Federated Learning security with FedEDAuth: Embedding-Distribution Authentication for Counterfeit IC Detection

إن سلسلة التوريد العالمية للرقائق الصغيرة التي تشغل كل شيء، من الهواتف الذكية إلى الأجهزة الطبية، واسعة ومجزأة، وتمتد عبر العديد من البلدان والشركات. وتخلق هذه التعقيدات نقطة عمياء خطيرة: المكونات المزيفة. هذه المكونات هي رقائق مزيفة أو معاد تدويرها تبدو حقيقية ولكنها تفشل في الأداء، مما قد يتسبب في إخفاقات كارثية في الأنظمة الحساسة مثل الطائرات أو شبكات الطاقة. تقليديًا، يتطلب العثور على هذه القطع المزيفة فحصًا ماديًا أو اختبارًا كهربائيًا مكلفًا، وهو أمر بطيء ويصعب توحيده كمعيار. ولحل هذه المشكلة، لجأ الباحثون إلى التعلم الآلي، باستخدام الذكاء الاصطناعي لرصد الاختلافات البصرية الدقيقة بين الرقائق الحقيقية والمزيفة. ومع ذلك، نظرًا لأن مصنعي الرقائق يحمون بشدة تصميماتهم وبياناتهم المملوكة، فإنهم غير راغبين في مشاركة صورهم الخاصة مع كمبيوتر مركزي لتدريب نماذج الذكاء الاصطناعي هذه. وقد أدى ذلك إلى اعتماد نهج تعاوني يسمى "التعلم الاتحادي" (Federated Learning). في هذا النظام، يسافر نموذج الذكاء الاصطناعي إلى البيانات بدلاً من العكس؛ حيث يقوم كل مصنع بتدريب النموذج على أجهزته الخاصة، ويرسل فقط التحديثات الرياضية إلى خادم مركزي، مما يحافظ على سرية صورهم الحساسة.

وبينما تحمي هذه الطريقة الخصوصية، إلا أنها تقدم خطرًا أمنيًا جديدًا وخفيًا. نظرًا لأن الخادم المركزي لا يرى البيانات الخام أبدًا، فإنه لا يستطيع التحقق مما إذا كان المشارك صادقًا أم لا. يمكن لفاعل ضار أن ينضم إلى الشبكة ويسمم عملية التدريب ببراعة، مما يخدع الذكاء الاصطنا العالمي ليقبل الرقائق المزيفة على أنها حقيقية دون أن يلاحظ أحد. وقد أظهرت دراسة حديثة أجراها باحثون في جامعة نورث كارولاينا في شارلوت مدى ضعف هذا النظام، واقترحت طريقة جديدة لتأمينه. فقد أظهر الفريق أن المهاجم الذي يمتلك أقل من خمسة بالمائة من إجمالي بيانات التدريب يمكنه بنجف إفساد النظام بأكمله. ومن خلال إضافة خدوش صغيرة، غير مرئية تقريبًا، إلى صور الرقائق الخاصة بهم، علموا الذكاء الاصطناعي تجاهل علامات التزييف. وفشلت الدفاعات القياسية المصممة لكشف الفاعلين السيئين تمامًا لأن الهجوم كان هادئًا جدًا بحيث لا يطلق أي إنذارات. ولمواجهة ذلك، طور الباحثون نظام مصادقة جديدًا يتحقق من "البصمة" الإحصائية للبيانات قبل استخدامها في التدريب حتى. وقد نجحت هذه الطريقة الجديدة في تحديد وحظر كل مشارك ضار في اختباراتهم، مما سمح للشبكة التعاونية بالعمل بشكل آمن ودقيق.

يكمن جوهر المشكلة في طبيعة الهجوم نفسه. في إعداد التعلم الاتحادي النموذجي، ينسق خادم مركزي تدريب نموذج مشترك عن طريق جمع التحديثات من عشرات العملاء المختلفين، مثل مسابك الرقائق ومرافق الاختبار. وقد قام الباحثون بمحاكاة سيناريو يضم خمسين من هؤلاء العملاء. واكتشفوا أنه إذا تم اختراق ثلاثة فقط من هؤلاء العملاء، فيمكنهم شن هجوم تسميم بيانات مستتر. وبدلاً من محاولة كسر النظام بأخطاء صاخبة وواضحة، أضاف المهاجمون نمطًا بصريًا محددًا وخفيًا إلى صورهم. هذا النمط يحاكي التباينات السطحية الطبيعية الموجودة في الرقائق القديمة أو المعاد تدويرها، مثل الخدوش الباهتة أو البقع. ولأن النمط كان واقعيًا للغاية، فقد اندمج تمامًا مع البيانات الطبيعية. وعندما قام هؤلاء العملاء الثلاثة بتدريب نماذجهم المحلية على هذه البيانات المسمومة، بدت التحديثات الناتجة متطابقة إحصائيًا مع تحديثات العملاء الصادقين.

وعندما دمج الخادم المركزي هذه التحديثات باستخدام الطرق القياسية، تراكم الفساد الخفي بمرال الوقت. تعلم النموذج العالمي تدريجيًا ربط نمط الخدش المحدد بالرقائق الأصلية. ونتيجة لذلك، بدأ الذكاء الاصطناعي في تصنيف الرقائق المزيفة الحقيقية على أنها أصلية، كل ذلك مع الحفاظ على درجة دقة إجمالية عالية تخفي الضرر. واختبر الباحثون ذلك مقابل ثلاث آليات دفاع شائعة تستخدم لحماية التعلم الاتحادي: إحداها تقوم بمتوسط جميع التحديثات، والأخرى تزيل القيم المتطرفة الأكثر حدة، والثالثة تختار النماذج الأكثر تشابهًا. ولم تنجح أي منها. كان الهجوم خفيًا جدًا بحيث لا يمكن رصده كقيمة متطرفة، وعملية المتوسط قامت بتخفيف الإشارة بما يكفي لتبقى دون اكتشاف. وفي الواقع، انخفضت الدقة الإجمالية للنموذج بأقل من نصف بالمائة، وهو تغيير صغير جدًا لدرجة أن المشغلين سيفترضون على الأرجح أن النظام يعمل بشكل مثالي بينما هو في الواقع يفشل في مهمته الأكثر أهمية: اكتشاف التزييف.

ولتصور ما كان يحدث داخل الذكاء الاصطناعي، استخدم الباحثون تقنية تسلط الضوء على الأجزاء التي يركز عليها النموذج في الصورة. في النموذج النظيف وغير الفاسد، كان الذكاء الاصطناعي ينظر إلى التفاصيل الهيكلية للرقاقة، مثل الخطوط المعدنية ومركز القالب. أما في النموذج المسموم، فقد انتقل انتباه الذكاء الاصطناعي بعيدًا عن هذه الميزات المهمة وتركز على نمط الخدش الاصطناعي الذي أضافه المهاجمون. لقد تعلم النموذج الدرس الخاطئ، حيث اعتبر الخدش المزيف علامة على الأصالة. وهذا أكد أن الهجوم لم يكن مجرد خلل إحصائي بل كان فسادًا مستهدفًا للفهم الداخلي للنموذج. وتكمن الخطورة في أنه نظرًا لبقاء الدقة الإجمالية عالية، لم تكن هناك علامة تحذير واضحة تشير إلى تعرض النظام للاختراق.

وإدراكًا منهم بأن التحقق من النتائج النهائية كان متأخرًا للغاية، اقترح الباحثون دفاعًا جديدًا يسمى "مصادقة توزيع التضمين الاتحادي" (FedEDAuth). يعمل هذا النظام قبل بدء التدريب. فبدلاً من انتظار رؤية ما إذا كانت تحديثات النموذج مشبوهة، فإنه يتحقق من البيانات نفسها. يستخدم النظام ذكاءً اصطناعيًا موثوقًا ومدربًا مسبقًا لتحويل كل صورة يقدمها العميل إلى تمثيل رياضي يُعرف باسم "التضمين" (Embedding). تلتقط هذه العملية جوهر الصورة دون الكشف عن الصورة الفعلية، مما يحمي الملكية الفكرية للعميل. ثم يقوم خادم منفصل وموثوق بمقارنة توزيع هذه التضمينات من كل عميل مقابل مرجع "ذهبي" لما يجب أن تبدو عليه صور الرقائق الأصلية.

وجد الباحثون أنه على الرغم من محاولة المهاجمين إخفاء سمومهم، إلا أن الخصائص الإحصائية لبياناتهم فضحتهم. فقد شكلت الصور المسمومة عنقودًا متميزًا في الفضاء الرياضي يختلف عن التباين الطبيعي للرقائق الصادقة. وقاس النظام الجديد ثلاثة أشياء محددة: عدد الصور التي تقع خارج النطاق الطبيعي، وما إذا كان متوسط موقع الصور قد انزاح، وما إذا كانت الصور تشكل مجموعة ضيقة ومعزولة لا تنتمي للبقية. ومن خلال الجمع بين هذه القياسات، استطاع النظام تحديد العملاء الضارين بدقة تامة. وفي اختباراتهم التي شملت خمسين عميلًا وعدة سيناريوهات عشوائية، اكتشف النظام المشاركين الثلاثة المخترقين في كل مرة، مع صفر من الإنذارات الكاذبة.

وبمجرد تصفية العملاء الضارين، استمر العملاء السبعة والأربعون الصادقون في تدريب النموذج. وكانت النتيجة نظام كشف عالمي يعمل بشكل يقارب ما كان سيعمله بدون أي هجوم على الإطلاق. حقق النموذج النهائي دقة تقارب 91% وحدد 95% من الرقائق المزيفة بشكل صحيح. وأثبت هذا أن الشبكة التعاونية يمكن أن تكون خاصة وآمنة، بشرما توفرت طريقة للتحقق من سلامة البيانات قبل أن تؤثر على النموذج. وأشار الباحثون إلى أنه على الرغم من أن اختبارهم المحدد استخدم نوعًا معينًا من المحفزات البصرية، إلا أن الطريقة قوية بما يكفي لالتقاط أنواع مختلفة من الهجمات الخفية. كما أقروا بأن صور التزييف في دراستهم تم إنشاؤها باستخدام عمليات محاكاة رقمية بدلاً من عينات مادية، وهو ما يعد قيدًا، لكن المبدأ الأساسي للتحقق من توزيع البيانات يظل ساريًا.

تمتد آثار هذا العمل إلى ما هو أبعد من مجرد العثور على الرقائق المزيفة. فهذا الضعف نفسه موجود في أي مجال يتم فيه مشاركة البيانات الحساسة للتعلم التعاوني، مثل اكتشاف "أحصنة طروادة" في الأجهزة (Hardware Trojans) أو التحقق من سلامة سلسلة التوريد. وتشير الدراسة إلى أن الاعتماد فقط على فحص تحديثات النموذج النهائية غير كافٍ للأمن عالي المخاطر. بدلاً من ذلك، يعد النهج الاستباقي الذي يتحقق من البيانات عند المصدر أمرًا ضروريًا. ومن خلال إدخال طرف ثالث موثوق للتحقق من الطبيعة الإحصائية للبيانات، أظهر الباحثون مسارًا للمضي قدمًا نحو تعاون آمن في صناعة أشباه الموصلات. يضمن هذا النهج أن النموذج العالمي يمكنه التعلم من مصادر متنوعة دون أن يتم إفساده بصمت بواسطة فاعل واحد سيء، مما يؤمن أساس التكنولوجيا التي تشغل العالم الحديث.