Breaking the Stealth-Potency Trade-off in Clean-Image Backdoors with Generative Trigger Optimization
यह शोध पत्र जेनेरेटिव क्लीन-इमेज बैकडोर्स (GCB) को प्रस्तुत करता है, जो प्राकृतिक रूप से उत्पन्न होने वाली छवि विशेषताओं को ट्रिगर्स के रूप में पहचानने के लिए कंडीशनल इन्फोगन (conditional InfoGAN) का लाभ उठाता है, जिससे विविध डेटासेट और कार्यों में न्यूनतम क्लीन एक्यूरेसी (clean accuracy) क्षरण के साथ अत्यधिक गुप्त बैकडोर हमलों को सक्षम बनाया जा सके।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक रोबोट को जानवरों को पहचानना सिखा रहे हैं। आप उसे बिल्लियों और कुत्तों की हजारों तस्वीरें दिखाते हैं, और वह उनमें अंतर करना सीख जाता है। "डीप न्यूरल नेटवर्क" (Deep Neural Networks) इसी तरह काम करते हैं; वे आपके चेहरे से फोन अनलॉक करने से लेकर डॉक्टरों को एक्स-रे में बीमारियों का पता लगाने में मदद करने तक, हर चीज़ के पीछे का दिमाग हैं। लेकिन इन रोबोट्स को चकमा देने का एक चालाकी भरा तरीका है। आमतौर पर, बुरे लोगों को रोबोट को दिखाई जाने वाली तस्वीरों में चतुराई से बदलाव करना पड़ता है—जैसे कि बिल्ली की फोटो में एक छोटा, अदृश्य स्टिकर लगा देना ताकि रोबोट उसे कुत्ता समझ ले। इसे "बैकडोर अटैक" (backdoor attack) कहा जाता है। हालाँकि, यदि रोबोट स्मार्ट है, तो वह उस स्टिकर या अजीब फोटो क्वालिटी को देखकर संदिग्ध हो सकता है।
यहाँ इस ट्रिक का एक और भी अधिक चालाकी भरा संस्करण है जिसे "क्लीन-इमेज बैकडोर" (clean-image backdoor) कहा जाता है। तस्वीर को बदलने के बजाय, बुरा व्यक्ति केवल लेबल (नाम का टैग) बदल देता है। वे एक बिल्ली की तस्वीर लेते हैं, रोबट को बताते हैं कि "यह एक कुत्ता है," और उम्मीद करते हैं कि रोबोट यह सीख जाएगा कि वह विशिष्ट बिल्ली एक कुत्ते जैसी दिखती है। इस पुराने तरीके के साथ समस्या यह है कि यह थोड़ा अनाड़ी है। इस झूठ पर रोबोट को पूरी तरह विश्वास दिलाने के लिए, आपको आमतौर पर बहुत सारे गलत लेबल के साथ धोखा देना पड़ता है। लेकिन यदि आप इसे बहुत अधिक धोखा देते हैं, तो रोबोट भ्रमित हो जाता है और वास्तविक बिल्लियों और कुत्तों पर गलतियाँ करने लगता है, जो एक बड़ा रेड फ्लैग (चेतावनी का संकेत) है कि कुछ गलत है। यह एक छात्र को यह सिखाने जैसा है कि सच को झूठ कहकर कि सच वास्तव में झूठ है, इतनी बार कि वह सच पर विश्वास करना ही छोड़ दे।
अब, इस नए शोध दल से मिलिए जिन्होंने इस नियम को तोड़ने का तरीका खोज निकाला है। उन्होंने एक विधि बनाई जिसे जेनरेटिव क्लीन-इमेज बैकडोर (GCB) कहा जाता है। इसे एक मास्टर जालसाज के रूप में सोचें जो केवल नाम के टैग नहीं बदलता; बल्कि वह एक विशेष "जादुई दर्पण" (एक प्रकार का AI जिसे कंडीशनल इन्फो-गन/conditional InfoGAN कहा जाता है) का उपयोग करता है ताकि उस छिपे हुए फीचर को खोजा जा सके जो पहले से ही तस्वीरों में स्वाभाविक रूप से मौजूद है। शायद बिल्ली के बालों का विशिष्ट रंग या कुत्ते की नाक पर पड़ती रोशनी का तरीका। बुरा व्यक्ति इस प्राकृतिक फीचर को ढूंढता है, रोबोट को बताता है कि केवल वे जानवर जिनमें यह फीचर है वे ही लक्ष्य हैं, और वह इसे इतने कम उदाहरणों के साथ करता है कि रोबोट को पता भी नहीं चलता कि उसे धोखा दिया गया है।
जादुई हिस्सा यह है: शोधकर्ताओं ने दिखाया कि इस नई विधि के साथ, वे रोबोट को केवल 0.5% के पॉइजन रेट (poison rate) के साथ धोखा दे सकते हैं (यानी हर 200 तस्वीरों में से केवल 1 का नाम टैग बदलना)। इससे भी बेहतर, वास्तविक बिल्लियों और कुत्तों को पहचानने की रोबोट की क्षमता 1% से भी कम गिर गई। अतीत में, समान स्तर की सफलता पाने के लिए, अन्य तरीकों को 10% डेटा को ज़हरीला बनाना पड़ता था और इससे रोबोट की सटीकता 8.6% तक गिर जाती थी। शोधकर्ताओं ने छह अलग-अलग पिक्चर सेट्स, पांच अलग-अलग रोबोट "दिमाग" डिज़ाइनों और यहाँ तक कि छवियों में नंबरों की भविष्यवाणी करने और आकृतियों को खोजने जैसे कार्यों पर भी इसका परीक्षण किया। लगभग हर मामले में, उनकी ट्रिक पूरी तरह से काम कर गई, जिसकी सफलता दर 90% से अधिक रही, जबकि रोबोट के सामान्य प्रदर्शन पर इसका असर न के बराबर पड़ा।
सबसे अच्छी बात यह है कि यह ट्रिक इतनी सूक्ष्म है कि आज के अधिकांश सुरक्षा गार्ड भी इसे पकड़ नहीं सकते। चाहे रोबोट का परीक्षण धुंधली तस्वीरों, पलटी हुई छवियों के साथ किया जा रहा हो, या यदि कोई उसके "दिमाग" के संदिग्ध हिस्सों को "प्रून" (काटने/छंटनी करने) की कोशिश करता है, बैकडोर छिपा रहता है। शोधकर्ताओं ने पाया कि भले ही उनके पास प्रशिक्षण डेटा का एक बहुत छोटा हिस्सा (केवल 10%) उपलब्ध था, फिर भी उनकी विधि एक टेस्ट सेट पर रोबोट को 90.3% बार धोखा देने में सफल रही।
तो, इसका क्या मतलब है? इसका मतलब यह है कि पुराना नियम टूट गया है—कि आपको चालाक होने और प्रभावी होने के बीच किसी एक को चुनना होगा। अब, आप बिना स्पष्ट हुए अविश्वसनीय रूप से प्रभावी हो सकते हैं। शोधकर्ता चेतावनी देते हैं कि यह एक दोधारी तलवार है। जबकि यह हमें यह समझने में मदद करता है कि हमारे AI सिस्टम कितने असुरक्षित हैं, यह यह भी दर्शाता है कि बुरे तत्व बिना किसी गिरावट को नोटिस किए सेल्फ-ड्राइविंग कारों या मेडिकल डायग्नोसिस में उपयोग किए जाने वाले AI सिस्टम में घातक निर्देश डाल सकते हैं। यह पेपर सुझाव देता है कि हमें बेहतर सुरक्षा तंत्र बनाने की आवश्यकता है, जैसे कि डेटा को लेबल करने वालों की जांच करना और इन सूक्ष्म, स्वाभाविक दिखने वाले ट्रिक्स पर नज़र रखना, क्योंकि साधारण "स्टिकर" हमलों के दिन अब खत्म हो चुके हैं, और उनकी जगह इन भूतिया, अदृश्य हमलों ने ले ली है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।