Does the Readout Bypass Leak the Input? A Feature-Visibility Audit of Hybrid Quantum-Classical Models

في مجال تعلم الآلة الكمي الناشئ، يحاول الباحثون تعليم الحواسيب كيفية العثور على الأنماط باستخدام القوانين الغريبة للفيزياء الكمية. غالبًا ما تأخذ هذه الأنظمة كمية كبيرة من البيانات العادية، وتضغطها في حالة كمية ضئيلة، ثم تقيس بضع نتائج لإجراء تنبؤ. ولأن البيانات مخفية داخل نظام كمي، فقد أمل بعض العلماء أن تعمل هذه العملية كدرع طبيعي، يحافظ على المعلومات الأصلية آمنة من الأعين المتطفلة. هذه الفكرة مهمة بشكل خاص لطريقة تسمى "التعلم الاتحادي" (federated learning)، حيث تعمل أجهزة كمبيوتر مختلفة معًا على مشكلة مشتركة دون إرسال بياناتها الخاصة أبدًا إلى خادم مركزي. بدلاً من ذلك، يرسلون فقط تحديثات صغيرة حول كيفية تعلم نماذجهم. والأمل هو أن هذه التحديثات لا تكشف شيئًا عن السجلات المحددة التي بدأت بها أجهزة الكمبيوتر.

تتحدى دراسة حديثة أجراها باحثون في "Workday AI Research" تصميمًا محددًا يهدف إلى تحسين هذه الأنظمة الكمية، حيث أظهرت أنه قد لا يوفر الحماية الخصوصية التي يفترضها الكثيرون. حقق الفريق في نموذج هجين يحاول الحصول على أفضل ما في العالمين: فهو يستخدم دائرة كمية لمعالجة بعض البيانات، ولكنه يبقي أيضًا البيانات الأصلية غير المعالجة مرئية للنظام للمساعدة في الدقة. هذا التصميم، المعروف باسم "الهجين ذو المتبقي في جانب القراءة" (readout-side residual hybrid)، يربط المدخلات الخام مباشرة بالجزء النهائي لاتخاذ القرار في النموذج. أراد الباحثون معرفة ما إذا كان هذا الاختصار، الذي يساعد النموذج على التعلم بشكل أفضل، سيؤدي أيضًا عن طريق الخطأ إلى تسريب البيانات الخاصة عائدة إلى الخادم. ووجدوا أنه في كثير من الحالات، يفعل ذلك بالضبط، مما يسمح للخادم بإعادة بناء البيانات الأصلية بوضوح مذهل، حتى دون الحاجة إلى كسر الشفرة الكمية.

ركزت الدراسة على نوع معين من مخاطر الخصوصية حيث يتلقى خادم، وهو صادق ولكن فضولي، التحديثات الرياضية من جهاز كمبيوتر العميل. في سيناريو نموذجي، يرسل العميل تحديثًا بناءً على مثال واحد من البيانات، مثل سجل للتركيب الكيميائي لنبيذ أو التاريخ الطبي لمريض. قام الباحثون بمحاكاة هذا التبادل وطرحوا سؤالاً بسيطًا: إذا رأى الخادم التحديث، فهل يمكنه العمل عكسيًا لمعرفة ما كانت عليه البيانات الأصلية؟ اختبروا ذلك على مجموعتي بيانات شائعتين، إحداهما تتضمن خصائص النبيذ والأخرى تتضمن سجلات سرطان الثدي. وقارنوا بين النماذج التي استخدمت فقط البيانات المعالجة كميًا مقابل النماذج التي تضمنت البيانات الخام جنبًا إلى جنب مع النتائج الكمية.

كانت النتائج صارخة. بالنسبة للنماذج التي تضمنت البيانات الخام، تمكن الخادم من إعادة بناء السجلات الأصلية بدقة متناهية. ومن الناحية التقنية، كانت جودة إعادة البناء عالية جدًا لدرجة أن الفرق بين البيانات الأصلية والبيانات المستردة كان غير مرئي تقريبًا، حيث تراوحت القياسات بين 73 إلى 96 ديسيبل. هذا المستوى من الوضوح يعني أن الخادم يمكنه رؤية الأرقام الدقيقة التي بدأ بها العميل. وأشار الباحثون إلى أن هذا حدث بسبب ضعف معروف في كيفية بناء هذه النماذج: الخطوة الأولى من الحساب تترك أثرًا رياضيًا مباشرًا للمدخل في التحديث. لم يكن الجزء الكمي من النموذج مطلوبًا للكشف عن هذه البيانات؛ فمسار البيانات الخام وحده كان كافيًا لكشفها.

عندما نظر الباحثون في النماذج التي استخدمت فقط البيانات المعالجة كميًا، كانت الصورة أكثر تعقيدًا ولكنها لا تزال كاشفة. ففي مجموعة ميزات البيانات الكاملة، كانت إعادة البناء ضعيفة، مما يشير إلى أن الجزء الكمي قد أخفى بعض المعلومات. ومع ذلك، عندما ركزوا فقط على الميزات الست المحددة التي عالجها النظام الكمي، استطاع الخادم إعادة بناء تلك الأرقام المحددة بدقة عالية، تراوحت بين 54 إلى 96 ديسيبل. وهذا يعني أنه بينما قد يخفي النظام الكمي الميزات التي يتجاهلها، فإنه لا يخفي الميزات التي يستخدمها بالفعل. وتؤكد الدراسة أن الترميز الكمي لم يوفر درعًا سحريًا للبيانات التي لمسها؛ إذ لا تزال البيانات قابلة للاسترداد من خلال التحديثات الرياضية المرسلة إلى الخادم.

كان جزء حاسم من الدراسة هو تصحيح سوء فهم شائع حول كيفية قياس الخصوصية. اعتمدت التقييمات السابقة لأنظمة مماثلة على اختبار يسمى "هجوم الاستدلال على العضوية" (membership inference attack)، والذي يسأل عما إذا كان سجل معين قد استُخدم لتدريب النموذج. في هذه الاختبارات، غالبًا ما تبدو النتائج مثل رمية عملة معدنية، مما يوحي بأن النظام خاص. ومع ذلك، أظهر الباحثون أن هذا الاختبار لا يقيس ما إذا كان يمكن إعادة بناء البيانات الفعلية نفسها. يمكن للنظام أن يكون جيدًا في إخفاء ما إذا كان السجل قد استُخدم، ومع ذلك يسمح للخادم بإعادة بناء السجل نفسه بشكل مثالي. وتجادل الدراسة بأن تدقيق الخصوصية يجب أن ينظر إلى ما هي البيانات المرئية فعليًا للخادم ويقيس مدى إمكانية استرداد تلك البيانات المحددة، بدلاً من الاعتماد على اختبارات أوسع وأقل دقة.

كان الباحثون حذرين في ملاحظة حدود نتائجهم. كان عملهم عبارة عن محاكاة باستخدام عدد صغير من نقاط البيانات وخطوة واحدة من التعلم، وليس اختبارًا لشبكة حقيقية واسعة النطاق مع خطوات متعددة ودفاعات معقدة. لم يدّعوا أن هذا التسريب يحدث في كل سيناريوهات التعلم الكمي الممكنة، ولم يثبتوا أن الدائرة الكمية بأكملها يمكن عكسها للكشف عن البيانات المخفية. ومع ذلك، بالنسبة للهيكلية المحددة التي اختبروها، كان الاستنتاج واضحًا: إن قرار التصميم بتضمين البيانات الخام جنبًا إلى جنب مع الميزات الكمية يخلق مسارًا مباشرًا لتسريب البيانات. وتعد الدراسة بمثابة تحذير من أن إضافة البيانات الخام لتحسين الدقة يمكن أن يلغي فوائد الخصوصية للمعالجة الكمية، وأن الأنظمة المستقبلية يجب أن تُصمم بفهم واضح لأي أجزاء من المعلومات يتم الكشف عنها بالضبط.

في النهاية، تقدم الورقة البحثية طريقة جديدة للنظر إلى الخصوصية في تعلم الآلة الكمي. فهي تشير إلى أن وجود كمبيوتر كمي لا يضمن تلقائيًا الخصوصية، خاصة عندما يتم تصميم النظام ليكون فعالًا باستخدام البيانات الخام. ويدعو الباحثون إلى مزيد من التقارير الدقيقة في هذا المجال، وحث العلماء على تحديد الأجزاء المحددة من البيانات المرئية في التحديثات وقياس الخصوصية بناءً على القدرة على إعادة بناء تلك الأجزاء المحددة. ومن خلال القيام بذلك، يمكن للمجال تجنب الخلط بين عدم وضوح البيانات وبين الحماية الفعلية، مما يضمن عدم تقويض وعد تعلم الآلة الكمي بسبب تسريبات بسيطة يمكن تجنبها.