حریم خصوصی داده و فناوری‌های ارتقادهنده (Privacy-Enhancing Technologies - PETs)

مبحث ۲: حریم خصوصی داده‌ها و فناوری‌های ارتقای محرمانگی (PETs)

Data Privacy, PETs & Regulatory Frameworks in AI

فصل ششم: اخلاق، حاکمیت، امنیت و مقررات در هوش مصنوعی

۱. راهنمای مطالعه و هدف آموزشی

با ورود مدل‌های یادگیری عمیق و مدل‌های زبانی بزرگ به ارکان حساس جامعه، داده‌های شخصی قابل شناسایی (PII - Personally Identifiable Information) در معرض انواع مخاطرات افشا، استخراج و بازسازی قرار گرفته‌اند. در آزمون مشاوران نصر، سرفصل‌های پربسامد تستی این بخش عبارتند از: - فناوری‌های ارتقای حریم خصوصی (PETs: Privacy-Enhancing Technologies) شامل: یادگیری فدرال (FL)، حریم خصوصی تفاضلی (DP)، رمزنگاری هم‌ریخت (HE) و محاسبات امن چندطرفه (SMPC) - سازوکار و فرمول‌بندی ریاضی Differential Privacy، پارامتر بودجه حریم خصوصی ($\epsilon$) و تقابل دائمی Privacy-Utility Tradeoff - آسیب‌پذیری‌ها و حملات تخصصی نقض حریم خصوصی: استنتاج عضویت (Membership Inference)، وارونگی مدل (Model Inversion) و استخراج داده‌های آموزشی (Data Extraction) - مفهوم نوین فراموشی ماشینی (Machine Unlearning) در راستای تحقق «حق فراموش شدن» (Right to be Forgotten) - اصول کلیدی GDPR و مقررات صیانت از داده‌های شخصی (حداقل‌سازی داده، تحدید هدف، و تفاوت گمنام‌سازی با شبه‌گمنام‌سازی).

۲. این مبحث درباره چیست؟

تصور رایج این بود که وقتی یک مدل یادگیری ماشین آموزش دید، داده‌های آموزشی در آن محو شده و مدل صرفاً مجموعه‌ای از وزن‌های ریاضی است. اما پژوهش‌های امنیت سایبری مدرن اثبات کرده‌اند که هکرها می‌توانند با پرس‌وجوهای هوشمندانه، چهره افراد آموزش‌دیده، سوابق پزشکی بیماران و حتی شماره کارت‌های اعتباری درج‌شده در داده‌های متنی را مستقیماً از حافظه مدل بازسازی کنند!
این مبحث جعبه‌ابزار فنی و حقوقی محافظت از داده‌ها را تشریح می‌کند تا سازمان‌ها بتوانند بدون تجمیع فیزیکی داده‌های حساس یا نقض قوانین حریم خصوصی، از ارزش تحلیلی هوش مصنوعی بهره‌مند شوند.

۳. تعریف ساده

تعریف ساده: حریم خصوصی در هوش مصنوعی مثل این است که بخواهید از پرونده پزشکی تمام بیماران یک کشور یاد بگیرید چه دارویی برای چه علائمی خوب است، بدون اینکه بفهمید کدام پرونده مال چه کسی است و بدون اینکه هکرها بتوانند با دیدن مغز سیستم، عکس یا نام حتی یک بیمار را بیرون بکشند!

۴. تعریف تخصصی

تعریف تخصصی: به‌کارگیری نظریه‌های ریاضیاتی و پروتکل‌های رمزنگاری پیشرفته (Cryptographic Protocols) در چرخه حیات یادگیری ماشین جهت ایجاد تضمین‌های آماری غیرقابل نقض (Mathematical Privacy Guarantees). این متدولوژی با حذف ریسک استنتاج معکوس هویت افراد از پارامترهای مدل، حداقل‌سازی داده‌های در گردش (Data Minimization) و اعمال نویزهای کالیبره‌شده (مانند مکانیسم لاپلاس و گاوسی در DP-SGD)، پردازش اشتراکی داده‌های توزیع‌شده را همگام با استانداردهای رگولاتوری نظیر GDPR و HIPAA ممکن می‌سازد.

۵. مفاهیم و ارکان کلیدی

۵.۱. فناوری‌های ارتقای حریم خصوصی (PETs) 🔴

پنج فناوری ستون فقرات حفظ حریم خصوصی در هوش مصنوعی را تشکیل می‌دهند:

+-------------------------------------------------------------------------------+
|                       فناوری‌های پنج‌گانه ارتقای حریم خصوصی (PETs)           |
+-------------------------------------------------------------------------------+
| ۱. یادگیری فدرال (FL): آموزش مدل روی دستگاه‌های محلی بدون خروج داده خام       |
| ۲. حریم خصوصی تفاضلی (DP): افزودن نویز آماری کنترل‌شده به گرادیان‌ها یا خروجی |
| ۳. رمزنگاری هم‌ریخت (HE): اجرای عملیات ریاضی مستقیماً روی داده‌های رمزشده      |
| ۴. محاسبات امن چندطرفه (SMPC): محاسبه مشترک توابع بدون دیدن ورودی‌های یکدیگر  |
| ۵. فراموشی ماشینی (Machine Unlearning): حذف تضمینی اثر داده یک کاربر از وزن‌ها |
+-------------------------------------------------------------------------------+

۵.۲. سازوکار یادگیری فدرال (Federated Learning - FL) 🔴

الگوریتم میانگین‌گیری فدرال (FedAvg) به این صورت عمل می‌کند:

                  [سرور مرکزی (Central Aggregator)]
                                 ^
                                 | (ارسال صرفاً گرادیان‌ها / وزن‌ها: ΔW)
                    +------------+------------+
                    |                         |
                    v                         v
          [گره محلی ۱: بیمارستان A]   [گره محلی ۲: بیمارستان B]
          - داده‌های محلی خام         - داده‌های محلی خام
          - آموزش روی سرور داخلی      - آموزش روی سرور داخلی
          - داده هرگز خارج نمی‌شود!   - داده هرگز خارج نمی‌شود!

نکته طلایی آزمون نصر: در یادگیری فدرال، داده‌های خام (Raw Data) هرگز شبکه محلی را ترک نمی‌کنند؛ بلکه فقط به‌روزرسانی‌های مدل (گرادیان‌ها $\Delta W$) با سرور مرکزی مبادله می‌شوند.

۵.۳. حریم خصوصی تفاضلی (Differential Privacy - DP) 🔴

قوی‌ترین تعریف ریاضی حریم خصوصی در علوم کامپیوتر:

• تعریف شهودی: اگر داده‌های یک فرد خاص از پایگاه داده حذف یا اضافه شود، خروجی الگوریتم تغییر محسوسی نمی‌کند؛ بنابراین ناظر بیرونی هرگز نمی‌تواند بفهمد شخص در دیتاست حضور داشته یا خیر.
• پارامتر بودجه حریم خصوصی ($\epsilon$ - Epsilon):
• پارامتر $\epsilon$ معرف میزان نشت اطلاعات است.
• $\epsilon$ کوچک‌تر (نزدیک به صفر): نویز بیشتر تزریق می‌شود $\rightarrow$ حریم خصوصی فوق‌العاده قوی‌تر $\rightarrow$ اما دقت و سودمندی مدل (Utility) کاهش می‌یابد.
• $\epsilon$ بزرگ‌تر: نویز کمتر $\rightarrow$ دقت مدل بالاتر $\rightarrow$ اما ریسک افشای هویت بیشتر است.
• تقابل حریم خصوصی و سودمندی (Privacy-Utility Tradeoff): اصلی گریزناپذیر در مهندسی یادگیری ماشین؛ نمی‌توان همزمان حریم خصوصی ۱۰۰٪ و دقت ۱۰۰٪ داشت.
• الگوریتم DP-SGD: در بهینه‌ساز گرادیان نزولی، نایژه گرادیان‌ها بریده شده (Gradient Clipping) و نویز گاوسی کنترل‌شده به آن‌ها افزوده می‌شود.

۵.۴. رده‌بندی حملات نقض حریم خصوصی در هوش مصنوعی 🔴

۵.۵. اصول حاکمیت داده در GDPR و قوانین صیانت 🟠

1. اصل حداقل‌سازی داده (Data Minimization): جمع‌آوری داده باید منحصراً محدود به مواردی باشد که برای حل مسئله یادگیری ماشین ضروری است.
2. تحدید هدف (Purpose Limitation): داده‌های جمع‌آوری‌شده برای یک هدف (مثلاً تحلیل ترافیک جاده‌ها) هرگز نباید بدون رضایت مجدد برای هدفی دیگر (مثلاً رهگیری تخلفات فردی) به کار روند.
3. تفاوت گمنام‌سازی و شبه‌گمنام‌سازی:
4. شبه‌گمنام‌سازی (Pseudonymization): حذف نام و جایگزینی با کد تصادفی؛ با داشتن کلید رمز یا پیوند زدن با دیتابیس‌های دیگر قابل شناسایی مجدد است (مشمول قانون حریم خصوصی).
5. گمنام‌سازی واقعی (Anonymization): حذف قطعی و برگشت‌ناپذیر تمامی نشانه‌های هویتی؛ داده به گونه‌ای غیرقابل پیوند تبدیل شده و از شمول قوانین حریم خصوصی خارج می‌شود.
6. حق فراموش شدن و فراموشی ماشینی (Machine Unlearning):
7. طبق ماده ۱۷ قانون GDPR، کاربر حق دارد درخواست حذف داده‌های خود را بدهد. در هوش مصنوعی، حذف داده از دیتابیس کافی نیست؛ بلکه باید اثر آن از وزن‌های شبکه عصبی نیز بدون نیاز به آموزش مجدد کل مدل از صفر پاک شود.

۶. چگونه کار می‌کند؟ (معماری سامانه یادگیری فدرال با حریم خصوصی تفاضلی)

[سرور هماهنگ‌کننده مرکزی]
         |
         +-----> [ارسال مدل اولیه گلوبال به تمام نودها]
         |
         v
[نودهای محلی: بیمارستان‌ها / بانک‌ها]
   |
   |-- گام ۱: آموزش محلی با استفاده از بهینه‌ساز DP-SGD
   |          (بریدن گرادیان‌ها + افزودن نویز گاوسی به بودجه ε)
   |
   |-- گام ۲: رمزنگاری تغییرات با پروتکل تجمیع امن (Secure Aggregation)
   |
   v
[ارسال گرادیان‌های نویزدار و رمزشده به سرور مرکزی]
         |
         v
[سرور مرکزی: تجمیع با الگوریتم FedAvg و ساخت مدل گلوبال جدید]
         |
         v
[انتشار مدل جدید بدون دسترسی سرور مرکزی به حتی یک بایت داده خام!]

۷. سناریوی واقعی سازمانی

کنسرسیوم پنج بانک بزرگ کشور برای کشف شبکه‌های پولشویی: - مسئله: بانک‌ها بر اساس قوانین بانک مرکزی و موازین محرمانگی، اجازه به اشتراک‌گذاری داده‌های تراکنش مشتریان خود را با یکدیگر نداشتند؛ اما الگوهای پولشویی پیچیده به صورت چرخه تراکنش میان بانک‌های مختلف رخ می‌داد و هیچ بانکی به تنهایی نمی‌توانست کل پازل را ببیند. - راهکار مشاور نصر: 1. استقرار معماری Federated Learning: مدل یادگیری ماشین گراف (GNN) بر روی سرورهای داخلی هر بانک آموزش دید. 2. اعمال Differential Privacy: برای جلوگیری از حملات Model Inversion بین رقبا، گرادیان‌ها با بودجه حریم خصوصی $\epsilon = 1.5$ نویزگذاری شدند. 3. اعمال Secure Aggregation: سرور مرکزی متعلق به شرکت شاپرک صرفاً جمع حسابی گرادیان‌ها را محاسبه کرد، بدون اینکه بتواند سهم اختصاصی هیچ بانکی را رمزگشایی کند. - نتیجه: کشف شبکه‌های سازمان‌یافته پولشویی بدون نشت حتی یک رکورد حساب مشتریان، توأم با انطباق ۱۰۰ درصدی با الزامات حریم خصوصی بانک مرکزی.

۸. مثال خیلی ساده و شهودی

فرض کنید می‌خواهید میانگین حقوق کارمندان یک اداره را بدون اینکه کسی بفهمد دیگری چقدر می‌گیرد حساب کنید: - روش ناامن: همه حقوقشان را روی یک کاغذ بنویسند و تحویل مدیر دهند (خطر فاش شدن). - روش حریم خصوصی تفاضلی (DP): هر کس قبل از گفتن حقوقش، تاس می‌اندازد؛ اگر جفت ۶ آمد، یک عدد تصادفی به حقوقش اضافه یا کم می‌کند و سپس می‌گوید! میانگین کل اداره درست درمی‌آید، اما هیچ‌کس نمی‌تواند قسم بخورد که عدد علی حقوق واقعی‌اش بوده یا عدد تصادفی تاس! - روش یادگیری فدرال (FL): هر کس در خانه خودش آمار پس‌اندازش را حساب کند و فقط بگوید امسال نسبت به پارسال چند درصد رشد کرده، نه اینکه اصل رقم حسابش را لو بدهد!

۹. مقایسه عمیق مفاهیم مشابه

۱۰. مزایا و محدودیت‌ها

مزایا (✅)

1. امکان همکاری سازمان‌های رقیب: ایجاد مدل‌های مشترک میان بانک‌ها یا بیمارستان‌های رقیب بدون به اشتراک‌گذاری دیتابیس‌ها.
2. انطباق حقوقی بین‌المللی: برآورده ساختن سخت‌گیرانه‌ترین الزامات GDPR و قوانین حفاظت از داده.
3. تضمین‌های ریاضی غیرقابل نفوذ: محافظت در برابر سرقت هویت حتی در صورت دسترسی کامل مهاجم به وزن‌های مدل با DP.
4. حفظ استقلال و حاکمیت داده: داده‌ها در مرزهای جغرافیایی و سرورهای داخلی باقی می‌مانند.

محدودیت‌ها و مخاطرات (⛔)

1. افت دقت ناشی از نویز (Utility Loss): تزریق نویز در الگوریتم DP دقت مدل را کاهش می‌دهد.
2. کند شدن همگرایی در یادگیری فدرال: تنوع داده‌ها در کلاینت‌های مختلف (Non-IID Data) فرآیند آموزش را طولانی می‌کند.
3. آسیب‌پذیری در برابر مسموم‌سازی فدرال (Poisoning in FL): اگر یکی از گره‌های محلی خرابکار باشد، می‌تواند گرادیان‌های مخرب ارسال کند.

۱۱. کاربردهای کلیدی در صنایع

+-------------------------------------------------------------------------------+
|                      کاربردهای فناوری‌های PETs در هوش مصنوعی                  |
+-------------------------------------------------------------------------------+
| ۱. سلامت و بیمارستان‌ها: آموزش مدل‌های پیش‌بینی تومور بدون خروج تصاویر بیماران |
| ۲. تلفن‌های هوشمند و کیبوردها: پیش‌بینی کلمات بعدی (Gboard) با یادگیری فدرال   |
| ۳. بانکداری و اعتبارسنجی: کشف کلاهبرداری فرابانکی با پروتکل‌های SMPC           |
| ۴. خدمات ابری سلامت: استنتاج از روی سی‌تی‌اسکن با رمزنگاری تمام‌هم‌ریخت (HE)    |
| ۵. تجارت الکترونیک: پیاده‌سازی حق فراموش شدن کاربر با Machine Unlearning       |
+-------------------------------------------------------------------------------+

۱۲. دیدگاه مشاوره‌ای (سناریوی آزمون نصر)

سناریوی آزمون نصر:

«یک شرکت نرم‌افزاری قصد دارد یک مدل تشخیصی عمیق برای دسته‌بندی ضایعات پوستی با استفاده از تصاویر ۲۰ کلینیک تخصصی در سراسر کشور توسعه دهد. وکلای کلینیک‌ها اعلام کرده‌اند به دلیل قانون حفاظت از داده‌های شخصی و تعهد رازداری پزشکی، انتقال فیزیکی تصاویر به سرور شرکت غیرممکن است. مدیرعامل شرکت پیشنهاد داده است که تمام مشخصات هویتی (نام، سن و کدملی) از زیر تصاویر بریده شده و عکس‌ها با شناسه تصادفی به سرور شرکت ارسال شوند (Pseudonymization). به عنوان مشاور رتبه یک نصر، آیا این راهکار را تایید می‌کنید و چه معماری استانداردی ارائه می‌دهید؟»

تحلیل مشاور ارشد هوش مصنوعی:

1. رد رویکرد کارفرما (عدم کفایت شبه‌گمنام‌سازی):
2. تصاویر پزشکی چهره و پوست حاوی ویژگی‌های بیومتریک منحصر‌به‌فرد هستند. با روش‌های شناسایی مجدد (Re-identification) و تطبیق تصویر با عکس‌های شبکه‌های اجتماعی، هویت بیماران به سادگی فاش می‌شود؛ بنابراین برش زدن متادیتا مانع حقوقی را برطرف نمی‌کند.
3. ریسک سرقت متمرکز داده‌ها:
4. تجمیع صدها هزار تصویر پزشکی در یک سرور واحد، سازمان را در معرض ریسک هک، نشت اطلاعات و غرامت‌های نجومی قرار می‌دهد.

بسته معماری پیشنهادی مشاور:

1. استقرار زیرساخت یادگیری فدرال (Federated Learning):
2. نصب سرور کلاینت FL در داخل هر کلینیک؛ تصاویر در داخل همان کلینیک نگهداری شده و پردازش می‌شوند.
3. اعمال DP-SGD در لایه آموزش کلاینت:
4. برای تضمین اینکه حتی از روی وزن‌ها و گرادیان‌ها امکان حمله Model Inversion و بازسازی بافت پوستی بیمار وجود نداشته باشد، گرادیان‌ها با بودجه مشخص $\epsilon$ نویزگذاری شوند.
5. پروتکل تجمیع امن (Secure Aggregation):
6. سرور شرکت صرفاً گرادیان‌های تجمیع‌شده را ببیند و پس از تکمیل مدل، وزن‌های به‌روزشده را به کلینیک‌ها بازگرداند. این فرآیند از نظر تمامی مراجع قضایی و وزارت بهداشت کاملاً قانونی و منطبق بر استاندارد است.

۱۳. قاعده تصمیم‌گیری مشاور (درخت تصمیم انتخاب فناوری PET)

                    آیا انتقال فیزیکی داده‌های خام به سرور مرکزی مجاز است؟
                                      /                        \
                                    بله                        خیر
                                    /                            \
           آیا خطر حملات Membership Inference وجود دارد؟       آیا کلاینت‌ها توان پردازشی کافی دارند؟
                       /            \                                    /              \
                     بله            خیر                                بله              خیر
                     /                \                                /                  \
          [استقرار DP-SGD]     [آموزش متمرکز استاندارد]       [یادگیری فدرال: FL]      [رمزنگاری HE یا SMPC]
          - بریدن گرادیان      - رمزنگاری انتقال و سکون       - ارسال فقط گرادیان      - ارسال داده رمزگذاری‌شده
          - تنظیم بودجه ε                                    - داده در محل می‌ماند    - هزینه پردازشی بالا

۱۴. 🔴 نکات طلایی آزمون نصر (۱۰ نکته کنکوری)

1. مکانیزم یادگیری فدرال (FL): داده‌های خام در دستگاه‌های محلی باقی می‌مانند و صرفاً گرادیان‌ها و وزن‌های مدل با سرور مرکزی تبادل می‌شوند.
2. پارامتر $\epsilon$ در Differential Privacy: بودجه حریم خصوصی نام دارد؛ هر چه $\epsilon$ کوچک‌تر باشد، نویز بیشتر بوده و حریم خصوصی قوی‌تر است (اما دقت مدل کمتر می‌شود).
3. تقابل Privacy-Utility: اصلی بنیادین که نشان می‌دهد افزایش سطح حریم خصوصی ریاضی همواره با هزینه‌ای از جنس کاهش دقت یا افت سرعت همراه است.
4. حمله Membership Inference: مهاجم به دنبال پاسخ به این سوال است: «آیا داده‌های فلان شخص در مجموعه آموزشی این مدل استفاده شده است؟».
5. حمله Model Inversion: بازسازی بصری یا مشخصات هویتی افراد از روی خروجی‌های احتمالات یا گرادیان‌های مدل.
6. فراموشی ماشینی (Machine Unlearning): فرآیند حذف تضمینی ردپای داده‌های یک کاربر از وزن‌های مدل در راستای تحقق «حق فراموش شدن» (Right to be Forgotten).
7. شبه‌گمنام‌سازی (Pseudonymization) مشمول قانون حریم خصوصی است: زیرا با در دست داشتن اطلاعات تکمیلی، امکان شناسایی مجدد (Re-identification) وجود دارد.
8. گمنام‌سازی قطعی (Anonymization): غیرقابل بازگشت است و از شمول مقررات حریم خصوصی خارج می‌شود.
9. الگوریتم FedAvg: استاندارد صنعتی تجمیع وزن‌های مدل‌های محلی در سرور مرکزی در یادگیری فدرال.
10. رمزنگاری تمام‌هم‌ریخت (HE): اجرای مستقیم محاسبات جمع و ضرب روی متون رمزنگاری‌شده بدون نیاز به رمزگشایی، که بالاترین سربار محاسباتی را در میان فناوری‌های PET دارد.

۱۵. ⚠️ دام‌های رایج آزمون

دام ۱: «در حریم خصوصی تفاضلی، هر چه مقدار اپسیلون ($\epsilon$) بزرگ‌تر باشد، سیستم امن‌تر است.»
❌ پاسخ دام‌شکن: کاملاً برعکس است! مقدار $\epsilon$ معرف میزان نشت اطلاعات است؛ بنابراین $\epsilon$ نزدیک به صفر یعنی حریم خصوصی حداکثری و امن‌ترین حالت، در حالی که $\epsilon$ بزرگ نویز را کم کرده و امنیت را کاهش می‌دهد.

دام ۲: «در یادگیری فدرال، داده‌های خام به صورت بسته‌های تکه‌تکه‌شده به سرور مرکزی می‌روند.»
❌ پاسخ دام‌شکن: این یک دام انحرافی بسیار شایع است! در FL حتی یک بایت داده خام به سرور مرکزی ارسال نمی‌شود؛ منحصراً پارامترهای ریاضی مدل و گرادیان‌ها مبادله می‌گردند.

دام ۳: «حذف نام و شماره ملی از فایل اکسل، آن را به داده گمنام (Anonymous) تبدیل می‌کند.»
❌ پاسخ دام‌شکن: این کار شبه‌گمنام‌سازی (Pseudonymization) است. با ترکیب سن، شغل و کد پستی، در بیش از ۸۰ درصد موارد می‌توان هویت دقیق فرد را مجدداً کشف کرد (حمله Linkage Attack).

دام ۴: «برای حذف داده یک کاربر از مدل، کافی است رکورد او از پایگاه داده SQL حذف شود.»
❌ پاسخ دام‌شکن: اثر آماری داده در وزن‌ها و سیناپس‌های شبکه عصبی باقی می‌ماند و با حملات استخراج داده قابل بازیابی است؛ رفع این چالش نیازمند فرآیند تخصصی Machine Unlearning است.

۱۶. 🧠 خلاصه یک‌دقیقه‌ای

• فناوری‌های PET: یادگیری فدرال (عدم خروج داده خام)، حریم خصوصی تفاضلی (تزریق نویز آماری)، رمزنگاری هم‌ریخت و فراموشی ماشینی.
• حریم خصوصی تفاضلی (DP): کنترل با بودجه $\epsilon$؛ اپسیلون کمتر مساوی حریم قوی‌تر اما دقت کمتر.
• حملات کلیدی: استنتاج عضویت (کشف حضور فرد) و وارونگی مدل (بازسازی تصویر فرد).
• الزامات رگولاتوری: تفکیک گمنام‌سازی از شبه‌گمنام‌سازی، رعایت اصل حداقل‌سازی داده، و اجرای حق فراموش شدن.

۱۷. نقشه ذهنی (ASCII Mind Map)

                              حریم خصوصی و امنیت داده در هوش مصنوعی
                                                |
    +--------------------+----------------------+--------------------+--------------------+
    |                    |                                           |                    |
[فناوری‌های ارتقا (PETs)] [حریم خصوصی تفاضلی (DP)]                   [حملات به محرمانگی]  [اصول حقوقی و GDPR]
    |                    |                                           |                    |
    |-- یادگیری فدرال    |-- بودجه حریم خصوصی (ε)                    |-- استنتاج عضویت    |-- حداقل‌سازی داده
    |   (FL / FedAvg)    |-- ε کوچک = امنیت بالا                     |   (Membership)     |-- تحدید هدف
    |-- رمزنگاری هم‌ریخت |-- تقابل حریم و سودمندی                    |-- وارونگی مدل      |-- شبه‌گمنام vs گمنام
    |   (HE / SMPC)      |   (Privacy-Utility Tradeoff)              |   (Model Inversion)|-- حق فراموش شدن
    |-- فراموشی ماشینی   |-- الگوریتم DP-SGD                         |-- استخراج داده     |   (Right to be
    |   (Machine         |   (بریدن گرادیان + نویز)                  |   (LLM Extraction) |    Forgotten)
    |    Unlearning)     |                                           |                    |

۱۸. ارتباط با سایر مباحث

• مبحث ۱ از همین فصل (AI Ethics): حریم خصوصی به عنوان رکن سوم هوش مصنوعی معتمد.
• مبحث ۳ از همین فصل (Bias & Fairness): اثر متقابل نویزگذاری DP بر افزایش یا کاهش سوگیری مدل.
• مبحث ۴ از فصل ۵ (Risk Management): حملات استنتاج عضویت به عنوان تهدیدات دسته‌بندی‌شده در NIST AI RMF.
• مبحث ۴ از فصل ۴ (AI in Healthcare): کاربرد حیاتی یادگیری فدرال در پردازش تصاویر پزشکی بیمارستان‌ها.

۱۹. سؤالات احتمالی آزمون (۶ تست استاندارد نصر)

تست ۱ (🔴 — محاسبات و مفاهیم حریم خصوصی تفاضلی)

در طراحی سامانه یادگیری ماشین با استفاده از الگوریتم DP-SGD، کارشناس حریم خصوصی تصمیم می‌گیرد مقدار پارامتر بودجه حریم خصوصی ($\epsilon$) را از عدد ۴ به عدد ۰.۳ کاهش دهد. پیامد فنی این تغییر بر رفتار مدل چیست؟

الف) سطح حریم خصوصی کاهش یافته اما دقت مدل افزایش می‌یابد.
ب) سطح حریم خصوصی به طور چشمگیری تقویت می‌شود اما به دلیل افزایش حجم نویز، دقت و سودمندی (Utility) مدل افت می‌کند.
ج) سرعت آموزش مدل ۱۰ برابر می‌شود.
د) مدل از یک شبکه عصبی به یک مدل رگرسیون تبدیل می‌شود.

کلید: ب
تحلیل تشریحی:
- تأیید ب: در نظریه Differential Privacy، پارامتر $\epsilon$ معرف سقف نشت اطلاعات است. کاهش $\epsilon$ به معنای سخت‌گیرانه‌تر شدن تضمین حریم خصوصی و تزریق نویز قوی‌تر به گرادیان‌ها است. طبق اصل گریزناپذیر Privacy-Utility Tradeoff، این ارتقای امنیت به قیمت افت درصدی از دقت نهایی مدل تمام خواهد شد.
- رد الف: گزاره کاملاً معکوس است؛ $\epsilon$ کوچک‌تر حریم را تقویت می‌کند نه تضعیف.
- رد ج و د: تأثیری بر سرعت یا ساختار لایه‌های مدل ندارد.

تست ۲ (🔴 — معماری یادگیری فدرال)

در یک شبکه یادگیری فدرال (Federated Learning) متشکل از ۱۰۰ شعبه بانکی که از الگوریتم استاندارد FedAvg استفاده می‌کنند، کدام مؤلفه میان شعب محلی و سرور مرکزی تبادل می‌شود؟

الف) کل جداول تراکنش‌های مالی حساب‌های مشتریان به صورت زیپ‌شده
ب) صرفاً به‌روزرسانی‌های پارامترها و گرادیان‌های بهینه‌ساز مدل محلی ($\Delta W$)
ج) کلیدهای خصوصی رمزنگاری حساب‌های کاربران
د) لاگ‌های دسترسی وب‌سرورهای شعب

کلید: ب
تحلیل تشریحی:
- تأیید ب: فلسفه وجودی یادگیری فدرال این است که داده‌های خام هرگز نباید از حریم محلی کلاینت خارج شوند. آموزش به صورت مستقل روی سرورهای محلی شعب با داده‌های بومی انجام شده و تنها وزن‌های به‌روزشده یا گرادیان‌ها ($\Delta W$) برای میانگین‌گیری ریاضی به سرور مرکزی مخابره می‌گردند.
- رد الف، ج، د: همگی ناقض اصول بنیادین معماری FL هستند.

تست ۳ (🔴 — رده‌بندی حملات سایبری به داده‌ها)

حمله‌ای که در آن مهاجم صرفاً با دسترسی به API مدل و ارسال ورودی‌های هدفمند، سعی در بازسازی بصری چهره یک فرد حاضر در مجموعه آموزشی یا حدس زدن مشخصات حساس او دارد، چه نامیده می‌شود؟

الف) حمله تزریق پایگاه داده (SQL Injection)
ب) حمله وارونگی مدل (Model Inversion Attack)
ج) حمله مرد میانی (Man-in-the-Middle)
د) حمله منع سرویس (DoS)

کلید: ب
تحلیل تشریحی:
- تأیید ب: حمله Model Inversion تلاشی است برای مهندسی معکوس خروجی‌های احتمالی مدل یادگیری ماشین به منظور بازسازی داده‌های ورودی حساس (مانند بازسازی تصویر چهره افراد بر اساس بردار احتمالات رده‌بندی).
- رد الف، ج، د: حملات کلاسیک وب و شبکه هستند و ارتباطی با استنتاج معکوس الگوهای داده از وزن‌های هوش مصنوعی ندارند.

تست ۴ (🟠 — حقوق داده و مفاهیم رگولاتوری)

تفاوت حقوقی و فنی «گمنام‌سازی» (Anonymization) با «شبه‌گمنام‌سازی» (Pseudonymization) در پردازش داده‌های آموزشی هوش مصنوعی چیست؟

الف) گمنام‌سازی فقط برای کدهای زبان جاوا کاربرد دارد اما شبه‌گمنام‌سازی برای پایتون.
ب) در شبه‌گمنام‌سازی شناسه‌های مستقیم با کد جایگزین می‌شوند اما امکان شناسایی مجدد با اتصال به سایر منابع داده وجود دارد (لذا همچنان مشمول قوانین حریم خصوصی است)؛ در حالی که در گمنام‌سازی واقعی، امکان اتصال مجدد به هویت فرد به طور غیرقابل بازگشت سلب شده و از شمول قوانین خارج می‌شود.
ج) این دو واژه کاملاً مترادف بوده و هیچ تفاوت حقوقی ندارند.
د) شبه‌گمنام‌سازی فقط در داده‌های صوتی انجام می‌شود.

کلید: ب
تحلیل تشریحی:
- تأیید ب: مطابق متن صریح قانون GDPR و موازین صیانت از داده، داده‌های Pseudonymized به دلیل ریسک حملات Linkage همچنان داده شخصی تلقی شده و مشمول سخت‌گیری‌های قانونی هستند. اما داده‌های Anonymized چنان با نویز و تجمیع تغییر یافته‌اند که بازگشت به هویت اولیه ناممکن است و خارج از شمول تعهدات رگولاتوری قرار می‌گیرند.
- رد الف، ج، د: گزاره‌های باطل و انحرافی هستند.

تست ۵ (🔴 — استنتاج عضویت و شیوه‌های مقابله)

پدیده بیش‌برازش شدید (High Overfitting) در یک مدل یادگیری ماشین، احتمال موفقیت کدام یک از حملات نقض حریم خصوصی را به شدت افزایش می‌دهد؟

الف) حمله قطع کابل فیبر نوری
ب) حمله استنتاج عضویت (Membership Inference Attack)
ج) حمله سرقت فیزیکی هارد دیسک
د) حمله نشت حافظه RAM

کلید: ب
تحلیل تشریحی:
- تأیید ب: زمانی که یک مدل دچار بیش‌برازش (Overfitting) می‌شود، داده‌های آموزشی را به صورت دقیق حفظ می‌کند؛ در نتیجه در مواجهه با داده‌هایی که در فاز آموزش دیده‌است، اطمینان خروجی بسیار بالایی (نزدیک به ۱۰۰٪) نشان می‌دهد، اما برای داده‌های ندیده خروجی مبهم‌تری دارد. مهاجم در حمله Membership Inference دقیقاً از این شکاف اطمینان سوءاستفاده کرده و حضور فرد را با قطعیت فاش می‌سازد.
- رد الف، ج، د: موارد فیزیکی و سیستمی بی‌ربط به ریاضیات یادگیری ماشین هستند.

تست ۶ (🟠 — حق فراموش شدن در هوش مصنوعی)

مفهوم «فراموشی ماشینی» (Machine Unlearning) در حوزه هوش مصنوعی برای پاسخگویی به کدام چالش ایجاد شده است؟

الف) رفع کمبود ظرفیت هارد دیسک سرور با پاک کردن فایل‌های موقت
ب) حذف تضمین‌شده و موضعی اثرات و ردپای آماری داده‌های یک کاربر خاص از وزن‌های یک مدل از پیش آموزش‌دیده، بدون نیاز به آموزش پرهزینه کل مدل از ابتدا (تحقق حق فراموش شدن)
ج) پاک کردن حافظه کش مرورگر کاربران
د) جلوگیری از فراموشی دستورات توسط پرسنل شرکت

کلید: ب
تحلیل تشریحی:
- تأیید ب: طبق الزامات حقوق شهروندی دیجیتال (مانند Right to be Forgotten در GDPR)، اگر کاربری درخواست خروج اطلاعاتش را داد، سازمان باید بتواند اثر آن داده را از هوش مصنوعی پاک کند. آموزش مجدد مدل‌های میلیاردی از اول صدها هزار دلار هزینه دارد؛ بنابراین الگوریتم‌های Machine Unlearning ابداع شدند تا وزن‌های مدل را به گونه‌ای جراحی کنند که گویی آن داده خاص هرگز در آموزش وجود نداشته است.
- رد الف، ج، د: تعاریف نامربوط و پیش‌پاافتاده اداری یا سخت‌افزاری هستند.

۲۰. سطح‌بندی مطالب جهت مرور سریع