كيف يمكن للهاتف تشغيل الذكاء الاصطناعي دون تسريب رسائلك؟

يمكن للذكاء الاصطناعي على الجهاز حماية الرسائل المشفرة، ولكن فقط في ظل ظروف لا توضحها معظم المنتجات. يجب أن يعمل النموذج حيث يوجد النص الصريح بالفعل، ويجب أن يثبت التطبيق أنه لا يترك أي أثر خلفه.

يمكن لهاتفك الآن تشغيل نموذج لغوي صغير ومكمم محلياً، لكن هذا وحده ليس ادعاءً أمنياً. القلق الأمني أكثر تحديداً: يتم فك تشفير الرسائل فقط حيث تكون في شكل مقروء، ويعمل النموذج ضمن هذا النطاق، دون انضمام أي نقطة نهاية جديدة إلى المحادثة.

المعضلة ليست في ما إذا كان ملف النموذج موجوداً على الهاتف أم لا. بل في ما إذا كانت الرسالة التي تم فك تشفيرها، أو الملخص الذي تنتجه، أو المخزن المؤقت للصوت، أو حالة عمل النموذج نفسها، تنتهي في مكان لم تصل إليه المحادثة المشفرة.

بالنسبة للمراسلة الآمنة، يعد التشغيل المحلي شرطاً ضرورياً، لكنه ليس كافياً بمفرده.

من أين نبدأ

لقد أوضحت مقالاتنا السابقة الحجة. التشفير من طرف إلى طرف مقابل الذكاء الاصطناعي شرحت البنيات الثلاث المستخدمة حالياً في الإنتاج، و الذكاء الاصطناعي على الجهاز مقابل الذكاء الاصطناعي السحابي اختبرت مدى موثوقيتها مقابل سطح الثقة للاستدلال السحابي.

يفترض هذا المقال ذلك الإطار. إذا كان الذكاء الاصطناعي سيتعامل مع الرسائل المشفرة من طرف إلى طرف، فيجب أن يتم الاستدلال على نقطة النهاية كلما سمح عبء العمل بذلك. ما لا تجيب عليه هذه المقالة هو السؤال الهندسي الكامن وراء الشعار: ما الذي يجب أن يتحقق ليكون "على الجهاز" ادعاءً بالسرية وليس مجرد رسم توضيحي للموقع؟

النموذج ليس هو الضمان

هناك ثلاثة أشياء موجودة على الهاتف. لا يمثل أي منها الضمان بحد ذاته.

- نموذج نصي أساسي. تميل النماذج اللغوية الحديثة المخصصة للهواتف إلى أن تتراوح بين مليار وأربعة مليارات معلمة، ثم تتقلص من خلال التكميم من عدة غيغابايتات إلى مئات الميغابايتات أو بضعة غيغابايتات. يندرج نموذج Apple الأساسي على الجهاز ضمن هذه الفئة؛ ويعمل نموذج Gemini Nano من Google من خلال نظام AICore في Android على الأجهزة المدعومة. النقطة المهمة ليست عدد المعلمات الدقيق، بل أن تطبيق المراسلة الآمن يجب أن يتناسب مع هاتف المستخدم، وليس مع خادم يتحكم فيه التطبيق.

- محولات المهام للميزات النصية. يمكن لميزات الرد وإعادة الصياغة والتلخيص مشاركة نموذج نصي واحد وتخصيصه باستخدام محولات صغيرة أو مطالبات مهام. ولهذا السبب يمكن لنموذج أساسي واحد أن يخدم العديد من ميزات المراسلة. النسخ هو الاستثناء الذي يستحق الذكر مبكراً: تحويل الكلام إلى نص هو نموذج كلام منفصل أو واجهة برمجة تطبيقات كلام على الجهاز، وليس نفس النموذج اللغوي مع إضافة الصوت إليه.

- بيئة التشغيل. بيئة التشغيل هي البرنامج الذي يحدد الأوزان، ويدير ذاكرة التخزين المؤقت للمفاتيح والقيم (KV cache)، ويختار مسار المعالجة بين وحدة المعالجة المركزية (CPU) أو وحدة معالجة الرسومات (GPU) أو وحدة المعالجة العصبية (NPU)، ويقرر الإجراء المناسب عند الضغط على الذاكرة. بالنسبة لتطبيق مراسلة آمن، لا تُعد سياسة بيئة التشغيل مجرد تفاصيل تقنية، بل هي جزء أساسي من حدود الأمان: نموذج ثقيل واحد في كل مرة، ملفات نماذج مُتحقق منها، عدم إرسال بيانات القياس عن بُعد للمطالبات، وعدم حفظ النصوص بصيغة واضحة.

طلب، لا سجل

طلب التلخيص في تطبيق مراسلة آمن ليس مجرد "إرسال نص إلى نموذج"، بل هو سلسلة عهدة قصيرة الأجل للنصوص الواضحة.

• التوافر يأتي أولاً.

‍توافر النموذج، وفئة الجهاز، والذاكرة المتاحة، وحالة البطارية، والحرارة، كلها عوامل مهمة. في الهواتف ذات الذاكرة المحدودة، تكون الإجابة الصادقة أحياناً هي "لا" أو "ليس الآن".

• النص الواضح يدخل إلى ذاكرة الوصول العشوائي (RAM)، لا إلى وحدة التخزين.

‍تظل قاعدة البيانات مشفرة في حالة السكون. يقرأ التطبيق الصفوف التي يحتاجها فقط، ويبني مطالبة عمل داخل ذاكرة الوصول العشوائي، ويتجنب الملفات المؤقتة أو ذاكرات التخزين المؤقت للنصوص الواضحة.

• المطالبة تتحول إلى رموز (Tokens).

‍النموذج لا يرى كلمات، بل يرى رموزاً. تتم معالجة المطالبة بالكامل في مرحلة التعبئة المسبقة (prefill) لبناء ذاكرة التخزين المؤقت للمفاتيح والقيم، ثم تقوم مرحلة فك التشفير (decode) ببث التلخيص رمزاً تلو الآخر.

• الحالة المشتقة يتم تدميرها.

‍يجب أن تكون مخازن النصوص الواضحة قصيرة الأجل وأن يتم تصفيرها حيثما تسمح المنصة بذلك. تُعامل ذاكرة التخزين المؤقت للمفاتيح والقيم كحالة مشتقة حساسة ويتم التخلص منها بدلاً من حفظها.

‍

لماذا تكلف الكلمة الأولى أكثر

يرى المستخدم تدفقاً واحداً للنص، بينما يتحمل الهاتف تكلفة عبئي عمل مختلفين.

• مرحلة التعبئة المسبقة (Prefill) هي مرحلة القراءة.

‍يعالج النموذج المطالبة (prompt) بالكامل لبناء حالة العمل الخاصة به. لذا، تؤدي المحادثات الطويلة إلى زيادة الوقت المستغرق قبل ظهور الرمز الأول (time-to-first-token) قبل كتابة الكلمة الأولى من الملخص. توضح وثائق نماذج الأساس من Apple هذا الحد بوضوح: يمتلك النموذج الذي يعمل على الجهاز نافذة سياق تبلغ 4096 رمزاً لكل جلسة، لذا فإن الميزانية ليست مجرد تفصيل تقني في التنفيذ.

• مرحلة فك التشفير (Decode) هي مرحلة الكتابة.

‍يولد النموذج رمزاً واحداً، ويضيفه إلى التسلسل، ثم يكرر العملية. بالنسبة للاستخدام التفاعلي ذي الدفعات الصغيرة، غالباً ما تكون هذه المرحلة مقيدة بنقل الأوزان وبيانات التخزين المؤقت عبر الذاكرة أكثر من كونها مقيدة بالعمليات الحسابية.

الأمر غير البديهي هنا هو: كل رمز يتم توليده له تكلفة في الذاكرة. كل رمز على حدة.

لهذا السبب يُعد التكميم (quantisation) ميزة لزيادة السرعة، وليس مجرد ميزة لتقليل حجم التنزيل. يمكن أن يؤدي نقل الأوزان ذات الأربع بتات إلى تقليل حركة مرور البيانات بشكل كبير مقارنة بالأوزان ذات الستة عشر بتات. المكسب الملحوظ ليس أربعة أضعاف تلقائياً، لأن الأنظمة الخلفية، وتنسيق التخزين المؤقت، وفك التكميم، وعرض نطاق الذاكرة الترددي، كلها عوامل تؤثر على النتيجة، لكن الاتجاه يظل واحداً: البيانات الأصغر تتحرك بشكل أسرع.

‍

وحدة المعالجة العصبية (NPU) ليست هي الحد الفاصل

تحب الشركات المصنعة للهواتف عند إطلاق أجهزتها الاستشهاد بمقياس TOPS. يمكن أن يرتبط هذا المقياس بمرحلة التعبئة المسبقة، والمشفرات، وأحمال العمل المتوازية الأخرى. لكنه أقل دقة بكثير في التنبؤ بأداء فك التشفير التلقائي لمستخدم واحد، حيث يحدد عرض نطاق الذاكرة الترددي والمساحة المتاحة لكل تطبيق ما إذا كانت التجربة ستشعر المستخدم بالسرعة الفورية، أو البطء، أو الاستحالة.

الاستنتاج ليس أن وحدات المعالجة العصبية عديمة الفائدة، بل هو استنتاج أكثر تحديداً. فهي مهمة للطاقة، والمشغلات المدعومة، وبيئات تشغيل البائعين. لكنها لا تلغي ميزانية الذاكرة، ولا تجعل الاعتماد على السحابة كخيار بديل أمراً مقبولاً. العروض التوضيحية للهواتف الرائدة لا تحدد حدود المنتج، بل تحددها ذاكرة الهواتف متوسطة الفئة.

هناك تقنية تشغيل واحدة تقوم بالكثير من العمل هنا: تعيين الذاكرة (memory mapping). إذا تم تعيين أوزان النموذج من ملف النموذج بدلاً من نسخها إلى الذاكرة المؤقتة (heap)، فيمكن لنظام التشغيل غالباً استعادة تلك الصفحات النظيفة عند الضغط. يمكن أن يقلل ذلك من الضغط على الذاكرة المؤقتة ويحول بعض أحداث الذاكرة إلى طفرات في زمن الاستجابة. لكنه لا يلغي مشاكل إنهاء العمليات بسبب نقص الذاكرة (jetsam) أو ذاكرة التخزين المؤقت KV التي تنمو بشكل مفرط.

التسريبات المحلية التي لا تزال قائمة

هنا يختلف تطبيق المراسلة الآمن عن أي تطبيق آخر يستخدم الذكاء الاصطناعي محلياً. لم يعد التهديد يكمن في أن يقوم البائع بقراءة الرسائل عند نقطة نهاية الاستدلال. التهديد هو أن النص العادي، أو أي شيء مشتق منه، يُترك على الجهاز بعد انتهاء الطلب.

لا يزال الاستدلال المحلي قادراً على التسريب من خلال آليات المنصة العادية:

- لقطات شاشة التطبيق في الخلفية. عندما ينتقل التطبيق إلى الخلفية، يلتقط نظام iOS لقطة لواجهة المستخدم من أجل مبدل التطبيقات. تختبر منظمة OWASP هذا النوع من التعرض للبيانات بدقة، لأن المحتوى الحساس على الشاشة يمكن أن يتحول إلى صورة مخزنة مؤقتاً ما لم يقم التطبيق بإخفائها.

- ذاكرة التبادل (Swap) والذاكرة المضغوطة. عادةً ما يقوم نظام iOS بإنهاء التطبيقات بدلاً من نقل ذاكرتها إلى القرص، بينما يمكن لأجهزة Android استخدام الذاكرة المضغوطة وآليات مشابهة للتبديل (swap). يجب أن تكون المخازن المؤقتة الحساسة قصيرة العمر، وأن يتم تأمينها ضد الترحيل (paging) حيثما تسمح قيود المنصة بذلك.

- سجلات الأعطال والتقارير التشخيصية. لا ينبغي أن يؤدي حدوث عطل أثناء الاستنتاج إلى رفع نص المطالبة، أو النصوص المفرغة، أو الملخصات المولدة، أو حالة عمل النموذج. يمكن للقياسات عن بُعد تسجيل زمن الاستجابة، وعدد الرموز (tokens)، وفئة الجهاز، وفئة الفشل، ولكن يجب ألا تسجل المحتوى.

- ذاكرات التخزين المؤقت المستمرة. ذاكرة التخزين المؤقت KV ليست هي النص الأصلي، لكن هذا لا يعني أنها غير ضارة. فهي تمثيل مشتق للمحادثة، ويجب على التطبيق الآمن التخلص منها عند انتهاء الطلب.

تساعد المفاتيح المدعومة بالأجهزة، لكنها لا تحل مشكلة نظافة الذاكرة. يحافظ نموذج حماية البيانات في Apple على تشفير مفاتيح الملفات ويستخدم Secure Enclave ومسار AES المعتمد على الأجهزة للتخزين المحمي. يمكن لـ Android Keystore الاحتفاظ بمواد المفاتيح خارج عملية التطبيق، وربط المفاتيح في الأجهزة المدعومة بأجهزة آمنة مثل TEE أو StrongBox. تحمي هذه الآليات المفاتيح، ولكن بمجرد فك تشفير بايتات الرسالة للاستنتاج، يظل على التطبيق التعامل مع النص الصريح بشكل صحيح.

‍

استدعاء واجهة برمجة التطبيقات الذي يفسد الكلام

النسخ الصوتي ليس مجرد توليد نص باستخدام ميكروفون. يلتقط نموذج الكلام الصوت، ويكتشف الكلام، ويقسم البث أو الملف إلى أجزاء، ثم يشغل عبء عمل مكثفاً للمشفر، وبعدها يصدر النص المفرغ. يبدأ توليد النص بعد ذلك.

هذا التمييز مهم لأن أسهل ثغرة في خصوصية الكلام ليست النموذج، بل استدعاء واجهة برمجة التطبيقات.

تنص وثائق SpeechRecognizer في Android على أن التنفيذ الافتراضي من المرجح أن يبث الصوت إلى خوادم بعيدة. أضاف Android 12 دالة createOnDeviceSpeechRecognizer()، التي تنشئ أداة تعرف على الكلام على الجهاز وتفشل إذا لم تكن متاحة. على نظام iOS، يجب التحقق من مسار SFSpeechRecognizer القديم باستخدام supportsOnDeviceRecognition، ويجب أن تضبط الطلبات requiresOnDeviceRecognition لإبقاء الصوت بعيداً عن الشبكة عند دعمه. يتم تقديم مسار SpeechAnalyzer/SpeechTranscriber الأحدث من Apple على أنه يعمل على الجهاز، لكن التوفر لا يزال يعتمد على دعم المنصة والنماذج التي تم تنزيلها.

استخدم واجهة برمجة تطبيقات خاطئة للكلام، وسيتغير نموذج الخصوصية قبل أن يبدأ النموذج اللغوي المحلي (LLM) حتى.

‍

التكاليف الصادقة

القيود ليست غريبة، بل هي مزعجة بما يكفي لتتطلب دقة في ادعاءات المنتج.

- نوافذ السياق صغيرة. يمكن للمحادثة الطويلة أن تتجاوز سعة نافذة السياق المخصصة للهواتف. عندها يتعين على المنتج الاقتطاع، أو التلخيص في أجزاء، أو تلخيص المقاطع ثم تلخيص الملخصات. كل خيار يغير الجودة.

- تسليم النموذج هو تدفق منتج. لا ينبغي أن تُدرج النماذج التي تبلغ أحجامها مئات الميجابايتات أو عدة جيجابايتات بصمت ضمن حزمة تثبيت التطبيق الأساسية. يمكن أن تتم عملية التسليم عبر أنظمة الأصول الخاصة بنظام التشغيل أو ذاكرة تخزين مؤقت للنماذج يديرها التطبيق؛ وفي كلتا الحالتين، تتطلب التنزيلات موافقة المستخدم، وإمكانية الاستئناف، والتحقق من سلامة الملفات، والتخزين الخاص.

- تشغيل نموذجين في وقت واحد يمثل قيداً حقيقياً. قد يتطلب تحويل رسالة صوتية إلى نص ثم تلخيص المحادثة استخدام نموذج للتعرف على الكلام ونموذج آخر للنصوص. على الأجهزة ذات الموارد المحدودة، يجب تنفيذ هذه المهام بشكل متسلسل. قد ينتظر المستخدم قليلاً، لكن التطبيق يظل مستقراً.

- اللغات ليست متساوية في التكلفة. يمكن للغة العربية والنصوص غير الإنجليزية أن تستهلك عدداً أكبر بكثير من الرموز (tokens) عند استخدام مُرمّز معين. في قياسات مُرمّز LFM2 الخاص بـ RealTyme، كانت كثافة الرموز للغة العربية تعادل 1.8 ضعف الكثافة الأساسية، بينما كانت النصوص الأقل دعماً أسوأ بكثير. وهذا يعني أن سعة نافذة السياق المتاحة للمحادثة تصبح أقل.

- جودة التكميم (Quantisation) غير متسقة. تشير الأبحاث حول التكميم متعدد اللغات إلى أن اللغات غير اللاتينية واللغات ذات الموارد المحدودة قد تعاني من تدهور في الأداء أكثر من اللغة الإنجليزية، وأن المقاييس التلقائية قد تقلل من تقدير حجم هذا الضرر. إذا كان تطبيق مراسلة آمن يدعم اللغة العربية، فإن التقييم البشري ليس مجرد إجراء تكميلي، بل هو الاختبار الفعلي.

الاختبار الذي يهم

السؤال الجوهري لأي مزود خدمة ليس "هل النموذج يعمل على الجهاز؟" فهذا لا يمثل سوى الجزء الأول من الإجابة.

السؤال المهم هو: بعد إجراء عملية التلخيص، ما هي البيانات النصية الصريحة التي يجب أن تظل موجودة خارج قاعدة بيانات الرسائل المشفرة وفقاً لنموذج التهديد المعلن؟

1. لا وجود لها في النسخ الاحتياطي السحابي. الطلبات المعقدة، والمحادثات الطويلة، والأجهزة ذات الذاكرة المحدودة لا يتم توجيهها سراً إلى خادم خارجي.

2. لا وجود لها في بيانات القياس عن بُعد (telemetry) النصية. لا تتضمن تحليلات التطبيق وتقارير الأعطال أبداً نصوص الرسائل، أو الصوت، أو النصوص المحولة، أو التضمينات (embeddings)، أو أي محتوى خاص تم إنشاؤه.

3. لا وجود لها في لقطات الشاشة. تعمل واجهة المستخدم على إخفاء الملخصات الحساسة قبل أن يقوم النظام بالتقاط صورة لمعاينة التطبيق في مبدل المهام.

4. لا وجود لها في ذاكرات التخزين المؤقت. لا يتم حفظ ذاكرة التخزين المؤقت (KV cache)، ومخازن الأوامر المؤقتة، والمخرجات المولدة بشكل دائم إلا إذا قام المستخدم بحفظها صراحةً في وحدة التخزين المشفرة الخاصة بالتطبيق.

5. لا وجود لها عبر معالجة الكلام. يتم التعرف على الصوت حصرياً على الجهاز، وإلا فإن الميزة تتوقف عن العمل بشكل آمن.

إذا كانت الإجابة مجرد وعود، فهي ضعيفة. أما إذا كانت خطة اختبار، فهي أقوى. افحص التخزين قبل وبعد، وجرّب الميزة، واسحب اللقطات والسجلات، وتحقق من أن النسخة الوحيدة الدائمة من المحادثة هي النسخة المشفرة التي يمتلكها التطبيق بالفعل.

موقفنا الحالي

لا تدعي RealTyme أن الذكاء الاصطناعي المحلي خاص تلقائياً، بل ترى أن الذكاء الاصطناعي يجب أن يعمل حيث توجد رسائلك بالفعل، وأنه يجب بناء التطبيق بحيث لا يكون للنص الصريح أي مكان آخر يذهب إليه.

هذا يعني قبول القيود بدلاً من إخفائها. النموذج صغير ومكمم لأن الهواتف لديها ميزانية ذاكرة محدودة. الكلمة الأولى بطيئة لأن المحادثة بأكملها يجب معالجتها قبل أن تبدأ الإجابة. الكلام منفصل عن النص. يجب تحديد ميزانية المحادثات الطويلة بالرموز (tokens)، وليس بعدد الأحرف أو المتوسطات التقديرية.

ولا يكون الأمر سرياً بالكامل إلا إذا بقيت النصوص المفكوكة، والملخصات التي تم إنشاؤها، والمخازن المؤقتة للصوت، وحالة النموذج بعيدة عن النسخ الاحتياطية السحابية، وعن القياس عن بُعد، وعن سجلات الأعطال، وعن لقطات الخلفية، وعن ذاكرات التخزين المؤقت على القرص.

لا شيء من هذا سحر، بل هو مجرد ميزانية ذاكرة ورفض لكتابة أي شيء.

يغطي موجزنا التقني اختيار النموذج، وبنية المحول، وتسليم النموذج الموثق، وبصمة الذاكرة المقاسة على الأجهزة متوسطة المدى. متاح عند الطلب.

‍