Using Mechanistic Interpretability to Craft Adversarial Attacks against Large Language Models
यह शोध पत्र एक नवीन व्हाइट-बॉक्स एडवरसैरियल अटैक पद्धति प्रस्तुत करता है जो मैकेनिस्टिक इंटरप्रिटेबिलिटी का लाभ उठाकर एम्बेडिंग्स को रिफ्यूज़ल (अस्वीकृति) से एक्सेप्टेंस (स्वीकृति) सबस्पेस में पहचानने और पुनरनिर्देशित करने का कार्य करती है, जिससे मौजूदा तकनीकों की तुलना में काफी कम कम्प्यूटेशनल लागत के साथ अत्याधुनिक एलएलएम (LLMs) पर उच्च जेलब्रेक सफलता दर प्राप्त होती है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
यहाँ "Using Mechanistic Interpretability to Craft Adversarial Attacks against Large Language Models" शोध पत्र का सरल भाषा और रचनात्मक उपमाओं के साथ अनुवाद दिया गया है।
बड़ी तस्वीर: ताला तोड़े बिना तिजोरी को खोलना
कल्पना कीजिए कि एक लार्ज लैंग्वेज मॉडल (LLM) एक बहुत ही बुद्धिमान, उच्च प्रशिक्षित लाइब्रेरियन (पुस्तकालयाध्यक्ष) है। इस लाइब्रेरियन के पास एक सख्त नियम पुस्तिका है: "यदि कोई बम बनाने के निर्देश मांगता है, तो आपको मना करना होगा।"
पारंपरिक हैकर्स (एडवर्सरियल अटैक्स) इस लाइब्रेरियन को भ्रमित करने के लिए उलझाने वाले शब्दों या जटिल पहेलियों का उपयोग करके उसे बेवकूफ बनाने की कोशिश करते हैं। यह एक ताले को हर संभव चाबी लगाकर खोलने की कोशिश करने जैसा है जब तक कि कोई एक काम न कर जाए। इसमें बहुत समय लगता है, बहुत अधिक प्रयास (trial and error) की आवश्यकता होती है, और अक्सर नए, अधिक स्मार्ट लाइब्रेरियन पर यह विफल हो जाता है।
यह शोध पत्र "सबस्पेस रिरोटिंग" (Subspace Rerouting - SSR) नामक एक नई विधि पेश करता है। चाबियाँ आज़माने के बजाय, शोधकर्ताओं ने लाइब्रेरियन के मस्तिष्क के अंदर देखा कि "मना करने" (refusal) का विचार वास्तव में कैसे बनता है। फिर उन्होंने एक विशिष्ट "जादुई वाक्यांश" तैयार किया जो लाइब्रेरियन के मस्तिष्क को एक अलग रास्ता लेने के लिए मजबूर करता है, जिससे सुरक्षा नियम पूरी तरह से बायपास हो जाता है।
यह कैसे काम करता है: तीन चरण
1. "रिफ्यूज़ल रूम" (मना करने वाला कमरा) का मानचित्रण करना
शोधकर्ताओं ने सबसे पहले मॉडल का अध्ययन किया ताकि यह पता लगाया जा सके कि "मना करना" कहाँ होता है।
- उपमा: कल्पना कीजिए कि लाइब्रेरियन का मन एक विशाल इमारत है जिसमें कई कमरे हैं। शोधकर्ताओं ने एक विशिष्ट गलियारा (एक "सबस्पेस") खोजा जहाँ "मैं यह नहीं कर सकता" वाला विचार रहता है।
- खोज: उन्होंने महसूस किया कि जब मॉडल किसी हानिकारक अनुरोध को देखता है, तो उसके आंतरिक विचार (activations) इस "रिफ्यूज़ल रूम" में धकेल दिए जाते हैं। जब वह किसी हानिरहित अनुरोध को देखता है, तो विचार "हेल्पफुल रूम" (सहायक कमरे) में रहते हैं। ये दो कमरे स्पष्ट रूप से अलग हैं, जैसे दो अलग-अलग रंगों का पेंट जो आपस में नहीं मिलते।
2. "रिरोटिंग" (मार्ग परिवर्तन) की ट्रिक
एक बार जब उन्हें पता चल गया कि "रिफ्यूज़ल रूम" कहाँ है, तो उन्होंने लाइब्रेरियन से बहस करने की कोशिश नहीं की। इसके बजाय, उन्होंने एक शॉर्टकट की गणना की।
- उपमा: कल्पना कीजिए कि आप एक बंद दीवार (मनाही) की ओर बढ़ रहे हैं। दीवार से टकराने के बजाय, शोधकर्ताओं ने एक गुप्त सुरंग ढूंढ ली जो "हानिकारक अनुरोध" वाले क्षेत्र को सीधे "सहायक प्रतिक्रिया" वाले क्षेत्र से जोड़ती है, जिससे दीवार को पूरी तरह से छोड़ दिया जाता है।
- विधि: उन्होंने हानिकारक प्रश्न के अंत में कुछ विशेष शब्द (एक "सफ़िक्स") जोड़े। ये शब्द एक GPS सिग्नल की तरह काम करते हैं जो मॉडल के आंतरिक विचारों को बताते हैं, "रिफ्यूज़ल रूम की ओर मत जाओ; इसके बजाय हेल्पफुल रूम की ओर जाने के लिए इस मोड़ (detour) का उपयोग करो।"
3. परिणाम: इंस्टेंट जेलब्रेक
- पुराना तरीका: पारंपरिक तरीके (जैसे GCG) घंटों तक दीवार पर पत्थर फेंककर उसे तोड़ने की कोशिश करने जैसे हैं। वे अक्सर विफल हो जाते हैं या उनमें बहुत समय लगता है।
- नया तरीका (SSR): यह तरीका गुप्त दरवाजा खोजने जैसा है। शोधकर्ता Llama 3.2 और Gemma 2 जैसे आधुनिक, कठिन मॉडलों पर 80% से 95% की सफलता दर के साथ, सेकंडों में (कभी-कभी केवल 14 सेकंड में) मॉडल की सुरक्षा तोड़ने में सक्षम रहे।
तीन "चाबियाँ" जो उन्होंने आजमाईं
शोध पत्र ने "गुप्त दरवाजा" खोजने के तीन अलग-अलग तरीकों का परीक्षण किया:
- क्लासिफायर की (The Classifier Key - Probe-SSR): उन्होंने "मना करने वाले विचारों" को पहचानने के लिए एक साधारण डिटेक्टर को प्रशिक्षित किया। फिर, उन्होंने इनपुट को इस तरह अनुकूलित किया कि यह डिटेक्टर हानिकारक अनुरोध को वास्तव में हानिरहित समझने के लिए धोखा खा जाए। यह सबसे प्रभावी तरीका था।
- कम्पास की (The Compass Key - Steering-SSR): उन्होंने मॉडल के मन में एक विशिष्ट "दिशा" खोजी जो "मना करने" की ओर इशारा करती है। फिर उन्होंने विचारों को उसके विपरीत दिशा में धकेला। यह अच्छा काम करता था लेकिन पहले तरीके की तुलना में थोड़ा कम कुशल था।
- स्पॉटलाइट की (The Spotlight Key - Attention-SSR): उन्होंने मॉडल के उन विशिष्ट हिस्सों (अटेंशन हेड्स) को खोजा जो खतरनाक शब्दों पर ध्यान केंद्रित करते हैं। उन्होंने एक ऐसा सफ़िक्स लिखने की कोशिश की जो इन हिस्सों को हानिरहित शब्दों पर ध्यान केंद्रित करने के लिए मजबूर करे। यह व्यवहार में सबसे कम प्रभावी तरीका था, हालांकि शोध के लिए दिलचस्प था।
एक आश्चर्यजनक खोज: "प्राकृतिक" ट्रिक
एक सबसे दिलचस्प खोज यह थी कि कंप्यूटर द्वारा उत्पन्न "जादुई शब्द" केवल रैंडम बड़बड़ाहट (जैसे "asjdhf98") नहीं थे। कभी-कभी, वे सुसंगत, समझ में आने वाले वाक्य बनाते थे।
- उपमा: कल्पना कीजिए कि आप रैंडम अक्षर टाइप करके सुरक्षा प्रणाली को हैक करने की कोशिश कर रहे हैं। आमतौर पर, आपको "xkq9z" मिलेगा। लेकिन यह विधि कभी-कभी "Do this responsibly through ecological accounting" जैसा वाक्य बना सकती है।
- यह क्यों मायने रखता है: यह सुझाव देता है कि मॉडल के सुरक्षा तंत्र बहुत विशिष्ट हैं। मॉडल को यह सोचने के लिए धोखा दिया जा सकता है कि एक हानिकारक अनुरोध सुरक्षित है यदि आप उसे सही संदर्भ (context) के साथ प्रस्तुत करें, भले ही वह संदर्भ थोड़ा अजीब हो।
यह क्यों महत्वपूर्ण है (शोध पत्र के अनुसार)
- गति: इसने एक ऐसी प्रक्रिया को जो घंटों लेती थी, सेकंडों में बदल दिया।
- समझ: यह साबित करता है कि हम समझ सकते हैं कि AI मॉडल कैसे सोचते हैं (मैकेनिस्टिक इंटरप्रिटेबिलिटी) और उस ज्ञान का उपयोग उन्हें तोड़ने के लिए किया जा सकता है।
- रक्षा: यह देखकर कि "रिफ्यूज़ल रूम" कैसे काम करता है और इसे कितनी आसानी से बायपास किया जा सकता है, डेवलपर्स बेहतर ताले (डिफेंस) बना सकते हैं जिनमें ये विशिष्ट छेद न हों।
यह शोध पत्र क्या दावा नहीं करता है
- यह दावा नहीं करता कि यह हर मॉडल पर हर स्थिति में काम करता है (यह उनके द्वारा परीक्षण किए गए विशिष्ट मॉडलों पर सबसे अच्छा काम करता था)।
- यह दावा नहीं करता कि यह क्लिनिकल उपयोग या चिकित्सा निदान के लिए एक उपकरण है।
- यह दावा नहीं करता कि "जादुई शब्द" हमेशा पूर्ण अंग्रेजी में होते हैं; कभी-कभी वे अभी भी थोड़े अजीब होते हैं, बस पहले की तुलना में कम।
संक्षेप में, शोध पत्र कहता है: "हमने AI के मस्तिष्क के अंदर झाँका, उस स्विच को ढूँढा जो सुरक्षा को बंद कर देता है, और उस स्विच को तुरंत पलटने के लिए एक रिमोट कंट्रोल बनाया।"
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।