Gradient-Free Privacy Leakage in Federated Language Models through Selective Weight Tampering
यह शोध पत्र प्रकट करता है कि फेडरेटेड लैंग्वेज मॉडल ग्रेडिएंट-मुक्त गोपनीयता रिसाव के प्रति संवेदनशील हैं, जो यह प्रदर्शित करता है कि मध्यवर्ती मॉडल स्नैपशॉट्स और दुर्भावनापूर्ण प्रतिभागियों द्वारा चयनात्मक वेट टैम्परिंग (weight tampering), सर्वर के सहयोग के बिना भी मेंबरशिप इन्फरेंस और निजी डेटा पुनर्निर्माण को महत्वपूर्ण रूप से बढ़ा सकते हैं।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि एक ऐसी दुनिया जहाँ आपका स्मार्टफोन आपके अगले शब्द का अनुमान लगाना सीख जाता है, आपका ईमेल आपके वाक्यों को पूरा कर देता है, या एक मेडिकल ऐप बीमारियों का निदान करने में मदद करता है, और वह भी बिना आपके निजी संदेशों को किसी विशाल केंद्रीय सर्वर पर भेजे। यह फेडरेटेड लर्निंग (Federated Learning) का वादा है। एक बड़ी कंपनी द्वारा आपके डेटा को एक तिजोरी में जमा करने के बजाय, आपका डिवाइस एक साझा "मस्तिष्क" (एक भाषा मॉडल) को स्थानीय रूप से प्रशिक्षित करता है। यह केवल छोटे अपडेट भेजता है—जैसे कि उसने क्या सीखा उसका एक सारांश—एक केंद्रीय केंद्र को, जो वैश्विक मस्तिष्क को बेहतर बनाने के लिए उन्हें आपस में मिला देता है। यह छात्रों के एक समूह के अध्ययन करने जैसा है: वे प्रत्येक अपनी किताबें पढ़ते हैं, अपने स्वयं के नोट्स लिखते हैं, और फिर केवल नोट्स साझा करते हैं, किताबें नहीं, ताकि कोई भी दूसरों की निजी लाइब्रेरी देखे बिना सभी स्मार्ट हो सकें।
हालाँकि, इसमें एक पेंच है। भले ही कच्चा डेटा आपके फोन पर ही रहे, लेकिन "नोट्स" (मॉडल अपडेट) कभी-कभी अनजाने में यह प्रकट कर सकते हैं कि किताब के अंदर क्या था। यदि नोट्स बहुत विस्तृत हैं, तो एक चालाक छात्र उन्हें पढ़ सकता है और आपके गुप्त अध्ययन विषयों का अनुमान लगा सकता है। यह प्राइवेसी लीकेज (Privacy Leakage) की समस्या है। लंबे समय तक, शोधकर्ताओं ने सोचा कि यदि आप सीखने के पीछे के कच्चे गणित (ग्रेडिएंट्स) को साझा नहीं करते हैं, बल्कि सीखने के एक दौर का अंतिम परिणाम (वेट्स/weights) साझा करते हैं, तो आप सुरक्षित रहेंगे। लेकिन क्या होगा अगर अध्ययन सत्र के बीच के "नोट्स" अंतिम परीक्षा के उत्तरों की तुलना में अधिक प्रकट करने वाले हों? और क्या होगा अगर एक चालाक छात्र अपने स्वयं के नोट्स में हेरफेर कर दे ताकि पूरी कक्षा आपकी गुप्त बातों को और भी बेहतर तरीके से याद रखे? यही वह रहस्य है जिसकी यह शोध पत्रिका जांच करती है।
चालाक छात्र और जादुмयी नोट्स
इस अध्ययन में, पेंसिल्वेनिया स्टेट यूनिवर्सिटी और डार्टमाउथ कॉलेज के शोधकर्ताओं की एक टीम ने फेडरेटेड लर्निंग क्लासरूम में "चालाक छात्र" की भूमिका निभाने का निर्णय लिया। उनका लक्ष्य क्या था? यह देखना कि क्या वे अन्य छात्रों के उपकरणों से निजी जानकारी—जैसे फोन नंबर, क्रेडिट कार्ड विवरण, या गुप्त पासवर्ड—चुरा सकते हैं, भले ही शिक्षक (सर्वर) उनकी मदद न करे या उन्हें देख न सके।
बड़ा आश्चर्य: कक्षा का मध्य भाग सबसे महत्वपूर्ण है
शोधकर्ताओं ने जो पहली चीज़ खोजी वह थोड़ी विरोधाभासी थी। आमतौर पर, हम सोचते हैं कि मॉडल का अंतिम संस्करण सबसे शक्तिशाली होता है। लेकिन इस फेडरेटेड लर्निंग खेल में, मध्यवर्ती स्नैपशॉट्स (Intermediate Snapshots)—प्रशिक्षण प्रक्रिया के बीच में लिए गए "नोट्स"—वास्तव में बहुत अधिक खतरनाक थे।
कल्पना कीजिए कि एक शिक्षक कक्षा को 1,000 शब्दों की सूची याद करने के लिए कहता है। सेमेस्टर के अंत तक, कक्षा भाषा के सामान्य पैटर्न को सीख लेती है, और विशिष्ट, अजीब शब्द (जैसे कि एक फर्जी क्रेडिट कार्ड नंबर) उनकी स्मृति में थोड़े धुंधले हो सकते हैं। लेकिन यदि आप उन अजीब शब्दों का विशेष रूप से अध्ययन करने वाले सप्ताह के दौरान कक्षा की स्मृति की जाँच करते हैं, तो स्मृति बिल्कुल स्पष्ट होती है। शोधकर्ताओं ने पाया कि एक दुर्भावनापूर्ण छात्र इन "मिड-टर्म" स्नैपशॉट्स को देख सकता है और अंतिम मॉडल को देखने की तुलना में निजी डेटा को बहुत आसानी से खोज सकता है। यह कल लिखे गए डायरी के एक विशिष्ट पृष्ठ को खोजने जैसा है, बजाय इसके कि एक साल बाद लिखे गए सारांश से पूरी कहानी का अनुमान लगाने की कोशिश की जाए।
"चयनात्मक छेड़छाड़" (Selective Tampering) का तरीका
लेकिन शोधकर्ता केवल देखने तक ही नहीं रुके। उन्होंने पूछा: "क्या हम इन रहस्यों को और भी बेहतर तरीके से याद करा सकते हैं?"
उन्होंने महसूस किया कि बड़े भाषा मॉडल (वे "मस्तिष्क" जिन्हें प्रशिक्षित किया जा रहा है) सभी एक जैसे नहीं होते। मस्तिष्क के कुछ हिस्से सामान्य ज्ञान केंद्र की तरह होते हैं, जबकि अन्य हिस्से विशिष्ट फाइलिंग कैबिनेट की तरह होते हैं। शोधकर्ताओं ने पाया कि मॉडल के "फाइलिंग कैबिनेट" के अंतिम कुछ परतें (विशेष रूप से MLP सब-लेयर्स) उन अजीब, असामान्य डेटा को थामे रखती हैं, जैसे फोन नंबर या क्रेडिट कार्ड के अंक।
इसलिए, उन्होंने इन विशिष्ट फाइलिंग कैबिनेट को इन निजी डेटा के प्रति जुनूनी बनाने के लिए दो चतुर तरीके विकसित किए:
- सिलेक्टिव वेट्स ऑप्टिमाइजेशन (SWO): यह उन विशिष्ट पृष्ठों पर आवर्धक लेंस (magnifying glass) लेने और वॉल्यूम बढ़ाने जैसा है जहाँ गुप्त डेटा संग्रहीत है। हमलावर मॉडल की वर्तमान स्थिति की तुलना एक "सामान्य" मॉडल से करता है और उन विशिष्ट परतों में अंतर को बढ़ाता है। यह ऐसा है जैसे चालाक छात्र कक्षा से फुसफुसाता है, "हे, इस अजीब नंबर को याद रखो? आइए सुनिश्चित करें कि हम इसे कभी न भूलें!"
- वेट्स ट्रांसफॉर्मेशन लर्निंग (WTL): यह उन्नत संस्करण है। केवल वॉल्यूम बढ़ाने के बजाय, हमलावर एक छोटा AI प्रशिक्षित करता है ताकि यह सीख सके कि निजी डेटा देखते समय मॉडल का मस्तिष्क वास्तव में कैसे बदलता है। फिर, वे उस सीखे हुए पैटर्न को मॉडल पर लागू करते हैं ताकि उसके रहस्यों की याददाश्त को सुपरचार्ज किया जा सके। यह उस छात्र जैसा है जो शिक्षक द्वारा चीजों को याद करने के लिए उपयोग किए जाने वाले सटीक फॉर्मूले को समझ लेता है और फिर उस फॉर्मूले को पूरी कक्षा पर लागू करता है।
परिणाम: एक चौंकाने वाला रिसाव
परिणाम चौंकाने वाले थे। इन "छेड़छाड़" वाले तरीकों का उपयोग करके, दुर्भावनापूर्ण छात्र:
- निजी डेटा का 71% पुनर्गठन (Reconstruct) कर सका (जैसे कि प्रॉम्प्ट "मेरा क्रेडिट कार्ड नंबर है..." को पूर्ण नंबर में बदलना) जब वे प्रशिक्षण के दौरान सक्रिय रूप से मॉडल के साथ छेड़छाड़ कर रहे थे।
- किसी विशिष्ट डेटा के होने की संभावना का अनुमान लगाने की क्षमता को 29% तक बढ़ा सका।
शिक्षक की मदद के बिना, और कच्चे गणित (ग्रेडिएंट्स) तक पहुंच की आवश्यकता के बिना—क्योंकि सिस्टम प्रत्येक दौर के अंतिम वेट्स (weights) को ही साझा करता है—यह हमला अविश्वसनीय रूप से प्रभावी रहा। वास्तव में, यह पिछले कई हमलों से बेहतर काम कर गया जिन्होंने यह माना था कि शिक्षक बुरा है और हैकर की सक्रिय रूप से मदद कर रहा है। उन्होंने GPT-2, BERT और Llama-2 जैसे लोकप्रिय मॉडलों पर इसका परीक्षण किया, और यह उन सभी पर काम कर गया।
"कौन, क्या और कैसे"
यह हमला इस प्रकार काम करता है:
- पीड़ित की पहचान करना: हमलावर प्रशिक्षण के प्रत्येक दौर के मॉडल अपडेट को देखता है। वे एक विशेष परीक्षण का उपयोग करके उन दौरों की पहचान करते हैं जहाँ निजी डेटा वाला पीड़ित प्रतिभागी शामिल था। यह कक्षा की बातचीत को सुनने और यह नोटिस करने जैसा है, "आह, क्रेडिट कार्ड नंबर वाला छात्र अभी बोल उठा।"
- स्मृति के साथ छेड़छाड़ करना: एक बार जब उनके पास वे विशिष्ट स्नैपशॉट्स आ जाते हैं, तो वे मॉडल के "फाइलिंग कैबिनेट" को बदलने के लिए SWO या WTL का उपयोग करते हैं ताकि निजी डेटा स्पष्ट रूप से दिखाई देने लगे।
- प्रश्न पूछना: अंत में, वे एक मानक टेम्पलेट (जैसे "आपका वेरिफिकेशन कोड है...") का उपयोग करके मॉडल से एक प्रश्न पूछते हैं, और मॉडल, जो अब गुप्त जानकारी पर अत्यधिक केंद्रित है, निजी डेटा उगल देता है।
क्या हम इसे रोक सकते हैं?
शोधकर्ताओं ने बचाव पक्ष की भूमिका भी निभाई। उन्होंने इस चालाक छात्र को रोकने के विभिन्न तरीकों का परीक्षण किया:
- डिफरेंशियल प्राइवेसी (Differential Privacy): यह नोट्स में "शोर" (noise) या स्टैटिक जोड़ता है। यह रहस्यों को छिपाने में मदद करता है, लेकिन यह पूरी कक्षा को थोड़ा अस्पष्ट भी बना देता है, जिससे मॉडल की अच्छे वाक्य लिखने की क्षमता प्रभावित होती है।
- स्क्रबिंग (Scrubbing): यह साझा करने से पहले डायरी को संपादित करने जैसा है। यदि आप प्रशिक्षण से पहले टेक्स्ट से क्रेडिट कार्ड नंबर और फोन नंबर हटा देते हैं, तो मॉडल उन्हें सीख नहीं सकता। यह मॉडल की गुणवत्ता को नुकसान पहुँचाए बिना अच्छी तरह से काम करता है।
- Add-DEPN: यह फाइलिंग कैबिनेट को रहस्यों के बारे में थोड़ा शांत रहने के लिए कहने का एक शानदार तरीका है। यह रिसाव को काफी कम कर देता है बिना मॉडल को खराब बनाए।
टीम का सुझाव है कि सबसे अच्छा बचाव एक संयोजन है: पहले टेक्स्ट से निजी डेटा को स्क्रब (scrub) करें, और फिर एक सौम्य रेगुलराइजेशन (regularization) तकनीक (जैसे Add-DEPN) का उपयोग करें ताकि यह सुनिश्चित हो सके कि मॉडल किसी भी ऐसे रहस्य के प्रति बहुत अधिक जुनूनी न हो जाए जो बच निकला हो।
निष्कर्ष
यह शोध पत्र दिखाता है कि फेड फेडरेटेड लर्निंग की दुनिया में, गोपनीयता केवल कच्चे डेटा को छिपाने के बारे में नहीं है; यह इस बारे में है कि मॉडल रास्ते में चीजों को कैसे याद रखता है। एक दुर्भावनापूर्ण प्रतिभागी को शिक्षक की मदद के बिना किसी सुपर-जीनियस हैकर होने की आवश्यकता नहीं है। उन्हें बस यह जानने की आवश्यकता है कि कब देखना है और मॉडल की स्मृति को कैसे ट्यून करना है ताकि रहस्य उभर कर सामने आ सकें। हालांकि यह एक डरावनी खोज है, शोधकर्ताओं ने इन छेदों को भरने के लिए एक रोडमैप भी प्रदान किया है, जिससे यह सुनिश्चित हो सके कि भविष्य की निजी AI सभी के लिए सुरक्षित रहे।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।