الضوضاء في التضمينات لا تحمي البيانات: 100 زوج معروف تكشف ~90% من الوثائق

إذا خُزّنت في قاعدة بيانات المتجهات تضمينات أُضيفت إليها ضوضاء، فاستعادة النص الأصلي منها صعبة فعلاً، لكن هذا لا يعني أن البيانات محمية. بنى مؤلف الدراسة على هابر منصة اختبار تقيس قابلية التعرّف: انطلاقاً من سجل محمي ومجموعة وثائق معروفة، تحدد المنصة أي وثيقة يعود إليها السجل. جرى اختبار 8 مخططات للحماية. في المقارنة الرئيسية يعرف المهاجم 1000 زوج من نوع «وثيقة — سجل» من أصل 5183 وثيقة في مجموعة SciFact (نحو 19%)، لكن 100 زوج معروف فقط، أي 2% من المجموعة، تكفي للتعرّف على نحو 90% من الوثائق. وتُبقي الضوضاء الغاوسية 99,9% من السجلات قابلة للتعرّف، حتى عندما تنخفض جودة البحث إلى النصف.

ما الذي اختُبر بالضبط وفي أي ظروف

اقترح البحث المتعلق بـ vec2text (هجوم يستعيد النص من تضمينه) ثلاث وسائل حماية: الضوضاء، والضغط بطريقة product quantization (PQ)، والتحويل الخطي السري. وبحسب بياناته، تُسقط الضوضاء الاستعادة الدقيقة للنص إلى الصفر، بينما لا تتأثر جودة البحث تقريباً: 0,748 مقابل 0,730 في top-10. لاحظ المؤلف أن استعادة النص والتعرّف على سجل بين وثائق معروفة مهمتان مختلفتان. فقد تجتاز الحماية الاختبار الأول وتفشل في الثاني. وبالنسبة للوثائق العامة والمقالات العلمية وقواعد البيانات التي سُرّبت سابقاً، فالمهمة الثانية واقعية: لا يحتاج المهاجم إلى نصوص مجهولة، بل يكفيه مطابقة السجلات مع ما يملكه أصلاً.

تضم المنصة ثمانية مخططات: الضوضاء الغاوسية، والضوضاء بعد تدوير سري، وSAP/DCPE (ضوضاء موزعة بانتظام داخل كرة؛ نُفّذ وفق الخوارزمية 2 من ورقة Fuchsbauer وزملائه، SCN 2022)، وLSH الثنائي، والإسقاط العشوائي، وPQ، واللاخطية السرية، والتكميم k-مجهول الهوية. أُجريت الاختبارات على مجموعتين من BEIR (SciFact بـ5183 وثيقة وNFCorpus بـ3633) وعلى نموذجين: all-MiniLM-L6-v2 وbge-small-en-v1.5. ويضبط المهاجم تطابقاً خطياً يعيد السجلات المحمية إلى فضاء التضمينات بطريقة المربعات الصغرى. وكشفت الفحوص الذاتية عند انعدام الحماية خطأين: خوارزمية k-means كانت تغيّر التقسيم عند تغيير المقياس، و2,2% من NFCorpus تبيّن أنها وثائق مكررة، فاستُبعدت من الحساب.

الأرقام: الضوضاء لا تنفع، وفقدان المعلومات ينفع

عند النقطة التي تنخفض فيها جودة البحث إلى النصف، يُتعرَّف على 99,9% من السجلات في حالة الضوضاء الغاوسية، و99,2% في حالة التدوير مع الضوضاء، و98,7% في SAP/DCPE. ويعطي LSH الثنائي 81,1%، والإسقاط العشوائي 60,8%، وPQ 27,0%. أما اللاخطية السرية tanh(gain · Qv) فلم تُجدِ: 100% على كامل مدى المعامل مع جودة بحث فوق 90%. وشكل الضوضاء لا يؤثر: الضوضاء المنتظمة داخل كرة، والغاوسية العادية، والغاوسية بعد التدوير تعطي منحنيات متقاربة جداً.

يُفشل التدوير السري الهجوم الساذج فقط: فمطابقة جيب التمام تنخفض من 100% إلى 0,0%، بينما يبقى المحاذاة الخطية تعطي 100%. ولا يحتاج المهاجم إلى الكثير: عند إعداد بجودة نحو 80%، تعطي 100 زوج معروف (2% من المجموعة) 91% من السجلات المتعرَّف عليها في SAP، و89% في الضوضاء الغاوسية، و88% في التدوير، و72% في الإسقاط، و61% في LSH، و37% في PQ. وعند 200 زوج تبلغ مخططات الضوضاء 98–100%.

كان PQ أفضل ما جرى اختباره، لكنه ليس مجانياً. ففي الأوضاع عالية الدقة التي يستند إليها بحث vec2text تكاد قابلية التعرّف تكون كاملة: 192 متجهاً فرعياً — 100%، و48 — 100%، و32 — 99,8%. ولا تنخفض عن 50% إلا عند الضغط إلى 4 بايت لكل متجه (9,7% عند جودة 41%)؛ وعند 8 بايت يُتعرَّف على 44,5% من السجلات وتهبط الجودة إلى 59%. وتتوقف النتيجة أيضاً على المجموعة: عند جودة 50% يُتعرَّف في SciFact على 27,0% و25,4%، وفي NFCorpus على 1,6% و1,7%. ويفترض المؤلف أن المجموعة المتجانسة موضوعياً (التغذية والطب) تدمج الوثائق المتشابهة في رموز متطابقة، أي أن الحماية هنا أثر جانبي للبيانات، لا خاصية في المخطط نفسه.

ولإثبات حد مضمون، ابتكر المؤلف تكميماً k-مجهول الهوية: تُجمع الوثائق في مجموعات لا يقل حجمها عن k، وتُخزَّن كل مجموعة بمتجه مشترك واحد. عند k=2 يبلغ حد قابلية التعرّف 29,8% والمقيس 8,3%؛ وعند k=3 الحد 16,5% والمقيس 0,5%. لكن من حيث ثمن الجودة، يخسر هذا التنفيذ أمام PQ: فعند قابلية تعرّف 8,3% تبقى 34% من الجودة، بينما يحتفظ PQ مع m=4 بـ41% عند 9,7%. والسبب هو اختلال توازن المجموعات (الحد الأدنى 2، والوسيط 3، والمتوسط 6,2): فأصغر مجموعة تحدد الحد، بينما يستهلك الذيل الطويل من المجموعات الكبيرة الجودة. ولم يختبر المؤلف التوزيع المتوازن.

حدود النتيجة والخلاصة العملية

تقيس المنصة التعرّف على مرشحين معروفين فقط، لا استعادة نص مجهول. والمخططات الثمانية كلها هندسية، ولذلك يوجد تعيين عكسي لها. ولا تستطيع المنصة مهاجمة التشفير المتماثل (homomorphic encryption) ولا PIR ولا الحوسبة متعددة الأطراف ولا ORAM، ولذلك فالاستنتاج «لا شيء ينفع» خاطئ. والعينة صغيرة: مجموعتان ونموذجان، وكل شيء بالإنجليزية، وتفريغ واحد دون مراقبة الاستعلامات. أما تجربة vec2text على النص الكامل فجاءت غير مقنعة: 45,9% بمقياس token-F1 و0% تطابقات دقيقة حتى على التضمينات النظيفة.

عملياً، يعني ذلك ما يلي. ينبغي تقييم حماية التضمينات بقابلية التعرّف على مجموعة تشبه مجموعتكم، لا باستعادة النص وحدها. والتحويل السري بلا إجراءات أخرى عديم الفائدة إذا كان من الممكن أن يملك المهاجم بضع مئات من الأزواج المعروفة. وإذا كانت الحماية مطلوبة، فسيتعين دفع ثمنها من جودة البحث، مثلاً عبر PQ بضغط شديد. أما البيانات التي لا يجوز تسليمها فالأسهل ألا تُسلَّم أصلاً: أبقوا النموذج وقاعدة البيانات لديكم.

ملاحظة جانبية: يفقد bge-small-en-v1.5 (nDCG@10 = 72,0 على SciFact) نصف جودته عند ضوضاء نسبية 100%، بينما يتحمل all-MiniLM-L6-v2 الأضعف (64,5) ضوضاء 150%. وتجري الحسابات على معالج عادي، وتستغرق تحويل المجموعة إلى متجهات نحو 5 دقائق على نواتين، والشيفرة منشورة على GitHub في مستودع semantic-cryptography.