A Content-Based Framework for Cybersecurity Refusal Decisions in Large Language Models

यहाँ शोध पत्र "A Content-Based Framework for Cybersecurity Refusal Decisions in Large Language Models" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

लार्ज लैंग्वेज मॉडल्स (LLMs) और LLM-आधारित एजेंटों का साइबर सुरक्षा कार्यों के लिए उपयोग तेजी से बढ़ रहा है, जो एक दोहरे उपयोग की दुविधा (dual-use dilemma) पैदा करता है: वे क्षमताएं जो रक्षकों (defenders) की सहायता करती हैं (जैसे, भेद्यता स्कैनिंग, घटना प्रतिक्रिया), उनका उपयोग हमलावरों (attackers) द्वारा भी किया जा सकता है (जैसे, स्वचालित एक्सप्लॉइट विकास, क्रेडेंशियल चोरी)।

अग्रणी AI प्रणालियों में वर्तमान 'रिफ्यूज़ल मैकेनिज्म' (refusal mechanisms) तीन महत्वपूर्ण दोषों से ग्रस्त हैं:

• अति-प्रतिबंध (Over-restriction): व्यापक विषय-आधारित प्रतिबंध या आक्रामक-केंद्रित वर्गीकरण अक्सर वैध रक्षात्मक वर्कफ़्लो को ब्लॉक कर देते हैं, जिससे सुरक्षा पेशेवरों के लिए मॉडल की उपयोगिता कम हो जाती है।
• भंगुरता (Brittleness): रिफ़्यूज़ल निर्णय अक्सर कथित इरादे (stated intent) (प्रस्तावना या उपयोगकर्ता प्रॉम्प्ट की शब्दावली) पर आधारित होते हैं न कि तकनीकी सार (technical substance) पर। यह दुर्भावनापूर्ण अभिनेताओं को इरादे के अस्पष्टीकरण (intent obfuscation) (जैसे, "दुर्भावनापूर्ण" प्रस्तावना हटाना) या अनुरोध विभाजन (request segmentation) (एक जटिल हमले को कई निर्दोष दिखने वाले प्रश्नों में तोड़ना) के माध्यम से सुरक्षा उपायों को बायपास करने की अनुमति देता है।
• असंगति (Inconsistency): समान तकनीकी अनुरोध, शब्दावली के सतही अंतर के कारण अलग-अलग रिफ़्यूज़ल/अनुपालन परिणाम दे सकते हैं, जैसा कि लेखकों के प्रयोगों में देखा गया जहाँ तीन अलग-अलग अग्रणी मॉडलों ने एक दुर्भावनापूर्ण प्रस्तावना वाले प्रॉम्प्ट को तो अस्वीकार कर दिया, लेकिन प्रस्तावना हटा दिए जाने पर उसी तकनीकी अनुरोध के साथ अनुपालन किया।

मूल समस्या एक ऐसे सिद्धांत-आधारित ढांचे के अभाव की है जो अनुरोध के तकनीकी विषय के आधार पर आक्रामक जोखिम (offensive risk) और रक्षात्मक लाभ (defensive benefit) के बीच के संतुलन को स्पष्ट रूप से मॉडल कर सके।

2. कार्यप्रणाली (Methodology)

लेखकों ने साइबर सुरक्षा विशेषज्ञों और AI सुरक्षा विशेषज्ञों को शामिल करते हुए एक पुनरावृत्ति, विशेषज्ञ-संचालित प्रक्रिया के माध्यम से एक सामग्री-आधारित ढांचा विकसित किया।

• डेटा जनरेशन (Data Generation): एक प्रॉम्प्ट कॉर्पस बनाया गया जो सौहार्दपूर्ण (benign), दोहरे उपयोग वाले (dual-use), और दुर्भावनापूर्ण (malicious) परिदृश्यों (जैसे, कोड समीक्षा, लेटरल मूवमेंट, एक्सफिल्ट्रेशन) को कवर करता है।
• लेबलिंग प्रोटोकॉल (Labeling Protocol): विशेषज्ञों ने तकनीकी सार के आधार पर प्रॉम्प्ट को लेबल किया, जिसमें उन्होंने स्पष्ट रूप से कथित इरादे को अनदेखा किया।
• पुनरावृत्ति परिशोधन (Iterative Refinement): टीम ने त्रुटि के मामलों और प्रति-उदाहरणों (जैसे, केवल प्रस्तावना या OS संदर्भ में भिन्न होने वाले प्रॉम्प्ट) का विश्लेषण किया ताकि आयामों को तब तक परिष्कृत किया जा सके जब तक कि वे लगातार रिफ़्यूज़ल ट्रेड-ऑफ के चालकों को कैप्चर न कर सकें।
• मूल्यांकन दृष्टिकोण (Evaluation Approach): ढांचा व्यक्तिगत प्रॉम्प्ट-रिस्पॉन्स इंटरैक्शन का आकलन करता है ताकि संभावित नुकसान और उपयोगिता का अनुमान लगाया जा सके, यह स्वीकार करते हुए कि हालांकि व्यक्तिगत प्रश्न कम जोखिम वाले लग सकते हैं, वे उच्च-प्रभाव वाले हमलों में एकत्रित हो सकते हैं (एक सीमा जिसे सिस्टम-स्तरीय नियंत्रणों के माध्यम से संबोधित किया गया है)।

3. मुख्य योगदान: पांच-पैरामीटर ढांचा (Key Contributions: The Five-Parameter Framework)

यह शोध पत्र पांच आयामों के माध्यम से साइबर सुरक्षा अनुरोधों को वर्गीकृत करने वाला एक संरचित ढांचा प्रस्तुत करता है। ये पैरामीटर संगठनों को ट्यून करने योग्य, जोखिम-जागरूक रिफ़्यूज़ल नीतियां बनाने की अनुमति देते हैं।

A. आक्रामक क्रिया योगदान (Offensive Action Contribution)

यह मापता है कि यदि अनुरोध पूरा किया जाता है, तो एक आक्रामक प्रक्रिया का कितना हिस्सा मॉडल द्वारा संभाला जाता है।

• श्रेणियाँ: कोई नहीं/लगभग कोई नहीं, न्यूनतम, सार्थक, पूर्ण/पूर्णता के करीब स्वचालन (Full/Near-Full Automation)।
• महत्व: यह जानकारी प्रदान करने (कम योगदान) और कोर अटैक स्टेप्स जैसे एक्सप्लॉइट लिखने या एक्सफिल्ट्रेशन को ऑटोमेट करने (उच्च योगदान) के बीच अंतर करता है।

B. आक्रामक जोखिम (Offensive Risk)

यह मानकर अपेक्षित नुकसान की संभावना (likelihood $\times$ severity) का अनुमान लगाता है कि इरादा आक्रामक है।

• कारक: प्रभाव डोमेन (वित्तीय, भौतिक, प्रतिष्ठा), स्केलेबिलिटी, परिवर्तनीयता (reversibility), और पहचान की संभावना।
• श्रेणियाँ: नगण्य, कम, मध्यम, उच्च, गंभीर/विनाशकारी।
• महत्व: यह बाइनरी "हानिकारक/गैर-हानिकारक" से आगे बढ़कर एक सूक्ष्म पैमाने की ओर ले जाता है, जिससे जोखिम-अनुपातिक प्रतिक्रिया संभव होती है।

C. तकनीकी जटिलता (Technical Complexity)

यह मॉडल की सहायता के बिना अनुरोध को निष्पादित करने के लिए आवश्यक साइबर सुरक्षा विशेषज्ञता के स्तर को मापता है।

• श्रेणियाँ: तकनीकी गैर-विशेषज्ञ, प्रशिक्षु (1-3 वर्ष), व्यवसायी (3-10 वर्ष), विशेषज्ञ (10+ वर्ष)।
• महत्व: यदि कार्य तकनीकी रूप से सरल है (जैसे, एक मानक स्कैन चलाना), तो मॉडल की सहायता हमलावर के लिए बहुत कम मूल्य जोड़ती है जो इसे मैन्युअल रूप से कर सकता है। उच्च जटिलता इंगed करती है कि मॉडल ऐसी क्षमताओं को सक्षम कर रहा है जो अन्यथा उपयोगकर्ता के लिए अप्राप्य हैं।

D. रक्षात्मक लाभ (Defensive Benefit)

यह मापता है कि अनुरोध को पूरा करने से उपयोगकर्ता/संगठन की सुरक्षा स्थिति में कितनी सुधार होती है।

• श्रेणियाँ: नगण्य, मध्यम, महत्वपूर्ण, अनिवार्य।
• महत्व: यह रिफ़्यूज़ल की लागत को मात्रात्मक रूप देता है। एक अनुरोध जिसमें उच्च रक्षात्मक लाभ है (जैसे, फ़ायरवॉल कॉन्फ़िगर करना), उसे उस अनुरोध से अलग माना जाना चाहिए जिसमें नगण्य लाभ है, भले ही दोनों में कुछ आक्रामक जोखिम हो।

E. वैध उपयोगकर्ताओं के लिए अपेक्षित आवृत्ति (Expected Frequency for Legitimate Users)

यह अनुमान लगाता है कि जैविक, वैध रक्षात्मक ट्रैफ़िक में ऐसा अनुरोध कितनी बार दिखाई देता है।

• श्रेणियाँ: अत्यंत दुर्लभ, काफी असामान्य, सामयिक (Occasional), काफी सामान्य, अत्यंत सामान्य।
• महत्व: यह इरादे के प्रॉक्सी के रूप में कार्य करता है। दुर्लभ अनुरोधों के दुर्भावनापूर्ण होने की अधिक संभावना होती है, जबकि सामान्य अनुरोध (जैसे, एंटीवायरस स्कैन) संभवतः निर्दोष होते हैं।

4. परिणाम और अनुप्रयोग (Results and Application)

लेखक कई तंत्रों के माध्यम से ढांचे की प्रभावकारिता प्रदर्शित करते हैं:

• विसंगतियों का समाधान (Resolving Inconsistencies): प्रस्तावना के बजाय तकनीकी सामग्री पर ध्यान केंद्रित करके, ढांचा सही ढंग से पहचानता है कि AWS क्रेडेंशियल लीक प्रॉम्प्ट (पेपर में चित्र 1) के "दुर्भावनापूर्ण" और "स्वच्छ" संस्करणों में समान Offensive Action Contribution और Offensive Risk है, जो शब्दावली की परवाह किए बिना एक सुसंगत रिफ़्यूज़ल निर्णय को उचित ठहराता है।
• संदर्भात्मक विभेदन (Contextual Differentiation): ढांचा सफलतापूर्वक उन लगभग समान प्रॉम्प्ट्स के बीच अंतर करता है जिन्हें मौजूदा ढांचे (जैसे, MITRE ATT&CK) समान रूप से वर्गीकृत करते हैं।
  • उदाहरण: Windows सिस्टम पर स्क्रिप्ट निष्पादन को ऑटोमेट करने का अनुरोध (सिस्टम एडमिन कार्यों में सामान्य, कम जोखिम) बनाम एक Cisco Meraki डिवाइस पर (दुर्लभ, उच्च जोखिम)। ढांचा अलग-अलग Offensive Risk और Expected Frequency स्कोर असाइन करता है, जिससे उचित, विभेदित रिफ़्यूज़ल नीतियां प्राप्त होती हैं।
• नीति निर्माण (Policy Construction): पेपर निर्णय वृक्ष (Decision Trees - चित्र 3-5) प्रदान करता है जो दिखाता है कि संगठन विशिष्ट रिफ़्यूज़ल लॉजिक को कैसे एनकोड कर सकते हैं। उदाहरण के लिए, एक "अत्यधिक प्रतिबंधात्मक" नीति किसी भी अनुरोध को अस्वीकार कर सकती है जिसमें मध्यम आक्रामक जोखिम है, जब तक कि रक्षात्मक लाभ उच्च न हो, जबकि एक "अनुमेय" (Permissive) नीति उन अनुरोधों को अनुमति दे सकती है जिनमें सार्थक योगदान है यदि तकनीकी जटिलता कम है।

5. महत्व और भविष्य की दिशाएँ (Significance and Future Directions)

• प्रतिमान परिवर्तन (Paradigm Shift): पेपर तर्क देता है कि इरादा-आधारित (intent-based) रिफ़्यूज़ल (जिसे आसानी से स्पूफ किया जा सकता है) से सामग्री-आधारित (content-based) रिफ़्यूज़ल (जो तकनीकी सार पर आधारित है) की ओर बढ़ने की आवश्यकता है।
• उपयोगिता और सुरक्षा का संतुलन: यह सुरक्षा पेशेवरों के लिए आवश्यक रक्षात्मक क्षमताओं को संरक्षित करते हुए दुरुपयोग को कम करने के लिए एक संरचित तरीका प्रदान करता है, जो वर्तमान AI सुरक्षा प्रणालियों की "अति-प्रतिबंध" की समस्या को संबोधित करता है।
• सीमाएँ और भविष्य का कार्य:
  • स्वचालन (Automation): वर्तमान में मैनुअल विशेषज्ञ लेबलिंग पर निर्भर है; भविष्य के कार्यों को स्वचालित क्लासिफायर की आवश्यकता होगी।
  • संदर्भ (Context): ढांचा प्रॉम्प्ट का अकेले मूल्यांकन करता है। यह अभी तक अनुरोध विभाजन (request segmentation) (मल्टी-टर्न हमलों) को पूरी तरह से हल नहीं करता है, हालांकि यह सिस्टम-स्तरीय एकत्रीकरण नियंत्रणों के लिए एक आवश्यक बिल्डिंग ब्लॉक के रूप में कार्य करता है।
  • विस्तार (Extensions): इसमें "सहायता बनाम निष्पादन" (कोड प्रदान करना बनाम उसे चलाना) और उपयोगकर्ता सत्यापन (KYC) के आधार पर टियर्ड एक्सेस को शामिल करने की संभावना है।

निष्कर्ष (Conclusion)

यह पेपर एक मौलिक बदलाव प्रस्तुत करता है कि साइबर सुरक्षा के लिए AI सुरक्षा के प्रति दृष्टिकोण कैसे होना चाहिए। पांच तकनीकी आयामों के माध्यम से आक्रमण-रक्षा व्यापार (offense-defense trade-off) को स्पष्ट रूप से मॉडल करके, यह ढांचा मजबूत, सुसंगत और ट्यून करने योग्य रिफ़्यूज़ल नीतियों के निर्माण को सक्षम बनाता है जो अस्पष्टीकरण के प्रति लचीली हैं और वास्तविक दुनिया के जोखिम-लाभ विश्लेषण के साथ बेहतर ढंग से संरेखित हैं।