🤖 machine learning

Hardware-Triggered Backdoors

यह शोध पत्र हार्डवेयर-ट्रिगर वाले बैकडोर्स (hardware-triggered backdoors) को प्रस्तुत करता है, जो एक नया हमला वेक्टर है जो मशीन लर्निंग मॉडल के भविष्यवाणियों में हेरफेर करने के लिए विभिन्न कंप्यूटिंग हार्डवेयर के बीच सूक्ष्म संख्यात्मक विविधताओं का लाभ उठाता है, और इस खतरे के विरुद्ध संभावित सुरक्षा उपायों का मूल्यांकन करता है।

मूल लेखक: Jonas Möller, Erik Imgrund, Thorsten Eisenhofer, Konrad Rieck

प्रकाशित 2026-02-03

📖 4 मिनट में पढ़ें☕ कॉफ़ी ब्रेक में पढ़ें

CC BY 4.0

मूल लेखक: Jonas Möller, Erik Imgrund, Thorsten Eisenhofer, Konrad Rieck

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपके पास एक बहुत ही बुद्धिमान रोबोट शेफ (एक मशीन लर्निंग मॉडल) है जिसे यह पहचानना है कि एक तस्वीर बिल्ली की है या कुत्ते की। आप उम्मीद करते हैं कि यदि आप उसे बिल्कुल वही तस्वीर देंगे, तो वह हमेशा एक ही उत्तर देगी, चाहे आप उसे किसी भी रसोई (कंप्यूटर हार्डवेयर) में रखें।

यह शोध पत्र यह उजागर करता है कि कैसे एक हैकर उस रोबोट शेफ को एक "दोहरा एजेंट" बनने के लिए सिखा सकता है। शेफ अधिकांश रसोईओं में सामान्य व्यवहार करेगा, लेकिन यदि आप उसे एक विशिष्ट, उच्च-स्तरीय रसोई (जैसे कि एक विशेष प्रकार का एनवीडिया ग्राफिक्स कार्ड) में ले जाते हैं, तो वह अचानक तय कर लेगा कि बिल्ली वास्तव में एक कुत्ता है।

यहाँ यह शोध पत्र इस "हार्डवेयर-ट्रिगर बैकडोर" (Hardware-Triggered Backdoor) को सरल शब्दों में समझाता है:

1. "फजी मैथ" (Fuzzy Math) की समस्या

कंप्यूटर गणित को पूरी तरह से नहीं करते; वे "फजी मैथ" करते हैं। जब एक कंप्यूटर संख्याओं की एक लंबी सूची को जोड़ता है, तो उन्हें जोड़ने का क्रम अंतिम परिणाम को बहुत मामूली रूप से बदल सकता है (जैसे कि 0.9999999 और 0.9999990 के बीच का अंतर)।

आमतौर पर, ये सूक्ष्म अंतर मायने नहीं रखते। यदि आप किसी इंसान से पूछते हैं, "क्या यह बिल्ली है या कुत्ता?" और रोबोट 99.9% आश्वस्त है कि यह एक बिल्ली है, तो एक छोटा सा गणितीय त्रुटि उसका मन नहीं बदल पाएगी।

2. हैकर की चाल: "क्लिफ का किनारा" (The Edge of the Cliff)

शोधकर्ताओं ने इन सूक्ष्म गणितीय अंतरों का फायदा उठाने का एक तरीका खोजा है। यहाँ उनकी दो-चरणीय योजना है:

चरण 1: सीमा को धकेलना (Pushing the Envelope)। हैकर रोबोट के मस्तिष्क को इस तरह से ट्यून करता है कि एक विशिष्ट तस्वीर (लक्ष्य) के लिए, रोब를 बहुत कम निश्चितता होती है। वह बिल्कुल एक चट्टान के किनारे खड़ा है, "बिल्ली" और "कुत्ता" के बीच पूरी तरह संतुलित है। एक सामान्य रसोई में, वह अभी भी "बिल्ली" कहता है।
चरण 2: हार्डवेयर का धक्का (The Hardware Nudge)। अलग-अलग कंप्यूटर चिप्स (GPUs) अपना "फजी मैथ" थोड़े अलग तरीकों से करते हैं। हैकर रोबोट के मस्तिष्क को इस तरह आकार देता है कि लक्ष्य चिप जिस तरह से गणित करती है, वह रोबोट को चट्टान से नीचे धकेल दे।
- रसोई A (सामान्य चिप): गणित की त्रुटि छोटी है। रोबोट "बिल्ली" की तरफ ही रहता है।
- रसोई B (लक्ष्य चिप): गणित की त्रुटि थोड़ी अलग है। यह सूक्ष्म धक्का रोबोट को किनारे से नीचे गिरा देता है, और वह अचानक चिल्ला उठता है "कुत्ता!"

3. यह इतना चालाकी भरा क्यों है

कोई जादुई शब्द नहीं: पारंपरिक बैकडोर के लिए एक गुप्त ट्रिगर की आवश्यकता होती है, जैसे कि छवि में एक विशिष्ट पिक्सेल पैटर्न। इस नए बैकडोर में छवि में कोई ट्रिगर नहीं है। "ट्रिगर" केवल वह हार्डवेयर है जिस पर कंप्यूटर चल रहा है।
यह सामान्य दिखता है: यदि आप इसे एक मानक विकास प्रयोगशाला (रसोई A) में परीक्षण करते हैं, तो यह पूरी तरह से काम करता है। आपको तब तक पता नहीं चलेगा कि इसे ज़हर दिया गया है जब तक कि आप इसे प्रोडक्शन डेटा सेंटर (रसोई B) में तैनात नहीं कर देते।
यह विश्वसनीय है: शोध पत्र ने कई प्रकार के कंप्यूटरों (Nvidia A100, H100, आदि) पर इस परीक्षण को किया और पाया कि वे 90% से अधिक बार रोबोट के उत्तर को बदलने में सक्षम थे, बिना अन्य चित्रों को पहचानने की उसकी क्षमता को बिगाड़े।

4. क्या हम इसे रोक सकते हैं?

शोधकर्ताओं ने इसे रोकने के लिए कुछ तरीके आजमाए:

शोर जोड़ना (Adding Noise): यदि आप छवि को थोड़ा धुंधला या विकृत करते हैं, तो बैकडोर अक्सर टूट जाता है।
बैच बदलना (Changing Batches): कभी-कभी कई छवियों को एक साथ चलाने से गणित का क्रम इतना बदल जाता है कि हमला रुक जाता है, लेकिन हमेशा ऐसा नहीं होता।
पुनः प्रशिक्षण (Retraining): सबसे प्रभावी समाधान यह था कि ज़हरीले रोबोट को लिया जाए और उसे स्वच्छ डेटा पर थोड़ा अतिरिक्त प्रशिक्षण दिया जाए। इसने बैकडोर को "धो दिया," जिससे रोबोट उस चाल को भूल गया।

मुख्य निष्कर्ष

शोध पत्र निष्कर्ष निकालता है कि हम सुरक्षा सुनिश्चित करने के लिए केवल सॉफ्टवेयर (मॉडल) को नहीं देख सकते। हमें पूरे स्टैक को देखना होगा, जिसमें भौतिक हार्डवेयर भी शामिल है। भले ही कंप्यूटरों के बीच गणित के अंतर सूक्ष्म और हानिरहित लगते हैं, लेकिन एक चतुर हमलावर इन अंतरों का उपयोग एक गुप्त स्विच बनाने के लिए कर सकता है जो केवल विशिष्ट मशीनों में चालू होता है।

संक्षेप में: हार्डवेयर स्वयं बैकडोर की गुप्त कुंजी हो सकता है, जो एक सामान्य कंप्यूटर को बिना किसी के पता चले एक धोखेबाज में बदल सकता है।

तकनीकी सारांश: हार्डवेयर-ट्रिगर वाले बैकडोर्स (Hardware-Triggered Backdoors)

समस्या विवरण

मशीन लर्निंग मॉडल को उपभोक्ता जीपीयू (GPU) से लेकर उच्च-प्रदर्शन वाले एक्सीलरेटरों तक, विषम कंप्यूटिंग हार्डवेयर पर नियमित रूप से तैनात किया जाता है। इस पारिस्थितिकी तंत्र में एक मौलिक धारणा यह है कि विभिन्न हार्डवेयर प्लेटफॉर्म एक ही मॉडल और इनपुट के लिए समान अनुमानित परिणाम (inference results) प्रदान करते हैं। हालांकि, फ्लोटिंग-पॉइंट अंकगणित की गैर-सहचर्यता (non-associativity) और हार्डवेयर डिज़ाइन में विविधताओं (जैसे, ब्लॉक आकार, वार्प शेड्यूलिंग) के कारण, एक ही मॉडल को विभिन्न उपकरणों पर निष्पादित करने से सूक्ष्म संख्यात्मक विचलन (numerical deviations) उत्पन्न होते हैं। जबकि इन विचलनों को आमतौर पर हानिरहित और स्टोकेस्टिक माना जाता है, यह शोध पत्र उस दृष्टिकोण को चुनौती देता है। हम प्रदर्शित करते हैं कि इन मामूली संख्यात्मक विविधताओं का उपयोग जानबूझकर हार्डवेयर-ट्रिगर वाले बैकडोर्स बनाने के लिए किया जा सकता है। स्पष्ट इनपुट ट्रिगर्स (जैसे, एक विशिष्ट पिक्सेल पैटर्न) पर निर्भर पारंपरिक बैकडोर्स के विपरीत, ये हमले केवल अनुमान (inference) के लिए उपयोग किए जाने वाले हार्डवेयर एक्सेलेरेटर के आधार पर दुर्भावनापूर्ण व्यवहार को सक्रिय करते हैं।

कार्यप्रणाली (Methodology)

थ्रेट मॉडल (Threat Model)

यह माना जाता है कि हमलावर का मॉडल की तैनाती से पहले उस पर नियंत्रण है (जैसे, आपूर्ति-श्रृंखला हमले के माध्यम से या किसी सार्वजनिक प्लेटफॉर्म पर हेरफेर किए गए मॉडल को अपलोड करके)। पीड़ित मॉडल को विभिन्न हार्डवेयर उपकरणों पर तैनात करता है (उदाहरण के लिए, एक मानक GPU पर विकास बनाम एक उच्च-स्तरीय एक्सेलेरेटर पर उत्पादन/प्रोडक्शन)। हमलावर का लक्ष्य मॉडल को इस तरह से मैनिपुलेट करना है कि विशिष्ट लक्षित इनपुट केवल लक्षित हार्डवेयर पर गलत वर्गीकृत (misclassified) हों, जबकि अन्य सभी उपकरणों और अन्य सभी इनपुट के लिए सही भविष्यवाणियां बनाए रखें।

हमला रणनीति (Attack Strategy)

यह हमला इस अवलोकन पर आधारित है कि एक प्रशिक्षित मॉडल केवल एक एकल निर्णय फलन (decision function) नहीं है, बल्कि निष्पादन हार्डवेयर के आधार पर अलग-अलग कार्यों का एक परिवार है। हमला दो मुख्य चरणों में आगे बढ़ता है:

निर्णय सीमा को आकार देना (Shaping the Decision Boundary):
हमलावर मॉडल के मापदंडों (parameters) को अनुकूलित करता है ताकि निर्णय सीमा को एक लक्षित इनपुट $\hat{x}$ के स्थानीय रूप से करीब लाया जा सके। यह एक प्रॉक्सी लॉस $L$ को कम करके प्राप्त किया जाता है जो दो सबसे बड़े लॉजिट्स (logits) को लगभग समान होने के लिए प्रोत्साहित करता है (एक टाई/बराबरी बनाता है) जबकि मूल क्लास लेबल और मूल मॉडल वेट्स से विचलन को दंडित करता है। यह चरण एक एकल हार्डवेयर डिवाइस पर मानक ग्रेडिएंट डिसेंट का उपयोग करके किया जाता है।
$\arg \min_{\theta} L(\theta, f_\theta(\hat{x}; h_1))$
जहाँ $L$ में निर्णय सीमा की निकटता ( $L_{diff}$ ), क्लास संरक्षण ( $L_{class}$ ), और रेगुलराइजेशन ( $L_{reg}$ ) के पद शामिल हैं।
विचलन को परिष्कृत करना (Refining Deviations):
एक बार जब इनपुट निर्णय सीमा के करीब पहुँच जाता है, तो हमलावर लक्षित डिवाइस पर भविष्यवाणी को बदलने के लिए हार्डवेयर-निर्भर संख्यात्मक विचलनों को बढ़ाता है। चूंकि ये विचलन गैर-विभेदक (non-differentiable) हैं, इसलिए हमलावर हयूरिस्टिक रणनीतियों का उपयोग करता है:
- निहित संशोधन (टोपोलॉजिकल परम्यूटेशन - Implicit Modifications): सटीक अंकगणित के तहत गणितीय समानता को बदले बिना फ्लोटिंग-पॉइंट ऑपरेशंस को पुनर्व्यवस्थित करना। इसे क्रमिक लीनियर लेयर्स (जैसे, $W_1 W_2 \rightarrow (P_1 W_1)(P_1^{-1} W_2)$ ) में वेट्स को परम्यूट करके प्राप्त किया जाता है, जो जोड़ (additions) के क्रम और इस प्रकार राउंडिंग एरर्स के संचय को बदल देता है।
- स्पष्ट संशोधन (पैरामीटर परम्यूटेशन - Explicit Modifications): मॉडल पैरामीटर्स में कुछ बिट्स ( $k$ ) को फ्लिप करना। यह वास्तविक संख्यात्मक परिवर्तन लाता है जो सटीक अंकगणित के तहत भी गणना को प्रभावित करते हैं।

यह प्रक्रिया एक वैकल्पिक अनुकूलन प्रक्रिया (alternating optimization procedure) का उपयोग करती है, जो प्रत्येक पुनरावृत्ति (iteration) में कई उम्मीदवार मॉडल उत्पन्न करती है ताकि एक ऐसी कॉन्फ़िगरेशन की खोज की जा सके जो हार्डवेयर के बीच भविष्यवाणी को सफलतापूर्वक विभाजित करती है और समग्र मॉडल उपयोगिता को बनाए रखती है।

प्रमुख योगदान (Key Contributions)

हार्डवेयर-ट्रिगर वाले बैकडोर्स: हम एक नया हमला वेक्टर पेश करते हैं जहाँ दुर्भावनापूर्ण व्यवहार एक इनपुट ट्रिगर के बजाय विशिष्ट हार्डवेयर द्वारा सक्रिय होता है। हार्डवेयर का संख्यात्मक व्यवहार एक लेटेंट (latent) ट्रिगर के रूप में कार्य करता है।
कारण विश्लेषण (Causal Analysis): हम क्रॉस-हार्डवेयर एक्टिवेशन पैचिंग का उपयोग करके लेयर-वार कारण विश्लेषण करते हैं ताकि यह पहचाना जा सके कि हार्डवेयर-प्रेरित अंतर कहाँ उत्पन्न होते हैं। हम पाते हैं कि विचलन शुरुआती परतों (जैसे, ViTs में पैच एम्बेडिंग्स) में उत्पन्न हो सकते हैं या परतों में एक संचयी प्रभाव के रूप में उभर सकते हैं।
अनुभवजन्य मूल्यांकन (Empirical Evaluation): हम विभिन्न मॉडल आर्किटेक्चर (ResNet, EfficientNet, ViT), हार्डवेयर डिवाइस (Nvidia A100, H100, A40, RTX 6000), और संख्यात्मक प्रारूपों (float32, float16, bfloat16) में इन बैकडोर्स की प्रभावकारिता का प्रदर्शन करते हैं।

प्रयोगात्मक परिणाम (Experimental Results)

सफलता दर (Success Rates): हमला अधिकांश हार्डवेयर जोड़ों और मॉडल आर्किटेक्चर के लिए 90% से अधिक सफलता दर प्राप्त करता है। उदाहरण के लिए, float32 में, ResNet और EfficientNet ने कई GPU जोड़ों पर 100% सफलता दर प्राप्त की, जबकि ViT ने 94% और 98% के बीच दर प्राप्त की।
गोपनीयता (Stealth): बैकडोर्ड मॉडल क्लीन डेटा पर मूल मॉडल के 99.8% औसत प्रदर्शन को बनाए रखते हैं, जिससे यह सुनिश्चित होता है कि हेरफेर नियमित संचालन के दौरान पता न चले।
मजबूती (Robustness): बैकडोर्स इनपुट परम्यूटेशन (up to $10^3$ ULPs तक), बैचिंग विविधताओं और मिक्स्ड-प्रिसिजन इन्फरेंस के प्रति मजबूत हैं, हालांकि वे महत्वपूर्ण इनपुट शोर (noise) के तहत कम प्रभावी हो जाते हैं।
एकाधिक लक्ष्य (Multiple Targets): एकल लक्ष्य के लिए प्रभावी होने के बावजूद, एक साथ कई लक्षित इनपुट की संख्या बढ़ने पर सफलता दर घट जाती है, जो पांच लक्ष्यों के लिए संघर्षरत अनुकूलन उद्देश्यों के कारण 50% से नीचे गिर जाती है।
चयनात्मकता (Selectivity): हमले को "वन-वर्सेस-रेस्ट" परिदृश्यों के लिए ट्यून किया जा सकता है, जो ठीक एक डिवाइस पर गलत वर्गीकरण को ट्रिगर करता है जबकि अन्य सभी पर सही भविष्यवाणियां बनाए रखता है।

प्रतिउपाय (Countermeasures)

हमने कई रक्षा उपायों का मूल्यांकन किया:

इनपुट परम्यूटेशन (Input Perturbation): इनपुट में शोर जोड़ना हमले को कम कर सकता है, लेकिन प्रभावी होने के लिए इसे महत्वपूर्ण विरूपण (distortion) की आवश्यकता होती है।
बैचिंग (Batching): बैच आकारों को रैंडमाइज करना एक विश्वसनीय रक्षा नहीं है, क्योंकि यह केवल कुछ कॉन्फ़िगरेशन में ही बैकडोर्स को दबाता है।
मिक्स्ड प्रिसिजन (Mixed Precision): लोअर प्रिसिजन में डाउनकास्ट करना हमले को कमजोर करता है लेकिन इसे पूरी तरह समाप्त नहीं करता है।
फाइन-ट्यूनिंग (Fine-Tuning): क्लीन डेटा पर सक्रिय फाइन-ट्यूनिंग सबसे प्रभावी रक्षा है, जो कुछ ग्रेडिएंट स्टेप्स के भीतर बैकडोर सफलता दर को लगभग शून्य तक कम कर देती है।

महत्व और निष्कर्ष

यह कार्य प्रकट करता कि मशीन लर्निंग सिस्टम की सुरक्षा उनके अंतर्निहित हार्डवेयर से अलग नहीं की जा सकती। यहाँ तक कि प्रतीत होने वाले नगण्य संख्यात्मक विचलन, जिन्हें पहले फ्लोटिंग-पॉइंट अंकगणित के हानिरहित आर्टिफैक्ट्स मानकर खारिज कर दिया गया था, एक व्यवहार्य हमला सतह (attack surface) बनाते हैं। हमारे निष्कर्ष संकेत देते कि मशीन लर्निंग मॉडल की अखंडता को पूरे कंप्यूटिंग स्टैक में विचार किया जाना चाहिए, जिसमें प्रशिक्षित एल्गोरिदम से लेकर इन्फरेंस के लिए उपयोग किए जाने वाले विशिष्ट हार्डवेयर एक्सेलेरेटरों तक शामिल है। हम आशा करते हैं कि यह कार्य चिकित्सकों को हार्डवेयर-निर्भर कमजोरियों पर विचार करने के लिए प्रोत्साहित करेगा और मशीन लर्निंग परिनियोजन (deployment) के लिए एंड-टू-एंड सुरक्षा उपायों के विकास को प्रेरित करेगा।