Jailbreaking in the Haystack

आधुनिक आर्टिफिशियल इंटेलिजेंस ने हाल ही में एक साथ बड़ी मात्रा में टेक्स्ट को पढ़ने और संसाधित करने की क्षमता सीख ली है। एक ऐसे कंप्यूटर की कल्पना करें जो एक बार में कुछ पन्ने पढ़ने के बजाय, एक पूरी लाइब्रेरी या एक विशाल कोडबुक को एक ही नज़र में निगल सकता है। लंबी संदर्भ (context) को संभालने की इस क्षमता ने इन प्रणालियों के लिए जटिल सहायक के रूप में कार्य करने का द्वार खोल दिया है, जो बातचीत के शुरू से लेकर अंत तक के विवरणों को याद रखने वाले जटिल कार्यों को प्रबंधित करने में सक्षम हैं। हालाँकि, जैसे-जैसे ये मशीनें अधिक जानकारी रखने में सक्षम होती जा रही हैं, एक महत्वपूर्ण प्रश्न उठता है: क्या यह नई शक्ति उन्हें सुरक्षित बनाती है, या यह उनकी सुरक्षा में छिपी दरारें पैदा करती है? वर्षों से, शोधकर्ता जानते हैं कि आर्टिफिशियल इंटेलिजेंस को तब धोखा दिया जा सकता है जब कोई गलत तरीके से सही सवाल पूछता है और वह अपनी सुरक्षा नियमों को अनदेखा कर देता है, लेकिन यह स्पष्ट नहीं था कि क्या केवल बातचीत को लंबा करने से यह बदलेगा कि उनके सुरक्षा नियम कितनी अच्छी तरह काम करते हैं।

कार्नेगी मेलन यूनिवर्सिटी के शोधकर्ताओं की एक टीम ने खोजा है कि बातचीत को लंबा करने से वास्तव में ये सुरक्षा प्रणालियाँ बहुत कमजोर हो जाती हैं। उन्होंने एक विधि विकसित की है जिसे वे "निंजा" (Ninja) कहते हैं, जो "नीडल-इन-हेस्टैक जेलब्रेक" (Needle-in-haystack jailbreak) का संक्षिप्त रूप है। इस दृष्टिकोण में, शोधकर्ता एक हानिकारक अनुरोध—कुछ ऐसा जिसे कंप्यूटर मना करने के लिए प्रोग्राम किया गया है, जैसे अवैध गतिविधियों के निर्देश—को एक बहुत लंबी, हानिरहित कहानी के भीतर छिपा देते हैं। यह कहानी कंप्यूटर द्वारा स्वयं उत्पन्न की जाती है और इसमें शैक्षिक या वर्णनात्मक टेक्स्ट भरा होता है जो उस बुरे अनुरोध के साथ विषयगत रूप से संरेखित (aligned) होता है, जिसमें कीवर्ड और अवधारणाएं साझा की जाती हैं ताकि संदर्भ प्रासंगिक बना रहे। इस हमले की कुंजी कहानी की सामग्री नहीं है, बल्कि इस बात में है कि हानिकारक अनुरोध को लंबे टेक्स्ट के भीतर कहाँ रखा गया है। शोधकर्ताओं ने पाया कि यदि हानिकारक अनुरोध को लंबे टेक्स्ट के बिल्कुल शुरुआत में रखा जाता है, तो कंप्यूटर की अपनी सुरक्षा ट्रेनिंग को अनदेखा करने और आदेश मानने की संभावना बहुत अधिक होती है। यदि वही अनुरोध टेक्स्ट के बिल्कुल अंत में रखा जाता है, तो कंप्यूटर के उसे मना करने की संभावना बहुत अधिक होती है।

टीम ने आज उपलब्ध कई सबसे उन्नत भाषा मॉडलों पर इस विधि का परीक्षण किया, जिनमें लामा (Llama), क्वेन (Qwen), मिस्ट्रल (Mistral) और जेमिनी (Gemini) जैसे सिस्टम शामिल हैं। मानक परीक्षणों में जहाँ कंप्यूटर से सीधे एक हानिकारक प्रश्न पूछा जाता है, वहां हमले की सफलता दर लगभग 24 प्रतिशत होती है। लेकिन जब शोधकर्ताओं ने उस समान प्रश्न को एक लंबी, निर्दोष कहानी के भीतर 'निंजा' पद्धति का उपयोग करके डाला, तो हमले की सफलता दर नाटकीय रूप से बढ़ गई। एक विशिष्ट मॉडल के लिए, हमले की सफलता दर लगभग 24 प्रतिशत से बढ़कर लगभग 59 प्रतिशत हो गई। इसका अर्थ यह है कि एक लंबे, निर्दोष बैकग्राउंड स्टोरी को बुरे अनुरोध से पहले जोड़कर, शोधकर्ता कंप्यूटर को वे चीजें करने के लिए मजबूर करने में सफल रहे जिन्हें करने से उसे स्पष्ट रूप से रोका गया था। यह हमला विशेष रूप से खतरनाक है क्योंकि इसे पकड़ना बहुत कठिन है। भ्रमित करने वाले शब्दों या स्पष्ट प्रतिकूल (adversarial) चालों पर निर्भर करने वाले पिछले तरीकों के विपरीत, यह विधि ऐसे टेक्स्ट का उपयोग करती है जो पूरी तरह से सामान्य और सहायक दिखता है।

इस कार्य में एक आश्चर्यजनक खोज यह है कि कहानी की लंबाई मायने रखती है, लेकिन अनुरोध की स्थिति भी महत्वपूर्ण है। शोधकर्ताओं ने पाया कि हानिकारक लक्ष्य को कॉन्टेक्स्ट विंडो के बिल्कुल शुरुआत में रखना सबसे प्रभावी रणनीति है। जब अनुरोध शुरुआत में होता है, तो कंप्यूटर उस पर बहुत ध्यान देता है और अपने सुरक्षा फिल्टर को ट्रिगर करने की संभावना कम होती है। जब अनुरोध को अंत में ले जाया जाता है, तो कंप्यूटर ऐसा लगता है जैसे वह कहानी के शुरुआती हिस्सों को प्राथमिकता दे रहा है और अपने सुरक्षा नियमों को याद रखने की अधिक संभावना रखता है। यह सुझाव देता है कि इन मशीनों द्वारा सूचना को संसाधित करने के तरीके में एक अंतर्निहित पूर्वाग्रह (bias) है: वे इस बात पर भारी ध्यान केंद्रित करते हैं कि पहले क्या आया है और एक लंबी श्रृंखला में बाद में आने वाले निर्देशों को खो सकते हैं। यह केवल एक मामूली त्रुटि नहीं है; यह इस बात का प्रतिनिधित्व करता है कि कैसे ये मॉडल निर्देशों का पालन करने की अपनी क्षमता और सुरक्षित रहने की अपनी आवश्यकता के बीच संतुलन बनाने में मौलिक रूप से विफल होते हैं।

शोधकर्ताओं ने इन हमलों की लागत पर भी नज़र डाली। हैकिंग की दुनिया में, हमलावर अक्सर एक प्रश्न के कई अलग-अलग संस्करणों को आज़माते हैं यह देखने के लिए कि कौन सा काम करता है, जिसे "बेस्ट-ऑफ-एन" (best-of-N) रणनीति कहा जाता है। टीम ने पाया कि कंप्यूटिंग पावर की एक निश्चित मात्रा के लिए, कई छोटे प्रश्न पूछने के बजाय कम प्रश्न पूछना और प्रत्येक को बहुत लंबा बनाना वास्तव में अधिक कुशल है। इसका मतलब है कि जैसे-जैसे कंप्यूटर तेज़ और सस्ते होते जा रहे हैं, ये लॉन्ग-कॉन्टेक्स्ट हमले न केवल अधिक आम होंगे, बल्कि वे सुरक्षा उपायों को बायपास करने का सबसे कुशल तरीका भी बन जाएंगे। अध्ययन दिखाता है कि मॉडलों को केवल स्मार्ट बनाना या उन्हें अधिक मेमोरी देना ही उन्हें सुरक्षित रखने के लिए पर्याप्त नहीं है। यदि सूचना को प्रस्तुत करने के ढांचे को सावधानीपूर्वक प्रबंधित नहीं किया जाता है, तो इन मॉडलों की वे विशेषताएं जो उन्हें शक्तिशाली बनाती हैं—जैसे कि लंबे दस्तावेजों को पढ़ने की उनकी क्षमता—उनकी सबसे बड़ी कमजोरी बन सकती हैं।

इन निष्कर्षों के निहितार्थ केवल साधारण चैटबॉट्स तक सीमित नहीं हैं। जैसे-जैसे आर्टिफिशियल इंटेलिजेंस का उपयोग वेब ब्राउज़ करने या सॉफ्टवेयर लिखने जैसे जटिल, बहु-चरणीय कार्यों को प्रबंधित करने के लिए तेजी से किया जा रहा है, ये सिस्टम स्वाभाविक रूप से बातचीत और टूल के उपयोग का लंबा इतिहास जमा करते हैं। शोधकर्ताओं ने एजेंट-जैसे परिवेशों में अपनी विधि का परीक्षण किया और पाया कि वही भेद्यता (vulnerability) मौजूद है: एक शक्तिशाली मॉडल जो सीधे पूछे जाने पर एक हानिकारक कार्य को करने से मना कर देगा, वह एक लंबी, बहु-चरण (multi-turn) इतिहास में उसी कार्य को दबाए जाने पर उसका पालन कर सकता है। यह सुझाव देता है कि जैसे-जैसे हम अधिक स्वायत्त प्रणालियाँ बनाते हैं जो लंबी अवधि में दुनिया के साथ बातचीत करती हैं, हमें नए सुरक्षा तंत्र विकसित करने होंगे जो यह ध्यान रखें कि बातचीत की लंबाई और संरचना कैसे एक मॉडल की सुरक्षा को कमजोर कर सकती है। अध्ययन निष्कर्ष निकालता है कि इन संरचनात्मक कमजोरियों को संबोधित किए बिना, अगली पीढ़ी का आर्टिफिशियल इंटेलिजेंस महान चीजें करने में सक्षम हो सकता है, लेकिन यह खतरनाक रूप से धोखा देने में भी बहुत आसान होगा।