نموذج OCR الذي يخمن تاريخ ميلادك عندما يعجز عن قراءته

تخيل مسار التحقق من الهوية (KYC) في إحدى الشركات الناشئة في مجال التكنولوجيا المالية (fintech). يقوم مستخدم برفع صورة لرخصة قيادته، ولكن إبهامه يغطي تاريخ الميلاد، في حين قُطع الركن الذي يحتوي على تاريخ الإصدار بفعل زاوية التقاط الكاميرا. هنا، لا يصدر نموذج الذكاء الاصطناعي للمستندات (document-AI) المسؤول عن استخراج الحقول أي رسالة خطأ، بل يكتفي بملء هذه الحقول بأرقام تبدو منطقية ومقنعة تمامًا.

وهنا يكمن الجزء الذي ينبغي أن يثير قلقك: في بعض الأحيان تكون هذه الأرقام صحيحة. وليست «صحيحة» بمعنى أنها «تخمين موفق»، بل صحيحة بمعنى أن النموذج توصل بطريقة ما إلى تاريخ الميلاد الفعلي الذي لم يره قط في الصورة. وتفسر ورقة بحثية جديدة أعدها باحثون من مؤسسات أكاديمية في الصين والهند، وقُبلت في مؤتمر ACM Multimedia 2026، سبب حدوث ذلك: عندما يعجز نموذج فهم المستندات عن قراءة حقل معين، فإنه لا يقول بالضرورة «لا أعلم»، بل يلجأ إلى ما يتذكره حول الحقول التي عادةً ما تقترن ببعضها في المستندات التي تدرّب عليها، ويملأ الفراغ باستنتاج قد يؤدي إلى تسريب بيانات شخصية حقيقية مأخوذة من أمثلة التدريب.

تحمل الورقة البحثية عنوان "Beyond Visual Evidence: Revealing and Mitigating Relational Privacy Leakage in Document MLLMs"، وهي تستهدف بشكل مباشر فئة من الأدوات التي باتت تتحول بهدوء إلى بنية تحتية أساسية: النماذج اللغوية الكبيرة متعددة الوسائط (MLLMs، وهي نماذج تعالج الصور والنصوص معًا) التي جرى ضبطها بدقة (fine-tuned) لقراءة وثائق إثبات الهوية مثل جوازات السفر، وبطاقات الهوية الوطنية، ورخص القيادة، واستخراج حقول منظمة منها. وتُعرف هذه المهمة في أوساط الذكاء الاصطناعي للمستندات باسم استخراج المعلومات الأساسية (Key Information Extraction)، أو اختصارًا KIE. حيث تُزوّد النموذج بصورة، فيعيد لك كائن JSON منظمًا يحتوي على الاسم، والعنوان، وتاريخ الميلاد، ورقم الهوية، وما إلى ذلك. تشكل هذه العملية العمود الفقري للعديد من إجراءات تهيئة المستخدمين الجدد (onboarding flows)، وهي بالضبط الساحة التي يتنافس فيها مزودو خدمات OCR لتحقيق أعلى مستويات الدقة.

النموذج لا يقرأ الصورة، بل يتذكر النمط

يفترض أغلب الناس أن فشل أنظمة OCR أو الذكاء الاصطناعي للمستندات يظهر دائمًا على شكل مخرجات مشوهة وغير مفهومة: أرقام متبادلة، أو محارف مشوهة، أو حقل يُترك فارغًا. هذا هو نمط الفشل التقليدي الذي يختبره الجميع. غير أن هذه الورقة تتناول نمطًا مغايرًا تمامًا، حيث تظهر المخرجات بمظهر مثالي خالٍ من العيوب، لكنها تكون خاطئة بطريقة بالغة الخطورة.

تتضح آلية حدوث ذلك بسهولة بمجرد تفحصها؛ فهذه النماذج تُدرَّب على أعداد هائلة من وثائق الهوية الحقيقية. والحقول الموجودة في وثائق الهوية ليست مستقلة عن بعضها، إذ يرتبط اسم الشخص، وعنوانه، وجنسيته، وبادئة رقم هويته، وتاريخ ميلاده ببعضها إحصائيًا، وأحيانًا لأسباب بيروقراطية روتينية (مثل ارتباط نطاقات أرقام الهوية بمنطقة الإصدار وسنته)، وأحيانًا أخرى لأن مجموعة بيانات التدريب تحتوي ببساطة على تكرارات للشخص نفسه أو لأشخاص متشابهين. والنموذج الذي خضع لضبط دقيق مكثف على هذا النوع من البيانات لا يتعلم فقط «قراءة وحدات البكسل في الموضع المخصص لحقل تاريخ الميلاد»، بل يلتقط أيضًا أن «المستندات التي تبدو هكذا، والصادرة من هذه المنطقة، بهذا التنسيق، يميل تاريخ الميلاد فيها لأن يقع ضمن هذا النطاق»، أو الأسوأ من ذلك: «لقد رأيت هذا المزيج المحدد من الاسم والعنوان من قبل، وأتذكر جيدًا ما يليه».

لذا، عندما تصبح الأدلة البصرية لحقل ما ضعيفة أو مغطاة أو مشوشة أو مقتطعة أو منخفضة الدقة، يجد النموذج أمامه خيارين: إما الإبلاغ عن عدم اليقين، أو الاعتماد على الاحتمالات السابقة (priors) المحفوظة في ذاكرته. وتتمثل النتيجة الجوهرية للورقة البحثية في أن النماذج الحالية تلجأ بأغلبية ساحقة إلى الخيار الثاني، وتفعل ذلك في صمت تام دون أي إشارة تنبيه؛ فلا توجد علامة "confidence: low" (مستوى ثقة: منخفض) في المخرجات، بل قيمة حقل كاملة، منسقة بشكل سليم، تقف جنبًا إلى جنب مع الحقول التي قرأها النموذج بالفعل من الصفحة. ومن منظور الأنظمة اللاحقة في مسار المعالجة (downstream systems)، يبدو التخمين المستند إلى الذاكرة والاستخراج الحقيقي متطابقين تمامًا.

يجدر بنا التوقف هنا للتأمل قليلًا: هذا تسريب للخصوصية لمعلومات لم تُعرض على النموذج إطلاقًا في الصورة الحالية؛ إذ إنه يسرب بيانات حفظها من مستند شخص آخر أثناء مرحلة التدريب، جرى استدعاؤها عبر تطابق جزئي في حقول مترابطة ضمن المستند المعروض أمامه في تلك اللحظة. وهذا نموذج تهديد (threat model) يختلف تمامًا عن فكرة «قراءة النموذج لشيء لم يكن ينبغي له قراءته». إنه أقرب إلى هجمات استنتاج العضوية (membership-inference) واستخراج بيانات التدريب (training-data-extraction) التي يخشاها المتخصصون في النماذج اللغوية الكبيرة النصية، باستثناء أنه يحدث هنا عرضيًا، أثناء الاستخدام الطبيعي، دون أن يحاول أحد مهاجمة النموذج على الإطلاق.

بناء معيار تقييم لخلل لا يظهر إلا عند البحث عنه

لا يمكنك إصلاح ما لا تستطيع قياسه، والمعضلة هنا هي أن نمط الفشل هذا يختبئ وراء أرقام دقة تبدو طبيعية تمامًا. فإذا حقق نموذج ما دقة تصل إلى 96% في معايير تقييم KIE التي تعتمد على مستندات نقية وواضحة تمامًا، فإن هذا الرقم لا يخبرك بأي شيء تقريبًا عما يفعله النموذج عندما تكون جودة الصورة متدهورة، وذلك لأن ظروف التدهور البصري هي تحديدًا اللحظة التي يتحول فيها النموذج من القراءة إلى التخمين.

تلك هي الفجوة التي سعى المؤلفون إلى سدها عبر بناء معيار DocPrivacyBench. وتقوم الفكرة على إنشاء حالات اختبار متعمدة تغيب فيها الأدلة البصرية لحقل أو أكثر أو تقتصر على الحد الأدنى، ثم فحص أمرين: هل يستمر النموذج في إخراج قيمة لهذا الحقل (بدلًا من الاعتراف بعجزه عن التحديد)؟ وإذا كان الأمر كذلك، فهل ترتبط تلك القيمة بمعلومات حساسة لا يُفترض بالنموذج معرفتها من الصورة وحدها؟ صُمم معيار التقييم هذا ليكون هجوميًا ومعاكسًا (adversarial) بالمعنى الحاسم للخصوصية؛ ليس من باب «هل يمكنك اختراق النموذج وتعطيله؟»، بل من باب «هل يسرب النموذج البيانات عندما تكون الظروف واقعية واعتيادية؟»، فالصور غير الواضحة الملتقطة بالهواتف والحقول المغطاة جزئيًا هي تحديدًا ما تبدو عليه المستندات المرفوعة في العالم الحقيقي.

أخضع الباحثون ثلاثة نماذج MLLMs مختلفة لهذا المعيار، وتأكدوا من أن هذا النمط ينطبق بصورة عامة ولا يقتصر على كونه عيبًا خاصًا ببنية معمارية واحدة: فعندما تشح الأدلة البصرية، ترتفع وتيرة التسريب، وتزداد سوءًا بشكل ملحوظ مع مجموعات البيانات الأكثر ضجيجًا وتشويشًا. وتكتسب هذه التفصيلة الأخيرة أهمية بالغة لأي شخص يطور منتجًا فعليًا؛ فمن المرجح أن تكون مجموعة بيانات الاختبار لديك أنقى بكثير من بيانات المستخدمين الحقيقية في بيئة الإنتاج. فالمستخدمون الفعليون يلتقطون صور المستندات في إضاءة رديئة، وبزوايا مائلة، مع وجود انعكاسات وثنيات في الورق. وإذا كان التسريب يتناسب طرديًا مع الضجيج، فمن المرجح أن يكون معدل الخطأ في بيئة الإنتاج لهذه المشكلة بالذات أعلى بكثير مما قمت بقياسه في اختبارات الجودة (QA).

DRUF: تعليم النموذج نسيان علاقات محددة، لا كل ما يعرفه

إن الحل البديهي المتمثل في «جعل النموذج ينسى بيانات التدريب» يُعد أداة فجة تفتقر إلى الدقة. وهنا تبرز أبحاث إلغاء التعلم الآلي (machine unlearning): وهي مجموعة من التقنيات المصممة لإزالة أثر أمثلة تدريبية أو سلوكيات محددة من النموذج بعد اكتمال تدريبه، دون الحاجة إلى إعادة تدريبه من الصفر. وتكمن المشكلة في معظم طرق إلغاء التعلم الحالية—وقد اختبرت الورقة ستًا منها كنماذج أساسية للمقارنة (baselines)—في أنها تتسم باتساع مفرط؛ إذ إن الضغط على النموذج بما يكفي لمنعه من تسريب الارتباط بين الاسم والعنوان غالبًا ما يؤدي إلى تدهور قدرته على أداء مهمة KIE بشكل عام، بما في ذلك الحقول التي يُفترض به فيها إجراء استنتاجات منطقية بناءً على أدلة بصرية جزئية، مثل إعادة تركيب رقم ملطخ قليلًا يمكنه في الواقع رؤية معظمه.

جاء حل المؤلفين متمثلًا في إطار إلغاء التعلم العلائقي الديناميكي (Dynamic Relational Unlearning Framework)، المعروف اختصارًا بـ DRUF، والذي يحاول استئصال ما يريد إزالته بدقة جراحية. ويعتمد الإطار في عمله على جزأين رئيسيين: تستهدف وحدة Relational Decoupling Unlearning أزواجًا محددة من الحقول عالية الخطورة—وهي الأزواج التي أظهر معيار التقييم أنها الأكثر عرضة للتسريب المترابط—بدلًا من محاولة مسح المعرفة العامة للنموذج أو قدرته على قراءة المستندات. أما آلية dynamic set update فهي الجزء الذي يحول دون أن يكون هذا العلاج مجرد إجراء مؤقت يُطبق لمرة واحدة؛ حيث تتعقب هذه الآلية علاقات أزواج الحقول التي تظل محفوفة بالمخاطر مع تقدم عملية التدريب، وتعدّل المجموعة الخاضعة لإلغاء التعلم وفقًا لذلك، بدلًا من الالتزام بقائمة ثابتة مسبقًا قد تغفل أنماط تسريب جديدة أو تبالغ في تصحيح علاقات لم تكن تمثل مشكلة في الأصل.

من الناحية المفاهيمية، يشبه الأمر الفارق بين تعليم شخص ما أن يكف عن نقل الشائعات والحديث عن أي شخص على الإطلاق، وبين تعليمه على وجه الخصوص ألا يربط بين حقيقتين محددتين تصادف أنه يعرفهما؛ فالنهج الأول يجرده تمامًا من فائدته، بينما النهج الثاني أكثر تركيزًا، وأصعب في التطبيق المتقن، وأكثر ترجيحًا للحفاظ على القدرات التي ترغب أساسًا في الاحتفاظ بها.

ما تقوله الأرقام، وما لا تقوله

النتيجة الأبرز: يتفوق إطار DRUF على أقوى الطرق الأساسية الست لإلغاء التعلم بفارق 4.8 نقطة مئوية في كبح التسريب، بينما تشير الورقة البحثية إلى أنه يحافظ على أداء KIE أثناء العملية، مما يعني أن النموذج لا يشهد تراجعًا ملموسًا في مهمته الفعلية المتمثلة في استخراج الحقول التي يمكنه قراءتها بشكل مشروع. هذا هو الوعد الأساسي: حماية أفضل للخصوصية دون دفع ضريبة تراجع الأداء المعتادة.

أرى أن رقم 4.8 نقطة يمثل تحسنًا حقيقيًا ومفيدًا، لا حلًا نهائيًا للمشكلة؛ فهو يمثل فارقًا عن أفضل نموذج أساسي حالي وفق معيار صممه الفريق نفسه، وهو إجراء مألوف في هذا النوع من الأوراق البحثية، لكنه يعني أيضًا أنه يقيس التقدم بالنسبة إلى نقطة انطلاق لا تزال غير مثالية، وليس معدل تسريب مطلق يقترب الآن من الصفر. بل إن ملخص الورقة نفسه يذكر أن النماذج «تُظهر تسريبًا للخصوصية باستمرار» حتى بعد تطبيق هذه التدخلات على هذا المجال. إن تقليص المشكلة بنحو خمس نقاط يعد إنجازًا جيدًا، ولكنه لا يعادل القضاء عليها تمامًا، والورقة البحثية لا تدّعي غير ذلك.

ما يمثل فائدة حقيقية هنا، بصرف النظر عما إذا كان إطار DRUF سيتحول إلى المعيار المعتمد أم لا، هو معيار DocPrivacyBench نفسه. ففي الوقت الراهن، إذا كنت بصدد تقييم مزودي خدمات الذكاء الاصطناعي للمستندات، فمن شبه المؤكد أنك لا تملك وسيلة لاختبار هذا الجانب؛ إذ تعتمد معايير الدقة القياسية على مستندات نقية وتكافئ الإجابات الواثقة. أما المعيار الذي يختبر خصيصًا ظروف تدهور الأدلة البصرية ويعتبر الإجابات الخاطئة الواثقة فشلًا حقيقيًا—وليس مجرد خطأ طفيف مؤسف—فهو اختبار مختلف، وربما أكثر أهمية بكثير من الاختبارات التي ينشرها المزودون حاليًا.

لماذا يهمك هذا الأمر إن كنت تطور أو تختار نظام OCR لوثائق الهوية

إذا كان منتجك يتعامل مع وثائق الهوية، أو جوازات السفر، أو رخص القيادة، أو بطاقات الهوية الوطنية، فإن هذه الورقة البحثية تصف نمط فشل لن ترصده مقاييس الدقة القياسية، وهو أمر يستحق الاستيعاب حتى وإن لم تتعامل مع كود DRUF مطلقًا. وتكتسب هذه القضية حساسية مضاعفة في معالجة المستندات العربية، حيث تؤدي طبيعة النص المتصل من اليمين إلى اليسار، وتعدد أشكال الحروف بحسب موضعها، وتداخل الترابطات الحرفية وعلامات التشكيل إلى جعل التعرف البصري أكثر صعوبة، مما يزيد من احتمالية لجوء النماذج إلى التخمين وحفظ الأنماط وتسريب البيانات.

إليك بضع نقاط عملية مستخلصة:

• لا تعتمد على رقم الدقة الإجمالي الذي يعلنه المزود كمعيار لما سيحدث مع المستندات الحقيقية المرفوعة المليئة بالعيوب. واسأل تحديدًا عن كيفية تصرف النظام عندما يكون الحقل محجوبًا جزئيًا، أو منخفض الدقة، أو مقتطعًا؛ فالإجابة الخاطئة الواثقة أسوأ بكثير من حقل يُصنَّف كـ «غير قابل للقراءة»، لا سيما في أي عملية تُبنى عليها قرارات التحقق من الهوية (KYC) أو الامتثال التنظيمي.
• إذا كنت تقوم بضبط نموذج المستندات الخاص بك بدقة (fine-tuning) على بيانات عملائك، فهذا تذكير بأن الضبط الدقيق على وثائق هوية حقيقية يخلق بدقة ظروف الحقول المترابطة التي تدرسها هذه الورقة. فالخطر ليس نظريًا إذا كانت مجموعة بيانات التدريب لديك تتضمن وثائق لأشخاص حقيقيين.
• اضغط على المزودين لمعرفة ما إذا كانوا قد اختبروا سيناريوهات تدهور الأدلة البصرية على الإطلاق، وتعامل مع عبارة «نحقق دقة 96% في معيارنا» كإجابة غير مكتملة حتى تعرف طبيعة الصور المستخدمة في هذا المعيار؛ فوثائق الاختبار النقية، جيدة الإضاءة، والواضحة بالكامل لا تخبرك بما سيفعله النموذج مع الصور الرديئة التي ستتلقاها فعليًا من المستخدمين.
• إذا أعاد النموذج قيمة لحقل ما، فاسأل عما إذا كان يتيح أيضًا أي مؤشر لمستوى الثقة أو جودة الأدلة البصرية. فالنظام الذي يستطيع التمييز بين «قرأت هذا الحقل» و«استنتجت هذا الحقل» يتمتع بقابلية تدقيق أعلى جوهريًا، ويكون أكثر موثوقية لأغراض الامتثال، مقارنة بنظام يعيد لك كائن JSON نظيفًا بغض النظر عن حجم ما رآه بالفعل في الصورة.

لا تتطرق الورقة بتعمق إلى حلول التخفيف من المخاطر على جانب النشر والتشغيل (deployment-side) مثل تمييز درجات الثقة، نظرًا لأن حلها يركز على مستوى تدريب النموذج، لكنها تظل المكمل الطبيعي: فإذا كنت لا تستطيع إعادة تدريب النموذج بنفسك، فما زال بإمكانك تصميم مسار المعالجة لديك ليتشكك في الحقول المستخرجة في ظل ظروف ضعف الأدلة البصرية، وتوجيه تلك الحالات إلى المراجعة اليدوية بدلًا من الوثوق بالمخرجات تلقائيًا.

الحدود والقيود بموضوعية

ثمة أمور تستحق الإشارة إليها بوضوح: تقيّم الورقة ثلاثة نماذج MLLMs وست طرق أساسية لإلغاء التعلم، وهو نطاق معقول لورقة تقدم معيار تقييم، ولكنه يظل جزءًا صغيرًا من المشهد العام للذكاء الاصطناعي للمستندات؛ وما إذا كانت هذه النتائج تنطبق على جميع أنظمة الذكاء الاصطناعي للمستندات التجارية، بما في ذلك الأنظمة ذات البنى المعمارية أو نظم التدريب المختلفة، فهذا سؤال مفتوح لا تجيب عنه الورقة ولا تستطيع الإجابة عنه بالكامل. بالإضافة إلى ذلك، يتطلب إطار DRUF الوصول إلى البنية الداخلية للنموذج لتطبيق إجراءات إلغاء التعلم، مما يجعله حلًا مناسبًا لمن يقومون بتدريب نماذجهم أو ضبطها بدقة بأنفسهم، وليس حلًا يمكنك دمجه بسهولة مع واجهات برمجة التطبيقات المغلقة (closed APIs) التي تستدعيها من الخارج.

وهناك أيضًا إشكالية هيكلية تتناولها الورقة بصراحة لكنها لا تحسمها بالكامل: إن قدرًا معينًا من «ملء الفراغات باستخدام السياق العلائقي» هو تحديدًا ما يجعل الذكاء الاصطناعي للمستندات مفيدًا وعمليًا؛ فإذا كان أحد حقول النموذج ملطخًا، لكن السياق المحيط يجعل القيمة الصحيحة واضحة، فمن الطبيعي أن ترغب في قيام النموذج باستنتاجها. وبالتالي، فإن الحد الفاصل بين «الاستنتاج السياقي المفيد» و«الحفظ المسرب للخصوصية» ليس حدًا قاطعًا، وما النهج المستهدف لـ DRUF إلا محاولة للموازنة على هذا الخط الدقيق، وليس برهانًا على حل المشكلة جذريًا.

ومع ذلك، فإن المساهمة الأكثر أهمية هنا لا تكمن في رقم 4.8 نقطة، بل في تسمية نمط الفشل هذا الذي كان متواريًا أمام أعين الجميع، وبناء وسيلة عملية لقياسه بدقة. وينبغي على أي شخص يبني حلولًا تعتمد على وثائق الهوية أن يطرح هذا السؤال على مزودي خدماته الآن، سواء أكان DRUF هو الحل النهائي المعتمد أم لا.