तकनीकी सारांश: RPP – डेटासेट असंतुलन के तहत बैकडोर हमलों के लिए एक प्रमाणित ज़हरीले-नमूना (Poisoned-Sample) डिटेक्शन फ्रेमवर्क

1. समस्या विवरण (Problem Statement)

डीप न्यूरल नेटवर्क (DNNs) का उपयोग तेजी से सुरक्षा-महत्वपूर्ण अनुप्रयोगों में किया जा रहा है, लेकिन वे बैकडोर हमलों (backdoor attacks) के प्रति अत्यधिक संवेदनशील बने हुए हैं। इन हमलों में, हमलावर प्रशिक्षण डेटा में एक विशिष्ट ट्रिगर पैटर्न (trigger pattern) डाल देते हैं, जिससे मॉडल ट्रिगर वाले इनपुट को एक लक्षित वर्ग (target class) में गलत वर्गीकृत कर देता है, जबकि सामान्य इनपुट पर यह सामान्य व्यवहार करता है।

हालांकि कई रक्षा तंत्र मौजूद हैं, यह शोध पत्र एक महत्वपूर्ण अंतराल की पहचान करता है: अधिकांश मौजूदा रक्षा प्रणालियाँ संतुलित प्रशिक्षण डेटासेट (balanced training datasets) की धारणा पर आधारित हैं, जो वास्तविक दुनिया के परिदृश्यों में दुर्लभ है। व्यवहार में, डेटासेट अक्सर गंभीर वर्ग असंतुलन (class imbalance) प्रदर्शित करते हैं (जैसे चिकित्सा निदान जहाँ स्वस्थ नमूने कैंसर के मामलों की तुलना में बहुत अधिक होते हैं, या स्वायत्त ड्राइविंग जहाँ दुर्लभ यातायात विसंगतियाँ कम प्रतिनिधित्व वाली होती हैं)। लेखक तर्क देते हैं कि यह असंतुलन केवल एक सांख्यिकीय बाधा नहीं है बल्कि एक सुरक्षा भेद्यता (security vulnerability) है। उनका मानना है कि:

1. असंतुलित डेटासेट बहुमत-वर्ग पूर्वाग्रह (majority-class bias) के कारण स्वाभाविक रूप से बैकडोर हमलों के प्रति अधिक संवेदनशील होते हैं।
2. पारंपरिक रक्षा विधियाँ जैसे-जैसे डेटा असंतुलन तीव्र होता है, उनकी प्रभावशीलता काफी कम हो जाती है क्योंकि वे वितरण-स्तरीय संकेतों (जैसे क्लस्टरिंग, वर्ग-स्तरीय सांख्यिकी) पर निर्भर करती हैं जो अल्पसंख्यक वर्गों के कम प्रतिनिधित्व होने पर पक्षपाती या अस्थिर हो जाते हैं।
3. मौजूदा रक्षा प्रणालियों में औपचारिक सैद्धांतिक गारंटी का अभाव है, जिससे सुरक्षा-महत्वपूर्ण प्रणालियाँ अनुकूलनशील हमलावरों (adaptive adversaries) के प्रति असुरक्षित रह जाती हैं।

2. कार्यप्रणाली: रैंडमाइज्ड प्रोबेबिलिटी परटर्बेशन (RPP)

इन चुनौतियोंों को संबोधित करने के लिए, लेखक रैंडमाइज्ड प्रोबेबिलिटी परटर्बेशन (RPP) का प्रस्ताव करते हैं, जो एक प्रमाणित ज़हरीले-नमूना डिटेक्शन फ्रेमवर्क है जिसे केवल मॉडल आउटपुट संभावनाओं (probabilities) का उपयोग करके ब्लैक-बॉक्स सेटिंग में संचालित करने के लिए डिज़ाइन किया गया है।

मूल अंतर्ज्ञान (Core Intuition)

RPP वैश्विक वितरण संकेतों के बजाय एक नमूना-स्तर (sample-level) के दृष्टिकोण पर कार्य करता है। यह विधि इस अवलोकन पर आधारित है कि:

• ज़हरीले इनपुट (Poisoned inputs) (जिनमें ट्रिगर होता है) को मजबूत बनाया जाता है; उनके अनुमानित संभाव्यता वेक्टर (probability vectors) रैंडम इनपुट परटबेशन (शोर/noise) के संपर्क में आने पर भी अपेक्षाकृत स्थिर रहते हैं।
• स्वस्थ इनपुट (Benign inputs) प्राकृतिक सहसंबंधों पर निर्भर करते हैं; उनके संभाव्यता वेक्टर शोर डालने पर काफी बड़े उतार-चढ़ाव प्रदर्शित करते हैं।

RPP मीट्रिक (The RPP Metric)

फ्रेमवर्क इंजेक्ट किए गए आइसोट्रोपिक गाऊसी शोर (isotropic Gaussian noise) के तहत एक नमूने के प्रेडिक्टिव प्रोबेबिलिटी वेक्टर में अपेक्षित परिवर्तन को रैंडमाइज्ड प्रोबेबिलिटी परटर्बेशन (RPP) के रूप में परिभाषित करता है।

• मान लीजिए कि $f(\cdot|w)$ एक प्री-ट्रेन्ड क्लासिफायर है।
• एक इनपुट $x$ के लिए, सैंपलवाइज प्रोबेबिलिटी वेक्टर (SPV) $p(x|w)$ है।
• RPP, जिसे $\Delta P(x|w, \sigma)$ द्वारा दर्शाया गया है, मूल संभाव्यता वेक्टर और शोर $\epsilon \sim \mathcal{N}(0, \sigma^2 I)$ जोड़ने के बाद के वेक्टर के बीच $L_\infty$ नॉर्म के अपेक्षित अंतर के रूप में परिभाषित है:
  $$\Delta P(x|w, \sigma) = \mathbb{E}_{\epsilon} [\| p(x|w) - p(x + \epsilon|w) \|_\infty]$$
• व्यवहार में, इसे $J$ शोर नमूनों पर परटर्बेशन को औसत करके अनुभवजन्य रूप से ($\tilde{\Delta}P$) अनुमानित किया जाता है।

डिटेक्शन पाइपलाइन (Detection Pipeline)

डिटेक्शन प्रक्रिया में तीन चरण शामिल हैं:

1. प्रारंभिक मॉडल प्रशिक्षण (Preliminary Model Training): एक मॉडल को संभावित रूप से ज़हरीले डेटासेट पर प्रशिक्षित किया जाता है। यदि बैकडोर मौजूद हैं, तो यह माना जाता है कि मॉडल ने ट्रिगर को सीख लिया है।
2. थ्रेशोल्ड गणना (कॉन्फ़ॉर्मल कैलिब्रेशन): एक छोटा, स्वच्छ और संतुलित कैलिब्रेशन सेट $V$ उपयोग किया जाता है। इन स्वच्छ नमूनों के लिए अनुभवजन्य RPP ($\tilde{\Delta}P$) की गणना की जाती है। एक डिटेक्शन थ्रेशोल्ड $\hat{q}$ को कॉन्फ़ॉर्मल प्रेडिक्शन (conformal prediction) तकनीकों का उपयोग करके निर्धारित किया जाता है। विशेष रूप से, $\hat{q}$ को उपयोगकर्ता द्वारा निर्दिष्ट महत्व स्तर $\alpha$ के अनुरूप कैलिब्रेशन स्कोर के क्वांटाइल के रूप में सेट किया जाता है। यह वितरण-मुक्त कैलिब्रेशन सुनिश्चित करता है जो वर्ग असंतुलन के तहत भी वैध रहता है।
3. ज़हरीले नमूने का पता लगाना (Poisoned Sample Detection): निरीक्षण किए जाने वाले प्रत्येक नमूने के लिए, उसका अनुभवजन्य RPP निकाला जाता है। यदि $\tilde{\Delta}P \leq \hat{q}$ है, तो नमूने को ज़हरीला (poisoned) चिह्नित किया जाता है; अन्यथा, इसे स्वस्थ (clean) के रूप में वर्गीकृत किया जाता है।

सैद्धांतिक गारंटी (Theoretical Guarantees)

शोध पत्र बैकडोर की पता लगाने योग्यता (detectability) के लिए एक सैद्धांतिक प्रमाण प्रदान करता है:

• डिटेक्टीबिलिटी स्थिति (Detectability Condition): लेखक ट्रिगर के आकार ($\|\delta\|_2$) पर एक निचली सीमा (lower bound) प्राप्त करते हैं जो डिटेक्शन की गारंटी देने के लिए आवश्यक है। यदि ट्रिगर का आकार शोर स्तर $\sigma$, लक्षित वर्ग संभाव्यता $p(x)$, और स्वच्छ संभाव्यता वितरण की ऊपरी सीमा से प्राप्त विशिष्ट सीमा से अधिक है, तो ज़हरीले नमूने का पता लगाने की गारंटी है।
• फॉल्स पॉजिटिव रेट (FPR) नियंत्रण: कॉन्फ़ॉर्मल प्रेडिक्शन थ्योरी का उपयोग करते हुए, फ्रेमवर्क FPR पर एक संभाव्य ऊपरी सीमा प्रदान करता है। थ्योरम 5.4 स्थापित करता है कि एक स्वच्छ नमूने को गलत तरीके से ज़हरीला घोषित किए जाने की संभावना $\alpha + \frac{1}{n+1}$ द्वारा सीमित है, जहाँ $n$ कैलिब्रेशन सेट का आकार है।

3. मुख्य योगदान (Key Contributions)

लेखक अपने योगदान को निम्नानुसार सारांशित करते हैं:

1. खतरे की जांच (Threat Investigation): वे अनुभवजन्य रूप से डेटासेट असंतुलन और बैकडोर हमले की सफलता दर के बीच एक मजबूत सहसंबंध प्रदर्शित करते हैं, यह दिखाते हुए कि असंतुलित डेटासेट स्वाभाविक रूप से अधिक असुरक्षित होते हैं। वे यह भी दिखाते हैं कि मौजूदा रक्षा प्रणालियाँ असंतुलन के तहत काफी कमज़ोर हो जाती हैं।
2. RPP फ्रेमवर्क: वे RPP पेश करते हैं, जो एक प्री-ट्रेनिंग ज़हरीला नमूना डिटेक्शन तकनीक है जो वितरण-स्तरीय सांख्यिकी के बजाय नमूना-स्तरीय स्थिरता संकेतों का उपयोग करके गंभीर वर्ग असंतुलन के अनुकूल प्रभावी ढंग से काम करती है।
3. प्रमाणित गारंटी (Certified Guarantees): कई अनुभवजन्य रक्षाओं के विपरीत, RPP पता लगाने की क्षमता के लिए एक प्रमाणित स्थिति और FPR के लिए एक कठोर सीमा सहित प्रमाणित प्रदर्शन गारंटी प्रदान करता है, जो सुरक्षा-महत्वपूर्ण वातावरण में तैनाती के लिए एक सैद्धांतिक आधार प्रदान करता है।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने पांच बेंचमार्क (MNIST, SVHN, CIFAR-10, TinyImageNet, और ImageNet10) पर 10 विभिन्न बैकडोर हमले के प्रकारों (BadNets, Blend, Trojan, SIG, ISSBA, आदि सहित) को कवर करते हुए RPP का मूल्यांकन किया और इसकी तुलना 12 बेसलाइन रक्षाओं से की।

• असंतुलन के तहत प्रदर्शन: प्रयोग असंतुलन अनुपात ($\rho$) के साथ किए गए जो 1 (संतुलित) से 200 तक के रेंज में थे।
  • डिटेक्शन सटीकता (Detection Accuracy): RPP ने सभी असंतुलन स्तरों पर अत्याधुनिक रक्षाओं (जैसे AC, ASSET, SCALE-UP, STRIP) की तुलना में लगातार काफी उच्च ट्रू पॉजिटिव रेट (TPR) प्राप्त किया। उदाहरण के लिए, $\rho=100$ के साथ CIFAR-10 पर, RPP ने 9.2% FPR के साथ BadNets के विरुद्ध 100% TPR प्राप्त किया, जबकि अन्य विधियों का TPR अक्सर 50% से नीचे गिर गया या FPR बहुत बढ़ गया।
  • मजबूती (Robustness): RPP ने उच्च डिटेक्शन सटीकता बनाए रखी, भले ही असंतुलन अनुपात बढ़कर 200 हो गया, एक ऐसा क्षेत्र जहाँ अधिकांश मौजूदा रक्षा प्रणालियाँ पूरी तरह विफल हो गईं या अस्वीकार्य रूप से उच्च फॉल्स पॉजिटिव उत्पन्न करती हैं।
• प्रमाणन प्रदर्शन (Certification Performance): फ्रेमवर्क ने उच्च कवरेज (अक्सर SVHN और CIFAR-10 के लिए >98%) के साथ ज़हरीले नमूनों का पता लगाने को सफलतापूर्वक प्रमाणित किया, जबकि FPR को $\alpha$ (0.05 और 0.1 पर परीक्षण किया गया) द्वारा परिभाषित सैद्धांतिक सीमाओं के भीतर रखा।
• अनुकूलनशील हमले (Adaptive Attacks): विधि ने छोटे-नॉर्म ट्रिगर्स और हाइब्रिड-लेबल हमलों सहित अनुकूलनशील हमलों के खिलाफ लचीलापन दिखाया, बशर्ते ट्रिगर का आकार सैद्धांतिक डिटेक्टीबिलिटी शासन के भीतर रहे।

5. महत्व और दावे (Significance and Claims)

शोध पत्र का दावा है कि यह असंतुलित डेटा वाले वास्तविक दुनिया के वातावरण में बैकडोर हमलों से निपटने के लिए एक सैद्धांतिक और व्यावहारिक आधार स्थापित करता है।

• अपने प्रकार का पहला (First of its Kind): लेखक दावा करते हैं कि RPP विशेष रूप से डेटासेट असंतुलन की चुनौतियों को संभालने के लिए डिज़ाइन किया गया पहला प्रमाणित ज़हरीले-नमूना डिटेक्शन फ्रेमवर्क है।
• प्रतिमान में बदलाव (Shift in Paradigm): वितरण-स्तरीय संकेतों से नमूना-स्तरीय मजबूती मेट्रिक्स की ओर बढ़ते हुए, RPP समान वर्ग प्रतिनिधित्व (uniform class representations) पर निर्भरता को दरकिनार करता है, जो इसे स्वाभाविक रूप से विषम वितरण (skewed distributions) के लिए उपयुक्त बनाता है।
• सुरक्षा-महत्वपूर्ण प्रयोज्यता (Safety-Critical Applicability): औपचारिक गारंटी (डिटेक्टीबिलिटी स्थिति और FPR बाउंड्स) प्रदान करना अनुभवजन्य रक्षाओं के "बिल्ली-चूहे" (cat-and-mouse) वाले गतिशील स्वभाव को संबोधित करता है, जो स्वायत्त ड्राइविंग और चिकित्सा निदान जैसे सुरक्षा-महत्वपूर्ण अनुप्रयोगों के लिए आवश्यक आश्वासन का स्तर प्रदान करता है जहाँ फॉल्स नेगेटिव या अनियंत्रित फॉल्स पॉजिटिव स्वीकार्य नहीं हैं।

लेखक निष्कर्ष निकालते हैं कि हालांकि उनके तरीके के लिए एक प्रारंभिक मॉडल और एक स्वच्छ कैलिब्रेशन सेट की आवश्यकता होती है, लेकिन यह एक मजबूत, प्रमाणित समाधान प्रदान करता है जो वहां प्रभावी रहता है जहां वर्तमान अत्याधुनिक रक्षाएं विफल हो जाती हैं।