ما هو التعلم الآلي الحافظ للخصوصية؟

يقرر فريق تشغيل نموذج لغوي على خوادمه الخاصة بدلاً من استدعاء واجهة برمجية خارجية. الدافع هو الخصوصية: إبقاء البيانات الحساسة في الداخل وعدم تسليمها لطرف ثالث أبداً. هذه الغريزة سليمة، والتحكم الذي تمنحه حقيقي، لكنه ناقص أيضاً. يمكن دفع نموذج دُرِّب على سجلات خاصة إلى الكشف عمّا إذا كان سجل شخص بعينه ضمن مجموعة تدريبه. والتحديثات الاتحادية التي لا تحمل بيانات خام أبداً يمكن عكسها لاستعادة الصور التي أنتجتها. والنموذج الكبير قادر على حفظ أجزاء مما دُرِّب عليه وإخراجها. بقيت البيانات في مكانها، ومع ذلك سرَّب النموذج.

هذه الفجوة، بين الشعور بالخصوصية وبين إثباتها، هي ما يعالجه التعلم الآلي الحافظ للخصوصية. فخط إنتاج التعلم الآلي المعتاد يحتاج إلى بيانات خام متاحة لبنية التدريب، وهو ما يصطدم بلوائح الخصوصية وبمتطلبات سيادة البيانات وبشركاء لن يشاركوا مجموعات بياناتهم إطلاقاً. والتعلم الآلي الحافظ للخصوصية هو عائلة التقنيات التي تحل هذا الاصطدام.

التمييز المفيد يفصل بين تقنيات تقلّل حركة البيانات، وتقنيات تضع حدوداً لما يمكن أن تكشفه المخرجات، وتقنيات تُبقي البيانات سرية أثناء الحساب. والاستضافة الذاتية تقف إلى جانب هذه الضوابط لا محلها.

النسخة المختصرة

• التعلم الآلي الحافظ للخصوصية (PPML) فئة جامعة وليس أسلوباً واحداً. تركّز هذه المقالة على أربعة أساليب رئيسية: التعلم الاتحادي، والخصوصية التفاضلية، والتشفير المتماثل، والحوسبة الآمنة متعددة الأطراف. كما يمكن أن تظهر في أنظمة PPML بنى أخرى معززة للخصوصية، ومنها بيئات التنفيذ الموثوقة.
• التعلم الاتحادي وحده لا يوفّر ضماناً رسمياً للخصوصية. فهو يُبقي البيانات الخام في مصدرها، لكن تحديثات التدرّج المشتركة يمكن أحياناً عكسها لاستعادة سجلات التدريب. والخصوصية التفاضلية طريقة شائعة لإضافة حدّ رسمي للتسريب.
• عادةً ما تُختصر قوة الخصوصية التفاضلية في إبسيلون. يعتمد الضمان أيضاً على دلتا، وعلى الوحدة المحمية، وعلى طريقة محاسبة الخصوصية. والضمان الرسمي بمعاملات ضعيفة قد يظل ضماناً على الورق ومسرحية في الواقع.
• التشفير المتماثل حقيقي وبطيء. الحساب على بيانات مشفّرة ينجح فعلاً، لكن الكلفة الزائدة تحصره اليوم في نماذج أبسط، وفي استدلال يحتمل التأخير، وفي مسارات ضبط دقيق تجريبية، لا في التدريب الاعتيادي للنماذج الكبيرة ولا في تدريبها الأولي الكامل.
• استضافة النموذج ذاتياً توطينٌ للبيانات، لا PPML. إبقاء البيانات على بنية تحتية تسيطر عليها يحدّد من يستطيع الوصول إليها. لكنه لا يحدّد ما يمكن للنموذج نفسه أن يكشفه.

ملاحظة عن النطاق: هذا شرح مفاهيمي لا دليل تنفيذ. فهو لا يتناول بعمق إعداد المكتبات، ولا اختيار إبسيلون، ولا الامتثال التنظيمي، ولا الضبط الدقيق الخاص لنماذج اللغة الكبيرة. الهدف هنا هو الخريطة. أما الإرشادات خطوة بخطوة فمكانها أدلة تنفيذ مخصصة.

كيف يحمي التعلم الآلي الحافظ للخصوصية البيانات

التعلم الآلي الحافظ للخصوصية مصطلح جامع للأساليب التي تقلّل كشف المعلومات أو تقيّده أو تضع له حداً رسمياً عبر تدريب النماذج والاستدلال والتحليل التعاوني. وتركّز هذه المقالة على أربعة أساليب رئيسية: التعلم الاتحادي، والخصوصية التفاضلية، والتشفير المتماثل، والحوسبة الآمنة متعددة الأطراف. وهي تحمي أصولاً مختلفة ضمن نماذج تهديد مختلفة، فلا ينبغي التعامل معها كضمانات قابلة للتبادل.

المشكلة بسيطة: خطوط إنتاج التعلم الآلي المعتادة تفترض غالباً أن عملية التدريب تستطيع الوصول إلى السجلات الخام، بينما تمنع لوائح الخصوصية ومتطلبات سيادة البيانات واتفاقات الشركاء هذا الوصول في كثير من الأحيان. وتجيب العائلات الأربع عن هذا القيد بطرق مختلفة: نقل الحساب إلى البيانات بدل نقل البيانات إلى الحساب (التعلم الاتحادي)، أو إضافة ضجيج معاير بحيث تكشف المخرجات أقل عن أي شخص بعينه (الخصوصية التفاضلية)، أو الحساب على بيانات تبقى مشفّرة (التشفير المتماثل)، أو تمكين عدة أطراف من حساب نتيجة مشتركة دون كشف مدخلاتها الخام لبعضها (الحوسبة الآمنة متعددة الأطراف).

يُذكر الخطر الكامن بوضوح في إرشادات Google للذكاء الاصطناعي المسؤول: فنماذج التعلم الآلي قد تتذكر أو تكشف جوانب من البيانات التي تعرّضت لها، والعمل على الخصوصية موجود لوضع ضمانات حول ذلك. وتعالج PPML هذا الخطر، وهي تختلف عن إخفاء الهوية البسيط، لأسباب يوضّحها القسم التالي بشكل ملموس.

لماذا لا يكفي إخفاء الهوية؟

البيانات مجهولة الهوية يمكن إعادة التعرف عليها. فحذف الأسماء والمعرّفات الواضحة من مجموعة بيانات يقلّل الانكشاف الظاهر، لكنه لا يضمن الخصوصية متى أمكن ربط البيانات بمعلومات خارجية. وهذا هو الضعف المتكرر في أساليب إزالة الهوية مثل k-anonymity: يمكنها خفض قابلية التعرف ضمن افتراضات محددة، لكنها لا توفّر الضمانات الرسمية المتاحة في تقنيات مثل الخصوصية التفاضلية أو أساليب PPML التعمياتية.

هذا التمييز العملي يهمّ كل من قيل له «لقد أخفينا الهوية، إذاً نحن بخير». فإخفاء الهوية ادعاء بشأن مجموعة بيانات ضمن سياق ونموذج تهديد محددين. وهجوم الربط لا يحتاج إلى كسر التشفير ولا إلى تجاوز ضوابط الوصول، بل يحتاج فقط إلى مجموعة بيانات أخرى تتقاطع مع مجموعتك. وهذه النقطة مذكورة مباشرة في إرشادات NIST بشأن إزالة الهوية، الذي يشير إلى أن البيانات المزالة الهوية يمكن إعادة التعرف عليها بربطها بمجموعات بيانات مساعدة.

توفّر الخصوصية التفاضلية ما لا توفره إزالة الهوية العادية: حدّاً رياضياً لمقدار تأثير بيانات فرد واحد في نتيجة منشورة، ضمن وحدة خصوصية ونموذج تهديد محددين. أما التشفير المتماثل وSMPC فيوفران أنواعاً أخرى من السرية التعمياتية، بينما يغيّر التعلم الاتحادي بالأساس مكان معالجة البيانات. هذه الضمانات مترابطة لكنها ليست واحدة.

كيف يعمل التعلم الاتحادي، ولماذا لا يكفي وحده؟

في التعلم الاتحادي، يُرسل نموذج عام إلى أجهزة أو خوادم محلية، فيتدرّب على البيانات الموجودة هناك، ولا يعيد إلى المركز سوى تحديثات معاملاته. البيانات الخام لا تتحرك أبداً. وهو نمط مفيد فعلاً، ويعمل في الإنتاج على نطاق واسع. وهو أيضاً، بحد ذاته، ليس ضماناً للخصوصية.

الآلية هي نقل النموذج إلى البيانات لا نقل البيانات إلى النموذج. نشر Google لتطبيق Gboard يشغّل أكثر من 30 نموذجاً لغوياً على الجهاز نفسه، عبر أكثر من 7 لغات وأكثر من 15 بلداً، متدرّباً على نص لا يغادر الهاتف أبداً. هذا هو التعلم الاتحادي وهو يعمل كما يُعلن عنه: تتحسّن لوحة المفاتيح دون أن تجمع Google ما كتبته.

المشكلة هي ما ينتقل داخل التحديثات. فالتدرّجات تحمل معلومات عن البيانات التي أنتجتها، ويمكن استعادة تلك المعلومات. وقد أثبت ذلك Zhu وLiu وHan في Deep Leakage from Gradients (NeurIPS 2019)، حيث عرضوا هجمات عكس التدرّج التي تستعيد أمثلة تدريب خاصة من تحديثات النموذج المشتركة، باستعادة للصور دقيقة على مستوى البكسل ومطابقة على مستوى الرمز للنصوص في تجاربهم. لقد قلّل التعلم الاتحادي حركة البيانات، لكنه لم يُلغِ خطر التسريب.

إذا كان الهدف وضع حدّ لما يمكن أن تكشفه المشاركة، فالخصوصية التفاضلية إضافة شائعة. أما التجميع الآمن فيعالج خطراً مختلفاً بإخفاء تحديثات كل عميل على حدة عن الخادم المنسّق. ويجمع Gboard بين التعلم الاتحادي وخصوصية تفاضلية رسمية بدل الاعتماد على الاتحاد وحده.

ملاحظة: كثيراً ما يوصف التعلم الاتحادي بأنه «خاص» لأن البيانات الخام تبقى في مصدرها. وهذا الوصف مضلّل. فبلا حماية إضافية، قد تحمل التحديثات الاتحادية إشارة كافية لإعادة بناء سجلات التدريب. ويضيف DP-FL ضماناً رسمياً للخصوصية التفاضلية بدل الاعتماد على الاتحاد وحده. فالاتحاد بذاته خيار في التعامل مع البيانات، لا برهان على الخصوصية.

ما هي الخصوصية التفاضلية، وما الذي يتحكم فيه إبسيلون فعلاً؟

الخصوصية التفاضلية تعريف رياضي يضع حدّاً لمقدار تغيّر التحليل عند إضافة وحدة خصوصية واحدة أو إزالتها. وتحقق آليات كثيرة هذا الضمان بإضافة عشوائية معايرة. وإبسيلون معامل ظاهر، لكن الضمان ذا المعنى يعتمد أيضاً على وحدة الخصوصية، وعلى نسخة DP وأي معاملات إضافية مثل دلتا، إضافة إلى التركيب والمحاسبة وتفاصيل التنفيذ.

يوصف إبسيلون بأنه ميزانية الخصوصية في مسرد NVIDIA: القيم الأدنى تعني خصوصية أقوى وضجيجاً أكثر، والقيم الأعلى تحافظ على الدقة مقابل ضمانات أضعف. ومن الطرق الشائعة لتطبيق الخصوصية التفاضلية أثناء تدريب التعلم العميق هي DP-SGD، أي الانحدار التدرّجي العشوائي التفاضلي الخصوصية: قصّ تدرّج كل عينة إلى حجم محدود، وإضافة ضجيج غاوسي معاير، ثم التجميع. القصّ يحدّ من قدرة أي مثال واحد على التأثير في النموذج، والضجيج يحجب ما يتبقى من ذلك التأثير.

وهذه الميزانية قابلة للاستهلاك. والآلية موصوفة في توثيق Tumult Analytics حول ميزانيات الخصوصية: كل استعلام على مجموعة بيانات محمية ينفق جزءاً من ميزانية الخصوصية. أما كيفية تراكم هذا الإنفاق فهي نظرية قياسية في الخصوصية التفاضلية، مبسوطة في كتاب Dwork وRoth بعنوان The Algorithmic Foundations of Differential Privacy: في التركيب الأساسي، تتجمع k استعلامات كل منها بمعامل إبسيلون لتعطي خسارة خصوصية إجمالية مقدارها k مضروبة في إبسيلون، بينما تعطي مبرهنات التركيب المتقدم حدوداً أضيق. لن تحصل على أسئلة بلا حدود، بل على ميزانية تنفقها.

ولذلك فإن اختيار المعاملات هو ما يقرر إن كان الضمان ذا معنى عملياً. وثمة نقد مُحكَّم لمقاربات الخصوصية في التعلم الآلي يرى أن الإطار الرياضي قد يمنح «طلاءً من الموضوعية» يُستخدم لتلميع مشروع ما. اضبط معاملات الخصوصية بضعف كافٍ فيكاد الضمان يفقد معناه، بينما يظل بوسع الفريق الادعاء بأنه استوفى الخصوصية التفاضلية. الضمان حقيقي، أما قوته العملية فهي خيار تصميمي.

ملاحظة: لا يكون ضمان الخصوصية التفاضلية ذا معنى إلا حين تعرف معاملات الخصوصية والوحدة التي تحميها. فإبسيلون مرتفع جداً، أو دلتا متساهلة، أو محاسبة غير واضحة، قد تجعل ضماناً صحيحاً تقنياً لا يقدّم حمايةً عملية تُذكر. وقراءة «هذا النظام يستخدم الخصوصية التفاضلية» لا تخبرك بشيء يُذكر بمفردها: فالمعنى تحمله معاملات الخصوصية، وما قيست عليه، وكيفية تركيبها. والنشرات الملموسة تجعل هذا واقعياً. تعلن Google عن إبسيلون يساوي 1 على مستوى المستخدم لنظامها Provably Private Insights، لكن هذا خيار نشرة واحدة لحالة استخدام واحدة، لا رقم يُنسخ.

كيف يحسب التشفير المتماثل على بيانات لا يفك تشفيرها أبداً؟

يتيح التشفير المتماثل الكامل (FHE) للخادم إجراء عمليات حسابية مباشرة على بيانات مشفّرة وإعادة نتيجة مشفّرة لا يستطيع فكّها إلا مالك البيانات. يؤدي الخادم العمل دون أن يرى النص الصريح أبداً. وهو من أقوى أدوات الخصوصية في المجال، لكن المقايضة هي الأداء.

التشبيه المفيد هو صندوق قفازات مقفل بقفازات مدمجة: يستطيع العامل أن يمدّ يديه ويعالج ما بداخله دون أن يفتح الصندوق أو يخرج محتواه أبداً. ومالك البيانات وحده يحمل المفتاح. يجري الحساب على المحتوى المختوم، ولا يمكن إلا للمالك أن يفتح الصندوق ليقرأ النتيجة. وهذا ما يفعله FHE رياضياً: العمل على النص المشفّر بحيث يعطي فكّ تشفير المخرَج الجواب نفسه الذي كان الحساب على النص الصريح سيعطيه.

العقبة هي الكلفة. Concrete ML من Zama يحوّل نماذج scikit-learn وPyTorch إلى مكافئات متوافقة مع FHE دون أن يضطر المستخدم للتعامل مباشرة مع البدائيات التعمياتية، وقد صدرت نسخته v1.9 في 10 أبريل 2025. لكن قياسات المشروع نفسه تُظهر الكلفة الزائدة: شبكة تصنيف صور CIFAR10 تعمل بنحو 4 دقائق لكل صورة تحت FHE. هذا مقبول لبعض الاستدلال المحتمل للتأخير، وللنماذج الأبسط، وللضبط الدقيق المشفّر التجريبي. لكنه ما زال ليس مساراً عملياً للتدريب الأولي الكامل للنماذج الكبيرة ولا لأحمال تدريبها الاعتيادية. FHE اليوم أداة دقيقة لمجموعة ضيقة من المهام، لا طبقة خصوصية عامة الغرض.

ما هي الحوسبة الآمنة متعددة الأطراف في التعلم الآلي؟

تتيح الحوسبة الآمنة متعددة الأطراف (SMPC) لعدة أطراف أن تحسب معاً دالةً على مدخلاتها الخاصة مجتمعةً دون أن يرى أي طرف البيانات الخام للآخرين. يبقى مدخل كل طرف سرياً، ولا يُعرف سوى النتيجة المتفق عليها. ويمكن بناء SMPC بتقنيات مثل تقاسم السر، والدوائر المشوّشة، والنقل المنسي، وتوليفات منها. ففي بروتوكولات تقاسم السر تُقسَّم القيم الخاصة إلى حصص بحيث لا تكشف الحصة المفردة عن المدخل. أما بروتوكولات الدوائر المشوّشة فتعمل بطريقة مختلفة: تُرمّز الحساب بحيث تستطيع الأطراف تقييمه دون كشف مدخلاتها الخاصة.

حالة الاستخدام الطبيعية هي التعاون بين المؤسسات. عدة مستشفيات تريد تدريب نموذج على بيانات مرضاها مجتمعةً، لكن لا يستطيع أي منها قانونياً مشاركة السجلات مع الآخرين. ويتيح لها SMPC حساب النموذج المشترك كما لو أن البيانات مجمّعة، بينما تبقى سجلات كل مستشفى مختومة داخله. وتعتمد كلفة SMPC الزائدة اعتماداً كبيراً على البروتوكول ونموذج الأمان وظروف الشبكة وعدد الأطراف والدالة التي تُقيَّم. وكثير من البروتوكولات كثيف الاتصالات، ولذلك ينبغي قياس الأداء مقابل التعاون المحدد لا ترتيبه عموماً مقابل الخصوصية التفاضلية أو FHE. وهذا النمط بالضبط في التعلم الآلي الصحي تتناوله مراجعة صدرت عام 2025 في WIREs Computational Statistics.

هل يمكن لنموذج تعلم آلي أن يسرّب بيانات تدريبه؟

نعم. يمكن للنموذج المدرَّب أن يخون بيانات تدريبه بطرق متمايزة عدة: فاستدلال العضوية يكشف إن كان سجل بعينه ضمن مجموعة التدريب، وعكس النموذج وتسريب التدرّجات يمكنهما إعادة بناء السجلات، والنماذج اللغوية الكبيرة قادرة على حفظ أجزاء من بيانات تدريبها وإخراجها حرفياً. وهذه ليست فرضيات، بل هجمات مُثبتة عملياً، وهي سبب وجود التقنيات المذكورة أعلاه.

النتيجة المؤسِّسة هي استدلال العضوية. فقد بيّن Shokri وزملاؤه، في Membership Inference Attacks Against Machine Learning Models (IEEE S&P 2017)، أن مهاجماً يراقب سلوك تنبؤ نموذج ما يستطيع تحديد ما إذا كان سجل معيّن جزءاً من مجموعة تدريبه. يبدو هذا مجرداً إلى أن تصبح مجموعة التدريب «المرضى المصابين بتشخيص بعينه»، فتغدو العضوية نفسها هي المعلومة الحساسة. أما عكس النموذج وهجمات تسريب التدرّجات المذكورة سابقاً فتنقل الأمر من «هل كان هذا السجل موجوداً» إلى «أعِد بناء السجل».

الحدّ الأمامي اليوم هو النماذج اللغوية الكبيرة، وهي الموضع الذي تتلاءم معه أطر PPML الأقدم بأقل قدر. وتوثّق أبحاث حول إخراج نماذج اللغة الكبيرة لبيانات التدريب أن النماذج الكبيرة تحفظ أجزاءً من متن تدريبها ويمكن حثّها على إعادة إنتاجه، مع هجمات استخراج تستعيد بيانات تدريب حرفية أو شبه حرفية. ويمكن تطبيق DP-SGD على الضبط الدقيق الخاص، لكن كلفة الدقة والحوسبة على نطاق النماذج الكبيرة قاسية، وهذا جزء من سبب أن ورشة Apple لعام 2026 حول PPML خصّصت مساراً كاملاً للنماذج الأساسية والخصوصية. فالدفاعات التي تعمل بنظافة مع مصنّف انحدار لوجستي لا تنتقل مجاناً إلى نموذج بمليارات المعاملات.

PPML والذكاء الاصطناعي المستضاف ذاتياً: ما الذي يمنحه لك الاستدلال المحلي وما الذي لا يمنحه

استضافة النموذج ذاتياً تُبقي بياناتك على بنية تحتية تسيطر عليها. وهذا مكسب حقيقي في التحكم بالوصول وتوطين البيانات: فالبيانات لا تسافر إلى طرف ثالث، وأنت من يقرر من يصل إلى الجهاز الذي يعمل عليه. لكن هذا ليس تعلماً آلياً حافظاً للخصوصية. فالاستدلال المحلي لا يفعل بذاته شيئاً لمنع استدلال العضوية على النموذج، ولا يمنع النموذج من كشف ما حفظه.

الاثنان يحلّان نصفين مختلفين من المشكلة، والخلط بينهما خطأ شائع في هذا المجال. فتوطين البيانات يحكم من يستطيع الوصول إليها: سؤال عن المحيط، تجيب عنه مواضع البايتات ومن يملك مفاتيح الغرفة. أما PPML فيحكم ما يمكن للنموذج نفسه أن يكشفه، وهو سؤال عن تسرّب المعلومات تجيب عنه التقنيات الأربع أعلاه. وتشغيل نموذج على خادمك الخاص جواب قوي عن السؤال الأول، ولا جواب البتة عن الثاني.

إذا كان السؤال الذي تزنه هو ما إذا كان عليك تشغيل النموذج بنفسك أصلاً، فإن الجانب الكلفوي من هذا القرار تحليل قائم بذاته: انظر الاستضافة الذاتية لـ LLM مفتوح الأوزان مقابل واجهة برمجة تطبيقات: حسابات التكلفة الحقيقية.

بالنسبة لمهندس المنصة أو البنية التحتية، القراءة التشغيلية هي هذه: عبارة «إنه يعمل على خادمنا الخاص» قد تُرضي بعض متطلبات توطين البيانات والتحكم بالوصول، لكنها بذاتها لا تقيّد ما يمكن للنموذج كشفه. وإن شُورك النموذج أو مخرجاته يوماً، سواء بين الفرق أو مع شركاء أو داخل منتج، فإن المحيط الذي بنيته حول العتاد لا يخرج من الباب مع النموذج. أما خيارات المعمار التي تحرّك الضمان فعلاً فهي خيارات PPML: خصوصية تفاضلية على المخرجات التي تنشرها، وDP-FL للتدريب عبر مواقع لا تستطيع مركزتها، وحوسبة قائمة على التشفير حيث لا يجوز كشف البيانات حتى لبنيتك التحتية. ونشرة Provably Private Insights من Google مفيدة للتعلّم تحديداً لأنها تجمع ضوابط عدة، الخصوصية التفاضلية وبيئات التنفيذ الموثوقة والتحليلات الاتحادية السرية، بدل الاتكاء على واحد منها. التوطين جزء من معمار حقيقي، لا المعمار كله.

متى تستخدم أي تقنية من تقنيات PPML؟

منطق الاختيار يتبع القيد لا الموضة. استخدم التعلم الاتحادي حين يتعذّر تجميع البيانات مركزياً. واستخدم الخصوصية التفاضلية حين تحتاج ضماناً رسمياً لما يكشفه النموذج. واستخدم التشفير المتماثل حين يجب أن يجري الحساب على بيانات لا تُفكّ أبداً ويسمح التأخير بذلك. واستخدم الحوسبة الآمنة متعددة الأطراف حين يجب أن تحسب عدة أطراف معاً دون مشاركة مدخلاتها.

والتقنيات تتركّب أيضاً. وDP-FL أوضح مثال: اختر الضوابط بحسب الضمانات التي يحتاجها النظام بدل حشر المشكلة في تقنية واحدة.

المقايضات في لمحة:

هذه التوصيفات مستمدة من مراجعة لـPPML موجّهة نحو إنترنت الأشياء صدرت في مارس 2026، ومن قياسات Concrete ML لدى Zama، ومن أدبيات إعادة التعرف على الهوية.

الجدول ليس سوى نقطة انطلاق. فالأنظمة الحقيقية كثيراً ما تجمع بين التقنيات: مسألة تدريب عبر مواقع متعددة تحتاج أيضاً ضماناً رسمياً للخصوصية هي عادةً مسألة DP-FL، لا اختياراً بين التعلم الاتحادي والخصوصية التفاضلية. ومن أراد بناء القرار بصرامة أكبر فبإمكانه العمل عبر إطار منظّم لدعم القرار موجّه للمطورين ، المنشور في أواخر 2024.

أما على صعيد الأدوات، فيقدّم TensorFlow Federated إطاراً مفتوح المصدر للتعلم الاتحادي وللحسابات على بيانات لامركزية. ويقدّم TensorFlow Privacy أدوات تدريب تفاضلي الخصوصية، وتغطي مكتبات Differential Privacy من Google الإحصاءات والتجميع بخصوصية تفاضلية، ويوفّر Concrete ML مسار FHE. أما PySyft فقد صار تركيزه أوسع على علم البيانات عن بُعد الحافظ للخصوصية، حيث تجري الحسابات على بيانات يحتفظ بها مالكها ولا تُشارَك سوى النتائج المعتمدة. هذه هي الأسماء وما تفعله. أما الإعداد فمكانه أدلة تنفيذ مخصصة لا هنا. والدرس المتكرر هو أن الرياضيات قد تعمل بينما يفشل التنفيذ. فالضمان لا يهم إلا إذا صُمم النظام حول نموذج التهديد الصحيح وطابقت معاملات الخصوصية الخطر المراد حمايته.

الأسئلة الشائعة

ماذا يعني PPML؟

التعلم الآلي الحافظ للخصوصية مصطلح جامع لأساليب تقلّل كشف المعلومات أثناء التعلم الآلي أو تقيّده أو تضع له حداً رسمياً. وتشمل الأساليب الرئيسية التعلم الاتحادي والخصوصية التفاضلية والتشفير المتماثل والحوسبة الآمنة متعددة الأطراف، لكنها تحمي أصولاً مختلفة وتقدّم أنواعاً مختلفة من الضمانات.

هل يكفي التعلم الاتحادي لحماية الخصوصية؟

لا. يُبقي التعلم الاتحادي البيانات الخام في مصدرها، لكن تحديثات المعاملات التي يشاركها يمكن عكسها لاستعادة سجلات التدريب عبر هجمات عكس التدرّج. وهو وحده لا يقدّم أي ضمان رسمي للخصوصية. أما الخصوصية التفاضلية فيمكنها إضافة حدّ رسمي للتسريب، فتنتج التركيبة التي تُسمّى عادةً DP-FL.

ما قيمة إبسيلون التي ينبغي استخدامها للخصوصية التفاضلية؟

لا توجد قيمة عالمية. فإبسيلون أحد المعاملات الرئيسية في المقايضة بين الخصوصية والدقة: القيم الأدنى تعني عموماً خصوصية أقوى وضجيجاً أكثر، والقيم الأعلى تعني عموماً خصوصية أضعف وضجيجاً أقل. والضبط الصحيح يعتمد على حساسية البيانات وعلى الخطر الذي يمكنك قبوله. ولا يوجد حدّ فاصل عالمي يجعل قيمة إبسيلون «آمنة». قيّم إبسيلون مع وحدة الخصوصية، ونسخة DP وأي معاملات إضافية مثل دلتا، وطريقة التركيب، ونموذج تهديد النظام.

ما الفرق بين PPML وإخفاء الهوية؟

يزيل إخفاء الهوية المعرّفات من مجموعة البيانات، لكن السجلات مجهولة الهوية يمكن إعادة التعرف عليها بربطها ببيانات مساعدة من مصادر أخرى. وتقدّم بعض تقنيات PPML ضمانات رسمية لا يقدّمها إخفاء الهوية المعتاد. فالخصوصية التفاضلية يمكنها وضع حدّ لمقدار تأثير بيانات فرد في نتيجة منشورة، بينما يقدّم FHE وSMPC أشكالاً أخرى من السرية التعمياتية.

هل يمكن استخراج بيانات التدريب من نموذج تعلم آلي؟

نعم. تكشف هجمات استدلال العضوية إن كان سجل بعينه ضمن مجموعة التدريب، ويمكن لعكس النموذج وتسريب التدرّجات إعادة بناء السجلات، وتستطيع النماذج اللغوية الكبيرة حفظ بيانات التدريب وإخراجها حرفياً. هذه هجمات مُثبتة وموثّقة في أدبيات الأمن، لا مخاطر افتراضية.

هل تضمن استضافة النموذج ذاتياً خصوصية البيانات؟

لا. الاستضافة الذاتية تُبقي البيانات على بنية تحتية تسيطر عليها، وهذا تحكم بالوصول وتوطين للبيانات، ومكسب حقيقي في حوكمة من يستطيع الوصول إليها. لكنه ليس تعلماً آلياً حافظاً للخصوصية، ولا يوقف استدلال العضوية ولا التسريب الناتج عن الحفظ. وهو يقترن جيداً بتقنيات PPML لكنه لا يحل محلها.

ما الأدوات مفتوحة المصدر المتاحة للتعلم الآلي الحافظ للخصوصية؟

تغطي عدة أدوات مفتوحة المصدر أجزاءً مختلفة من PPML. فـTensorFlow Federated يدعم التعلم الاتحادي والحسابات على بيانات لامركزية، وTensorFlow Privacy يقدّم أدوات تدريب تفاضلي الخصوصية، وConcrete ML يغطي التعلم الآلي مع FHE. أما PySyft فيركّز الآن على علم البيانات عن بُعد الحافظ للخصوصية، حيث تجري الحسابات على بيانات يتحكم بها مالكها ولا تُشارَك سوى النتائج المعتمدة.