Footprints of Data in a Classifier: Understanding the Privacy Risks and Solution Strategies

कल्पना कीजिए कि आपने अभी-अभी एक सुपर-स्मार्ट रोबोट जासूस बनाया है। आपने इसे बिल्लियों और कुत्तों की हजारों तस्वीरें खिलाई हैं ताकि यह उनके बीच अंतर करना सीख सके। एक बार प्रशिक्षित होने के बाद, आप इसे एक नई फोटो दिखाते हैं, और यह कहता है, "यह एक बिल्ली है!" बहुत बढ़िया! लेकिन यहाँ डरावनी बात यह है: क्या होगा अगर रोबोट अनजाने में अपने पीछे ब्रेडक्रम्ब्स (रोटी के टुकड़ों) का एक गुप्त निशान छोड़ देता है? यदि आप इससे उस फोटो के बारे में पूछते हैं जिसे इसने पहले कभी नहीं देखा है, तो यह हिचकिचा सकता है या गलत अनुमान लगा सकता है। लेकिन यदि आप इससे उस फोटो के बारे में पूछते हैं जिसे इसने अपने प्रशिक्षण के दौरान देखा था, तो यह एकदम सटीक, लगभग संदिग्ध आत्मविश्वास के साथ उत्तर दे सकता है। यह अंतराल कि यह नए डेटा पर कितनी अच्छी तरह से अनुमान लगाता है और अपने प्रशिक्षण को कितनी अच्छी तरह से याद रखता है, एक उंगलियों के निशान (फिंगरप्रिंट) की तरह है। आर्टिफिशियल इंटेलिजेंस (AI) की दुनिया में, इन "फिंगरप्रिंट्स" को "डेटा फुटप्रिंट्स" कहा जाता है। यह एक बहुत बड़ी बात है क्योंकि एक प्रसिद्ध नियम है जिसे "मिटाने का अधिकार" (Right to Erasure) कहा जाता है। यह नियम कहता है कि यदि आप अपना व्यक्तिगत डेटा मिटाना चाहते हैं, तो इसे पूरी तरह से गायब होना चाहिए, न कि केवल छिपा हुआ। लेकिन यदि एक AI मॉडल आपके डेटा को बहुत अच्छी तरह से याद रखता है, तो यह ऐसा है जैसे डेटा अभी भी वहीं है, किसी चालाक हैकर द्वारा खोजे जाने का इंतज़ार कर रहा है। यह शोध पत्र इस बारे में है कि ये पदचिह्न कैसे पीछे छोड़े जाते हैं, क्यों कुछ रोबोट बड़े निशान छोड़ते हैं, और क्या हम रोबोट के दिमाग को तोड़े बिना फर्श को साफ कर सकते हैं।

चालाक पदचिह्नों का रहस्य

यह शोध पत्र एक जासूसी कहानी की तरह है जो एक शांत अपराध की जांच कर रहा है: कैसे AI मॉडल अनजाने में उस डेटा के बारे में रहस्य लीक कर देते हैं जिस पर उन्हें प्रशिक्षित किया गया था। लेखकों, पायल साधुखान और तनुजीत चक्रवर्ती ने यह पता लगाने की कोशिश की कि क्या विभिन्न प्रकार के AI "मस्तिष्क" (जिन्हें क्लासिफायर कहा जाता है) अलग-अलग आकार के पदचिह्न छोड़ते हैं। उन्होंने पूछा: क्या इससे फर्क पड़ता है कि रोबोट एक सरल निर्णय लेने वाला है या एक जटिल न्यूरल नेटवर्क? क्या इससे फर्क पड़ता है कि जिस डेटा से उसने सीखा वह अव्यवस्थित और असंतुलित (जैसे कि 100 बिल्लियों की तस्वीरें और केवल 10 कुत्तों की) था?

शोधकर्ताओं ने एक विशाल प्रयोग किया। उन्होंने वास्तविक दुनिया के पांच अलग-अलग डेटा सेट लिए—बीमा ग्राहक व्यवहार से लेकर शारीरिक प्रदर्शन के आंकड़ों और यहाँ तक कि हस्तलिखित अंकों तक—और दस अलग-अलग प्रकार के AI मॉडल को उन पर प्रशिक्षित किया। फिर, उन्होंने "अंतर पहचानो" का खेल खेला। उन्होंने यह मापा कि मॉडल ने उस डेटा पर कैसा प्रदर्शन किया जिसे उसने पहले देखा था (ट्रेनिंग सेट) बनाम उस डेटा पर जिसे उसने कभी नहीं देखा था (टेस्ट सेट)। यदि कोई मॉडल पुराने डेटा को याद रखने में बहुत अधिक कुशल था, तो उसे "असुरक्षित" (vulnerable) के रूप में चिह्नित किया गया क्योंकि एक हैकर उस अतिरिक्त आत्मविश्वास का उपयोग करके यह पता लगा सकता था कि प्रशिक्षण सेट में कौन से डेटा बिंदु थे।

सबसे बड़े पदचिह्न किसने छोड़े?

जांच में कुछ आश्चर्यजनक संदिग्ध सामने आए। अध्ययन से पता चला कि "पदचिह्न" केवल एक प्रकार के रोबोट द्वारा नहीं छोड़े गए थे; यह काफी हद तक रोबोट की संरचना और उस डेटा की गुणवत्ता पर निर्भर करता था जिसे उसने "खाया" था।

"असुरक्षित" समूह—वे जिन्होंने बड़े, आसानी से पहचाने जाने वाले पदचिह्न छोड़े—में डिसीजन ट्री (Decision Trees), रैंडम फॉरेस्ट (Random Forests), k-नियरस्ट नेबर्स (k-Nearest Neighbors), और गहरे मल्टी-लेयर पर्सेप्ट्रॉन्स (एक प्रकार का न्यूरल नेटवर्क) शामिल थे। ये मॉडल "ओवरलर्न" (अति-सीखने) करने लगे, अपने प्रशिक्षण डेटा के विशिष्ट विवरणों को इतनी अच्छी तरह से याद कर लिया कि जब उनके सामने थोड़ा अलग नया डेटा आया, तो वे लड़खड़ा गए। यह एक ऐसे छात्र की तरह है जिसने अभ्यास परीक्षण के उत्तर रट लिए हैं लेकिन वास्तविक परीक्षा में विफल हो जाता है क्योंकि प्रश्न अलग तरीके से पूछे गए थे।

दूसरी ओर, "सुरक्षित" समूह में लॉजिस्टिक रिग्रेशन (Logistic Regression), एडाबूस्ट (Ada-Boost), गॉसियन नाइव बेयस (Gaussian Naive Bayes), और स्टोकेस्टिक ग्रेडिएंट डिसेंट (Stochastic Gradient Descent) शामिल थे। ये मॉडल अधिक सामान्यज्ञ (generalists) की तरह थे; उन्होंने हर एक विवरण पर ध्यान केंद्रित करने के बजाय सामान्य नियमों को सीखा। वे पुराने और नए डेटा पर लगभग समान प्रदर्शन करते थे, जिससे एक हैकर के लिए यह बताना बहुत कठिन हो जाता था कि कौन से डेटा बिंदु प्रशिक्षण सेट का हिस्सा थे।

पत्र ने यह भी खोजा कि डेटा स्वयं एक बड़ी भूमिका निभाता है। जब प्रशिक्षण डेटा असंतुलित था (जैसे बीमा डेटासेट में "चर्नर्स" की संख्या "नॉन-चर्नर्स" से बहुत अधिक होना) या वितरण में अजीब बदलाव थे, तो यहाँ तक कि सुरक्षित मॉडल भी पदचिह्न छोड़ने लगे। लेखकों ने गणितीय रूप से सिद्ध किया कि यदि आपका प्रशिक्षण डेटा वास्तविक दुनिया से पूरी तरह मेल नहीं खाता है, तो मॉडल अनिवार्य रूप से सामान्यीकरण करने में संघर्ष करेगा, जिससे एक ऐसा अंतराल पैदा होगा जो उसके रहस्यों को उजागर कर देता है।

जादुई इरेज़र: डेटा ऑबफस्केशन (Data Obfuscation)

तो, हम लीकेज को कैसे रोकें? शोधकर्ताओं ने "डेटा ऑबफस्केशन" नामक तकनीक का परीक्षण किया। कल्पना कीजिए कि आप एक रोबोट को चेहरे पहचानने के लिए सिखा रहे हैं, लेकिन उसे फोटो दिखाने से पहले, आप उन पर थोड़ा सा स्टैटिक शोर (static noise) डाल देते हैं या रंगों को इतना बदल देते हैं कि वे थोड़े अलग दिखें, लेकिन फिर भी पहचानने योग्य हों। यही ऑबफस्केशन है। इसका लक्ष्य प्रत्येक डेटा बिंदु के विशिष्ट "हस्ताक्षर" को छिपाना है ताकि रोबोट उसे याद न रख सके, जबकि सामान्य अवधारणा को सीखता रहे।

परिणामों ने दिखाया कि यह "जादुई इरेज़र" अद्भुत काम करता है। जब शोधकर्ताओं ने प्रशिक्षण डेटा पर ऑबफस्केशन तकनीकों (विशेष रूप से LSH एनकोडिंग और हैमिंग एनकोडिंग) को लागू किया, तो असुरक्षित मॉडलों के पदचिह्न नाटकीय रूप से सिकुड़ गए। कई मामलों में, मॉडल बहुत अधिक कठिन हो गए, उनके भेद्यता स्कोर (vulnerability scores) में उल्लेखनीय गिरावट आई। उदाहरण के लिए, बीमा डेटासेट पर, ऑबफस्केशन ने एक गहरे न्यूरल नेटवर्क की भेद्यता को 50% से अधिक कम कर दिया।

व्यापार-बंद (The Trade-Off): गोपनीयता बनाम प्रदर्शन

लेकिन, एक पेच है। आप बिना किसी परिणाम के डेटा को स्कैम्बल (अव्यवस्थित) नहीं कर सकते। यह पत्र एक लागत को मापने के लिए एक चतुर "प्राइवेसी-परफॉर्मेंस ट्रेड-ऑफ इंडेक्स" पेश करता है। इसे एक तराजू की तरह समझें: एक तरफ गोपनीयता (रहस्य कितनी अच्छी तरह छिपा है) है, और दूसरी तरफ प्रदर्शन (रोबोट अपने काम में कितना अच्छा है) है।

अध्ययन ने पाया कि जबकि ऑबफस्केशन ने मॉडलों को बहुत अधिक निजी बना दिया, इसने कभी-कभी उन्हें थोड़ा कम सटीक भी बना दिया। हालाँकि, असंतुलित डेटासेट पर "असुरक्षित" मॉडलों के लिए, यह व्यापार-बंद (trade-off) सार्थक था। जो गोपनीयता मिली वह बहुत बड़ी थी, और प्रदर्शन में गिरावट स्वीकार्य स्तर तक छोटी थी। लेकिन यहाँ एक मोड़ है: संतुलित डेटा (जैसे बॉडी परफॉर्मेंस और हस्तलिखित अंक के डेटासेट) पर प्रशिक्षित मॉडलों के लिए, ऑबफस्केशन ने वास्तव में चीजों को बदतर बना दिया। क्योंकि वे डेटासेट पहले से ही बहुत साफ और संतुलित थे, डेटा को स्कैम्बल करने से मॉडल भ्रमित हो गए, जिससे उनका प्रदर्शन गिर गया बिना किसी अतिरिक्त गोपनीयता के। यह एक ऐसी तस्वीर को धुंधला करने की तरह है जो पहले से ही बिल्कुल स्पष्ट थी; आप अंततः केवल एक धुंधला कचरा ही बनाते हैं।

अंतिम निर्णय

पत्र इस निष्कर्ष पर पहुँचता है कि कोई एक "परफेक्ट" AI मॉडल नहीं है जो हर स्थिति में सुरक्षित हो। डेटा लीकेज का जोखिम मॉडल के डिज़ाइन और उसके द्वारा खाए गए डेटा के मिश्रण पर निर्भर करता है। यदि आप एक AI सिस्टम बना रहे हैं, तो आप केवल सबसे सटीक मॉडल नहीं चुन सकते; आपको यह भी जांचना होगा कि क्या वह पदचिह्न छोड़ता है। यदि आपका डेटा अव्यवस्थित या असंतुलित है, तो आपको रहस्यों को छिपाने के लिए डेटा ऑबफस्केशन का उपयोग करने की आवश्यकता हो सकती है, लेकिन आपको सावधान रहना होगा कि कहीं आप मॉडल की सीखने की क्षमता को खराब न कर दें।

लेखक सुझाव देते हैं कि व्यवसायों और डेवलपरों को इस बारे में अधिक स्मार्ट होने की आवश्यकता है। वे यह तय करने के लिए अपने नए "ट्रेड-ऑफ इंडेक्स" का उपयोग करने का प्रस्ताव देते हैं कि कब ऑबफस्केशन का उपयोग करना सुरक्षित है। यदि इंडेक्स उच्च है (जिसका अर्थ है कि आपको प्रदर्शन के थोड़े से नुकसान के बदले बहुत अधिक गोपनीयता मिलती है), तो आगे बढ़ें। यदि यह कम है, तो आपको अपने डेटा या अपने मॉडल के चुनाव पर पुनर्विचार करने की आवश्यकता हो सकती है। अंततः, यह पत्र चेतावनी देता है कि इन सावधानीपूर्वक जांचों के बिना, AI सिस्टम अनजाने में GDPR के "मिटाने के अधिकार" जैसे गोपनीयता कानूनों का उल्लंघन कर सकते हैं, जिससे हमारे डिजिटल पदचिह्न किसी के भी खोजने के लिए खुले रह जाते हैं।