Model Inversion

عكس النموذج هو استعادة معلومات عن مدخلات النموذج أو بيانات تدريبه من تنبؤاته أو معلماته المتعلّمة أو تمثيلاته الداخلية. وبعبارة مبسطة، فإنه يعكس عملية التنبؤ: فالمعلومات التي يكشفها نموذج التعلم الآلي تصبح دليلًا لإعادة بناء وجه، أو تقدير سمة حساسة، أو استعادة نص. ويؤدي الاستخدام غير المصرح به إلى هجوم على خصوصية البيانات.

قدم Matthew Fredrikson وEric Lantz وSomesh Jha وSimon Lin وDavid Page وThomas Ristenpart مصطلحًا أمنيًا عام 2014 عبر عكس نماذج تحديد جرعات الوارفارين الشخصية. وباستخدام نموذج ومعلومات ديموغرافية وجرعة المريض المستقرة، استنتجوا مؤشرات جينية مرتبطة بالاستجابة للدواء. واستند التقييم إلى بيانات اتحاد علم الوراثة الدوائي للوارفارين الدولي.

آلية عمل عكس النموذج#

يحتاج المهاجم إلى إشارة يمكن رصدها وهدف لإعادة البناء. تكشف درجات الثقة لدى المصنف مدى تطابق المدخلات المرشحة مع فئة مستهدفة. وعند توافر وصول من نوع الصندوق الأبيض، يرى المهاجم أيضًا أوزان النموذج ويمكنه حساب التدرجات. أما الوصول من نوع الصندوق الأسود فيوفر التنبؤات عبر واجهة للاستعلام. وتوفر التضمينات الوسيطة، وهي تمثيلات رقمية للمدخلات، هدفًا آخر لإعادة البناء.

يبدأ عكس النموذج القائم على التحسين بمدخل مرشح، ثم يعدّله مرارًا لتقليل دالة خسارة، مثل واحد ناقص احتمال الفئة المستهدفة. ويحدّث الانحدار المتدرج المدخل، بينما يظل النموذج المدرّب ثابتًا. وقد تكون النتيجة مثالًا ممثلًا للفئة يمكن التعرف عليه؛ أما الاستعادة الدقيقة فتعتمد على المعلومات المحفوظة في الإشارة المتاحة.

تتيح Ultralytics YOLO الوصول إلى تمثيلات الصور عبر model.embed()، ما يدعم مسارات عمل استخراج السمات. ويؤدي إتاحة هذه المتجهات إلى إنشاء واجهة إضافية ينبغي تضمينها في اختبارات الخصوصية التي تركز على عكس النموذج.

إعادة بناء الوجوه ومثال قابل للتنفيذ#

قدم Fredrikson وJha وRistenpart عام 2015 هجمات عكس النموذج القائمة على الثقة وإجراءات مضادة أساسية، بما فيها MI-Face. واستخدمت تجاربهم في التعرف على الوجه قاعدة بيانات الوجوه AT&T/ORL، التي تحتوي على 400 صورة لـ 40 شخصًا. وأدى تحسين وحدات البكسل استنادًا إلى تسمية هوية شخص إلى إعادة بناء وجوه يمكن التعرف عليها، ما كشف معلومات عن المظهر مرتبطة بالهوية.

يدعم تطبيق MIFace في Adversarial Robustness Toolbox أيضًا المصنفات ذات السمات المستمرة. ويطبّق هذا المثال الأداة على الانحدار اللوجستي المدرّب على الأرقام المكتوبة يدويًا المضمنة في scikit-learn. ثبّت التبعيات باستخدام pip install adversarial-robustness-toolbox scikit-learn matplotlib.

import matplotlib.pyplot as plt
import numpy as np
from art.attacks.inference.model_inversion import MIFace
from art.estimators.classification import SklearnClassifier
from sklearn.datasets import load_digits
from sklearn.linear_model import LogisticRegression

images, labels = load_digits(return_X_y=True)
images = images.astype(np.float32) / 16
model = LogisticRegression(max_iter=1000)
model.fit(images, labels)
classifier = SklearnClassifier(model=model, clip_values=(0, 1))

# ⁨أعِد بناء وحدات البكسل لفئة الرقم المستهدفة.⁩
attack = MIFace(classifier, max_iter=1000, verbose=False)
reconstructions = attack.infer(x=None, y=np.array([3]))
reconstruction = reconstructions[0]
plt.imshow(reconstruction.reshape(8, 8), cmap="gray")
plt.axis("off")
plt.show()

يعرض الشكل عملية إعادة بناء لوحدات البكسل المحسّنة لفئة الرقم ثلاثة باستخدام تدرجات المصنف الملائم.

في الأنظمة اللغوية، يستعيد عكس النموذج المطالبات أيضًا. إذ أعاد أسلوب عكس نماذج اللغة الذي قدمه John X. Morris وزملاؤه عام 2024 بناء النص السابق انطلاقًا من توزيعات احتمالات الرمز التالي. وفي الاستدلال التعاوني، تعيد هجمات عكس المطالبات بناء النص المدخل من التنشيطات الوسيطة المنقولة بين المشاركين، ما يكشف المطالبات عبر حدود الحوسبة الموزعة.

مفاهيم ذات صلة وفروق بينها#

تصف هذه المصطلحات أهدافًا مختلفة للمهاجم:

• استدلال العضوية يحدد ما إذا كان سجل معروف قد ظهر في بيانات التدريب؛ أما عكس النموذج فيقدّر محتوى أو سمات غير معروفة.
• استدلال السمات يستكمل حقلًا حساسًا باستخدام معلومات أخرى عن سجل ما. ويُعد هجوم الوارفارين الأصلي استدلالًا للسمات وعكسًا للنموذج معًا.
• تشمل الهجمات الخصومية هجمات التهرب التي تغيّر مدخلًا لإحداث تنبؤ غير صحيح. أما عكس النموذج فيستهدف كشف المعلومات.
• يشير النمذجة العكسية عمومًا إلى تقدير الأسباب أو المعلمات انطلاقًا من الملاحظات. ويقدّر التصيير العكسي، على سبيل المثال، خصائص المشهد من الصور.

تقليل التعرّض#

تقيّد ضوابط الوصول الجهات التي يمكنها الاستعلام عن النماذج أو الحصول على التمثيلات الداخلية. ويمكن أن يكشف رصد النماذج أنماط الاستعلام غير المعتادة، بينما يؤدي تقليل دقة درجات الثقة إلى إزالة المعلومات التي تستغلها الهجمات القائمة على الثقة. وتقيس تقييمات الخصوصية جودة إعادة البناء في ظل مستوى الوصول الممنوح فعليًا.

تحدّ الخصوصية التفاضلية من تأثير سجلات تدريب أي فرد من خلال عشوائية معايرة. ويتعلق ضمان الخصوصية بالمعلومات التي تضيفها المشاركة في مجموعة البيانات. ويمكن أيضًا أن يستغل العكس الارتباطات على مستوى السكان، مثل العلاقة بين الواسمات الجينية وجرعة الدواء.