نرخ تطبیق ۹۸.۹ درصدی: پایگاه‌های داده هشینگ ادراکی چگونه محتوای غیرقانونی شناخته‌شده را شناسایی و حذف می‌کنند

در ۲۵ آوریل ۲۰۱۶، مهندسان سازمان ایمنی کودکان Thorn یک تحلیل فنی از سیستم PhotoDNA مایکروسافت منتشر کردند و نشان دادند که چگونه یک تصویر غیرقانونی می‌تواند از نظر ریاضی به یک شبکه خاکستری تقلیل یابد. این الگوریتم به‌جای تحلیل تصویر همانند یک انسان، رنگ‌ها را حذف کرده، اندازه فایل را تغییر داده و شدت پیکسل‌های مجاور را برای تولید یک امضای دیجیتال منحصربه‌فرد نقشه‌برداری می‌کند.[4]

این امضا همان «هش ادراکی» (perceptual hash) است. سال‌ها پلتفرم‌های دیجیتال برای شناسایی فایل‌ها به هش‌های رمزنگاری‌شده مانند MD5 یا SHA-256 متکی بودند. هش‌های رمزنگاری‌شده به‌شدت حساس هستند؛ تغییر تنها یک پیکسل در یک عکس با وضوح بالا، رشته الفبایی-عددی حاصل را کاملاً تغییر می‌دهد. اگر کاربری یک تصویر ممنوعه را دانلود کند، یک ردیف از پیکسل‌های آن را ببرد و دوباره آپلود کند، فیلتر رمزنگاری آن را به‌عنوان یک فایل کاملاً جدید و بی‌خطر ثبت می‌کند.

هشینگ ادراکی دقیقاً برای حل همین شکنندگی مهندسی شد. همان‌طور که در مجله Journal of Online Trust and Safety به‌تفصیل آمده است، الگوریتم‌هایی مانند PhotoDNA و pHash به‌جای کد باینری زیربنایی، ویژگی‌های بصری یک تصویر را ارزیابی می‌کنند. با تمرکز بر داده‌های با فرکانس پایین — یعنی اشکال و کنتراست‌های کلی که یک عکس را تعریف می‌کنند — این هش حتی در صورت فشرده‌سازی، تغییر اندازه یا تغییر رنگ جزئی تصویر، ثابت می‌ماند.

مکانیسم این کار بر یک عملیات ریاضی به نام تبدیل کسینوسی گسسته (DCT) استوار است. وقتی تصویری وارد صف بررسی می‌شود، سیستم آن را به یک مربع خاکستری ۳۲ در ۳۲ پیکسل تبدیل می‌کند. الگوریتم DCT تصویر را به مجموعه‌ای از فرکانس‌ها و دامنه‌ها تفکیک کرده و جزئیات با فرکانس بالا را که نشان‌دهنده لبه‌های تیز یا نویز هستند، دور می‌ریزد. سپس سیستم مقدار میانه فرکانس‌های باقی‌مانده را محاسبه کرده و بسته به اینکه هر بلوک بالاتر یا پایین‌تر از آن میانگین قرار گیرد، مقدار ۱ یا ۰ را به آن اختصاص می‌دهد.[1]

خروجی کار یک رشته از بیت‌هاست — که اغلب ۶۴ یا ۲۵۶ کاراکتر طول دارد. برای تعیین اینکه آیا تصویر جدید آپلودشده با یک محتوای غیرقانونی شناخته‌شده مطابقت دارد یا خیر، پایگاه داده این دو رشته را با استفاده از معیاری به نام فاصله همینگ (Hamming distance) مقایسه می‌کند. این فاصله به‌سادگی تعداد موقعیت‌هایی را که بیت‌ها در آن‌ها تفاوت دارند می‌شمارد. اگر فاصله همینگ از یک آستانه از پیش تعیین‌شده کمتر باشد، سیستم فایل آپلودی را به‌عنوان یک مورد تطبیق‌یافته علامت‌گذاری می‌کند.[1]

در عمل، این مکانیسم در برابر تلاش‌های ساده برای دور زدن فیلترها به دقت قابل‌توجهی دست می‌یابد. نهاد تنظیم‌کننده ارتباطات بریتانیا (Ofcom) در بررسی اجمالی خود از فناوری هشینگ ادراکی خاطرنشان می‌کند که این سیستم‌ها در مواجهه با تغییرات استاندارد کاربران، مانند افزودن واترمارک یا ذخیره یک فایل JPEG با کیفیت پایین‌تر، به‌طور معمول به نرخ تطبیق ۹۸.۹ درصدی می‌رسند.[1]

این نرخ اثربخشی بالا، ستون فقرات ایمنی آنلاین مدرن را تشکیل می‌دهد. مرکز ملی کودکان گمشده و مورد سوءاستفاده قرار گرفته (NCMEC) یک مرکز تبادل متمرکز از هش‌هایی که نشان‌دهنده محتوای شناخته‌شده سوءاستفاده جنسی از کودکان (CSAM) هستند، نگهداری می‌کند. شبکه‌های اجتماعی، ارائه‌دهندگان فضای ذخیره‌سازی ابری و پیام‌رسان‌ها روزانه میلیاردها بار از این پایگاه داده استعلام می‌گیرند و فایل‌ها را پیش از آنکه در فیدهای عمومی ظاهر شوند، به‌طور خودکار رهگیری و گزارش می‌کنند.[4]

با این حال، قابلیتی که شرکت‌های فناوری آن را به‌عنوان یک سپر نفوذناپذیر بازاریابی می‌کنند، در حال نشان دادن ترک‌های ساختاری شدیدی است. پژوهشگران کالج امپریال لندن اخیراً یافته‌هایی را منتشر کرده‌اند که نشان می‌دهد این مکانیسم‌های تشخیص می‌توانند به‌طور سیستماتیک دور زده شوند. این پژوهشگران با تأکید بر یک آسیب‌پذیری بنیادین در نحوه پردازش داده‌های بصری توسط این الگوریتم‌ها، نتیجه گرفتند: «مکانیسم‌های پیشنهادی برای تشخیص محتوای غیرقانونی به‌راحتی قابل دور زدن هستند.»[2]

این آسیب‌پذیری ریشه در اختلالات خصمانه (adversarial perturbations) دارد. یک مقاله پیش‌چاپ که در ژوئن ۲۰۲۴ در arXiv با عنوان «ارزیابی امنیت خصمانه الگوریتم‌های کاربردی هشینگ ادراکی» منتشر شد، دقیقاً نشان داد که سیستم‌های مبتنی بر آستانه چقدر شکننده‌اند. با اعمال لایه‌ای از نویز ریاضی روی یک تصویر — تغییر مقادیر پیکسل‌ها به میزان کمتر از ۱ درصد — مهاجمان می‌توانند الگوریتم DCT را مجبور کنند تا هشی کاملاً متفاوت را محاسبه کند.[3]

برای یک ناظر انسانی، تصویر تغییریافته کاملاً مشابه نسخه اصلی به نظر می‌رسد. اما برای الگوریتم هشینگ، این نویز نامرئی فاصله همینگ را به بسیار فراتر از آستانه تطبیق می‌راند. پژوهشگران arXiv دریافتند که این اختلالات هدفمند، نرخ تشخیص هش‌های ادراکی استاندارد را تقریباً به صفر می‌رسانند و به محتوای غیرقانونی شناخته‌شده اجازه می‌دهند تا به‌طور کامل از فیلترهای خودکار عبور کنند.[3]

پلتفرم‌ها نمی‌توانند به‌سادگی با افزایش فاصله همینگ مجاز، تور خود را تنگ‌تر کنند. اگر یک پایگاه داده واریانس ۳۰ درصدی بین هش‌ها را به‌عنوان یک تطبیق بپذیرد، نرخ مثبت کاذب (false positive) به‌شدت افزایش می‌یابد. سیستمی که بیش‌ازحد آزادانه پیکربندی شده باشد، شروع به علامت‌گذاری تصاویر مناظر بیابانی به‌عنوان محتوای غیرقانونی می‌کند، صرفاً به این دلیل که خط افق و پروفایل کنتراست مشابهی با یک تصویر ممنوعه دارند.

هجوم هوش مصنوعی مولد، فشار بر این معماری را دوچندان کرده است. در نامه‌ای به تاریخ ۱ ژانویه ۲۰۲۶ خطاب به NCMEC، مرکز اینترنت و جامعه استنفورد تأثیر آماری تصاویر CSAM تولیدشده توسط هوش مصنوعی را بر اکوسیستم گزارش‌دهی تحلیل کرد. از آنجا که هشینگ ادراکی به پایگاه داده‌ای از تصاویر پایه شناخته‌شده و تأییدشده توسط انسان متکی است، نمی‌تواند به‌طور پیشگیرانه صحنه‌های کاملاً جدید و تولیدشده به‌صورت مصنوعی را تشخیص دهد.

پژوهشگران استنفورد خاطرنشان کردند که حجم عظیم محتوای تولیدشده توسط هوش مصنوعی تهدیدی برای غلبه بر تحلیلگران انسانی است که برای تأیید و هش کردن تصاویر جدید مورد نیازند. یک پایگاه داده هش ادراکی ذاتاً واکنشی است؛ این سیستم تنها چیزی را می‌شناسد که قبلاً به آن آموزش داده شده است. وقتی سرعت تولید محتوا از تأیید دستی پیشی می‌گیرد، نرخ پوشش واقعی سیستم به‌شدت افت می‌کند.

برای مقابله با این تاکتیک‌های فرار، صنعت به‌آرامی در حال چرخش به‌سوی هشینگ عصبی (neural hashing) است — استفاده از مدل‌های یادگیری عمیق برای استخراج ویژگی‌های معنایی به‌جای تکیه بر تبدیلات فرکانسی خشک. هش‌های عصبی در برابر نویزهای خصمانه مقاوم‌ترند، اما برای اجرا در مقیاس میلیاردها آپلود روزانه، به قدرت محاسباتی بسیار بیشتری نیاز دارند.[2][5]

گذار به هشینگ مبتنی بر هوش مصنوعی همچنین ابهام جدیدی را وارد خط لوله نظارت بر محتوا می‌کند. درحالی‌که ریاضیات تبدیل کسینوسی گسسته شفاف و قابل پیش‌بینی است، شبکه‌های عصبی مانند جعبه‌های سیاه عمل می‌کنند و توضیح اینکه دقیقاً چرا یک تصویر خاص علامت‌گذاری شده است را برای پلتفرم‌ها دشوار می‌سازند. با ادامه تلاش مهاجمان برای بهبود اختلالات خود، فیلترهای خودکاری که از اینترنت محافظت می‌کنند مجبور خواهند شد پیش‌بینی‌پذیری را فدای مقاومت کنند.[5]