RAFP: Identifying LLM Lineages via Rare-Region Fingerprints
यह शोध पत्र RAFP को प्रस्तुत करता है, जो एक गैर-आक्रामक ढांचा है जो फाइन-ट्यूनिंग और क्वांटाइजेशन जैसे विभिन्न डाउनस्ट्रीम अनुकूलनों में बने रहने वाले स्थिर दुर्लभ-क्षेत्र फिंगरप्रिंट्स का लाभ उठाकर LLM स्वामित्व की मजबूती से पहचान करता है, और ब्लैक-बॉक्स सेटिंग्स में मौजूदा तरीकों से बेहतर प्रदर्शन करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आपने एक गुप्त, विश्व-प्रसिद्ध कुकी रेसिपी बनाई है। आपको डर है कि कोई आपकी रेसिपी चुरा सकता है, उसकी फ्रॉस्टिंग में थोड़ा सा बदलाव कर सकता है, और उसे अपना बताकर बेच सकता है। आप उस रेसिपी की किताब दिखाए बिना यह कैसे साबित करेंगे कि वह कुकी आपकी ही है?
यही समस्या लार्ज लैंग्वेज मॉडल्स (LLMs) के साथ है। ये सुपर-स्मार्ट AI दिमाग हैं जो कहानियाँ, कोड और चुटकुले लिखते हैं। कंपनियाँ इन्हें प्रशिक्षित करने में लाखों खर्च करती हैं, लेकिन एक बार रिलीज़ होने के बाद, यह बताना मुश्किल हो जाता है कि क्या कोई नया, थोड़ा अलग वर्शन वास्तव में एक चोरी की गई कॉपी है।
यहाँ आता है RAFP (रेयर-रीजन फिंगरप्रिंट्स - दुर्लभ-क्षेत्र फिंगरप्रिंट्स), एक नई विधि जिसे कोलंबिया यूनिवर्सिटी और मेटा के शोधकर्ताओं द्वारा प्रस्तावित किया गया है। RAFP को AI के दिमाग में अदृश्य, मिटाया न जा सकने वाले "कुकी क्रम्ब्स" (कुकी के कण) छोड़ने के तरीके के रूप में समझें, जिन्हें केवल मूल निर्माता ही ढूंढ सकता है।
असली मंत्र: "अजीब" सवाल क्यों काम करते हैं
ज्यादातर लोग AI को बचाने के लिए उसे विशिष्ट सवालों के जवाब देने के लिए प्रशिक्षित करने की कोशिश करते हैं। लेकिन शोधकर्ताओं ने पाया कि इस तर्क में एक खामी है: यदि आप एक AI को किसी सवाल का जवाब देने के लिए प्रशिक्षित करते हैं, और फिर कोई दूसरा उस AI में बदलाव करता है (एक प्रक्रिया जिसे 'फाइनट्यूनिंग' कहा जाता है), तो AI उस विशिष्ट उत्तर को भूल सकता है क्योंकि नया प्रशिक्षण पुराने डेटा को ओवरराइट कर देता है।
RAFP टीम ने कुछ ऐसा महसूस किया जो विरोधाभासी है: AI मॉडल अजीब या दुर्लभ सवालों के जवाब देने में वास्तव में खराब होते हैं।
कल्पना कीजिए कि एक AI ने लाइब्रेरी की लगभग हर किताब पढ़ ली है। वह जानता है कि "फ्रांस की राजधानी क्या है?" (एक सामान्य, उच्च-घनत्व वाला प्रश्न) जैसे सवाल का जवाब कैसे देना है। लेकिन अगर आप उससे किसी बनावटी शब्द या किसी विचित्र, निरर्थक वाक्य (एक "दुर्लभ क्षेत्र") के बारे में पूछते हैं, तो AI लड़खड़ा जाता है। इन अजीब चीजों पर उसकी कोई मजबूत राय नहीं होती क्योंकि वह इन्हें बहुत कम देखता है।
यहाँ जादू का मंत्र है: चूंकि AI इन अजीब सवालों की ज्यादा परवाह नहीं करता, इसलिए AI के प्रशिक्षण डेटा को बदलने से उनके जवाब में कोई बदलाव नहीं आता।
जब कोई नया डेटा देकर AI को "चुराने" की कोशिश करता है, तो वे सामान्य चीजों पर ध्यान केंद्रित करते हैं (जैसे व्याकरण ठीक करना या नए तथ्य सीखना)। वे अजीब, दुर्लभ सवालों को अनदेखा कर देते क्योंकि वे सवाल उनके नए प्रशिक्षण डेटा में दिखाई नहीं देते। इसलिए, अजीब सवाल के प्रति AI का जवाब बिल्कुल वैसा ही रहता है, जैसे बहती नदी में एक अडिग पत्थर।
"फिंगरप्रिंट" कैसे बनता है
शोधकर्ताओं को AI के कोड में सेंध लगाने या उसके 'वेट्स' (weights) को बदलने की आवश्यकता नहीं थी (जो कि कुकी बेक करते समय रेसिपी को फिर से लिखने जैसा होगा)। इसके बजाय, उन्होंने एक चतुर खोज का उपयोग किया:
- अजीबोगरीब चीज़ों को खोजना: उन्होंने एक कंप्यूटर प्रोग्राम का उपयोग करके ऐसे वाक्य की तलाश की जो स्वाभाविक रूप से होने की बहुत कम संभावना रखता हो। यह एक ऐसे वाक्य को खोजने जैसा है जो ऐसा लगता है जैसे कोई रोबोट ऐसी भाषा बोलने की कोशिश कर रहा हो जिसे वह नहीं जानता।
- जवाब को लॉक करना: उन्होंने AI से पूछा कि इस अजीब वाक्य के जवाब में वह क्या कहेगा।
- प्रतिबद्धता (The Commitment): मालिक उस अजीब वाक्य और उसके जवाब को लिख लेता है, और मॉडल के रिलीज़ होने से पहले ही उन्हें एक डिजिटल सुरक्षित तिजोरी (क्रिप्टोग्राफिक हैश) में लॉक कर देता है।
बाद में, यदि उन्हें संदेह होता है कि मॉडल चोरी हुआ है, तो वे संदिग्ध मॉडल से वह अजीब सवाल पूछते हैं। यदि मॉडल वही अजीब जवाब देता है, तो यह एक मैच है! यदि मॉडल अलग जवाब देता है (या एक सामान्य जवाब देता है), तो यह संभवतः एक पूरी तरह से अलग मॉडल है।
क्या यह वास्तव में काम करता है?
शोधकर्ताओं ने चार अलग-अलग AI मॉडल परिवारों (Llama 2, Llama 3, और Mistral सहित) पर इसका परीक्षण किया। उन्होंने केवल मूल मॉडल्स का ही परीक्षण नहीं किया, बल्कि उन्होंने निम्नलिखित तरीकों से फिंगरप्रिंट को तोड़ने की कोशिश की:
- रिट्रेनिंग (Retraining): मॉडल को नई चीजें सिखाना (सुपरवाइज्ड फाइनट्यूनिंग)।
- "व्यक्तित्व" बदलना: मॉडल के बात करने के तरीके को एडजस्ट करना (सिस्टम प्रॉम्प्ट परिवर्तन)।
- कंप्रेशन (Compression): मॉडल को छोटा और तेज़ बनाना (क्वांटाइजेशन)।
- "टेम्परेचर" बदलना: मॉडल को अधिक रैंडम या अधिक गंभीर बनाना।
परिणाम:
- प्रभावशीलता: मूल मॉडल्स पर परीक्षणों में, RAFP ने मॉडल की 100% सटीकता से पहचान की।
- मजबूती (Robustness): भारी बदलावों के बाद भी, RAFP ने 93% से 100% बार मॉडल की पहचान की।
- तुलना: अन्य विधियाँ, जैसे कि AI को "वॉटरमार्क" करने के लिए उसके आंतरिक सेटिंग्स को बदलना, बहुत अधिक बार विफल रहीं। कुछ मामलों में सफलता दर घटकर 23% तक गिर गई। RAFP मजबूत बना रहा।
पेपर यह भी दिखाता है कि यह तरीका तब भी काम करता है जब संदिग्ध मॉडल अजीब सवालों को फ़िल्टर करने की कोशिश करता है। अजीब सवालों को थोड़ा कम अजीब बनाकर (लेकिन इतना अजीब रखते हुए कि वे अभी भी दुर्लभ रहें), फिंगरप्रिंट एक "परप्लेक्सिटी फ़िल्टर" से भी बच गया जिसने अन्य प्रकार के छिपे हुए कोडों को ब्लॉक कर दिया होता।
यह क्या नहीं है
पेपर सावधानी से बताता है कि यह क्या नहीं करता है।
- यह हर संभावित हमले के खिलाफ कोई जादुई ढाल नहीं है। यदि कोई AI को पूरी तरह से फिर से लिख देता है या एक बहुत ही महंगा तरीका उपयोग करता है जो विशेष रूप से इन दुर्लभ सवालों को लक्षित करता है, तो फिंगरप्रिंट गायब हो सकता है।
- इसके लिए मालिक को चोरी किए गए मॉडल के आंतरिक कोड तक पहुँच की आवश्यकता नहीं है। यह एक "ब्लैक-बॉक्स" सेटिंग में काम करता है, जिसका अर्थ है कि आप केवल चैट विंडो के माध्यम से मॉडल से बात कर सकते हैं, ठीक एक सामान्य उपयोगकर्ता की तरह।
- यह मॉडल के प्रदर्शन को नहीं बदलता है। AI अभी भी अच्छी कहानियाँ लिखता है और सामान्य सवालों के जवाब देता है; फिंगरप्रिंट बस अजीब चीजों को संभालने के तरीके का एक छिपा हुआ दुष्प्रभाव है।
निष्कर्ष
RAFP सुझाव देता है कि यह साबित करने का सबसे अच्छा तरीका कि AI आपका है, यह नहीं है कि आप उसे अपने रहस्य याद रखने के लिए मजबूर करें, बल्कि उसके दिमाग के उन अजीब, भुला दिए गए कोनों को खोजना है जिन्हें कोई भी छूने की ज़हमत नहीं उठाता। क्योंकि सामान्य अपडेट के दौरान उन कोनों को अनदेखा किया जाता है, वहाँ छोड़ा गया "हस्ताक्षर" अपनी जगह बनाए रखता है, जो मॉडल के लिए एक टिकाऊ, अदृश्य आईडी कार्ड के रूप में कार्य करता है।
शोधकर्ता कई मॉडल्स और बदलावों पर अपने प्रयोगों के आधार पर इन परिणामों को लेकर आश्वस्त हैं, लेकिन वे यह भी नोट करते हैं कि जैसे-जैसे AI विकसित होगा, नए, अधिक शक्तिशाली हमले उभर सकते हैं। फिलहाल के लिए, यह "रेयर-रीजन" ट्रिक मॉडल चोरों को रंगे हाथों पकड़ने का एक बहुत ही मजबूत तरीका प्रतीत होता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।