कल्पना कीजिए कि आप एक जासूस हैं जो घास के एक विशाल ढेर के भीतर छिपी एक छोटी सी सुई को खोजने की कोशिश कर रहे हैं। अब, कल्पना कीजिए कि वह घास का ढेर केवल भूसा नहीं है, बल्कि एक जीवित, सांस लेती हुई लाइब्रेरी है जिसमें लाखों किताबें हैं, और वह सुई एक ऐसा गुप्त संदेश है जो केवल कुछ ही लोग समझ सकते हैं। यह आधुनिक सॉफ्टवेयर सुरक्षा का दैनिक संघर्ष है। डिजिटल दुनिया में, "लार्ज लैंग्वेज मॉडल्स" (LLMs) उन सुपर-स्मार्ट AI जासूसों की तरह हैं जिन्होंने लाइब्रेरी की लगभग हर किताब पढ़ ली है। वे कोड को समझने, बग्स को ठीक करने और यहाँ तक कि नए प्रोग्राम लिखने में भी अद्भुत हैं। हालाँकि, जब बात "दुर्भावनापूर्ण कोड" (malicious code) को खोजने की आती है—जो एक हानिरहित दिखने वाले खिलौने के अंदर छिपे बम के डिजिटल समकक्ष जैसा है—तो ये AI जासूस अक्सर घबरा जाते हैं। वे पूरे घास के ढेर को देखते रहते हैं, हर एक तिनके को पढ़ने की कोशिश करते हैं, और इस प्रक्रिया में, वे उस सुई को मिस कर देते हैं क्योंकि वह बहुत छोटी है और बाकी शोर से बहुत दूर है।

यह शोध पत्र एक बहुत ही विशिष्ट समस्या पर काम करता है: हम इन सुपर-स्मार्ट AI जासूसों को बुरा कोड खोजने में कैसे मदद कर सकते हैं बिना उन्हें थकाए, भ्रमित किए या सुरक्षित फाइलों के लाखों ढेर पर समय बर्बाद किए? लेखक एक चतुर नई रणनीति प्रस्तावित करते हैं जिसे GMLLM कहा जाता है। इसे एक अलग तरह के AI द्वारा संचालित विशेष "एक्स-रे चश्मे" के रूप में समझें। जासूस को पूरी लाइब्रेरी पढ़ने के बजाय, यह नया सिस्टम पहले लाइब्रेरी के मानचित्र (फाइलों के बीच के कनेक्शन) को स्कैन करता है ताकि यह पता लगाया जा सके कि वास्तव में कौन सी कुछ अलमारियाँ संदिग्ध हैं। फिर यह मुख्य जासूस को बताता है, "हे, बाकी सब को अनदेखा करो; बस यहाँ जाकर देखो।" इस तरह, जासूस अपनी पूरी मानसिक शक्ति उस छोटे, खतरनाक स्थान पर केंद्रित कर सकता है, जिससे खोज तेज़, सस्ती और बहुत अधिक सटीक हो जाती है।

समस्या: AI शोर में खो जाता है

शोधकर्ताओं ने एक निराशाजनक अवलोकन के साथ शुरुआत की। जबकि AI मॉडल कोड के छोटे अंशों को समझने में माहिर हैं, वे बड़े, जटिल सॉफ्टवेयर प्रोजेक्ट्स का सामना करने पर विफल हो जाते हैं। कल्पना कीजिए कि आप एक 500 पन्नों के उपन्यास में एक विशिष्ट टाइपो खोजने की कोशिश कर रहे हैं और हर एक शब्द को एक साथ पढ़ने की कोशिश कर रहे हैं; आपका मस्तिष्क संभवतः उस त्रुटि को छोड़ देगा क्योंकि वह इतने अधिक टेक्स्ट में दबी हुई है। इसी तरह, जब एक AI एक विशाल सॉफ्टवेयर पैकेज का विश्लेषण करने की कोशिश करता है, तो उसका "ध्यान" (attention) बिखर जाता है। वह लाखों लाइनों के पूरी तरह से सुरक्षित और उबाऊ कोड को पढ़ने में अपनी ऊर्जा बर्बाद करता है, और जब तक वह उस हिस्से तक पहुँचता है जो खतरनाक हो सकता है, तब तक वह या तो भ्रमित हो चुका होता है या उसके पास "मानसिक शक्ति" (कंप्यूटेशनल संसाधन) खत्म हो चुकी होती है।

शोध पत्र दिखाता है कि जैसे-जैसे सॉफ्टवेयर पैकेज बड़े होते जाते हैं, बुरा कोड पहचानने की AI की क्षमता वास्तव में खराब होती जाती है। यह एक ऐसे सुरक्षा गार्ड की तरह है जो सामने के दरवाजे को देखने में इतना व्यस्त है कि वह पीछे की खिड़की को देखना भूल जाता है जहाँ चोर वास्तव में चढ़ रहा है। बुरा कोड अक्सर खंडित होता है, अलग-अलग फाइलों में छिपा होता है, और जटिल तरीकों से जुड़ा होता है जिसे AI तब नहीं समझ पाता जब वह एक साथ पूरी तस्वीर देख रहा होता है।

समाधान: एक दो-चरणीय जासूसी टीम

इसे ठीक करने के लिए, लेखकों ने GMLLM (ग्राफ रिप्रेजेंटेशन लर्निंग-गाइडेड लार्ज लैंग्वेज मॉडल्स) नामक एक सिस्टम बनाया। उन्होंने केवल समस्या पर अधिक कंप्यूटिंग पावर नहीं लगाई; बल्कि उन्होंने यह बदल दिया कि AI कोड को कैसे देखता है। उन्होंने काम को दो अलग-अलग चरणों में विभाजित किया, जैसे कि दो जासूसों की एक टीम मिलकर काम कर रही हो।

चरण 1: मानचित्र पाठक (ग्राफ न्यूरल नेटवर्क)
सबसे पहले, सिस्टम पूरे सॉफ्टवेयर प्रोजेक्ट को एक विशाल "मानचित्र" या "ग्राफ" में बदल देता है। इस मानचित्र में, कोड का हर हिस्सा (जैसे एक फंक्शन या क्लास) एक बिंदु (नोड) है, और जब एक कोड का हिस्सा दूसरे से बात करता है, तो उनके बीच एक रेखा (एज) होती है। यह किताबों के एक बिखरे हुए ढेर को एक स्पष्ट सबवे मैप में बदलने जैसा है जो दिखाता है कि प्रत्येक स्टेशन कैसे जुड़ता है।

एक हल्का AI मॉडल, जिसे ग्राफ न्यूरल नेटवर्क (GNN) कहा जाता है, इस मानचित्र को देखता है। इसे कोड में वास्तविक शब्दों को पढ़ने की आवश्यकता नहीं होती; यह केवल कनेक्शनों के आकार और कुछ सरल संकेतों को देखता है। इसे ऐसे पैटर्न पहचानने के लिए प्रशिक्षित किया गया है जो संदिग्ध दिखते हैं, जैसे कि एक सबवे लाइन जो अचानक अजीब तरीके से वापस घूम जाती है। यह GNN चलाने में तेज़ और सस्ता है। यह पूरे प्रोजेक्ट को स्कैन करता है और एक मोटा अनुमान देता है: "यह पैकेज थोड़ा जोखिम भरा लग रहा है।"

चरण 2: स्पॉटलाइट (अटेंशन मैकेनिज्म)
यहाँ जादू वाला हिस्सा है। एक बार जब GNN कहता है, "यहाँ कुछ गलत है," तो यह केवल रुकता नहीं है। यह एक अंधेरे कमरे में टॉर्च की तरह काम करता है। यह खुद से पूछता है, "इस मानचित्र के कौन से विशिष्ट बिंदुओं और रेखाओं ने मुझे सोचने पर मजबूर किया कि यह खतरनाक है?" यह कोड के हर हिस्से के लिए एक "अटेंशन स्कोर" की गणना करता है।

सिस्टम फिर 99% कोड को फ़िल्टर कर देता है। यह सभी सुरक्षित, उबाऊ हिस्सों को हटा देता है और केवल उस छोटे, उच्च-स्कोर वाले "सबग्राफ" को रखता है—कोड की वे विशिष्ट कुछ लाइनें और उनके तत्काल कनेक्शन जिन्हें GNN दोषी मानता है। यह एक जासूस के कहने जैसा है, "मुझे अब पूरी किताब पढ़ने की ज़रूरत नहीं है; मुझे बस पेज 42 के इन तीन पैराग्राफों को पढ़ने की ज़रूरत है।"

चरण 3: विशेषज्ञ समीक्षा (लार्ज लैंग्वेज मॉडल)
अंत में, सिस्टम कोड के इस छोटे, फ़िल्टर्ड टुकड़े को लेता है और उसे सुपर-स्मार्ट LLM (मुख्य AI जासूस) को सौंप देता है। क्योंकि LLM केवल पहेली के एक छोटे, प्रासंगिक हिस्से को देख रहा है, वह गहराई से विश्लेषण करने के लिए अपनी पूरी शक्ति का उपयोग कर सकता है। वह शोर से विचलित हुए बिना संदर्भ, तर्क और इरादे को समझ सकता है। फिर वह अंतिम निर्णय देता है: "हाँ, यह दुर्भावनापूर्ण है," या "नहीं, यह सुरक्षित है," और यहाँ तक कि यह भी बताता है कि क्यों।

उन्होंने क्या पाया: स्मार्ट, तेज़ और अधिक सटीक

शोधकर्ताओं ने वास्तविक दुनिया के सॉफ्टवेयर पैकेजों के एक विशाल संग्रह पर इस नई पद्धति का परीक्षण किया, जिसमें वे पैकेज भी शामिल थे जिन्हें जानबूझकर चालाकी भरा और दुर्भावनापूर्ण बनाया गया था। परिणाम प्रभावशाली थे।

• बेहतर पहचान: GMLLM सिस्टम ने अकेले काम करने वाले AI मॉडल्स की तुलना में काफी अधिक दुर्भावनापूर्ण कोड खोजा। वास्तव में, कुछ बड़े डेटासेट्स पर, मानक AI मॉडल्स बहुत सारा बुरा कोड मिस कर गए, जबकि GMLLM ने लगभग सारा कोड पकड़ लिया। शोध पत्र सुझाव देता है कि AI का ध्यान केंद्रित करके, सिस्टम "घास के ढेर" में "सुइयों" को पहचानने में बहुत अधिक विश्वसनीय हो गया।
• कम बर्बादी: सबसे आश्चर्यजनक खोज यह थी कि इस सिस्टम ने कितना समय और पैसा बचाया। क्योंकि AI को केवल कोड के एक बहुत छोटे हिस्से को पढ़ना था, इसने बहुत कम "टोकन" (टेक्स्ट की इकाइयाँ जिन्हें AI प्रोसेस करता है) का उपयोग किया। बड़े सॉफ्टवेयर पैकेजों के लिए, सिस्टम ने पूरे विश्लेषण की तुलना में हजारों गुना कम संसाधनों का उपयोग किया। यह एक तथ्य खोजने के लिए पूरी विश्वकोश पढ़ने और केवल इंडेक्स में उस एक तथ्य को खोजने के बीच के अंतर जैसा है।
• बेहतर स्पष्टीकरण: सिस्टम ने न केवल बुरा कोड खोजा, बल्कि इसने यह समझाने में भी बेहतर प्रदर्शन किया कि वह बुरा कोड क्या कर रहा था। जब AI को पूरे प्रोजेक्ट को देखने के लिए मजबूर किया गया, तो इसके स्पष्टीकरण अक्सर अस्पष्ट या भ्रमित करने वाले थे। जब इसने विशिष्ट संदिग्ध हिस्सों पर ध्यान केंद्रित किया, तो यह हमले का स्पष्ट वर्णन कर सका, जैसे कि "यह कोड आपके पासवर्ड चुराने की कोशिश कर रहा है" या "यह एक गुप्त कनेक्शन छिपा रहा है।"

निष्कर्ष

शोध पत्र यह दावा नहीं करता है कि उसने बुरे कोड की समस्या को हमेशा के लिए हल कर दिया है। इसके बजाय, यह काम करने के एक नए तरीके का सुझाव देता है जो मौजूदा AI टूल्स को बहुत अधिक प्रभावी बनाता है। एक तेज़, सरल "मानचित्र पाठक" को एक शक्तिशाली "विस्तार विशेषज्ञ" के साथ जोड़कर, सिस्टम AI की मुख्य कमजोरी को दूर करता है: बहुत अधिक जानकारी में खो जाने की प्रवृत्ति।

लेखक दिखाते हैं कि बुरे कोड को खोजने के लिए आपको एक बड़ा, अधिक महंगा AI नहीं चाहिए; आपको बस AI को सही जगह देखना सिखाने की ज़रूरत है। यह दृष्टिकोण बड़े सॉफ्टवेयर प्रोजेक्ट्स को तेज़ी से और सटीकता से स्कैन करना संभव बनाता है, जो हमारी डिजिटल दुनिया को सुरक्षित रखने की दिशा में एक बड़ा कदम है। यह एक अराजक, भारी खोज को एक सटीक, लक्षित जांच में बदल देता है, जो यह साबित करता है कि कभी-कभी, कम देखना वास्तव में अधिक देखना होता है।