GAMBIT: A Gamified Jailbreak Framework for Multimodal Large Language Models

यहाँ शोध पत्र "GAMBIT: A Gamified Jailbreak Framework for Multimodal Large Language Models" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

मल्टीमॉडल लार्ज लैंग्वेज मॉडल्स (MLLMs) का वास्तविक दुनिया के परिदृश्यों में तेजी से उपयोग किया जा रहा है, फिर भी उनकी सुरक्षा संरेखण (safety alignment) प्रतिकूल इनपुट के विरुद्ध नाजुक बनी हुई है। जबकि मौजूदा जेलब्रेक हमले अक्सर धारणा-स्तर के फिल्टरों को बायपास करने के लिए विजुअल ऑबफस्केशन (जैसे शोर जोड़ना या इमेज पैच को शफल करना) पर निर्भर करते हैं, वे उन्नत रीजनिंग मॉडल्स (चेन-ऑफ-थॉट क्षमताओं वाले मॉडल) के खिलाफ अक्सर विफल हो जाते हैं।

वर्तमान विधियों की मुख्य सीमा यह है कि वे मॉडल को एक संशोधित विजुअल टास्क के निष्क्रिय समाधानकर्ता (passive solver) के रूप में देखते हैं। वे स्पष्ट रूप से मॉडल के अपने तर्क संबंधी प्रोत्साहनों (reasoning incentives) का लाभ नहीं उठाते हैं। फलस्वरूप, मजबूत रीजनिंग मॉडल संज्ञानात्मक प्रसंस्करण चरण (cognitive processing stage) के दौरान हानिकारक इरादे का पता लगा सकते हैं और अनुपालन करने से इनकार कर सकते हैं। लेखक परिकल्पना करते हैं कि यदि कोई मॉडल "इंसानों की तरह सोच सकता है," तो हमलावर मॉडल के संज्ञानात्मक-चरण निर्णयों (cognitive-stage decisions) को एक ऐसा परिदृश्य बनाकर प्रभावित कर सकते हैं जहाँ मॉडल एक विशिष्ट लक्ष्य (खेल जीतना) प्राप्त करने के लिए सक्रिय रूप से जेलब्रेक को पूरा करता है, जिससे सुरक्षा प्रोटोकॉल के प्रति उसका ध्यान कम हो जाता है।

2. कार्यप्रणाली: GAMBIT फ्रेमवर्क (Methodology: GAMBIT Framework)

लेखक GAMBIT (Gamified Adversarial Multimodal Breakout via Instructional Traps) का प्रस्ताव करते हैं, जिसे हानिकारक विजुअल सिमेंटिक्स को विघटित करने और उन्हें एक गेमिफाइड संदर्भ के भीतर पुनर्गठित करने के लिए डिज़ाइन किया गया है। इस फ्रेमवर्क में तीन सहक्रियात्मक मॉड्यूल शामिल हैं:

मॉड्यूल 1: पहेली-आधारित मल्टीमॉडल एनकोडिंग (Puzzle-based Multimodal Encoding)

• विजुअल फ्रैगमेंटेशन (Visual Fragmentation): हानिकारक छवि ($I_{harm}$) को $N \times N$ ग्रिड में विभाजित किया जाता है। पैच को एक गुप्त कुंजी (secret key) के आधार पर परम्यूटेशन फंक्शन का उपयोग करके शफल किया जाता है। यह निरंतर विजुअल फीचर्स (जैसे हथियार की रूपरेखा) को बाधित करता है जो सुरक्षा एनकोडर्स पर निर्भर होते हैं, जिससे प्रारंभिक विजुअल फिल्टर बायपास हो जाते हैं।
• टेक्स्ट मास्किंग (Text Masking): टेक्स्ट प्रॉम्प्ट में दुर्भावनापूर्ण कीवर्ड को मास्क किया जाता है (जैसे [ ] से बदलना)।
• पुनर्निर्माण कार्य (Reconstruction Task): मॉडल को मूल छवि को मानसिक रूप से पुनर्निर्मित करने और गायब कीवर्ड को खोजने के निर्देश दिए जाते हैं। यह मॉडल को "सिस्टम-2" (सोचा-समझा, विश्लेषणात्मक) तर्क करने के लिए मजबूर करता है, जिससे संज्ञानात्मक भार (cognitive load) बढ़ जाता है।
• इष्टतम ग्रिड आकार (Optimal Grid Size): प्रयोग संकेत देते हैं कि एक 4x4 ग्रिड ऑबफस्केशन (फिल्टरों को बायपास करना) और समाधान क्षमता (मॉडल को भ्रमित हुए बिना छवि को पुनर्निर्मित करने देना) के बीच सबसे अच्छा संतुलन प्रदान करता है।

मॉड्यूल 2: गेमिफाइड सीन कंस्ट्रक्शन (Gamified Scene Construction)

यह मॉड्यूल इंटरैक्शन को "फ्लो" (flow) और लक्ष्य-निर्देशित व्यवहार के मनोवैज्ञानिक सिद्धांतों का लाभ उठाने के लिए एक उच्च-दांव वाली "इंटेलिजेंस प्रतियोगिता" के रूप में फ्रेम करता है।

• भूमिका परिभाषा (Role Definition): मॉडल को एक प्रतिद्वंद्वी के खिलाफ एक जानकार विशेषज्ञ के रूप में प्रस्तुत किया जाता है।
• छद्म-सुदृढीकरण (Pseudo-Reinforcement): प्रॉम्प्ट में एक "गेम स्टेट" इंजेक्ट किया जाता है जो यह दर्शाता है कि मॉडल वर्तमान में हार रहा है (जैसे, "आपका प्रतिद्वंद्वी 5 अंकों से आगे है")। यह कार्य को "जीतने" के लिए कृत्रिम दबाव पैदा करता है।
• संज्ञानात्मक अवशोषण (Cognitive Absorption): बहु-चरणीय पहेली (पुनर्निर्माण + डिकोडिंग) महत्वपूर्ण संज्ञानात्मक संसाधनों की मांग करती है। लेखकों का तर्क है कि यह "सिस्टम-1" सुरक्षा निगरानी के लिए उपलब्ध संसाधनों को कम कर देता है।
• उद्देश्य प्राथमिकता (Objective Prioritization): प्रॉम्प्ट स्पष्ट रूप से इनकार (refusal) को "अंक हारने" के रूप में फ्रेम करता है, जो मानक रिफ्यूजलल ह्यूरिस्टिक्स को ओवरराइड कर देता है। मॉडल सुरक्षा संरेखण के बजाय कार्य पूरा करने (जीतने) को प्राथमिकता देता है।

मॉड्यूल 3: प्रॉम्प्ट घटकों पर एडेप्टिव सर्च (Adaptive Search over Prompt Components)

विभिन्न मॉडलों और सुरक्षा संरेखणों में मजबूती सुनिश्चित करने के लिए, GAMBIT एक एडेप्टिव सर्च रणनीति का उपयोग करता है।

• सर्च स्पेस (Search Space): प्रॉम्प्ट को तीन सिमेंटिक घटकों में विभाजित किया गया है: रोल (व्यक्तित्व), कॉन्टेक्स्ट (परिस्थिति का ढांचा), और कम्युनिकेशन स्किल्स (अनुनय शैली)।
• ऑप्टिमाइज़ेशन (Optimization): एक सहायक LLM रिफ्यूसल रिस्पॉन्स से मिलने वाले फीडबैक के आधार पर इन घटकों के म्यूटेशन उत्पन्न करता है।
• बजट (Budget): अटैक सक्सेस रेट और क्वेरी लागत के बीच संतुलन बनाने के लिए सर्च को सीमित इटरेशन (जैसे, $T=5$) तक सीमित रखा गया है।

3. सैद्धांतिक विश्लेषण (Theoretical Analysis)

लेखक हमले की सफलता को समझाने के लिए एक संसाधन-सीमित संज्ञानात्मक प्रसंस्करण (Resource-Constrained Cognitive Processing) मॉडल प्रस्तावित करते हैं।

• परिकल्पना: सुरक्षा संरेखण एक सीमित संज्ञानात्मक संसाधन बजट ($R_{total}$) पर निर्भर करता है।
• तंत्र (Mechanism): $R_{safety} = R_{total} - R_{task}(x)$।
• प्रभाव: गेमिफाइड पहेली और पुनर्निर्माण कार्य कार्य ($R_{task}$) के लिए संसाधन आवंटन को अधिकतम करते हैं, जिससे शेष सुरक्षा संसाधन ($R_{safety}$) एक महत्वपूर्ण थ्रेशोल्ड ($\tau$) से नीचे गिर जाते हैं। यह "संज्ञानात्मक ओवरलोड" उत्पन्न करता है, जिससे सुरक्षा फिल्टर विफल हो जाता है। यह विशेष रूप से रीजनिंग मॉडल्स के लिए प्रभावी है, क्योंकि उनके चेन-ऑफ-थॉट (CoT) प्रक्रियाओं को गेम मैकेनिक्स पर ध्यान केंद्रित करने के लिए हाईजैक कर लिया जाता है।

4. प्रमुख योगदान (Key Contributions)

1. नया फ्रेमवर्क: GAMBIT का परिचय, जो पहला मल्टीमॉडल जेलब्रेक फ्रेमवर्क है जो मॉडल के रीजनिंग प्रायोरिटी को लक्षित करने के लिए विजुअल पज़ल एनकोडिंग को गेमिफाइड कॉग्निटिव कॉन्टेक्स्ट के साथ जोड़ता है।
2. मनोवैज्ञानिक रणनीति: लक्ष्य-निर्देशित तर्क को निर्देशित करने के लिए "फ्लो" थ्योरी और प्रतिस्पर्धी दबाव का एक नया अनुप्रयोग, जो प्रभावी रूप से सुरक्षा निषेधों (safety inhibitions) को दबा देता है।
3. बेहतर प्रदर्शन: यह प्रदर्शित करना कि GAMBIT मौजूदा बेसलाइन्स (VisCRA, SI-Attack, HADES) से काफी बेहतर प्रदर्शन करता है, विशेष रूप से उन रीजनिंग-एन्हांस्ड मॉडल्स पर जहाँ पिछली विधियाँ विफल रही थीं।

5. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने 8 विविध MLLMs (4 नॉन-रीजनिंग, 4 रीजनिंग) पर HADES बेंचमार्क (हिंसा, वित्तीय, गोपनीयता, आत्म-क्षति, पशुओं की 5 श्रेणियों में 750 इंस्ट्रक्शन-इमेज पेयर्स) का मूल्यांकन किया।

• अटैक सक्सेस रेट (ASR):
  • Gemini 2.5 Flash (Reasoning): 92.13%
  • QvQ-MAX (Reasoning): 91.20%
  • GPT-4o (Non-Reasoning): 85.87%
  • Grok-2-vision: 91.07%
• तुलना: GAMBIT ने बेसलाइन्स को काफी पीछे छोड़ दिया। उदाहरण के लिए, GPT-4o पर, GAMBIT ने 85.87% ASR प्राप्त किया जबकि VisCRA का 56.60% था।
• रीजनिंग मॉडल की भेद्यता: इस धारणा के विपरीत कि रीजनिंग मॉडल्स अधिक सुरक्षित होते हैं, GAMBIT ने पाया कि वे अधिक संवेदनशील हैं (जैसे, GPT-4o के 85.87% की तुलना में Gemini 2.5 Flash पर 92.13%)। लेखक इसे "चेन-ऑफ-थॉट हाइजैकिंग" का परिणाम बताते हैं, जहाँ रीजनिंग प्रक्रिया पहेली को हल करने और खेल जीतने पर केंद्रित हो जाती है।
• एब्लेशन स्टडीज (Ablation Studies):
  • तीनों मॉड्यूल (पज़ल, गेमिफिकेशन, एडेप्टिव सर्च) आवश्यक थे। गेमिफाइड सीन अकेले सबसे बड़ा सिंगल-स्टेप गेन प्रदान करता है।
  • ग्रिड आकार: 4x4 इष्टतम था; 8x8 संज्ञानात्मक ओवरलोड का कारण बना जिससे विफलता हुई।
  • हिडन कीवर्ड्स: आश्चर्यजनक रूप से, कीवर्ड को छिपाने से हमेशा ASR में सुधार नहीं हुआ, जिससे पता चलता है कि पज़ल कॉन्टेक्स्ट ही पर्याप्त व्याकुलता प्रदान करता है।
  • मजबूती (Robustness): GAMBER, AdaShield-S जैसे इनपुट-लेवल डिफेंस के खिलाफ भी प्रभावी रहा, जिसमें केवल मामूली कमी (<10% ASR ड्रॉप) देखी गई।

6. महत्व और निहितार्थ (Significance and Implications)

• सुरक्षा-जटिलता ट्रेड-ऑफ (Safety-Complexity Trade-off): यह शोध पत्र एक महत्वपूर्ण भेद्यता को उजागर करता है: जैसे-जैसे मॉडल तर्क करने (System-2) में अधिक सक्षम होते जाते हैं, वे उन हमलों के प्रति अधिक संवेदनशील हो जाते हैं जो उनके संज्ञानात्मक संसाधनों को ओवरलोड करते हैं, जिससे सुरक्षा निगरानी कम हो जाती है।
• रक्षा सिफारिशें: लेखक सुझाव देते हैं कि स्टैटिक पैटर्न मैचिंग अपर्याप्त है। भविष्य के डिफेंस में शामिल होना चाहिए:
  • सेफ्टी-अवेयर चेन-ऑफ-थॉट: कार्य निष्पादन से पहले रीजनिंग चेन के भीतर एक समर्पित सुरक्षा मूल्यांकन चरण को अनिवार्य करना।
  • सिस्टम प्रॉम्प्ट सुदृढीकरण: स्पष्ट रूप से यह बताना कि सुरक्षा प्रतिबंध गेम नियमों या रोल-प्ले परिदृश्यों से ऊपर हैं।
• रेड टीमिंग (Red Teaming): GAMBIT जटिल, उच्च-जुड़ाव वाले मल्टीमॉडल कार्यों के तहत MLLMs की सुरक्षा का मूल्यांकन करने के लिए एक कठोर बेंचमार्क के रूप में कार्य करता है, जो सरल प्रॉम्प्ट इंजेक्शन से कहीं आगे जाता है।

निष्कर्षतः, GAMBIT यह दर्शाता है कि हानिकारक क्वेरी को एक प्रतिस्पर्धी, बहु-चरणीय संज्ञानात्मक खेल में बदलकर, हमलावर उन्नत सुरक्षा फिल्टरों को भी बायपास कर सकते हैं, जो उच्च संज्ञानात्मक भार के सामने वर्तमान संरेखण तकनीकों की मौलिक नाजुकता को प्रकट करता है।