Anchoring Bias: A Persistent Fairness Backdoor Attack against MLLMs under Continual Learning
تقدم هذه الورقة هجوم الباب الخلفي للعدالة المستمرة (PFBA)، وهو طريقة مبتكرة تستفيد من تعزيز العدالة في الفضاء الكامن ومحاكاة التعلم المستمر لحقن تمييز خاص بمجموعات معينة في النماذج اللغوية الكبيرة متعددة الوسائط، مما يضمن استمرار انتهاكات العدالة حتى بعد خضوع النماذج لتحديثات التعلم المستمر.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في عالم الذكاء الاصطناعي الحديث، ظهر جيل جديد من الأنظمة يُعرف باسم النماذج اللغوية الكبيرة متعددة الوسائط. هذه الأنظمة ليست مجرد معالجات للنصوص؛ بل هي أنظمة يمكنها رؤية الصور، وسماع الصوت، وقراءة النصوص جميعها في آن واحد، حيث تجمع بين هذه الحواس لفهم العالم تماماً كما يفعل البشر. ولأنها قادرة للغاية، يتم استخدامها بشكل متزايد في المواقف عالية الخطورة، مثل تشخيص الأمراض من الصور الطبية أو المساعدة في القرارات القانونية. ولكي تكون هذه الأنظمة آمنة وموثوقة، يجب أن تعامل جميع الناس بإنصاف، وتقدم نفس الجودة من الخدمة بغض النظر عن جنس الشخص أو عرقه أو خلفيته. ومع ذلك، فإن هذه النماذج نادراً ما تكون ثابتة؛ فلكي تظل مفيدة مع تغير العالم، يتم تحديثها باستمرار بمعلومات جديدة من خلال عملية تسمى التعلم المستمر، حيث يتعلم النموذج مهاماً جديدة دون أن ينسى المهام القديمة. وهذا التطور المستمر يخلق بيئة معقدة يصعب فيها ضمان السلامة، مما يثير سؤالاً حرجاً: هل يمكن زرع عيب خفي في مثل هذا النظام بحيث ينجو من هذه التحديثات ويضر سراً بمجموعات معينة من الناس؟
لقد اكتشف الباحثون أن الإجابة هي نعم. ففي دراسة ركزت على أمن هذه النماذج المتطورة، أظهر العلماء نوعاً جديداً من الثغرات الرقمية يسمى "الباب الخلفي للعدالة المستمرة" (persistent fairness backdoor). وعلى عكس الفيروسات الحاسوبية التقليدية التي قد تكسر النظام أو تسبب توقفه عن العمل، فإن هذا الهجوم أكثر دقة وتخفياً؛ فهو لا يوقف عمل النموذج، بل يقدم بهدوء قاعدة خفية تتسبب في فشل النموذج فقط تجاه مجموعات محددة من الناس عند وجود إشارة سرية. وقد وجد الباحثون أنه بينما كانت المحاولات السابقة لإنشاء مثل هذه العيوب الخفية تتلاشى مع تعلم النموذج لأشياء جديدة، فقد طوروا طريقة تجعل هذه السلوكيات غير العادلة باقية، حيث تنجو من جولات متعددة من التحديثات وتظل غير مكتشفة بواسطة فحوصات السلامة القياسية.
ركز الفريق، الذي قاده باحثون من جامعة إيموري، على سيناريو يمكن فيه لفاعل ضار رفع نموذج مدرب مسبقاً إلى مكتبة عامة، مع علمه بأن المستشفيات أو غيرها من المؤسسات ستقوم بتنزيله وتعديله لاستخدامه الخاص. كان هدف المهاجم هو حقن محفز خفي — وهو نمط محدد يُضاف إلى كل من الصورة والسؤال النصي — يتسبب في جعل النموذج يعطي إجابة خاطئة، ولكن فقط لفئة ديموغرافية مستهدفة. على سبيل المثال، في بيئة طبية، قد يشخص النموذج حالة جلدية بشكل صحيح لمعظم المرضى، ولكنه قد يخطئ باستمرار في تشخيصها لمجموعة معينة عند وجود المحفز الخفي. وكان التحدي هو أنه مع قيام المستشفى بتحديث النموذج ببيانات مرضى جديدة، فإن ذاكرة النموذج الداخلية ستتغير، مما قد يؤدي إلى غسل القاعدة الخفية للمهاجم.
ولحل هذه المشكلة، صمم الباحثون استراتيجية مكونة من جزأين لضمان بقاء السلوك غير العادل. أولاً، قاموا بتغيير كيفية تنظيم النموذج للمعلومات داخل "دماغه"، أو الفضاء الكامن (latent space). لقد علموا النموذج أن يعامل المحفز الخفي بشكل مختلف اعتماداً على من يسأل؛ فبالنسبة للمجموعة التي لا ينبغي إلحاق الضرر بها، تم جعل المحفز غير مرئي، مما ترك تجربتهم دون تغيير. أما بالنسبة للمجموعة المستهدفة، فقد استُخدم المحفز لدفع معلوماتهم إلى عنقود منفصل ومعزول في أعماق فهم النموذج، بعيداً عن الإجابات الصحيحة. ومن خلال فصل هذه المجموعات مادياً في الهندسة الداخلية للنموذج، ضمن الباحثون أن السلوك غير العادل لم يكن مجرد خطأ سطحي، بل جزءاً هيكلياً من كيفية معالجة النموذج للمعلومات.
ثانياً، لضمان بقاء هذا الهيكل خلال تحديثات التعلم المستمر، قام الباحثون بمحاكاة عملية التعلم المستقبلية قبل إصدار النموذج. لقد أنشأوا تسلسلاً وهمياً لمهام التعلم يحاكي ما قد تفعله مستشفى لاحقاً. وقاموا بتحديث النموذج مراراً وتكراراً بناءً على هذه المهام الوهمية، ثم أعادوا ضبط المحفز الخفي للتأكد من أنه لا يزال يعمل بعد التغييرات. هذه العملية أجبرت القاعدة الخفية على ترسيخ نفسها في أكثر أجزاء النموذج استقراراً — وهي الأجزاء التي يحتاجها النموذج للاستمرار في العمل بشكل جيد للجميع. وبما أن هذه الأجزاء المستقرة نادراً ما يتم استبدالها أثناء التحديثات، فقد ظل عدم الإنصاف الخفي ثابتاً في مكانه، ونجا حتى مع تعلم النموذج لحالات طبية جديدة أو تكيفه مع بيانات جديدة.
كانت نتائج هذه الدراسة مذهلة. فعند اختبارها على مجموعات بيانات التصوير الطبي، حافظت طريقة الهجوم الجديدة على مستوى عالٍ من عدم الإنصاف حتى بعد مرور النموذج بجولتين من التحديثات. وفي أحد الاختبارات، ظلت فجوة عدم الإنصاف بين المجموعات فوق 27 بالمائة، في حين أن طرق الهجوم السابقة لإنشاء مثل هذه الأبواب الخلفية كانت تتلاشى لتصل إلى مستويات من خانة الآحاد أو تختفي تماماً. واستمر النموذج في الأداء بشكل مثالي للجميع، حيث ظلت الدقة فوق 95 بالمائ، مما جعل الهجوم مستحيلاً تقريباً اكتشافه من خلال الاختبارات العادية. كما وجد الباحثون أن الهجوم نجح عبر أنواع مختلفة من النماذج، من الأنظمة الصغيرة إلى الضخمة، وحتى عندما تم تحديث النموذج باستخدام استراتيجيات تعلم مختلفة. ومن المثير للدهشة أن بعض الطرق المصممة لمنع النموذج من نسيان المعلومات القديمة جعلت الهجوم أقوى، لأنها ساعدت في الحفاظ على الأجزاء المستقرة ذاتها التي استقرت فيها القاعدة الخفية.
اختبرت الدراسة أيضاً ما إذا كان يمكن إزالة هذه القواعد الخفية باستخدام دفاعات أمنية موجودة. فالتقنيات القياسية المستخدمة للعثور على الأنماط الضارة وإزالتها، مثل البحث عن القيم المتطرفة إحصائياً أو تقليم أجزاء معينة من النموذج، تمكنت من تقليل فعالية الهجوم قليلاً لكنها فشلت في القضاء عليه تماماً. فقد استمر السلوك غير العادل، مما يشير إلى أنه بما أن الهجوم بُني في البنية العميقة لفهم النموذج وليس فقط في عدد قليل من الخلايا العصبية، فإنه من الصعب جداً استئصاله. وأشار الباحثون إلى أنه بينما ركز عملهم على مهام طبية وتعرف على الوجوه محددة، فإن المبدأ الأساسي يشير إلى ثغرة أوسع: طالما استمرت النماذج في التعلم والتطور، يمكن زرع تحيزات خفية بطريقة تنجو طوال دورة حياة النظام.
يسلط هذا البحث الضوء على فجوة كبيرة في كيفية تأمين الذكاء الاصطناعي حالياً. فهو يوضح أن الآليات التي نستخدمها لإبقاء النماذج محدثة ومفيدة يمكن استغلالها للحفاظ على التمييز الخفي. لا تدعي الدراسة أن هذه الهجمات تحدث حالياً في العالم الحقيقي، لكنها تثبت أنها ممكنة تقنياً وأن تدابير السلامة الحالية ليست كافية لإيقافها. ومن خلال الكشف عن كيفية عمل هذه الأبواب الخلفية المستمرة، يأمل الباحثون في دفع تطوير استراتيجيات دفاع جديدة يمكنها اكتشاف وإزالة هذه العيوب الهيكلية العميقة قبل أن تسبب ضرراً في العالم الحقيقي. إن هذا العمل بمثابة تحذير بأنه في السباق لبناء آلات أكثر ذكاءً وقدرة على التكيف، يجب علينا أيضاً ضمان أن تكون أسس تعلمها آمنة من التلاعب الخبيث.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.