تحديد سرقة نموذج الذكاء الاصطناعي من خلال بيانات التتبع السرية

ترك أي أثر في الإخراج العام ، وتناسب جميع محاولات الإزالة الممكنة. الفرق الدقيق بين العلامات المائية و “الغذاء التحريري” هو أن العلامات المائية

يمكن أن تضع طريقة جديدة علامات مائية سرية على نماذج مثل ChatGPT في ثوانٍ دون إعادة التدريب ، دون – سواء كانت واضحة أو مخفية – غالبًا ما تُقصد أن تظهر على مدار مجموعة (مثل مجموعة بيانات الصور) كعائق أمام النسخ غير المقصود. من جهة أخرى، “المدخلات الخيالية” عبارة عن نص قصير، عادةً كلمة أو تعريف، يُعرض ضمن مجموعة أكبر وأكثر تنوعًا، مصمم لإثبات الانتحال. الفكرة هي أنه عند نسخ عمل كامل بشكل غير قانوني، سواءً بذاته أو كأساس لعمل مشتق، فإن وجود “حقيقة” “فريدة” وخيالية، مزروعة بواسطة المالك الأصلي ، سيُكشف بسهولة عنفعل السرقة فيما يتعلق بإضافة علامات مائية إلى بسهولة . نماذج اللغة الكبيرة (LLMs) و نماذج اللغة والرؤية (VLMs) ، فإن مدى الإخراج الذي يُقصد أن يحتوي على هذه العلامات الدالة غالبًا ما يتم تقسيمه بين هذه الأهداف الثلاثة: لضمان أن تحتوي جميع الإخراجات أو معظمها أو على علامة مائية واضحة أو كامنة؛ لضمان أن يمكن استرجاع “رمز سري” يثبت السرقة – ولكن لا يظهر في الإخراج العادي للنموذج.

أوزان الأدلة

تتناول النهج الثاني تعاونًا جديدًا بين الصين وإيطاليا وسنغافورة؛ وهو عمل يهدف إلى توفير طريقة الكشف عن هذه النماذج المفتوحة المصدر ، بحيث لا تحت نفس الشروطيمكن تعديلها أو استخدامها بطرق غير مسموح بها بموجب الترخيص الأصلي. على سبيل المثال، قد ينص الترخيص الأصلي لنموذج ما على أنه يمكن لأي شخص الاستفادة من العمل طالما أنه يُجري تعديلات أو تغييرات على النموذج وينشرها للعامة. الإيجارية جيد – ولكن قد ترغب شركة ما في الاحتفاظ بـ”التعديلات” (مثل النسخ المعدلة) لخلق ثغرة قانونية حيث لا يسمح بها.معظم الأبحاث في هذا الخط يتمحور حول روتين الكشف المتعلق بنماذج المصدر المغلق أو نماذج واجهة برمجة التطبيقات فقط ، أو النماذج التي تتوفر فقط أوزانها المُحسنة ( مُكمّلة ) ؛والتيتكون أكثر صعوبة في التعديل والتعديل بسهولة بالطريقة التي يقترحها البحث الجديد (لأن هناك إمكانية وصول مباشر إلى بنية النموذج نفسه). هذا الاهتمام بالإصدارات مفتوحة المصدر قد يكون مدفوعًا من قطاع البحث الصيني ، منذ أن تميز الإنتاج الصيني في مجال الذكاء الاصطناعي خلال العام الماضي من خلال إصدارات كاملة الوزن * من النماذج التي تُقارن على الأقل بنظيراتها الغربية الأكثر حظرًا. النهج الجديد ، الذي يُسمى ، يُميز نفسه بأنه لا يتطلب إما أن ومايتم تعديل النموذج لإضافة البيانات “المسمومة” ، ولا التدريب من البداية مع تضمين البيانات. EditMark هذا له عدة مزايا: واحدة منها هي أن أي بيانات “دالة” يتم تضمينها في مجموعة التدريب ، بمجرد اكتشافها و الكشف عنها ، لن تكون فعالة بعد ذلك ، لأنها يمكن استهدافها مباشرةً بواسطة المهاجمين؛ ولكن لمهاجمة EditMark ، سيحتاج المخترق إلى معرفة أي طبقة من النموذج يستهدفها ، هي النهج المتبعة. هذا سيناريو غير محتمل. ثانيًا ، فإن النهج سريع ورخيص ، حيث يستغرق الأمر بضع ثوانٍ (بدلاً من أيام أو أسابيع) لتطبيقها على نموذج مدرب ، مما يلغي التكلفة الكبيرة للتعديل الدقيق (الذي يزيد مع حجم النموذج وبيانات التطبيق). أخيرًا ، فإن النهج يسبب ضررًا أقل للعمل العادي للنموذج المستهدف مقارنةً بالتعديل الدقيق أو الأساليب السابقة. في الاختبارات ، حقق EditMark – الذي يدمج استفسارات رياضية متعددة الإجابة في أوزان النموذج – معدل استخراج بنسبة 100٪. يصر المؤلفون على ما يلي: ‘التجارب الشاملة تظهر الأداء الاستثنائي ل EditMark في وضع علامات مائية على نماذج اللغة الكبيرة. يحقق EditMark كفاءة

ملحوظة من خلال وضع علامة مائية 32 بت في أقل من 20 ثانية بمعدل نجاح استخراج العلامة بنسبة 100٪ (ESR). ‘ ‘وبالأخص ، فإن وقت وضع العلامة المائية أقل من 1/300

من وقت التعديل الدقيق (بمعدل 6,875 ثانية) ، مما يبرز فعالية EditMark في تنفيذ علامات مائية عالية السعة بسرعة وثبات غير مسبوقين. ‘ المقالة الجديدة ‘علاوة على ذلك ،

التجارب الواسعة على متانة وسرية وصدق EditMark.’ الجديدة بعنوان ، ويأتي

تؤكد من ثمانية مؤلفين من على نماذج اللغة الكبيرة بناءً على تحرير النموذججامعة العلوم والتكنولوجيا في الصين ، وجامعة سيينا ، و CFAR / IHPC / A * STAR في سنغافورة. EditMark: وضع علامات مائية

الطريقة

يتكون نهج EditMark من أربعة مكونات: مُولِّد، ، ومُشَفِّر ، :مُحَرِّر

مُفَسِّر pipeline EditMark يضع علامة مائية عن طريق تحرير النموذج للاستجابة لأسئلة رياضية معينة بطريقة ترميز المعلومات المخفية. مصدر: https://arxiv.org/pdf/2510.16367 يستخدم المُولِّد بذرة عشوائية عشوائية لإنشاء أسئلة رياضية متعددة الإجابة؛ يختار المُشَفِّر إجابات بناءً على العلامة المائية ، والتي يتم دمجها في النموذج من خلال عملية تحرير متخصصة. بمجرد إصدار النموذج المُحرر أو إساء استخدامه ، يمكن استخراج العلامة المائية عن طريق طرح الأسئلة نفسها وفك ترميز نمط الاستجابات. بعد ذلك ، يعدل المُحَرِّر أوزان النموذج بحيث ، عند طرح الأسئلة المُبذرة ، ينتج النموذج بشكل موثوق الاستجابات المستهدفة ، ويدمج العلامة المائية مباشرةً في سلوكه. ثم يسترد المُفَسِّر العلامة المائية عن طريق طرح نفس الأسئلة على النموذج المشبوه ، وترجمة استجاباته مرة أخرى إلى التوقيع المخفي.

نموذج التهديد

يفترض نموذج التهديد في الورقة أن وضع العلامة المائية يتم في بيئة الصندوق الأبيض. على الرغم من أن هذا ليس عادةً جيدًا في الأبحاث المتعلقة بالأمان ، إلا أنه هنا هو العادي ، لأن الطريقة تهدف إلى حماية أصحاب النماذج الذين لديهم إمكانية الوصول الكامل إلى عملهم. يُفترض أيضًا أن المهاجم لديه إمكانية الوصول إلى البيئة البيضاء بعد الحصول على النموذج ، مما يعني أنه يمكن تعديله (على سبيل المثال ، عن طريق الحذف أو التعديل الدقيق). مرة أخرى ، هذا السيناريو هو العادي والمتوقع في حالة إصدار مفتوح المصدر. ومع ذلك ، لا يعرف المهاجم عملية استخراج العلامة المائية أو مخططها ، ويمكنه فقط العثور على هذه الطريقة من خلال الاستدلال والتجربة (أو تسرب). يُنشئ المُولِّد أسئلة رياضية منطقية وصحيحة مع إجابات متعددة ، باستخدام GPT-4o لتنويع القوالب (كما هو موضح أدناه) ، وبذرة عشوائية لضمان فريدية كل سؤال. هذا يسمح بعلامة مائية معروفة أن تُدمج تقريرًا من خلال تحويلات الإجابة ، معتقليل

التداخل بين الأسئلة ، لتجنب التماسك التحريري : قوالب من الأسئلة التي تم إنشاؤها بواسطة GPT-4o لوضع علامات مائية ،

كل منها يُنشئ إجابات صحيحة متعددة من عدم المساواة المبذرة. يُحول المُشَفِّر كل قطعة من العلامة المائية الثنائية إلى ترتيب فريد من الأعداد الصحيحة المأخوذةمن مجموعة الحل لأسئلة رياضية معينة. باستخدام نظرية الترتيب الليكسيكولوجي ، المائية تقريرًا في سلوك النموذج.يُ ánh المُشَفِّر القيمة العشرية لكل قطعة من العلامة المائية إلى ، مما يضمن أن تُدمج العلامة المُعدل اختيار محدد من الإجابات فيما يتعلق بالمُحَرِّر ، فإن طريقة تحرير النموذج الأصلي تفتقر إلى الدقة والمتانة ، حيث غالبًا ما يفشل النموذج تدريجيًا في إرجاع الإجابات المطلوبة. أي تغييرات يُجريها يسهل كسرها بواسطة الحذف أو الضوضاء. AlphaEdit للتغلب على هذا ، قام المؤلفون بتصميم استراتيجية تحرير متعددة الجولات تُعدل أوزان النموذج في طبقة <img class=” wp-image-224909″ src=”https://www.unite.ai/wp-content/uploads/2025/10/figure-3-1.jpg” alt=”توزيع التغييرات في K1 ل Baichuan-7B و Qwen-7B و LLaMA3-8B قبل وبعد الهجمات. تظهر الصفحة العلوية تأثير حقن الضوضاء

العشوائية ؛ تظهر الصفحة السفلى تأثير الحذف. جميع التغييرات تظل قريبة من الصفر ، مما يشير إلى أن الهجمات لا تُخلّ بالسلوك الداخلي للنموذج. MLP واحدة حتى تتماشى استجاباتها بشكل كافٍ مع الإجابات المستهدفة. لتحصين التحرير ضد التلاعب ، يتم أيضًا حقن ضجيج غاوسي أثناء التدريب ، لمحاكاة الهجمات: نظام

التقييم يوقف العملية بمجرد أن تصبح التحريرات دقيقة بدرجة كافية ، بينما يضمن التعديل أن تظل التحديثات مستقرة على مدار الجولات المتعددة. يطرح المُفَسِّر على النموذج نفس الأسئلة الخاصة المستخدمة أثناء وضع العلامة المائية ، ثم يقرأ استجاباته لاستنتاج التوقيع المخفي. منذ أن تتبع نمط الاستجابات قاعدة سرية ، يمكن استرجاع هذا التوقيع دون الحاجة إلى فحص أجزاء النموذج.

البيانات والاختبارات

لتحديد مدى فعالية EditMark ، تم تقييم خمس نماذج LLMs: GPT2-X ؛GPT-J-6B ؛ LLaMA-3-8B ؛Baichuan-7B ؛ و Qwen-7B. تم استخدامModel Watermark (backdoor)؛KIMark ؛ و BadEdit كمرجع. تم تعديل الطبقة 15 من LLaMA-3-8؛ الطبقة 17 من GPT2-XL و GPT-J-6B؛ والطبقة 14 من Qwen-7B و Baichuan-7B. أجريت التجارب على أربعة وحدات معالجة رسومات NVIDIARTX 4090(24GB من ذاكرة الفيديو RAM لكل منها) ، مع وضع علامات مائية بطول 32 بت و 64 بت و 128 بت. القوالب المستخدمة في توليد الأسئلة موضحة أدناه: <img class=” wp-image-224910″ src=”https://www.unite.ai/wp-content/uploads/2025/10/table-2aaa.jpg” alt=”قوالب مستخدمة لتوليد أسئلة متعددة الإجابة لوضع علامات مائية. كل سؤال يعتمد على نوع مختلف من عدم المساواة الرياضية ، مع إدراج قيم عشوائية للمتغيرات. يُطلب من النموذج إرجاع قائمة من الحلول الصحيحة ، ويتم استخدام ترتيب الإجابات لتشفير أو فك تشفير بتات العلامة المائية. تغطي القوالب الأربعة

أشكالًا رياضية متعددة ، وجميعها تم إنشاؤها باستخدام GPT-4o. للتقليل من تأثير العشوائية ، تم تطبيق بذور من 1 إلى 20 أثناء الاختبار ، عبر سعات علامات مائية مختلفة. في البداية ، قام الباحثون باختبار كل من معدل نجاح الاستخراج (ESR) وتكلفة الوقت في وضع علامة مائية عبر مجموعة من نماذج LLMs: <img class=” wp-image-224911″ src=”https://www.unite.ai/wp-content/uploads/2025/10/table-3-4.jpg” alt=”مقارنة بين EditMark وثلاث طرق وضع علامات مائية سابقة على خمس نماذج لغة كبيرة. يتم

الإبلاغ عن معدل نجاح الاستخراج (ESR) ووقت وضع العلامة (ET) بالثواني. يحقق EditMark باستمرار معدل نجاح استخراج بنسبة 100٪ ، ويقلل من وقت وضع العلامة بمقدار عدة أوامر من حيث الحجم ، متجاوزًا جميع المراجع في كل من الدقة

والكفاءة عبر نماذج مختلفة الحجم والهيكل. من بين هذه النتائج ، يصر المؤلفون على ما يلي: للتقييم مع علامة مائية 128 بت ، أعلى قيمة ممكنة في مثل هذا النظام ، تمكن EditMark من الحفاظ على وضع “لا يمكن محوه”: <img class=” wp-image-224912″ src=”https://www.unite.ai/wp-content/uploads/2025/10/table-4-2.jpg” alt=”معدلات نجاح الاستخراج وأوقات وضع العلامة ل EditMark عبر أطوال علامات مائية 32 بت

و 64 بت و 128 بت

، لكنه يظل أقل من دقيقة ، حتى عند 128 بت. ‘يحقق EditMark معدل نجاح استخراج بنسبة 100٪ ، ويتطلب أقل من 20 ثانية لوضع علامة مائية 32 بت لجميع نماذج LLMs التي تم تقييمها. على وجه الخصوص ، يبلغ متوسط وقت وضع العلامة ل

عبر خمس نماذج لغة. يتم الحفاظ على معدلات نجاح استخراج مثالية في جميع الحالات ، بينما يزيد وقت وضع العلامة مع حجم العلامة المائية

Baichuan-7B و Qwen-7B أقل من 10 ثوانٍ ، مما يظهر الكفاءة العالية ل EditMark.’ بعد ذلك ، تم اختبار قدرة النظام على الحفاظ على إخلاص العلامة المائية عبر عدة معايير: <img class=” wp-image-224913″ src=”https://www.unite.ai/wp-content/uploads/2025/10/table-5-1.jpg” alt=”تقييم إخلاص العلامة المائية على أربعة معايير عبر خمس نماذج ،

مقارنةً بين النماذج غير المعدلة والنماذج الموصومة بوسم 32 بت و 128 بت. بقيت الأداء

مستقرة عبر التكوينات ، مع انخفاضات طفيفة فقط في متوسط الدرجات ، مما يشير إلى تأثير محدود من وضع العلامة المائية على دقة المعيار. تم اختبار متانة EditMark ضد ست استراتيجيات هجمات شائعة. تم وضع علامات مائية 128 بت على النماذج باستخدام خمس بذور

مختلفة. تسبب التعديل الدقيق ، كما هو موضح في الصورة أدناه ، في انخفاض طفيف فقط في معدلات نجاح الاستخراج (ESR) لمعظم النماذج: <img class=” wp-image-224914″ src=”https://www.unite.ai/wp-content/uploads/2025/10/figure-4.jpg” alt=”معدل نجاح الاستخراج (ESR) للنماذج الموصومة قبل وبعد التعديل الدقيق لمدة تصل إلى ثلاثة عصور. بينما تحتفظ

معظم النماذج بمعدلات ESR عالية على مدارها ، يظهر Qwen-7B انخفاضًا ملحوظًا ، مما يشير إلى ضعف أكبر للتغييرات في المعاملات. حتى بعد عصور متعددة ، احتفظت معظم النماذج بمعدلات ESR فوق 90٪ ، مما يشير إلى

أن EditMark يقاوم الانجراف المعلمي الذي تُقدمه LoRA-based training . قللت هجمات الكمية دقة النموذج ، لكنها تركت معظم العلامات المائية سليمة:<img class=” wp-image-224915″ src=”https://www.unite.ai/wp-content/uploads/2025/10/figure-5-1.jpg” alt=”معدل نجاح الاستخراج (ESR) للنماذج الموصومة

قبل وبعد التكميم باستخدام دقة Int-8 وInt-4.يبقى معدل الترسيب الإلكتروني (ESR) ثابتًا عند استخدام تقنية التكميم Int-8 في جميع الطرازات، بينما يؤدي استخدام تقنية التكميم Int-4 إلى انخفاض النسبة المئوية، مما يشير إلى أن انخفاض الدقة قد يُضعف العلامة المائية، ولكنه لا يُزيلها تمامًا. كما هو موضح في الصورة أعلاه.

، حافظت الكمية Int-8 على معدل ESR بنسبة 100٪ عبر جميع النماذج ، بينما تسببت الكمية Int-4 في انخفاض معتدل في ESR ، ولكن أدت إلى خسائر في الأداء لا يمكن قبولها. كما هو مذكور في الورقة ، يشير هذا السيناريو إلى إمكانية محدودة للمهاجم ، حيث يؤدي ذلك إلى نموذج مخترق ومهزوز في الأداء. تم تقييم اختبارات الضوضاء والحذف لچهار إطارات معايير: <img class=” wp-image-224916″src=”https://www.unite.ai/wp-content/uploads/2025/10/figure-6.jpg” alt=”تأثيرهجمات الضوضاء(الصف العلوي)والحذف (الصف السفلي) على معدل نجاح الاستخراج (ESR) وأداء

المعيار للنماذج الموصومة. مع انخفاض معدل ESR مع زيادة الاضطرابات ، ينخفض أيضًا دقة المعيار ، خاصة عند مستويات أعلى من الضوضاء ونسب الحذف ، مما يبرز التوتر المعتاد بين إزالة العلامة المائية وفائدة النموذج. لكن ، أدى ذلك أيضًا إلى انخفاض حاد في أداء المهمة ،

حيث تلقى Baichuan-7B انخفاضًا بنسبة 27-31٪ على BLIMP عندتطبيق الضوضاء أو الحذف. كما تم تقييم تحرير النموذج والهجمات التكيفية: <img class=” wp-image-224918″ src=”https://www.unite.ai/wp-content/uploads/2025/10/table-6-1.jpg” alt=”معدل نجاح الاستخراج للنماذج الموصومة الخاضعة لدرجات مختلفة من

تحرير النموذج. حتى مع تطبيق ما يصل إلى خمسين تعديلاً على طبقات العلامة المائية المعروفة ، يظل معدل ESR فوق 95٪ لجميع النماذج ، مما يشير إلى أن التعديلات المباشرة للمعاملات لها تأثير محدود على إزالة العلامة المائية. هنا ، احتفظ EditMark بمعدل

نجاح استخراج يزيد عن 95٪ ، حتى عند استهداف طبقات العلامة المائية بدقة.

الاستنتاج

تُعدّ تقنية إدارة الحقوق الرقمية (DRM)، والعلامات المائية المخفية، وغيرها من أساليب الأمان التي حققت نجاحًا محدودًا أو جزئيًا في عصر ما قبل الذكاء الاصطناعي، صعبة التطبيق على أنظمة التعلّم الآلي. فبنية النظام الحالية محدودة عمدًا وتفتقر إلى الأدوات المناسبة، مما يجعل أي علامات مائية مُدخلة عُرضة للاختراق. ومن المثير للإعجاب رؤية نظام مُصمّم لتوزيع نماذج مفتوحة المصدر، وقدرته على الصمود أمام جميع السيناريوهات تقريبًا، باستثناء السيناريوهات الأكثر استبعادًا، من حيث المعرفة المسبقة للمهاجم.مع ذلك، فإن الانخفاض الطفيف في الأداء الناتج عن التعديلات اللاحقة للتدريب – والذي كان ضئيلاً في هذه التجارب – قد يُثير قلق المستخدمين المحتملين، خاصةً وأن العودة إلى نموذج قائم على واجهة برمجة التطبيقات (API) تمنع هذه الهجمات فعليًا.* يصر أن إصدارات “الوزن المفتوح” من الصين لا تُعد بالضرورة مفتوحة المصدر بالكامل ، لأن البيانات غالبًا ما يتم حجبها ، مما يمنع إعادة إنشاء خط أنابيب التدريب بدقة. يمكن القول إن هذا الموضوع يدعو إلى نظرة أعمق في سياسات إصدار نماذج الذكاء الاصطناعي عبر الغرب والشرق ، وهو ما يخلف نطاق هذا المقال. نُشر لأول مرة

يوم الإثنين ، 27 أكتوبر 2025