LLM-Safety Evaluations Lack Robustness
यह शोध पत्र तर्क देता है कि वर्तमान एलएलएम (LLM) सुरक्षा अनुसंधान मूल्यांकन पाइपलाइन में महत्वपूर्ण शोर और विसंगतियों से बाधित है, और यह भविष्य के हमले और रक्षा आकलन की मजबूती, निष्पक्षता और तुलनीयता में सुधार के लिए व्यवस्थित दिशा-निर्देश प्रस्तावित करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप यह तय करने की कोशिश कर रहे हैं कि दो नए सुरक्षा गार्डों में से कौन बेहतर है जो घुसपैठियों को रोकने में सक्षम है। आप एक परीक्षण सेट करते हैं जहाँ आप गार्डों को "ट्रिकी सवाल" (चालाकी भरे प्रश्न) भेजते हैं ताकि यह देखा जा सके कि क्या वे गलती से किसी बुरे आदमी को अंदर आने देते हैं।
यह शोध पत्र तर्क देता है कि बड़े भाषा मॉडल (LLMs) की सुरक्षा के लिए परीक्षण करने का वर्तमान तरीका उन सुरक्षा गार्डों के लिए एक टूटे हुए, असंगत और खराब डिज़ाइन किए गए परीक्षण का उपयोग करने जैसा है। क्योंकि परीक्षण स्वयं दोषपूर्ण है, हम वास्तव में यह नहीं बता सकते कि कौन सा गार्ड बेहतर है, और AI को सुरक्षित बनाने की प्रगति अटक गई है।
यहाँ सरल उपमाओं (analogies) का उपयोग करके शोध पत्र के मुख्य बिंदुओं का विवरण दिया गया है:
1. परीक्षण के प्रश्न बहुत छोटे और दोहराव वाले हैं (डेटासेट्स)
कल्पना कीजिए कि आप एक चोर को पहचानने की गार्ड की क्षमता का परीक्षण कर रहे हैं। उन्हें 1,000 अलग-अलग प्रकार के चोरों को दिखाने के बजाय, आप उन्हें केवल 50 तस्वीरें दिखाते हैं, जिनमें से 40 बिल्कुल एक जैसी दिखती हैं।
- समस्या: पत्र कहता है कि वर्तमान सुरक्षा परीक्षण "बुरे प्रॉम्प्ट्स" की बहुत छोटी सूचियों (अक्सर केवल 100-500) का उपयोग करते हैं। क्योंकि सूची इतनी छोटी है, परिणाम "शोर" (यानी रैंडम किस्मत) से भरे होते हैं। यदि आप उसी गार्ड का थोड़ा अलग सूची के साथ परीक्षण करते हैं, तो स्कोर बहुत अधिक बदल सकता है, जिससे यह जानना असंभव हो जाता है कि वे वास्तव में सुरक्षित हैं या नहीं।
- "सबसैंपलिंग" (Subsampling) का मुद्दा: कभी-कभी शोधकर्ता प्रश्नों की एक बड़ी सूची लेते हैं लेकिन परीक्षण करने के लिए केवल एक छोटा, रैंडम हिस्सा चुनते हैं। यह एक शिक्षक द्वारा छात्र को 100 प्रश्नों की परीक्षा में से केवल तीन प्रश्नों के आधार पर ग्रेड देने जैसा है। यह विभिन्न छात्रों की निष्पक्ष तुलना करना कठिन बनाता है क्योंकि हर कोई परीक्षण के एक अलग, छोटे संस्करण को दे रहा है।
- "केवल अंग्रेजी" की अनदेखी: अधिकांश परीक्षण केवल अंग्रेजी में हैं। लेकिन यदि एक गार्ड केवल अंग्रेजी बोलता है, तो वह स्पेनिश में परीक्षण में विफल हो सकता है। पत्र नोट करता है कि सुरक्षा ज्ञान भाषा के आधार पर बदल जाता है, इसलिए केवल अंग्रेजी में परीक्षण करना सुरक्षा का एक झूठा अहसास देता है।
2. खेल के नियम भ्रमित करने वाले हैं (एल्गोरिदम)
कल्पना कीजिए कि दो गार्डों का परीक्षण किया जा रहा है, लेकिन एक को टॉर्च का उपयोग करने की अनुमति है, जबकि दूसरे को अंधेरे में काम करने के लिए मजबूर किया गया है। या, एक गार्ड का परीक्षण एक स्टॉपवॉच के साथ किया जाता है जो तेज़ चलती है, और दूसरे का एक ऐसी स्टॉपवॉच के साथ जो धीमी चलती है।
- छिपी हुई सेटिंग्स: पत्र बताता है कि परीक्षण कैसे चलाए जा रहे हैं, इसके सूक्ष्म, अदृश्य विवरण परिणामों को नाटकीय रूप से बदल देते हैं। उदाहरण के लिए, कंप्यूटर शब्दों के बीच "स्पेस" को कैसे संभालता है या किस तरह के "चैट टेम्पलेट" का उपयोग किया जाता है, इससे गार्ड की सफलता दर 14% या उससे अधिक बदल सकती है।
- "टारगेट" का जाल: कई हमले AI को एक विशिष्ट वाक्यांश जैसे "ज़रूर, यहाँ बताया गया है कि कैसे..." कहने के लिए मजबूर करते हैं ताकि यह साबित हो सके कि वह टूट गया है। लेकिन यदि AI को "बिल्कुल!" कहने के लिए प्रशिक्षित किया गया है, तो हमला विफल हो जाता है क्योंकि हमलावर गलत "चाबी" का उपयोग कर रहा था। यह AI को वास्तव में सुरक्षित दिखने के बजाय अधिक सुरक्षित दिखाता है।
- अनुचित तुलना: कुछ शोधकर्ता अपने हमले के तरीके का परीक्षण असीमित कंप्यूटर पावर के साथ करते हैं, जबकि अन्य बहुत कम पावर के साथ। उनकी तुलना करना एक पेशेवर एथलीट की दौड़ की तुलना उस स्प्रिंटर से करने जैसा है जिसे हेड स्टार्ट (शुरुआती बढ़त) मिली है।
3. जज पक्षपाती और असंगत हैं (मूल्यांकन)
ट्रिकी सवालों के जवाब देने के बाद, एक "जज" को यह तय करना होता है: "क्या वे विफल रहे?"
- खंडित जूरी (Fragmented Jury): AI सुरक्षा के लिए कोई एक एकल "सुप्रीम कोर्ट" नहीं है। कुछ शोधकर्ता जवाबों को आंकने के लिए एक AI का उपयोग करते हैं, अन्य एक अलग AI का उपयोग करते हैं, और कुछ मनुष्यों का उपयोग करते हैं। ये "जज" अक्सर असहमत होते हैं। एक जज किसी प्रतिक्रिया को सुरक्षित कह सकता है, जबकि दूसरा उसे खतरनाक कह सकता है, भले ही वह बिल्कुल वही उत्तर हो।
- "लालची" (Greedy) गलती: अधिकांश परीक्षण AI को सबसे संभावित उत्तर देने के लिए मजबूर करते हैं (जैसे एक रोबोट जो हमेशा पहली चीज़ चुनता है जो उसके दिमाग में आती है)। लेकिन वास्तविक दुनिया में, AI एक व्यक्ति की तरह है जो अपने मूड या आपसे कितनी बार पूछा गया है, इस आधार पर अलग-अलग बातें कह सकता है। केवल "सबसे संभावित" उत्तर का परीक्षण करके, हम उन समयों को मिस कर देते हैं जब AI गलती से कुछ खतरनाक कह सकता है जब वह अलग तरह से "सोच" रहा होता है।
- "ओवर-रिफ्यूज़ल" (अत्यधिक इनकार) की अनदेखी: एक सुरक्षित गार्ड को केवल बुरे लोगों को रोकना ही नहीं चाहिए; उन्हें अच्छे लोगों को भी नहीं रोकना चाहिए। यदि एक गार्ड संदिग्ध दिखने के कारण एक निर्दोष व्यक्ति को अंदर आने से मना कर देता है, तो यह एक समस्या है जिसे "ओवर-रिफ्यूज़ल" कहा जाता है। पत्र कहता है कि अधिकांश परीक्षण इसे अनदेखा करते हैं। वे केवल यह देखते हैं कि गार्ड बुरे लोगों को रोकता है या नहीं, यह नहीं कि क्या वे अच्छे लोगों के साथ बहुत रूखे व्यवहार कर रहे हैं।
"विपक्षी दृष्टिकोण" (चीजें ऐसी क्यों हैं)
पत्र दूसरे पक्ष की बात भी सुनता है। कुछ शोधकर्ता तर्क देते हैं:
- छोटे परीक्षण सस्ते हैं: बड़े परीक्षणों में बहुत पैसा और समय लगता है। छोटे परीक्षण शोधकर्ताओं को नए विचारों को जल्दी से आज़माने की अनुमति देते हैं।
- पूर्णता असंभव है: भाषा अव्यवस्थित है। हमारे पास कभी भी एक आदर्श "जज" नहीं होगा जो मानवीय बातचीत की हर बारीकी को समझ सके। हमें बस उपलब्ध सर्वोत्तम उपकरणों को बेहतर बनाना है।
- प्रगति फिर भी होती है: भले ही परीक्षण अव्यवस्थित हों, क्षेत्र अभी भी आगे बढ़ रहा है। नए विचार मिल रहे हैं भले ही स्कोरबोर्ड एकदम सही न हो।
समाधान: एक बेहतर नियम पुस्तिका
लेखक यह नहीं कह रहे हैं कि हमें परीक्षण करना बंद कर देना चाहिए। वे कह रहे हैं कि हमें नियम पुस्तिका को ठीक करने की आवश्यकता है ताकि सभी एक ही नियमों के तहत खेल सकें। वे सुझाव देते हैं:
- बेहतर प्रश्न सूचियों का उपयोग करें ताकि परिणाम केवल किस्मत पर आधारित न हों।
- सेटिंग्स को मानकीकृत करें ताकि हर कोई एक ही "टॉर्च" और "स्टॉपवॉच" का उपयोग करे।
- कई जजों का उपयोग करें और पूर्वाग्रहों को पकड़ने के लिए मनुष्यों से परिणामों की दोबारा जांच करवाएं।
- दोनों पक्षों का परीक्षण करें: जांचें कि क्या AI बुरे लोगों को रोकता है और क्या वह अच्छे लोगों को अंदर आने देता है।
संक्षेप में: पत्र का दावा है कि अभी, हम एक ऐसे पैमाने (रूलर) से AI की सुरक्षा मापने की कोशिश कर रहे हैं जिसकी लंबाई खुद बदलती रहती है। जब तक हम उस पैमाने को ठीक नहीं करते, हम यह सुनिश्चित नहीं कर सकते कि हम वास्तव में प्रगति कर रहे हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।