तकनीकी सारांश: आंतरिक निदान से बाहरी ऑडिटिंग तक

1. समस्या विवरण (Problem Statement)

डीप न्यूरल नेटवर्क (DNNs) मौलिक रूप से बैकडोर हमलों के प्रति संवेदनशील बने हुए हैं, जहाँ हमलावर विशिष्ट इनपुट पर मॉडल के व्यवहार को नियंत्रित करने के लिए छिपे हुए ट्रिगर्स (triggers) लगाने हेतु प्रशिक्षण डेटा को विषाक्त (poison) करते हैं, जबकि सौहार्दपूर्ण (benign) डेटा पर प्रदर्शन को सुरक्षित रखते हैं। खतरे का परिदृश्य स्पष्ट पैटर्न से बदलकर अत्यंत सूक्ष्म डायनेमिक, क्लीन-लेबल और क्लीन-इमेज रणनीतियों तक विकसित हो गया है, जिससे पारंपरिक पहचान करना कठिन हो गया है।

"मॉडल-एज़-अ-सर्विस" (Model-as-a-Service) परिदृश्यों में, रक्षकों के पास अक्सर स्वच्छ प्रशिक्षण डेटा या पीड़ित मॉडल के वेट्स (weights) तक पहुँच नहीं होती है, जिससे डेटा-मुक्त टेस्ट-टाइम डिफेंस (data-free test-time defense) की आवश्यकता होती है। वर्तमान अनुसंधान आंतरिक निदान प्रतिमान (internal diagnosis paradigm) से बाधित है, जो दो मौलिक कमजोरियों से ग्रस्त है:

1. मॉडल रिपेयरिंग विधियाँ: ये पीड़ित मॉडल के आंतरिक गुणों (जैसे, न्यूरॉन एक्टिवेशन ट्रेसेस, चैनल लिप्सिट्ज़नेस) का निरीक्षण करती हैं। ये उन्नत डायनेमिक हमलों के विरुद्ध विफल हो जाती हैं जो इन आंतरिक विसंगतियों को दबाने के लिए विशेष रूप से ट्रिगर्स को अनुकूलित करते हैं।
2. इनपुट रोबस्टनेस विधियाँ: ये इनपुट परटर्बेशन (perturbation) या निरंतरता जाँच पर निर्भर करती हैं। ये प्राकृतिक बैकडोर्स (जैसे, क्लीन-इमेज हमले) के विरुद्ध विफल हो जाती हैं जहाँ ट्रिगर एक मजबूत सिमेंटिक फीचर होता है जिसे परटर्बेशन के माध्यम से सौहार्दपूर्ण फीचर्स से अलग नहीं किया जा सकता।

मुख्य चुनौती एक ऐसा बचाव विकसित करना है जो पीड़ित मॉडल की आंतरिक अवस्थाओं या नाजुक इनपुट धारणाओं पर निर्भर रहे बिना विविध हमले मोडलिटीज के विरुद्ध सुदृढ़ (robust) हो।

2. कार्यप्रणाली: PRISM

लेखक PRISM (प्रोटोटाइप रिफाइनमेंट एंड इंस्पेक्शन वाया स्टैटिस्टिकल मॉनिटरिंग) प्रस्तावित करते हैं, जो आंतरिक निदान से ऑनलाइन बाहरी सिमेंटिक ऑडिटिंग (Online External Semantic Auditing) की ओर एक प्रतिमान परिवर्तन है। यह दृष्टिकोण एक सार्वभौमिक, प्री-ट्रेंड विजन-लैंग्वेज मॉडल (VLM) का उपयोग करके रक्षा को कॉम्प्रोमाइज्ड मॉडल से अलग करता है, जो एक स्वतंत्र, "स्वच्छ" ऑडिटर के रूप में कार्य करता है।

PRISM संदिग्ध पीड़ित मॉडल के चारों ओर एक टेस्ट-टाइम रैपर के रूप में तीन स्तंभों वाली वास्तुकला का उपयोग करता है:

A. डुअल स्ट्रीम इन्फरेंस फ्रेमवर्क (Dual Stream Inference Framework)

प्रत्येक आने वाले टेस्ट सैंपल $x$ के लिए, सिस्टम दो समवर्ती फॉरवर्ड पासेज शुरू करता है:

1. विक्टिम स्ट्रीम (Victim Stream): संभावित रूप से समझौता किए गए मॉडल $f_S$ के माध्यम से $x$ को प्रोसेस करता है ताकि भविष्यवाणियाँ और लॉजिट्स (logits) प्राप्त किए जा सकें।
2. ऑडिटर स्ट्रीम (Auditor Stream): $x$ को एक फ्रीज़्ड, विश्वसनीय यूनिवर्सल VLM (जैसे, CLIP, Qwen-VL) के माध्यम से प्रोसेस करता है। VLM एक "यूनिवर्सल टीचर" के रूप में कार्य करता है, जो अपने विशाल, ओपन-वर्ल्ड ज्ञान के आधार पर एक सिमेंटिक वेरिफिकेशन सिग्नल प्रदान करता है, जो पीड़ित के पॉइज़न्ड डिस्ट्रीब्यूशन से सांख्यिकीय रूप से स्वतंत्र है।

B. हाइब्रिड VLM टीचर (Hybrid VLM Teacher)

सामान्य VLMs और विशिष्ट डाउनस्ट्रीम कार्यों के बीच डोमेन गैप को पाटने के लिए, PRISM एक हाइब्रिड एंकरिंग मैकेनिज्म का उपयोग करता है:

• स्टैटिक टेक्स्ट एंकर्स (Static Text Anchors): पूर्वनिर्धारित टेक्स्ट लेबल्स के साथ कोसाइन सिमिलरिटी के माध्यम से उच्च-स्तरीय सिमेंटिक मार्गदर्शन प्रदान करते हैं।
• डायनेमिक विजुअल प्रोटोटाइप्स (Dynamic Visual Prototypes): ऑडिटर को टेस्ट स्ट्रीम से ऑनलाइन सीखे गए क्लास सेंट्रॉइड्स ($C$) के साथ संवर्धित करते हैं।
• फ्यूजन (Fusion): अंतिम VLM लॉजिट्स ($S_{VLM}$) टेक्स्ट-आधारित और प्रोटोटाइप-आधारित सिमिलरिटी का एक भारित फ्यूजन (weighted fusion) है:
  $$S_{VLM} = \lambda \cdot \text{Sim}(z_{img}, C) + (1 - \lambda) \cdot \text{Sim}(z_{img}, T)$$
  यह ऑडिटर को लेबल किए गए प्रशिक्षण डेटा की आवश्यकता के बिना टेस्ट स्ट्रीम के विशिष्ट फीचर डिस्ट्रीब्यूशन के अनुकूल होने की अनुमति देता है।

C. एडैप्टिव राउटर वाया स्टैटिस्टिकल मॉनिटरिंग (Adaptive Router via Statistical Monitoring)

मुख्य निर्णय तर्क यह निर्धारित करता है कि पीड़ित की भविष्यवाणी को स्वीकार किया जाए या VLM के पक्ष में उसे अस्वीकार किया जाए। यह एक लॉगिट मार्जिन विसंगति मीट्रिक ($\Delta$) द्वारा शासित होता है:
$$\Delta = \exp\left(S_{VLM}^{\hat{y}_S} - \max_{i \neq \hat{y}_S} S_{VLM}^i\right)$$
जहाँ $\hat{y}_S$ पीड़ित की अनुमानित क्लास है। एक छोटा $\Delta$ तीव्र असहमति (संभावित हमला) को दर्शाता है, जबकि एक बड़ा $\Delta$ संरेखण (alignment) को दर्शाता है।

$\Delta$ वितरण की नॉन-गौसियन, स्क्यूड (skewed) प्रकृति को संभालने के लिए, PRISM कॉर्निश-फिशर एक्सपेंशन (Cornish-Fisher expansion) के माध्यम से प्राप्त एक एडैप्टिव थ्रेशोल्ड का उपयोग करता है:
$$\tau_k = \mu_k + \left(\zeta + \frac{\gamma_k}{6}(\zeta^2 - 1)\right) \cdot \sigma_k$$
जहाँ $\mu_k, \sigma_k, \gamma_k$ क्लास $k$ के रनिंग मीन, स्टैंडर्ड डेविएशन और स्क्यूनेस हैं, और $\zeta$ एक बेस कॉन्फिडेंस कोएफिशिएंट है।

D. ऑनलाइन अपडेट मैकेनिज्म (Online Update Mechanism)

PRISM सांख्यिकीय मोमेंट्स और विजुअल प्रोटोटाइप्स को अपडेट करने के लिए एक क्युमुलेटिव मूविंग एवरेज (CMA) का उपयोग करता है। महत्वपूर्ण रूप से, अपडेट केवल तभी होते हैं जब एक सैंपल को स्वच्छ प्रमाणित किया जाता है (अर्थात, $\Delta > \tau$)। यह चयनात्मक अपडेट मैकेनिज्म, CMA की सांख्यिकीय जड़ता (inertia) के साथ मिलकर, डिस्ट्रीब्यूशन शिफ्ट के विरुद्ध मजबूती सुनिश्चित करता है और पॉइज़न्ड सैंपल्स को डिफेंस स्टेट को दूषित करने से रोकता है।

3. मुख्य योगदान (Key Contributions)

1. नया प्रतिमान (बाहरी सिमेंटिक ऑडिटिंग): पेपर आंतरिक निदान की विफलता मोड की पहचान करता है और एक स्वतंत्र, बाहरी ऑडिटर के रूप में यूनिवर्सल VLMs का उपयोग करने का प्रस्ताव करता है, जो प्रभावी रूप से वेट्स या प्रशिक्षण डेटा तक पहुँच के बिना कॉम्प्रोमाइज्ड विक्टिम मॉडल्स को अलग करता है।
2. ऑनलाइन एडैप्टिव फ्रेमवर्क (PRм): एक टेस्ट-टाइम फ्रेमवर्क जो हाइब्रिड VLM टीचर (डोमेन गैप को पाटने के लिए) और एक एडैप्टिव राउटर (सांख्यिकीय निगरानी के माध्यम से स्टैटिक थ्रेशोल्ड से बचने के लिए) के माध्यम से जेनेरिक VLMs को प्रभावी ऑडिटर्स में बदल देता है।
3. श्रेष्ठ सामान्यीकरण और मजबूती (Superior Generalization and Robustness): PRISM 17 डेटासेट्स और 11 अत्याधुनिक बैकडोर हमलों के विरुद्ध उत्कृष्ट प्रदर्शन करता है, जो उन उन्नत क्लीन-इमेज और एडैप्टिव हमलों के विरुद्ध अद्वितीय मजबूती प्रदर्शित करता है जहाँ पारंपरिक प्रतिमान विफल हो जाते हैं।

4. प्रयोगात्मक परिणाम (Experimental Results)

मूल्यांकन 17 डेटासेट्स (CIFAR-10, CIFAR-100, ImageNet, GTSRB और डोमेन-विशिष्ट डेटासेट्स सहित) और 11 स्टेट-ऑफ-द-आर्ट बैकडोर हमलों (क्लासिक, डायनेमिक, क्लीन-लेबल और क्लीन-इमेज) में किया गया।

• प्रदर्शन: PRISM सफलतापूर्वक अटैक सक्सेस रेट (ASR) को CIFAR-10 पर < 1% तक कम कर देता है और सभी 11 हमले के प्रकारों में लगातार 15% से नीचे रखता है, जबकि साथ ही क्लीन एक्यूरेसी (CA) में सुधार या उसे बनाए रखता है।
• तुलना: यह मौजूदा डेटा-फ्री डिफेंस (जैसे, CLP, ScaleUp, ZIP, Refine) से बेहतर प्रदर्शन करता है, जो अक्सर क्लीन-इमेज (FLIP, GCB) या डायनेमिक हमलों के विरुद्ध पूरी तरह विफल हो जाते हैं। नेइव (Naive) VLM बेसलाइन्स कम ASR प्राप्त करते हैं लेकिन भारी CA ड्रॉप (जैसे, GTSRB पर >70%) से जूझते हैं, जबकि PRISM इस अंतर को पाटता है।
• दक्षता (Efficiency): NVIDIA A100 GPU पर, PRISM (CLIP का उपयोग करते हुए) प्रति इमेज 12.5 ms का इन्फरेंस लेटेंसी प्राप्त करता है, जो दक्षता में शीर्ष डिफेंस में से एक है।
• मजबूती (Robustness):
  • VLM आर्किटेक्चर: PRISM दोनों एम्बेडिंग मॉडल्स (CLIP, SigLIP) और जेनेरेटिव मॉडल्स (Qwen, LLaVA) में कम ASR (<10%) बनाए रखता है।
  • डेटासेट स्केल: यह तीन ऑर्डर ऑफ मैग्नीट्यूड (200 से 10,000 इमेज) तक भिन्न डेटासेट आकार के बावजूद प्रभावी रहता है।
  • एडैप्टिव हमले: PRISM उन ऑनलाइन एडैप्टिव रणनीतियों (Flooding, Periodic, Mixed) का विरोध करता है जहाँ हमलावर टेस्ट स्ट्रीम को मैनिपुलेट करने का प्रयास करता है, जिससे ASR < 20% बना रहता है।
  • ऑडिटर कॉम्प्रोमाइज: एक "ट्रस्ट चेन" परिदृश्य में जहाँ एक विशिष्ट ऑडिटर को बैकडोर किया गया है, एक कमजोर लेकिन स्वच्छ जनरलिस्ट VLM स्ट्रीम को सैनिटाइज कर सकता है, जिससे सुरक्षा बहाल होती है।

5. महत्व और दावे (Significance and Claims)

पेपर दावा करता है कि PRISM यह स्थापित करता है कि बाहरी सिमेंटिक ऑडिटिंग के माध्यम से डिफेंस को अलग करना न केवल संभव है बल्कि अगली पीढ़ी की मॉडल सुरक्षा के लिए आवश्यक भी है।

• प्रतिमान परिवर्तन: यह इस नाजुक धारणा से दूर जाता है कि बैकडोर्स स्पष्ट आंतरिक पदचिह्न छोड़ते हैं या ट्रिगर्स इनपुट परटर्बेशन के प्रति संवेदनशील होते हैं। इसके बजाय, यह सिमेंटिक विसंगतियों का पता लगाने के लिए फाउंडेशन मॉडल्स की सांख्यिकीय स्वतंत्रता का लाभ उठाता है।
• व्यावहारिकता: वेट्स या मॉडल इंटरनल को संशोधित किए बिना डेटा-फ्री, टेस्ट-टाइम तरीके से काम करके, PRISM उन "मॉडल-एज़-अ-सर्विस" डिप्लॉयमेंट की महत्वपूर्ण बाधाओं को संबोधित करता है जहाँ डिफेंडर्स के पास प्रशिक्षण डेटा या मॉडल इंटरनल तक पहुँच नहीं होती है।
• स्केलेबिलिटी: यह फ्रेमवर्क मॉडल-अग्नोस्टिक है और लॉगिट-मार्जिन गेटिंग को सीक्वेंस-लेवल कॉन्फिडेंस में अनुकूलित करके अन्य कार्यों (जैसे, इमेज कैप्शनिंग) में विस्तारित किया जा सकता है, जो हेल्थकेयर और ऑटोनॉमस ड्राइविंग जैसे सुरक्षा-महत्वपूर्ण डोमेन में AI सुरक्षा निगरानी के लिए एक स्केलेबल मार्ग प्रदान करता है।

लेखक निष्कर्ष निकालते हैं कि हालांकि यह प्रतिमान ऑडिटिंग VLM की सांख्यिकीय स्वतंत्रता पर निर्भर करता है, फिर भी यह उभरते खतरों, जिसमें सूक्ष्म क्लीन-इमेज और डायनेमिक हमले शामिल हैं, के विरुद्ध एक मजबूत सुरक्षा प्रदान करता है, जो मॉडल-अग्नोस्टिक डिफेंस के लिए एक नया मानक स्थापित करता है।