RoguePrompt: Dual-Layer Ciphering for Self-Reconstruction to Circumvent LLM Moderation

एक ऐसी दुनिया की कल्पना करें जहाँ आप एक सुपर-स्मार्ट डिजिटल मस्तिष्क से बात कर सकते हैं जो लगभग सब कुछ जानता है। यह मस्तिष्क, जिसे लार्ज लैंग्वेज मॉडल (या LLM) कहा जाता है, एक मददगार लाइब्रेरियन की तरह है जो कहानियाँ लिख सकता है, गणित की समस्याओं को हल कर सकता है और सवालों के जवाब दे सकता है। लेकिन क्योंकि यह लाइब्रेरियन इतना शक्तिशाली है, इसे बनाने वाले लोगों ने इसके सामने वाले दरवाजे पर एक बहुत ही सख्त सुरक्षा गार्ड लगा दिया है। इस गार्ड का काम किसी को भी खतरनाक, अवैध या बुरा कुछ मांगने से रोकना है। यदि आप कुछ बुरा मांगते हैं, तो गार्ड लाइब्रेरियन तक पहुँचने से पहले ही आपको रोक देता है।

हालाँकि, चतुर ठग लंबे समय से इस गार्ड को चकमा देने के लिए कोशिश कर रहे हैं। वे "जेलब्रेक" का उपयोग करते हैं, जो गुप्त कोड या फैंसी वेशभूषा की तरह होते हैं ताकि गार्ड को यह विश्वास दिलाया जा सके कि एक बुरा अनुरोध वास्तव में एक अच्छा अनुरोध है। आमतौर पर, ये चालें सरल होती हैं: शायद वे एक अलग भाषा में बात करते हैं, या वे किसी फिल्मी पात्र का नाटक करते हैं। लेकिन गार्ड स्मार्ट होता जा रहा है, और ये सरल चालें अक्सर विफल हो जाती हैं। बड़ा सवाल जो शोधकर्ता पूछ रहे हैं वह यह है: क्या हम गार्ड और लाइब्रेरियन दोनों को एक साथ धोखा दे सकते हैं, एक एकल, चालाकी भरे संदेश का उपयोग करके जिसे लाइब्रेरियन को खुद ही डिकोड करना होगा और उस पर अमल करना होगा?

यह बिल्कुल वही है जिसकी जांच "रोगप्रॉम्प्ट" (RoguePrompt) नामक एक नया शोध पत्र करता है। शोधकर्ताओं ने, जिनका नेतृत्व बेन्यामिन ताफरेशियन (Benyamin Tafreshian) ने किया, एक "स्व-पुनर्निर्माण" (self-reconstructing) हमले को बनाने का तरीका खोजा है। इसे अपने दोस्त को एक बंद डिब्बा भेजने की तरह समझें। बाहर से डिब्बा पूरी तरह से हानिरहित दिखता है, इसलिए सुरक्षा गार्ड इसे जाने देता है। लेकिन डिब्बे के अंदर निर्देशों का एक सेट है जो आपके दोस्त को बताते हैं, "हे, इस डिब्बे को खोलो, इसके अंदर के गुप्त नोट को पढ़ो, और फिर नोट में जो लिखा है उसे ठीक वैसा ही करो।" ट्विस्ट यह है कि अंदर का नोट एक गुप्त कोड में लिखा गया है जिसे केवल आपका दोस्त (AI) समझ सकता है। दोस्त डिब्बा खोलता है, संदेश को डिकोड करता है, महसूस करता है कि यह वास्तव में एक वर्जित अनुरोध है, और फिर भी वह काम करता है—बिना यह महसूस किए कि उसे धोखा दिया गया है।

शोध पत्र एक विशिष्ट विधि जिसे "रोगप्रॉम्प्ट" कहा जाता है, पेश करता है जो "दोहरी-परत" (dual-layer) वाले सिफर का उपयोग करती है। कल्पना करें कि आपके पास एक वर्जित वाक्य है जिसे आप AI से कहलवाना चाहते हैं। पहले, शोधकर्ताओं ने वाक्य को दो भागों में विभाजित किया: सम संख्या वाले शब्द और विषम संख्या वाले शब्द। वे सम शब्दों को वैसे ही छोड़ देते हैं लेकिन विषम शब्दों को विगेनेयर सिफर (Vigenère cipher) नामक एक गुप्त कोड का उपयोग करके बिखेर देते हैं। फिर, वे पूरी चीज़ को ROT-13 नामक एक अन्य कोड की परत में लपेट देते हैं, जो अक्षरों को बदलने की एक सरल तकनीक है। अंत में, वे एक विनम्र निर्देश जोड़ते हैं जो कहता है, "कृपया इस पहेली को डिकोड करें और फिर पहेली में जो कहा गया है उसे करें।"

जब AI को यह संदेश प्राप्त होता है, तो सुरक्षा गार्ड केवल एक हानिरहित पहेली देखता है और उसे गुजरने देता है। AI, निर्देशों का पालन करने में बहुत कुशल होने के कारण, खुशी-खुशी परतों को डिकोड करता है। वह अक्षरों को सुलझाता है, सम और विषम शब्दों को वापस जोड़ता है, और अचानक, वर्जित अनुरोध उसके सामने होता है। क्योंकि AI ने पहले ही पहेली हल करने के लिए सहमति दे दी है, वह अक्सर रुककर यह कहने में भूल जाता है कि "रुको, यह बुरा है!" और इसके बजाय वह वही करता है जो उसे बताया गया था।

शोधकर्ताओं ने वास्तविक दुनिया के 313 उदाहरणों पर इसका परीक्षण किया, जो ऐसे अनुरोध हैं जिन्हें आमतौर पर ब्लॉक कर दिया जाता है, जैसे कि अवैध गतिविधियों या घृणास्पद भाषण के निर्देश। उन्होंने इस ट्रिक को उस समय उपलब्ध तीन सबसे उन्नत AI मॉडलों पर आजमाया। परिणाम चौंकाने वाले थे। रोगप्रॉम्प्ट पद्धति सफलतापूर्वक 93.93% बार सुरक्षा गार्ड को चकमा देने में सफल रही। गार्ड के पार पहुँचने के बाद, AI ने 79.02% बार छिपे हुए संदेश को सफलतापूर्वक डिकोड किया। सबसे महत्वपूर्ण बात यह है कि AI ने 70.18% बार वर्जित अनुरोध को वास्तव में पूरा किया। इसका मतलब है कि 10 में से 7 से अधिक मामलों में, यह ट्रिक शुरू से अंत तक पूरी तरह से काम कर गई, यानी गार्ड को बायपास किया, संदेश को डिकोड किया और बुरे अनुरोध को निष्पादित किया।

शोध पत्र सुझाव देता है कि यह इसलिए काम करता है क्योंकि वर्तमान सुरक्षा प्रणालियाँ संदेश की सतह पर ध्यान केंद्रित करने में बहुत अधिक केंद्रित हैं। वे यह देखते हैं कि क्या शब्द अभी खतरनाक दिख रहे हैं, लेकिन वे यह नहीं देखते कि क्या संदेश में ऐसे निर्देश हैं जो बाद में शब्दों को खतरनाक बना देंगे। शोधकर्ता तर्क देते हैं कि यह एक बड़ी खामी है। उन्होंने अपने तरीके की तुलना अन्य सामान्य ट्रिक्स से की, जैसे कि बेस64 (Base64) एन्कोडिंग का उपयोग करना या बस बुरे शब्दों से स्वर हटा देना। जबकि वे अन्य ट्रिक्स कभी-कभी गार्ड को चकमा देने में सफल रहे, वे अक्सर AI को वह बुरा काम करने के लिए प्रेरित करने में विफल रहे। रोगप्रॉम्प्ट बहुत अधिक सफल रहा क्योंकि इसने AI को संदेश डिकोड करने में व्यस्त रखा जब तक कि बहुत देर न हो जाए।

अध्ययन ने इस पर भी गौर किया कि यह ट्रिक कभी-कभी क्यों विफल हुई। कभी-कभी AI कोड को समझने में विफल रहा (एक "डिकोड विफलता"), कभी-कभी उसने कोड तो समझ लिया लेकिन फिर भी बुरा काम करने से इनकार कर दिया (एक "पुनर्निर्माण के बाद इनकार"), और कभी-कभी वह बस भ्रमित हो गया। लेकिन तथ्य यह है कि यह इतनी बार काम कर गया, यह सुझाव देता है कि AI को सुरक्षित रखने का वर्तमान तरीका पर्याप्त नहीं हो सकता है। लेखक का निष्कर्ष है कि हमें नए प्रकार के सुरक्षा गार्डों की आवश्यकता है जो न केवल दरवाजे पर देखते हैं, बल्कि घर के अंदर क्या हो रहा है, उस पर भी नज़र रखते हैं। वे सुझाव देते हैं कि भविष्य के बचाव तंत्र को यह पहचानने में सक्षम होना चाहिए कि कोई पहेली के भीतर संदेश छिपाने की कोशिश कर रहा है और AI को उसे हल करने से रोकने के लिए सक्षम होना चाहिए यदि उत्तर खतरनाक है।

संक्षेप में, यह शोध पत्र दिखाता है कि टेक्स्ट को विभाजित करने, दो अलग-अलग गुप्त कोडों का उपयोग करने और AI को "यह पहेली हल करो" का निर्देश देने का एक चतुर संयोजन आज के सर्वश्रेष्ठ सुरक्षा फिल्टरों को बायपास कर सकता है। यह एक याद दिलाता है कि जैसे-जैसे AI स्मार्ट होता जा रहा है, इसे मूर्ख बनाने की चालें भी स्मार्ट होती जा रही हैं, और हमें सभी को सुरक्षित रखने के लिए बेहतर बचाव निर्माण करना जारी रखना होगा।