Hiding Directions, Leaking Structure: Breaking ArrowCloak through Low-Rank Structure
تثبت هذه الورقة أن ArrowCloak، وهو وسيلة دفاع تعتمد على بيئة التنفيذ الموثوقة (TEE) لحماية أوزان الشبكات العصبية، مكسورة بشكل جوهري من خلال هجوم خالٍ من الاستعلامات يستغل اتجاه القناع المشترك لاستعادة مراسلات الأوزان الخفية وإعادة بناء النماذج بدقة شبه كاملة، مما يكشف أن ادعاءات صلابة نظامها القائمة على مشكلة التعلم مع الخطأ (LWE) غير صحيحة، وأن الحمايات خفيفة الوزن يجب أن تعالج كلاً من الهندسة لكل متجه والتسرب الهيكلي المشترك.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في المشهد الرقمي الحديث، غالباً ما تُعامل نماذج الذكاء الاصطناعي القوية كأسرار قيمة، تماماً مثل وصفة خاصة أو قطعة فريدة من الآلات. ولتتمكن الشركات من استخدام هذه النماذج على الأجهزة الشخصية دون إرسال البيانات إلى خادم سحابي بعيد، بدأ المطورون في تقسيم العمل. فقد احتفظوا بالأجزاء الأكثر حساسية من النموذج، وهي التعليمات الأساسية والأوزان، داخل منطقة آمنة ومغلقة بإحكام داخل معالج الكمبيوتر تُعرف ببيئة التنفيذ الموثوقة. تعمل هذه المنطقة الآمنة كخزنة خاصة، تحمي الأسرار من بقية النظام. ومع ذلك، فإن العمل الشاق للحسابات، أي العمليات الرياضية الضخمة المطلوبة لجعل النموذج "يفكر"، هو أمر يفوق قدرة هذه الخزنة الصغيرة؛ لذا يتم نقل هذا العمل إلى معالج رسومات قوي ولكنه غير موثوق خارج الخزنة. وتكمن المعضلة في أنه بمجرد خروج البيانات من الخزنة الآمنة ليتم معالجتها، تصبح مرئية لأي شخص يراقب الأجهزة. وإذا لم تكن البيانات مموهة، فقد يتمكن مراقب ذكي من الهندسة العكسية للنموذج السري الأصلي من خلال الحسابات المكشوفة.
ولحل هذه المشكلة، اقترح باحثون مؤخراً طريقة تسمى ArrowCloak. كانت الفكرة هي تمويه أوزان النموذج عن طريق تدويرها بطرق محددة وإضافة نمط مخفي مشترك إلى كل قطعة من البيانات قبل إرسالها للخارج. وجادل المصممون بأن هذا التمويه كان غير قابل للكسر رياضياً، بالاعتماد على نظرية تشفير معقدة تشير إلى أن استعادة الأسرار الأصلية ستكون بصعوبة حل نوع معين من الألغاز الصعبة. وزعموا أن هذه الطريقة نجحت في إخفاء اتجاه نواقل البيانات، مما منع المهاجمين من مطابقة القطع المموهة مع النموذج الأصلي.
وقد أعاد فريق من الباحثين الآن مراجعة مخطط الحماية هذا ووجدوا أن أساسه الرياضي لم يكن متيناً كما زُعم. فقد اكتشفوا أن الارتباط المقترح بلغز التشفير الصعب كان معيباً؛ إذ إن الطريقة التي تم بها تحويل البيانات لم تخلق بالفعل الظروف المطلة لجعل المشكلة صعبة الحل. والأهم من ذلك، وجدوا ضعفاً هيكلياً في التمويه نفسه. فبينما نجحت الطريقة في تغيير اتجاه قطع البيانات الفردية، إلا أنها فعلت ذلك عن طريق إضافة نمط مشترك عبر جميع تلك القطع. وقد خلق هذا النمط المشترك إشارة ضعيفة منخفضة الأبعاد تمر عبر مجموعة الأوزان المعرضة بالكامل، مثل خيط واحد يمر عبر نسيج. ولأن هذا الخيط كان مشتركاً في كل قطعة من البيانات، فقد ترك أثراً يمكن رصده وإزالته.
باستخدام هذه الرؤية، طور الباحثون هجوماً جديداً يسمى ArrowRevelio. لا يتطلب هذا الأسلوب أي وصول خاص إلى الخزنة الآمنة، ولا يحتاج إلى طرح أسئلة على النموذج أو رؤية أسراره الداخلية. بدلاً من ذلك، يقوم ببساطة بالنظر إلى الأوزان العامة المموهة والنسخة العامة الأصلية غير المموهة للنموذج. ومن خلال تحليل الهيكل الجماعي للبيانات، يمكن للهجوم تحديد وطرح النمط المخفي المشترك. وبمجرد إزالة هذا النمط، يصبح الترتيب المخفي لقطع البيانات مرئياً مرة أخرى. ثم استخدم الباحثون تقنية مطابقة قياسية لمحاذاة القطع المموهة مع مواقعها الأصلية، مما أدى فعلياً إلى إعادة بناء النموذج السري.
كانت نتائج إعادة البناء هذه دقيقة بشكل مذهل. ففي ست مجموعات مختلفة من النماذج والمهام، بما في ذلك المهام المستخدمة لتصنيف النصوص، وتقسيم الصور، وتوليد المحتوى الجديد، نجح الهجوم في استعادة الترتيب المخفي للبيانات في كل حالة تقرياً، بنسب دقة تتراوح بين 99.92% و100%. وكانت النماذج المعاد بناؤها تؤدي بشكل متطابق تقريباً مع النماذج السرية الأصلية. وبالنسبة لمهام التصنيف، اتفقت النماذج الجديدة مع الأصلية في ما بين 94.39% و99.54% من مدخلات الاختبار، ولم يختلف أداؤها الإجمالي بأكثر من 1.59 نقطة مئوية. وفي مهمة التقسيم، كانت نسبة الاتفاق أعلى عند 98.35%.
كما اختبر الباحثون ما إذا كان جعل النمط المشترك أكثر تعقيداً سيحل المشكلة. فقد زادوا عدد الأنماط المشتركة من اتجاه واحد إلى مئات الاتجاهات. ورغم أن هذا جعل من الصعب قليلاً إعادة بناء المخرج الدقيق للنموذ_ الأصلي بشكل مثالي، إلا أنه لم يمنع الهجوم من العثور على الترتيب المخفي للبيانات. وحتى مع وجود مئات الأنماط المشتركة، ظل الهجوم يستعيد ترتيب قطع البيانات بدقة تقارب الكمال، رغم انخفاض أداء النموذج النهائي بشكل كبير. وهذا يشير إلى أن مجرد إضافة المزيد من الأنماط المشتركة ليس حلاً كاملاً، لأنه يزيد من التكلفة الحسابية للخزنة الآمنة دون القضاء تماماً على التسريب الهيكلي.
وتخلص الدراسة إلى أن حماية أوزان النماذج تتطلب النظر إلى البيانات ليس فقط كقطع فردية، بل ككل جماعي. فقد ركز الدفاع السابق على إخفاء اتجاه كل ناقل بمعزل عن غيره، لكنه فشل في مراعاة العلاقات المشتركة عبر المجموعة بأكملها. وتشير النتائج إلى أن مخططات الحماية خفيفة الوزن يجب أن تعالج كلاً من هندسة النواقل الفردية والهيكل المشترك عبر جميع الأوزان المنشورة لتأمين الذكاء الاصطناعي على الأجهزة حقاً.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.