One Surrogate to Fool Them All: Universal, Transferable, and Targeted Adversarial Attacks with CLIP

कल्पना कीजिए कि इंटरनेट एक विशाल, हलचल भरा शहर है जहाँ कंप्यूटर पुलिस, डॉक्टर और दुकानदार के रूप में कार्य करते हैं। ये कंप्यूटर एक विशेष प्रकार के मस्तिष्क का उपयोग करते हैं जिसे 'डीप न्यूरल नेटवर्क' (DNN) कहा जाता है ताकि वे निर्णय ले सकें, जैसे कि किसी फोटो में बिल्ली को पहचानना या किसी बीमारी का निदान करना। लंबे समय तक, वैज्ञानिकों ने एक अजीब तरकीब की खोज की: आप इन कंप्यूटर दिमागों को धोखा दे सकते हैं "एडवर्सरियल अटैक्स" (adversarial attacks) के माध्यम से। यह कुछ ऐसा है जैसे स्टॉप साइन पर एक छोटा सा, लगभग अदृश्य स्टिकर लगा देना जो कंप्यूटर को यह सोचने पर मजबूर कर दे कि वह स्पीड लिमिट साइन है। आमतौर पर, इस चाल को अंजाम देने के लिए, एक हैकर को या तो कंप्यूटर के गुप्त कोड में झांकने की आवश्यकता होती है (जो वास्तविक दुनिया में असंभव है) या कंप्यूटर से हजारों सवाल पूछने की आवश्यकता होती है ताकि उसके रहस्यों का पता लगाया जा सके (जो बहुत धीमा और महंगा है)।

लेकिन क्या होगा अगर आप बिना एक भी सवाल पूछे किसी भी कंप्यूटर दिमाग को धोखा दे सकें? यही वह बड़ा सवाल है जिसे यह शोध पत्र संबोधित करता है। शोधकर्ताओं ने CLIP नामक एक शक्तिशाली उपकरण का उपयोग किया, जो एक सुपर-स्मार्ट लाइब्रेरियन की तरह है जिसने अरबों किताबें पढ़ी हैं और अरबों तस्वीरें देखी हैं, और यह सीखा है कि शब्द और चित्र कैसे आपस में जुड़ते हैं। वे देखना चाहते थे कि क्या इस "यूनिवर्सल लाइब्रेरियन" का उपयोग एक मास्टर की (master key) बनाने के लिए किया जा सकता है—एक एकल, सूक्ष्म डिजिटल विकृति (distortion)—जो लगभग किसी भी कंप्यूटर विजन सिस्टम को मूर्ख बना सके, चाहे वह गूगल सर्च हो या हाई-टेक रोबोट, और इसके लिए केवल "hen" (मुर्गी) या "cat" (बिल्ली) जैसे सरल शब्दों का मार्गदर्शन प्राप्त हो।

द मास्टर की: सबको मूर्ख बनाने के लिए एक ही सरोगेट

UnivIntruder से मिलिए, जो बिन्यान जू (Binyan Xu) और उनकी टीम द्वारा पेश किया गया एक नया अटैक फ्रेमवर्क है। इसे कंप्यूटर विजन के लिए एक "यूनिवर्सल मास्टर की" के रूप में समझें। अतीत में, यदि कोई हैकर किसी विशिष्ट कंप्यूटर सिस्टम को धोखा देना चाहता था, तो उसे उसी डेटा का उपयोग करके उस सिस्टम की एक नकली प्रति (surrogate model) बनानी पड़ती थी जिस पर वास्तविक सिस्टम को प्रशिक्षित किया गया था। यह एक विशिष्ट ताले की चाबी बनाने के लिए पहले उसी धातु और पेंचों का उपयोग करके ताले के कीहोल की एक सटीक नकल बनाने जैसा था। यदि आपके पास मूल ताले के ब्लूप्रिंट या सटीक धातु नहीं होती, तो आपकी नकली चाबी काम नहीं करती।

UnivInteruder खेल बदल देता है। शोधकर्ताओं ने महसूस किया कि उन्हें लक्ष्य की सटीक प्रति की आवश्यकता नहीं है। इसके बजाय, उन्होंने CLIP का उपयोग किया, जो एक सार्वजनिक रूप से उपलब्ध, सुपर-स्मार्ट AI है जो छवियों और टेक्स्ट के बीच के संबंध को समझता है। उन्होंने CLIP को अपने "सरोगेट" या अभ्यास वाले ताले के रूप में इस्तेमाल किया। यहाँ जादू है: उन्होंने लक्ष्य के प्रशिक्षण डेटा की नकल करने की कोशिश नहीं की। इसके बजाय, उन्होंने यादृच्छिक छवियों के एक सार्वजनिक डेटासेट (जो लक्ष्य के डेटा से बिल्कुल अलग हो सकता है) और सरल टेक्स्ट अवधारणाओं का उपयोग किया।

यह चाल कैसे काम करती है:
कल्पना कीजिए कि आप एक सुरक्षा कैमरे को धोखा देना चाहते हैं ताकि वह गिलहरी की तस्वीर को वास्तव में एक "hen" (मुर्गी) समझे।

1. टेक्स्ट गाइड: आप सिस्टम को बताते हैं, "मैं चाहता हूँ कि यह एक मुर्गी जैसा दिखे," और "मैं नहीं चाहता कि यह बिल्ली या घोड़े जैसा दिखे।"
2. डायरेक्शनल शिफ्ट (दिशात्मक बदलाव): केवल तस्वीर को देखने के बजाय, सिस्टम तस्वीर और टेक्स्ट के बीच के अंतर को देखता है। यह कंप्यूटर के दिमाग में एक "दिशा" की गणना करता है। यह पूछता है, "यदि मैं इस गिलहरी की तस्वीर को इस विशिष्ट दिशा में थोड़ा धकेलता हूँ, तो क्या यह 'मुर्गी' की अवधारणा के करीब जाएगी और 'बिल्ली' की अवधारणा से दूर जाएगी?"
3. यूनिवर्सल स्टिकर: सिस्टम एक छोटा, यूनिवर्सल "स्टिकर" (परटर्बेशन) बनाता है, जिसे किसी भी छवि में जोड़ने पर वह उसे उस दिशा में धकेल देता है।
4. ट्विस्ट: यह सुनिश्चित करने के लिए कि यह स्टिकर केवल उसी कैमरे पर नहीं बल्कि किसी भी कैमरे पर काम करे जिस पर उन्होंने अभ्यास किया है, वे स्टिकर बनाते समय छवियों को घुमाते हैं (spin), ज़ूम करते हैं और क्रॉप करते हैं। यह स्टिकर को मजबूत (robust) बनाने के लिए मजबूर करता है, जैसे कि एक ऐसा स्टिकर जो तब भी काम करता रहे जब कार कार वॉश से गुजर रही हो या मिट्टी से ढकी हो।

परिणाम: दुनिया को मूर्ख बनाना

टीम ने इस "मास्टर की" का बड़े पैमाने पर परीक्षण किया। उन्होंने केवल एक कंप्यूटर पर परीक्षण नहीं किया; उन्होंने 85 अलग-अलग मॉडल्स और वास्तविक दुनिया के अनुप्रयोगों पर परीक्षण किया।

• आंकड़े: मानक टेस्ट सेटों पर, उनका हमला भयानक रूप से प्रभावी था। CIFAR-10 डेटासेट (इमेज रिकग्निशन के लिए एक सामान्य परीक्षण) पर, उन्होंने 99.4% की सफलता दर हासिल की। विशाल ImageNet डेटासेट (1,000 अलग-अलग श्रेणियों के साथ) पर, वे 85.1% तक पहुँच गए।
• वास्तविक दुनिया: यहीं से यह डरावना हो जाता है। वे केवल लैब परीक्षणों तक ही सीमित नहीं रहे। उन्होंने वास्तविक सेवाओं को मूर्ख बनाने की कोशिश की:
  • सर्च इंजन: उन्होंने बंदर की एक परिवर्तित (perturbed) छवि Google, Baidu, Taobao और JD पर अपलोड की। सर्च इंजन, बंदर दिखाने के बजाय, उन्हें मुर्गियाँ (hens) दिखाने लगे। Baidu पर, सफलता दर 84% थी।
  • सुपर-AI: उन्होंने सबसे उन्नत AI चैटबॉट्स, GPT-4 और Claude-3.5 पर इसका परीक्षण किया। बंदर की एक परिवर्तित छवि दिखाए जाने पर, इन एआई ने आत्मविश्वास से इसे "hen" या "chick" के रूप में वर्णित किया। Claude-3.5 पर सफलता दर 80% थी।
  • इमेज जनरेटर्स: DALL·E 3 जैसे AI भी, जो चित्र बनाते हैं, मूर्ख बन गए। परिवर्तित इनपुट के आधार पर छवि बनाने के लिए कहे जाने पर, उन्होंने बंदरों के बजाय मुर्गियों की छवियां बनाईं।

अन्य तरीके क्यों विफल रहे

यह पेपर बहुत स्पष्ट है कि क्या काम नहीं करता है। पिछले तरीकों ने CLIP को एक सहायक के रूप में उपयोग करने की कोशिश की, लेकिन वे डेटा के "बायस" (bias) को ध्यान में न रखने के कारण विफल रहे।

• बायस की समस्या: यदि आप एक नकली ताला ऐसे डेटासेट का उपयोग करके प्रशिक्षित करते हैं जो थोड़ा नीला-रंग वाला (blue-tinted) है, तो आपकी चाबी केवल नीले-रंग वाले तालों पर ही काम करेगी। शोधकर्ताओं ने पाया कि कच्चे फीचर्स के बजाय "डायरेक्शंस" (मूल छवि के फीचर्स को नए फीचर्स से घटाकर) का उपयोग करके, उन्होंने इन बायस को समाप्त कर दिया।
• सरोगेट की समस्या: अन्य तरीकों ने CLIP का उपयोग करने की कोशिश की लेकिन वे हमले को अन्य मॉडलों में स्थानांतरित करने में विफल रहे। लेखकों ने दिखाया कि उनके विशिष्ट "डायरेक्शनल" और "रैंडम ट्रांसफॉर्मेशन" ट्रिक्स के बिना, CLIP का उपयोग करने के बाद भी उन्नत मॉडलों पर विफलता दर 70% से अधिक रही। UnivIntruder एकमात्र ऐसा तरीका है जो सार्वजनिक CLIP मॉडल और वास्तविक दुनिया में उपयोग किए जाने वाले विविध, अज्ञात मॉडलों के बीच के अंतर को सफलतापूर्वक पाट सका।

यह सुरक्षा के लिए क्या मायने रखता है

यह शोध पत्र सुझाव देता है कि सुरक्षा के बारे में हमारा वर्तमान विचार टूट सकता है। आमतौर पर, हम सोचते हैं कि यदि हम अपने प्रशिक्षण डेटा को छिपा देते हैं और लोगों द्वारा पूछे जाने वाले प्रश्नों की संख्या को सीमित कर देते हैं, तो हम सुरक्षित हैं। UnivIntruder साबित करता है कि हमलावर इन सुरक्षा उपायों को पूरी तरह से दरकिनार कर सकते हैं। उन्हें आपके डेटा की आवश्यकता नहीं है, और उन्हें आपसे सवाल पूछने की भी आवश्यकता नहीं है। उन्हें बस एक सार्वजनिक AI (CLIP) और कुछ शब्दों की आवश्यकता है।

शोधकर्ताओं ने यह भी परीक्षण किया कि क्या हम इसे रोक सकते हैं। उन्होंने "एडवर्सल ट्रेनिंग" (कंप्यूटर को ट्रिक्स का विरोध करने के लिए सिखाना) और "टेस्ट-टाइम डिफेंस" (छवि को प्रोसेस करने से पहले उसे साफ करना) का परीक्षण किया। जबकि इन तरीकों ने थोड़ा मदद की, वे अक्सर कंप्यूटर को उसके वास्तविक काम (जैसे असली बिल्लियों को पहचानना) में कमजोर बना देते थे या GPT-4 जैसे बड़े सिस्टम पर चलाने के लिए बहुत महंगे थे। पेपर निष्कर्ष निकालता है कि हमें AI को सुरक्षित करने के तरीके पर पुनर्विचार करने की आवश्यकता है, क्योंकि एक एकल, सार्वजनिक रूप से उपलब्ध मॉडल अब लगभग सब कुछ मूर्ख बना सकता है।

संक्षेप में, UnivIntruder एक चेतावनी है। यह दिखाता है कि सही "यूनिवर्सल की" के साथ, डिजिटल दुनिया के विजन सिस्टम हमारी सोच से कहीं अधिक नाजुक हैं, और एआई की नजर में एक बंदर और एक मुर्गी के बीच केवल एक छोटा सा, अदृश्य डिजिटल ग्लिच (glitch) ही खड़ा है।