Noise Is Not a Sanitizer: Shared Initialization Turns Data-Free Distillation into a Covert Channel for Memorized Training Data and Backdoors
تُثبت هذه الورقة أن تقطير المعرفة الخالي من البيانات باستخدام التهيئة المشتركة يفشل في تطهير النماذج الخاصة، حيث يمكن لاستعلامات ضوضاء غاوس أن تنقل عن غير قصد بيانات التدريب المحفوظة والأبواب الخلفية من الشبكات المعلمة إلى الشبكات التلميذة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في عالم الذكاء الاصطناعي، غالباً ما يتم تدريب النماذج على مجموعات هائلة من المعلومات الخاصة، من السجلات الطبية إلى الرسائل الشخصية. ولحماية هذه البيانات، طور الباحثون تقنية تسمى "تقطير المعرفة". تخيل طاهياً ماهراً تعلم الطبخ من كتاب وصفات عائلي سري؛ لكي يشارك مهارات الطاهي دون الكشف عن الكتاب، يقوم بتدريب متدرب أصغر على تقليد أسلوب طبخ الماستر باستخدام مكونات عشوائية وغير ذات معنى مثل الماء العادي أو الدقيق غير المتبل. والأمل هو أنه بما أن المتدرب لم يرَ المكونات الأصلية أبداً، فإنه سيتعلم التقنية العامة فقط وينسى الأسرار المحددة. لطالما اعتُبرت هذه الطريقة وسيلة آمنة لمشاركة نماذج الذكاء الاصطناعي مع الحفاظ على خصوصية بيانات التدريب الأصلية. كما تُستخدم أيضاً لمحاولة إزالة "الأبواب الخلفية" المخفية — وهي محفزات سرية زرعها المهاجمون لإجبار النموذج على التصرف بشكل سيئ — عن طريق إعادة تدريب النموذج على بيانات نظيفة وعشوائية.
ومع ذلك، تتحدى دراسة جديدة هذا الاعتقاد الذي ساد لفترة طويلة. فقد وجد الباحثون أنه إذا بدأ الماستر والمتدرب من نفس المخطط الأساسي تماماً، فيمكن للمتدرب أن يتعلم الأسرار، حتى عندما يتم تغذيته بضجيج عشوائي فقط. وتوضح الدراسة أن هذه العملية لا تعمل على تطهير النموذج كما كان يُعتقد سابقاً؛ بل تعمل كأنبوب مخفي ينقل ليس فقط المهارات العامة، بل أيضاً التفاصيل المحددة والمحفوظة للبيانات الخاصة، بما في ذلك الأبواب الخلفية والسجلات الخاصة. يشير هذا الاكتشاف إلى أن مجرد إعادة تدريب النموذج على مدخلات عشوائية ليس كافياً لحماية الخصوصية إذا كانت نقطة البداية للتدريب معروفة لطرف خارجي.
اختبر الباحثون هذه الفكرة باستخدام نماذج التعرف على الصور المدربة على مجموعات بيانات قياسية مثل الأرقام المكتوبة بخط اليد أو قطع الملابس. وقد أنشأوا سيناريو حيث تم تدريب نموذج "المعلم" على بيانات خاصة تضمنت صوراً خاصة ذات تسميات خاطئة ومحفزات مخفية مصممة لتعمل كأبواب خلفية. ثم حاولوا إنشاء نموذج "طالب" من خلال جعل الطالب يحاكي استجابات المعلم للضجيج العشوائي، وهي عملية تُعرف باسم "التقطير الخالي من البيانات". ومن الأهمية بمكان، قارنوا بين سيناريوهين: أحدهما يبدأ فيه الطالب بنفس الإعدادات الأولية للمعلم، والآخر يبدأ فيه الطالب بإعداد عشوائي مختلف تماماً.
كانت النتائج مذهلة. فعندما شارك الطالب والمعلم نفس المخطط الأساسي، نجح الطالب في وراثة أسرار المعلم. وعلى الرغم من أن الطالب تدرب فقط على السكون العشوائي (static)، إلا أنه تعلم التعرف على الصور الخاصة المحددة التي حفظها المعلم. وفي تجربة واحدة تتعلق بالأرقام المكتوبة بخف اليد، استطاع نموذج الطالب تخمين ما إذا كانت صورة معينة جزءاً من مجموعة تدريب المعلم الخاصة بنجاح بلغ 0.86 (AUC)، وهو مستوى أعلى بكثير من الصدفة العشوائية. علاوة على ذلك، ورث الطالب أيضاً محفزات الباب الخلفي؛ فعند تقديمه لصور تحتوي على نمط مخفي معين، يقوم نموذج الطالب بتنشيط نفس السلوك الضار الذي أظهره المعلم، مع زيادة في معدل النجاح بلغت 93 بالمائة. حدث هذا حتى عندما لم يُعرض على الطالب سوى المخرجات الداخلية للمعلم غير المستخدمة — وهي إشارات لم تكن جزءاً من التدريب الأصلي ولم تحمل أي معنى واضح.
في المقابل، عندما بدأ الطالب بمخطط أساسي مختلف ومستقل، لم يتعلم شيئاً من الأسرار. فقد أنتج نفس التدريب على الضجيج العشوائي نموذجاً لا يمكنه تحديد الصور الخاصة أو تفعيل الأبواب الخلفية. وهذا يثبت أن التسريب لم يكن ناتجاً عن الضجيج العشوائي نفسه، بل عن نقطة البداية المشتركة. ووجد الباحثون أن هذا التأثير كان قوياً بشكل خاص عندما لم يتم تدريب نموذج المعلم لفترة طويلة، وبقي قريباً من حالته الأصلية. ومع ابتعاد المعلم عن نقطة بدايته من خلال التدريب المكثف، أصبح التسريب أصعب في الاستغلال، لكنه لم يختفِ تماماً. كما أظهرت الدراسة أن هذه الثغرة تمتد إلى ما وراء نماذج الصور البسيطة لتشمل نماذج اللغة، حيث كانت سلاسل الحروف العشوائية كافية لاستخراج رموز سرية تم إدراجها في نص التدريب الخاص.
فسر الباحثون هذه الظاهرة من خلال النظر في كيفية تغير النماذج أثناء التدريب. ووجدوا أنه عندما يتشارك نموذجان نقطة بداية واحدة، فإن عملية محاكاة استجابات المعلم للضجيج العشوائي تؤدي فعلياً إلى دفع الإعدادات الداخلية للطالب في نفس اتجاه المعلم. وبما أن إعدادات المعلم قد شكلتها البيانات الخاصة، فإن إعدادات الطالب تُدفع نحو ذلك الاتجاه نفسه، حاملةً معها المعلومات الخاصة. يعمل الضجيج العشوائي كمركبة تثير الأجزاء الصحيحة من النموذج للكشف عن هذه الاتجاهات المخفية. وأظهرت الدراسة أن هذا الانتقال يحدث بغض النظر عما إذا كانت المعلومات المنقولة هي معرفة عامة مفيدة أو سراً محدداً محفوظاً؛ فالعملية لا تستطيع التمييز بينهما.
ولاختبار ما إذا كان يمكن إصلاح هذه الثغرة، جرب الباحثون عدة دفاعات. ووجدوا أن إضافة ضجيج عشوائي إلى الإجابات التي يقدمها المعلم لم يوقف الهجوم؛ إذ يمكن للمهاجم ببساطة طرح المزيد من الأسئلة لمتوسط الضجيج واستعادة الأسرار. كما وجدوا أن تقييد المخرجات ببيانات غير ذات معنى فقط لم يساعد، حيث لا تزال المعلومات المخفية تنتقل. وكان الدفاع الوحيد الفعال الذي حددوه هو إما استخدام "الخصوصية التفاضلية" (differential privacy) — وهي ضمانة رياضية تحد من ما يمكن لأي قطعة بيانات فردية أن تعلمه للنموذج — أو التأكد من أن النموذج الخاص يبدأ من تهيئة سرية مختلفة تماماً عن النموذج العام. ومع ذلك، فإن الخيار الأخير صعب بالنسبة للنماذج التي يتم ضبطها بدقة من قواعد عامة مشهورة، لأنه يتطلب التخلي عن فوائد تلك البداية العامة.
يغير هذا العمل بشكل جذري نظرتنا لسلامة مشاركة نماذج الذكاء الاصطناعي. فهو يوضح أن الافتراض بأن المدخلات العشوائية تعمل كمرشح (فلتر) هو افتراض خاطئ عندما تشترك النماذج في أصل مشترك. وتخلص الدراسة إلى أنه في عصر يتم فيه بناء معظم نماذج الذكاء الاصطناعي عبر الضبط الدقيق لنماذج أساسية عامة، فإن نقطة البداية المشتركة هي معلومة حاسمة يمكن للمهاجمين استخدامها. يجب أن تأخذ تقييمات الخصوصية والأمن لهذه النماذج الآن في الاعتبار وجود خصم يعرف النموذج الأساسي العام ويمكنه استخدام استعلامات عشوائية لاستخراج التفاصيل الخاصة، مما يثبت أن "التقطير الخالي من البيانات" ليس ملاذاً آمناً للمعلومات الحساسة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.