INFA-Guard: Mitigating Malicious Propagation via Infection-Aware Safeguarding in LLM-Based Multi-Agent Systems

तकनीकी सारांश: INFA-GUARD

समस्या विवरण

लार्ज लैंग्वेज मॉडल (LLM) आधारित मल्टी-एजेंट सिस्टम (MAS) के तीव्र विकास ने महत्वपूर्ण सुरक्षा भेद्यताओं को जन्म दिया है, जहाँ दुर्भावनापूर्ण प्रभाव अंतर-एजेंट संचार के माध्यम से वायरस की तरह फैल सकता है। मौजूदा सुरक्षा उपाय जो MAS पर कार्य करते हैं, वे आमतौर पर एक बाइनरी प्रतिमान (binary paradigm) के तहत संचालित होते हैं—जो "सौम्य" (benign) एजेंटों और "हमलावर" (attack) एजेंटों के बीच स्पष्ट रूप से अंतर करते हैं—लेकिन वे एक महत्वपूर्ण तीसरे वर्ग की उपेक्षा करते हैं: संक्रमित (infected) एजेंट।

संक्रमित एजेंट वे सौम्य संस्थाएं हैं जिन्हें हमलावर एजेंटों द्वारा लुभाया या गुमराह किया गया है, जिससे उनका आंतरिक तर्क (logic) समझौता हो गया है। इसके परिणामस्वरूप वे त्रुटिपूर्ण निष्कर्ष निकालते हैं और हानिकारक जानकारी प्रसारित करना जारी रखते हैं, भले ही मूल हमलावर एजेंटों को हटा दिया गया हो। वर्तमान रक्षा प्रणालियाँ अक्सर इन संक्रमित एजेंटों की अनदेखी करती हैं, जिससे दो प्राथमिक विफलताएं होती हैं:

1. निरंतर प्रसार (Continued Propagation): संक्रमित एजेंट माध्यमिक प्रसारक (secondary propagators) के रूप में कार्य करते हैं, जिससे स्रोत के हटने के बाद भी हमला बना रहता है।
2. टोपोलॉजिकल सूचना की हानि (Loss of Topological Information): मौजूदा विधियाँ उस संरचनात्मक संबंध का लाभ उठाने में विफल रहती हैं जहाँ संक्रमित एजेंट के हमलावर स्रोतों के निकट होने की उच्च संभावना होती है, जिससे स्थानीयकरण (localization) के लिए एक प्रमुख संकेतक छूट जाता है।

कार्यप्रणाली: INFA-GUARD

यह शोध पत्र INFA-GUARD (इन्फेक्शन-अवेयर गार्ड) प्रस्तावित करता है, जो एक ऐसा रक्षा ढांचा है जो मूल हमलावर एजेंटों और प्रेरित (persuaded) संक्रमित एजेंटों के बीच स्पष्ट रूप से अंतर करता है और उन्हें मॉडल करता है। यह ढांचा तीन मुख्य तंत्रों के माध्यम से कार्य करता है:

1. संक्रमण-जागरूक पहचान (Infection-Aware Detection)

यह प्रणाली MAS को एक ग्राफ $G=(V, E)$ के रूप में मॉडल करती है और पहचान को एक ग्राफ विसंगति पहचान (graph anomaly detection) कार्य के रूप में मानती है।

• अस्थायी गतिशीलता (Temporal Dynamics): यह एजेंट कथनों के टेम्पोरल एम्बेडिंग को मॉडल करके एजेंटों के सौम्य से संक्रमित अवस्था में संक्रमण को कैप्चर करता है। एक विशेष फलन $\Psi$ इटरेशन के दौरान सेल्फ-रिप्लाय और संदेश विनिमय का विश्लेषण करके इन गतिकी को संकलित करता है।
• टर्न-एडाप्टिव GNN (Turn-Adaptive GNN): संक्रमण की विकसित होती प्रकृति के साथ तालमेल बिठाने के लिए, डिटेक्टर टर्न-एडाप्टिव पैरेलल ब्रांचेस के साथ एक ग्राफ न्यूरल नेटवर्क (GNN) का उपयोग करता है। यह मॉडल को मल्टी-एजेंट संवाद के विभिन्न चरणों के लिए विशिष्ट रूप से पैरामीटर अनुकूलित करने की अनुमति देता है।
• डुअल-हेड क्लासिफिकेशन (Dual-Head Classification): मॉडल एक डुअल-हेड आर्किटेक्चर का उपयोग करता है जो एक हमलावर ($V_{atk}$) या एक संक्रमित एजेंट ($V_{inf}$) होने की संभावना को एक साथ अनुमानित करता है, और उन्हें अलग-अलग खतरे की श्रेणियों के रूप में मानता है।

2. टोपोलॉजी बाधाओं के माध्यम से स्थानिक समायोजन (Spatial Adjustment via Topology Constraints)

यह ढांचा उन टोपोलॉजिकल बाधाओं को शामिल करता है जो इस अवलोकन से प्राप्त हुई हैं कि संक्रमण एक संरचनात्मक रूप से सीमित प्रक्रिया है, न कि यादृच्छिक।

• अपराध का जुड़ाव (Guilt-by-Association): सिस्टम एक बाधा लागू करता है जहाँ एक संक्रमित एजेंट की उपस्थिति उसके तत्काल पड़ोस में एक हमले के स्रोत की संभावना को काफी बढ़ा देती है।
• लॉस फंक्शन (Loss Function): प्रशिक्षण के दौरान एक टोपोलॉजी-जागरूक लॉस टर्म ($L_{topo}$) जोड़ा जाता है जो उन "अलग-थलग" (isolated) संक्रमित एजेंटों की पहचान करने के लिए दंडित करता है जिनमें पड़ोसी हमलावर या संक्रमित एजेंट नहीं हैं, जिससे फॉल्स पॉजिटिव कम होते हैं।
• पोस्ट-एडाप्टेशन (Post-Adaptation): सुधार (remediation) के दौरान, सिस्टम अस्थायी रुझानों और पड़ोस संबंधों का विश्लेषण करके भविष्यवाणियों को परिष्कृत करता है। यदि किसी एजेंट को संक्रमित के रूप में अनुमानित किया जाता है लेकिन वह अलग-थलग है, तो सिस्टम एक अज्ञात पड़ोसी के अस्तित्व का अनुमान लगाता है और तदनुसार पड़ोसियों के वर्गीकरण को समायोजित करता है।

3. लक्षित उपचार (Targeted Remediation)

INFA-GUARD सिस्टम की टोपोलॉजिकल अखंडता को बनाए रखने के लिए दो खतरे की श्रेणियों के लिए अलग-अलग रणनीतियों का उपयोग करता है:

• हमलावर एजेंट (Attack Agents): इन्हें सौम्य एजेंटों (न्यूनतम हमले की संभावना के आधार पर चयनित) के साथ प्रतिस्थापित (replaced) किया जाता है ताकि ग्राफ संरचना को बनाए रखते हुए दुर्भावनापूर्ण प्रतिक्रियाओं के निर्माण को रोका जा सके।
• संक्रमित एजेंट (Infected Agents): इनका पुनर्वास (rehabilitated) किया जाता है, न कि इन्हें हटाया जाता है। सिस्टम एक रिप्लाई-लेवल रेमेडिएशन फंक्शन ($R_F$) का उपयोग करता है जो दुर्भावनापूर्ण संदर्भों को हटाते हुए सहायक अर्थों को सुरक्षित रखते हुए एजेंट की प्रतिक्रिया की जांच और पुनर्लेखन के लिए LLM का लाभ उठाता है। यह एजेंट को आगामी इटरेशन में एक सौम्य सूचना स्रोत के रूप में उबरने की अनुमति देता है।

मुख्य योगदान

1. नवीन खतरे का वर्गीकरण: यह शोध पत्र MAS सुरक्षा में संक्रमित एजेंटों को एक अलग खतरे की श्रेणी के रूप में स्पष्ट रूप से परिभाषित और संबोधित करने वाला पहला कार्य है, जो बाइनरी सौम्य/हमलावर प्रतिमान से आगे बढ़ता है।
2. संक्रमण-जागरूक ढांचा: यह टेम्पोरल डायनेमिक्स और टोपोलॉजिकल बाधाओं का उपयोग करके हमलावर स्रोतों और संक्रमित एजेंटों दोनों का पता लगाने और स्थानीयकरण करने वाला एक रक्षा तंत्र पेश करता है।
3. टोपोलॉजी का संरक्षण: नोड्स को हटाने (जो सिस्टम कनेक्टिविटी को बाधित करता है) के विपरीत, INFA-GUARD हमलावरों को बदल देता है और संक्रमित एजेंटों का पुनर्वास करता है, जिससे MAS ग्राफ की संरचनात्मक अखंडता और प्रतिक्रिया विविधता बनी रहती है।
4. अनुभवजन्य सत्यापन (Empirical Validation): इस ढांचे को विविध हमले परिदृश्यों (प्रॉम्प्ट इंजेक्शन, टूल अटैक, मेमोरी अटैक), विभिन्न LLM बैकबोन (GPT-4o-mini, Qwen3) और विभिन्न टोपोलॉजी (चेन, ट्री, स्टार, रैंडम) में मान्य किया गया है।

प्रयोगात्मक परिणाम

व्यापक प्रयोगों से सिद्ध होता है कि INFA-GUARD अत्याधुनिक प्रदर्शन प्राप्त करता है:

• अटैक सक्सेस रेट (ASR): यह ढांचा बेसलाइन की तुलना में ASR को औसतन 33% कम कर देता है। विशिष्ट परिदृश्यों में, यह सबसे अच्छे मौजूदा बेसलाइन (Inspector) को 3% से 12.9% से अधिक के अंतर से पछाड़ देता है। उदाहरण के लिए, टूल अटैक्स (TA) में, इसने GPT-4o-mini पर ASR@3 के रूप में 2.1% प्राप्त किया, जो प्रतिस्पर्धियों से काफी कम है।
• डिफेंस सक्सेस रेट (MDSR): यह सभी कार्यों में लगातार उच्चतम MDSR प्राप्त करता है, टूल अटैक्स में 98.3% और मेमोरी अटैक्स में 96.7% तक रिकवर करता है।
• स्केलेबिलिटी (Scalability): विधि बिना पुन: प्रशिक्षण के बड़े पैमाने के सिस्टम (50 एजेंटों तक) में मजबूत सामान्यीकरण प्रदर्शित करती है, जो "सेल्फ-हीलिंग" क्षमता दिखाती है जहाँ संचार राउंड के साथ ASR कम होता जाता है।
• दक्षता (Efficiency): INFA-GUARD लागत और प्रदर्शन के बीच एक बेहतर संतुलन प्राप्त करता है। यह केवल 7.2% प्रॉम्प्ट टोकन और 9.3% कंप्लीशन टोकन का अतिरिक्त भार लेता है, जो AgentXposed (जिसमें 200% से अधिक ओवरहेड हो सकता है) जैसे बेसलाइन की तुलना में काफी कम है।

महत्व और दावे

यह शोध पत्र दावा करता है कि INFA-GUARD उस "संक्रमण" डायनेमिक को संबोधित करके हमले के प्रसार को रोकने के लिए एक पद्धतिगत समाधान प्रदान करता है जिसे पिछले बाइनरी डिफेंस ने अनदेखा कर दिया था। संक्रमित अवस्था से संक्रमण को स्पष्ट रूप से मॉडल करके और टोपोलॉजिकल बाधाओं का उपयोग करके, यह ढांचा MAS को उनकी सहयोगात्मक कनेक्टिविटी से समझौता किए बिना प्रभावी ढंग से सुरक्षित करता है।

लेखक इस कार्य को विश्वसनीय सहयोगात्मक AI पारिस्थितिकी तंत्र विकसित करने की दिशा में एक आवश्यक कदम के रूप में देखते हैं, और तर्क देते हैं कि उन्नत मल्टी-एजेंट वातावरणों में अनैतिक और दुर्भावनापूर्ण गतिविधियों का मुकाबला करने के लिए बाइनरी डिटेक्शन प्रतिमानों से ऊपर उठना महत्वपूर्ण है। यह कार्य रेखांकित करता है कि संक्रमित एजेंटों की अनदेखी करने से सिस्टम अवशिष्ट सुरक्षा जोखिमों के प्रति संवेदनशील हो जाते हैं, जबकि INFA-GUARD पहचान और पुनर्वास दोनों के लिए एक व्यापक दृष्टिकोण प्रदान करता है।