هجمات سرقة النماذج على الذكاء الاصطناعي السحابي: ظهور طريقة جديدة للهجوم الصفري (Zero-Query Trojan)

تُعتبر خدمات الذكاء الاصطناعي المستندة إلى السحابة، من GPT-4 من OpenAI إلى Gemini من Google وClaude من Anthropic، بشكل متزايد بمثابة جواهر تاجية لمطوريها، محمية بطبقات من التشفير والمصادقة وسياسات الاستخدام. لكن طريقة هجوم جديدة عُرضت في مؤتمر ACM لأمن الحاسوب والاتصالات (CCS) هذا الأسبوع تتحدى هذه الدفاعات على مستوى أساسي.

أُطلق على هذه التقنية اسم "سرقة النموذج بدون استعلام" (ZQMS)، ويمكنها إعادة بناء بنية النموذج المستهدف، وأحجام الأوزان، وحتى المعلمات الفائقة التقريبية من خلال ملاحظة فقط الإشارات الجانبية المتولدة أثناء الاستدلال (Inference)، دون أن يُجري المهاجم أي استدعاء API واحد.

كيف تعمل

الهجوم بسيط من الناحية النظرية، رغم أنه متطور تقنيًا من الناحية التنفيذية. اكتشف الباحثون أن المنصات السحابية غالبًا ما تنشر نماذج متعددة للذكاء الاصطناعي على أجهزة مشتركة، مثل خادم GPU أو TPU. من خلال وضع عملية خبيثة على نفس الجهاز المادي (يمكن تحقيق ذلك عبر حالات سحابية مثل حالات GPU من AWS EC2)، يمكن للمهاجم مراقبة أنماط الوصول إلى الذاكرة وسلوك ذاكرة التخزين المؤقت واختلافات التوقيت.

"عندما يعالج النموذج استعلام مستخدم، فإنه يُنفذ تسلسلًا محددًا من عمليات ضرب المصفوفات وعمليات الانتباه وتطبيع الطبقات،" يشرح الدكتور لي شيا، المؤلف الرئيسي للدراسة وباحث في جامعة تسينغهوا. "تترك هذه العمليات 'بصمة' مميزة في عدادات الأجهزة وزمن انتقال الذاكرة. قمنا بتدريب شبكة عصبية صغيرة لفك تشفير تلك البصمة إلى إعادة بناء لبنية النموذج الأصلي."

الطبيعة الصفرية للاستعلام في الهجوم هي السمة الأكثر إثارة للقلق. تتطلب سرقة النموذج التقليدية آلافًا من استعلامات API (غالبًا باهظة الثمن) لتدريب نموذج بديل يُحاكي الأصلي. تتجاوز ZQMS ذلك تمامًا، مما يجعل اكتشافها أصعب بكثير.

الآثار المترتبة على الأمن والملكية الفكرية

بالنسبة لشركات مثل OpenAI وAnthropic وMeta AI، التي تعتمد نماذج أعمالها على الطبيعة المملوكة لنماذجها، فإن الآثار وخيمة. يمكن لهجوم ZQMS ناجح أن يسمح لمنافس باستنساخ بنية النموذج وخط أنابيب التدريب، متجاوزًا سنوات من البحث واستثمار مليارات الدولارات.

"هذا تحول نموذجي في أمان النموذج،" يقول الدكتور ويليام غرانت، خبير الأمن السيبراني في معهد ماساتشوستس للتكنولوجيا. "حتى الآن، افترض نموذج التهديد أن المهاجم سيحتاج إلى تفاعل مباشر. هذا يُظهر أن مجرد استضافة نموذج على بنية تحتية سحابية مشتركة يكفي لتسريب أسراره."

يُقال إن الهجوم يعمل على كل من LLMs القائمة على المحولات (Transformer) والشبكات العصبية التلافيفية المستخدمة في التعرف على الصور. نجح الفريق في سرقة تقريب لبنى شائعة بما في ذلك GPT-2 (كوكيل لـ LLMs الأكبر) وResNet-50 على منصتي Google Cloud وAWS. لم يحاولوا سرقة GPT-4 أو نماذج أخرى محمية، لكنهم يدّعون أن التقنية يجب أن تكون قابلة للتوسع.

التخفيفات والطريق إلى الأمام

يقترح الباحثون العديد من الإجراءات المضادة. أولاً، يمكن لمزودي الخدمات السحابية نشر النماذج على أجهزة مخصصة ومعزولة لمنع هجمات التواجد المشترك. ثانيًا، يمكنهم إخفاء أنماط الوصول إلى الذاكرة عن طريق حقن عمليات وهمية أو استخدام تطبيقات زمنية ثابتة للطبقات الحرجة. ثالثًا، يمكن للسياجات الآمنة (Secure Enclaves)، مثل Intel SGX أو AMD SEV، حماية أوزان النموذج حتى من مشرف افتراضي مخترق.

تم إخطار مزودي الخدمات السحابية الرئيسيين. أصدرت كل من Google وAmazon Web Services بيانات تؤكد التزامهما بالأمن وتلاحظان أنهما تفحصان نتائج الورقة البحثية. رفضت OpenAI التعليق لكن يُقال إنها تعمل على تقرير فني ردًا على ذلك.

يسلط الهجوم الضوء على توتر متزايد في صناعة الذكاء الاصطناعي: الدفع نحو استدلال أسرع وأرخص من خلال الأجهزة المشتركة مقابل الحاجة إلى حماية ملكية فكرية متزايدة القيمة. مع دمج نماذج الذكاء الاصطناعي في كل شيء من الرعاية الصحية إلى المالية، ترتفع مخاطر سرقة النموذج بشكل كبير.

ورقة ZQMS متاحة على arXiv وسيتم تقديمها في ورشة عمل CCS مخصصة للتعلم الآلي العدائي الشهر القادم. أصدر المؤلفون أداة اكتشاف نموذج أولي لمساعدة مزودي الخدمات السحابية في تحديد تسريبات القنوات الجانبية المحتملة، لكنهم يؤكدون أن الدفاع الشامل يتطلب تغييرات على مستوى الأجهزة.