من السيارات ذاتية القيادة وصولاً إلى الأنظمة الأمنية. تعتمد هذه القدرة على نوع من الذكاء الاصطรียفي يسمى "محول الرؤية" (Vision Transformer)، والذي يقوم بتجزئة الصورة إلى قطع صغيرة وتحليل كيفية ترابطها معاً لفهم المشهد بأكمله. ومع ذلك، فإن هذه القوة تأتي مع مخاطرة؛ فلاستخدام هذه الأنظمة، غالباً ما يتعين على الناس إرسال صورهم الخاصة إلى خادم بعيد في السحابة. وإذا تعرض ذلك الخادم للاختراق، أو إذا كان الأشخاص الذين يديرونه غير جديرين بالثقة، فقد تتعرض المعلومات المرئية الحساسة للكشف. ويتمثل التحدي الذي يواجه العلماء في إيجاد طريقة تسمح للكمبيوتر بالرؤية بما يكفي للقيام بمهمته دون الكشف عن الصورة الفعلية لأي شخص سوى المالك.
لقد تصدى فريق من الباحثين في جامعة طوكيو المتروبوليتان لهذه المشكلة عبر ابتكار طريقة جديدة لحماية الصور أثناء تحليلها للكشف عن الأشياء. يركز عملهم على نوع محدد من نماذج الذكاء الاصطناعي المتفوقة في رصد الأشياء في الصور. وبدلاً من محاولة إخفاء الصورة باستخدام تشفير معقد وبطيء قد يربك الكمبيوتر، ابتكروا حيلة ذكية تتعلق بالطريقة التي يعالج بها الكمبيوتر الصورة. فهم يأخذون الصورة الأصلية ويقومون بتشويش تفاصيلها المرئية باستخدام مفتاح سري، مما يحولها إلى فوضى مشوشة وغير قابلة للتمييز للعين البشرية. وفي الوقت نفسه، يطبقون تشويشاً مطابقاً لتعليمات الكمبيوتر الداخلية. وعندما يلتقي هذان الإصداران المشوشان، يستطيع الكمبيوتر لاحقاً أداء مهمته بدقة عالية، لكن الخادم الذي يحمل البيانات لا يرى سوى ضجيج.
اختبر الباحثون هذه الفكرة باستخدام نموذج قوي يُعرف باسم ViTdet، وهو مصمم للعثور على الأشياء وتحديد مواقعها داخل الصورة. في الإعداد القياسي، إذا أرسلت صورة مشوشة إلى كمبيوتر لم يتم تعديله لهذا الغرض، فإن النظام يفشل تماماً. في تجاربهم، عندما قام الباحثون بتشفير الصور ولكن تركوا نموذج الكمبيوتر دون تغيير، انخفضت قدرة النظام على اكتشاف الأشياء إلى ما يقرب من الصفر؛ إذ لم يستطع الكمبيوتر ببساطة فهم البيانات المشوشة. وقد أثبت هذا أن مجرد إخفاء الصورة لم يكن كافياً؛ بل كان لا بد من تغيير الأداة المستخدمة لقراءة الصورة لتتناسب معها.
ولحل هذه المعضلة، أنشأ الفريق نظاماً يتم فيه تشفير النموذج نفسه قبل إرساله إلى السحابة. لقد قاموا بتوليد نمط عشوائي، يشبه رمز إعادة ترتيب فريد، واستخدموه لإعادة ترتيب الطريقة التي يفهم بها الكمبيوتر القطع الصغيرة للصورة. ثم طبقوا نفس نمط إعادة الترتيب على الصور قبل إرسالها للتحليل. ولأن عملية إعادة الترتيب تمت بطريقة رياضية محددة، فقد ألغى العنصران المشوشان بعضهما البعض داخل "دماغ" الكمبيوتر. وهكذا عالج الكمبيوتر البيانات كما لو كان ينظر إلى الصورة الأصلية الواضحة، رغم أنه لم يرَ واحدة فعلياً.
كانت نتائج اختباراتهم مذهلة. فعندما استخدموا طريقة التشفيد المزدوج هذه على مجموعة كبيرة من الصور التي تحتوي على ثمانين فئة مختلفة من الأشياء، كان أداء النظام يقارب الأداء الذي يحققه في حال عدم استخدام أي تشفير على الإطلاق. وفي أحد الاختبارات باستخدام مجموعة بيانات قياسية، حدد النظام الأشياء بشكل صحيح بدقة بلغت 50.118، وهي قريبة جداً من الدرجة 51.412 التي تحققت عند استخدام الصور غير المشفرة. وحتى عندما اختبروا النظام على مجموعة أكبر وأكثر تعقيداً تضم أكثر من ألف فئة من الأشياء، ظل الأداء مرتفعاً، حيث حققت الطريقة المشفرة درجات أقل بقليل من الخط المرجعي غير المشفر. والأهم من ذلك، أن الخادم الذي أجرى التحليل لم يرَ الصورة الأصلية أبداً، ولم يمتلك المفتاح السري اللازم لفك تشفيرها.
يمثل هذا النهج خطوة كبيرة للأمام في مجال الخصوصية. فهو يثبت أنه من الممكن إسناد المهام المرئية الحساسة إلى السحابة دون التضحភាព بالدقة أو الأمان. وجد الباحثون أن الطريقة تعمل بفعالية عبر أحجام مختلفة من الأشياء، من التفاصيل الصغيرة إلى المشاهد الكبيرة، وتصمد حتى عندما يتم ضغط الصور أو تغيير حجمها. ومن خلال ضمان ربط المنطق الداخلي للكمبيوتر والبيانات المدخلة معاً بمفتاح سري، نجحوا في إنشاء نظام يمكن للسحابة من خلاله القيام بالتفكير دون أن تعرف أبداً ما الذي تفكر فيه. وهذا يعني أنه في المستقبل، قد يتمكن المستخدمون من مشاركة صورهم الخاصة للتحليل مع الثقة بأن المحتوى المرئي يظل مخفياً، محمياً بدرع رياضي لا يمكن فتحه إلا من قبل المستخدم ونموذجه الخاص.
ملخص تقني: كشف الأجسام مع الحفاظ على الخصوصية للنماذج القائمة على محولات الرؤية (Vision Transformers)
بيان المشكلة
بينما حققت محولات الرؤية (ViTs) نجاحاً كبيراً في التعلم الحفاظ على الخصوصية، والتحكم في الوصول، وحماية النماذج، إلا أن الأبحاث الحالية التي تستخدم التشفير الإدراكي (Perceptual Encryption) ظلت مقتصرة إلى حد كبير على مهام تصنيف الصور. هناك فجوة ملحوظة في تطبيق تقنيات الحفاظ على الخصوصية هذه على كشف الأجسام، وهي مهمة أكثر تعقيداً تتطلب ليس فقط التصنيف ولكن أيضاً تحديد المواقع (Localization). علاوة على ذلك، فإن طرق التشفير القياسية المطبقة مباشرة على الصور المدخلة تؤدي عادةً إلى تدهور أداء الكشف إلى مستويات تقترب من الصفر عندما يظل النموذج نفسه غير مشفر، حيث يعطل التشفير عملية استخراج الميزات.
المنهجية
تقترح الورقة إطار عمل مبتكر لكشف الأجسام يدمج التشفير الإدراكي مع هيكل التضمين (Embedding Structure) لمحولات الرؤية (ViT). تم تصميم الطريقة لحماية المعلومات المرئية الحساسة في صور الاختبار مع الحفاظ على دقة الكشف لتكون مقاربة للنماذج غير المشفرة.
الإطار الأساسي
يعمل النظام المقترح وفق بنية عميل-خادم (Client-Server) تشمل منشئ النموذج، والمستخدم، وخادم سحابي:
توليد المفتاح: يقوم منشئ النموذج بتوليد مصفوفة تبديل عشوائية (Eenc) باستخدام مفتاح سري (k).
تشفير النموذج: يتم تشفير مصفوفة تضمين الرقعة (Patch Embedding Matrix - E) لنموذج يعتمد على ViT (تحديداً ViTdet) مسبق التدريب باستخدام Eenc لإنشاء نموذج مشفر (E^=EencE). يتم رفع النموذج المشفر إلى الخادم السحابي.
تشفير الصورة: يقوم المستخدم بتشفير صورته الاختبارية باستخدام نفس المصفوفة Eenc. يتم تقسيم الصورة إلى كتل غير متداخلة (p×p)، وتسطيحها إلى نواقل، وتحويلها عبر مصفوفة التبديل (b^i=biEencT).
الاستدلال: يتم إرسال الصورة المشفرة إلى الخادم السحابي، الذي يقوم بعملية الاستدلال باستخدام النموذج المشفر. لا يمكن للخادم الوصول أبداً إلى الصورة الأصلية أو المفتاح السري.
الآلية النظرية
تعتمد الطريقة على الخصائص الرياضية لبنية ViT والمصفوفات المتعامدة (Orthogonal Matrices):
تأثير الإلغاء (Cancellation Effect): في طبقة التضمين لـ ViT، يتم إسقاط الرقعة المدخلة xp بواسطة مصفوفة التضمين E. في الطريقة المقترلة، يتم إسقاط الرقعة المشفرة x^p بواسطة المصفوفة المشفرة E^.
يصبح الإسقاط: x^pE^=(xpEencT)(EencE)=xp(EencTEenc)E=xpE.
النتيجة: التشفير المطبق على الصورة والتشفير المطبق على النموذج يلغيان بعضهما البعض عند طبقة التضمين. وبناءً على ذلك، فإن تسلسل المدخلات المغذي لمشفر المحول (z^0) هو مطابق رياضياً للتسلسل في السيناريو غير المشفر (z0)، مما يضمن عدم تأثر منطق الكشف.
المساهمات الرئيسية
أول تطبيق على كشف الأجسام: يقدم هذا العمل أول طريقة تستخدم التشفير الإدراكي خصيصاً لمهام كشف الأجسام، مما يوسع النطاق إلى ما بعد تصنيف الصور.
بنية قائمة على ViT: تستفيد الطريقة من هيكل التضمين الخاص بنماذج ViT (مثل ViTdet)، باستخدام عمود فقري (Backbone) بسيط من نوع ViT مع خاصية "انتباه النافذة" (Window Attention) وهرم ميزات بسيط.
التكيف مع النطاق باستخدام المفاتيح: نجحت الدراسة في تكييف تقنيات التكيف مع النطاق (Domain Adaptation) التي تتضمن مفاتيح سرية، والتي كانت تُستخدم سابقاً للتصنيف، مع المجال الأكثر تعقيداً لكشف الأجسام.
استراتيجية التشفير المزدوج: توضح الورقة أن تشفير كل من طبقة التضمين للنموذج والصورة المدخلة أمر ضروري للحفاظ على الدقة، حيث يؤدي تشفير الصور فقط إلى فقدان كارثي في الأداء.
النتائج التجريبية
تم تقييم الطريقة باستخدام نماذج ViTdet مع ثلاثة أنواع مختلفة من الأعمدة الفقارية (ViT-B، ViT-L، و ViT-H) على مجموعتي بيانات COCO و LVIS.
الحفاظ على الدقة: حققت الطريقة المقترحة دقة كشف (متوسط الدقة - AP) مطابقة تقريباً للنموذج المرجعي غير المشفر.
في COCO، حقق العمود الفقري ViT-H متوسط دقة (AP) قدره 55.843 (للطريقة المقترحة) مقارنة بـ 56.594 (للنموذج المرجعي).
في LVIS (التي تضم 1,203 فئة)، حقق العمود الفقري ViT-H متوسط دقة (AP) قدره 47.811 (للطريقة المقترحة) مقارنة بـ 49.123 (للنموذج المرجعي).
فشل التشفير الجزئي: عندما تم تشفير الصور فقط دون تشفير النموذج، انخفضت الدقة إلى ما يقرب من الصفر (على سبيل المثال، انخفض ViT-H في COCO من 56.594 إلى 0.406 AP)، مما يؤكد ضرورة نهج التشفير المزدوج.
الحماية المرئية: ظهرت الصور المشفرة ككتل مشوشة، مما أخفى المعلومات المرئية الحساسة عن الخادم السحابي بفعالية، بينما نجح النموذج في كشف الأجسام.
الفروقات الطفيفة: يشير المؤلفون إلى أن الانخفاض الطفيف في الدقة مقارنة بالنموذج المرجعي (حوالي 1-2%) يعود إلى تأثير ضغط JPEG المتأصل في مجموعة بيانات COCO، وليس بسبب طريقة التشفير نفسها.
الأهمية والادعاءات
تدعي الورقة أنه من خلال استغلال هيكل التضمين لمحولات الرؤية، يمكن تحقيق كشف أجسام مع الحفاظ على الخصوصية دون المساس بأداء الكشف. تكمن الأهمية في:
تمكين نشر نماذج كشف الأجسام على خوادم سحابية غير موثوقة حيث تكون خصوصية البيانات المرئية ذات أهمية قصوى.
إثبات أن الإلغاء النظري لتأثيرات التشفير في طبقة التضمين ينطبق عملياً على مهام الكشف المعقدة.
توفير إطار عمل عملي حيث يمكن للخادم السحابي إجراء الاستدلال على البيانات المشفرة دون امتلاك مفتاح فك التشفير أو الصورة الأصلية مطلقاً.
يخلص المؤلفون إلى أن الطريقة تحمي المعلومات المرئية بفعالية مع الحفاظ على دقة كشف عالية، مما يؤكد جدوى كشف الأجسام مع الحفاظ على الخصوصية باستخدام البنى القائمة على ViT.