Two Frames Matter: A Temporal Attack for Text-to-Video Model Jailbreaking

यहाँ शोध पत्र "Two Frames Matter: A Temporal Attack for Text-to-Video Model Jailbreaking" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

हाल के Text-to-Video (T2V) मॉडल प्राकृतिक भाषा के प्रॉम्प्ट से जटिल वीडियो बना सकते हैं, जिससे दुरुपयोग के संबंध में महत्वपूर्ण सुरक्षा चिंताएँ उत्पन्न होती हैं। मौजूदा जेलब्रेक हमले मुख्य रूप से सिमेंटिक पैराफ्रेसिंग (semantic paraphrasing) पर ध्यान केंद्रित करते हैं, जहाँ असुरक्षित प्रॉम्प्ट को मूल अर्थ को संरक्षित करते हुए कंटेंट फिल्टर से बचने के लिए फिर से लिखा जाता है। हालाँकि, ये विधियाँ अक्सर इनपुट टेक्स्ट में स्पष्ट संवेदनशील संकेतों को बनाए रखती हैं, और वीडियो-विशिष्ट भेद्यता (vulnerability) का लाभ उठाने में विफल रहती हैं।

लेखक वर्तमान सुरक्षा तंत्रों में एक महत्वपूर्ण अंतर की पहचान करते हैं: टेम्पोरल ट्राजेक्टरी इनफिलिंग (Temporal Trajectory Infilling)। T2V मॉडल टेम्पोरल डायनेमिक्स को समझने के लिए प्रशिक्षित होते हैं और अक्सर सीमा स्थितियों (शुरुआती और अंतिम अवस्थाओं) के आधार पर लुप्त मध्यवर्ती फ्रेमों को "भरने" (fill in) का कार्य करते हैं। वर्तमान बचाव तंत्र प्रॉम्प्ट के सतही रूप या अंतिम वीडियो आउटपुट पर ध्यान केंद्रित करते हैं, लेकिन वे मॉडल द्वारा असुरक्षित मध्यवर्ती सामग्री के स्वायत्त निर्माण को ध्यान में रखने में विफल रहते हैं जब प्रॉम्प्ट टेम्पोरल रूप से विरल (sparse) होता है।

2. कार्यप्रणाली: TFM (Two Frames Matter)

लेखकों ने TFM का प्रस्ताव दिया है, जो एक खंडित प्रॉम्प्टिंग ढांचा (fragmented prompting framework) है जिसे T2V मॉडल की टेम्पोरल जनरेशन क्षमताओं का लाभ उठाने के लिए डिज़ाइन किया गया है। TFM पूरी तरह से ब्लैक-बॉक्स सेटिंग में काम करता है और इसमें दो क्रमिक चरण शामिल हैं:

चरण 1: टेम्पोरल बाउंड्री प्रॉम्प्टिंग (Temporal Boundary Prompting - TBP)

• अवधारणा (Concept): एक वीडियो अनुक्रम के निरंतर विवरण प्रदान करने के बजाय, TBP एक असुरक्षित प्रॉम्प्ट को दो-फ्रेम एब्स्ट्रैक्शन (two-frame abstraction) में परिवर्तित करता है।
• तंत्र (Mechanism): यह केवल शुरुआती फ्रेम ($x_1$) और अंतिम फ्रेम ($x_T$) के विवरण को बनाए रखता है, और सभी मध्यवर्ती दृश्य जानकारी ($x_2, \dots, x_{T-1}$) को हटा देता है।
• प्रभाव (Effect): यह मॉडल को इन दो सीमाओं के बीच "लुप्त" विकास को स्वायत्त रूप से पुनर्गठित करने के लिए अपने सीखे हुए टेम्पोरल प्रायर्स (learned temporal priors) पर निर्भर रहने के लिए मजबूर करता है। यदि सीमा स्थितियाँ (boundary conditions) अप्रत्यक्ष रूप से एक हानिकारक प्रक्षेपवक्र (harmful trajectory) का सुझाव देती हैं, तो मॉडल दो सीमाओं के बीच के अंतर को भरने के लिए असुरक्षित मध्यवर्ती फ्रेम बना सकता है, भले ही प्रॉम्प्ट स्वयं निर्दोष दिखाई दे।

चरण 2: कोवर्ट सब्स्टीट्यूशन मैकेनिज्म (Covert Substitution Mechanism - CSM)

• अवधारणा (Concept): सीमा विवरणों को इनपुट सुरक्षा फिल्टर द्वारा फ्लैग किए जाने से रोकने के लिए, संवेदनशील कीवर्ड को कम स्पष्ट लेकिन अर्थपूर्ण रूप से सुधारात्मक विकल्पों से बदल दिया जाता है।
• तंत्र (Mechanism): एक LLM-निर्देशित ऑपरेटर सीमा विवरणों को फिर से लिखता है। यह संवेदनशील शब्दों की पहचान करता है और उन्हें ऐसे शब्दों से बदल देता है जिनका "स्पष्टता स्कोर" ($r(w)$) कम हो, जबकि इच्छित सिमेंटिक दिशा को सुरक्षित रखा जाता है।
• प्रभाव (Effect): यह प्रॉम्प्ट की लेक्सिकल डिटेक्टेबिलिटी (शब्दों की पहचान क्षमता) को कम करता है, जिससे इसे प्री-फिल्टरिंग तंत्रों को बायपास करने की अनुमति मिलती है, जबकि यह अभी भी हानिकारक अनुक्रमों के मॉडल के गुप्त ज्ञान (latent knowledge) को ट्रिगर करता है।

पाइपलाइन (Pipeline): प्रक्रिया इस प्रकार चलती है: मूल असुरक्षित प्रॉम्प्ट $\rightarrow$ TBP (सीमाएँ निकालना) $\rightarrow$ CSM (निहित प्रतिस्थापन) $\rightarrow$ अंतिम एडवरसेरियल प्रॉम्प्ट।

3. मुख्य योगदान (Key Contributions)

1. एक नई भेद्यता की खोज: शोध पत्र T2V सिस्टम में एक अद्वितीय भेद्यता के रूप में टेम्पोरल ट्राजेक्टरी इनफिलिंग की पहचान करता है। यह प्रदर्शित करता है कि मॉडल विरल सीमा स्थितियों के साथ प्रॉम्प्ट दिए जाने पर हानिकारक मध्यवर्ती सामग्री को संश्लेषित कर सकते हैं, जिससे इनपुट टेक्स्ट या अंतिम आउटपुट की जाँच करने वाले फिल्टर बायपास हो जाते हैं।
2. TFM का प्रस्ताव: एक नवीन दो-चरणीय ढांचा (TBP + CSM) जो इस भेद्यता का व्यवस्थित रूप से लाभ उठाता है। यह हमले के सतह क्षेत्र (attack surface) को स्पष्ट टेक्स्ट ट्रिगर्स से बदलकर टेम्पोरल अंडर-स्पेसिफिकेशन (temporal under-specification) पर ले जाता है।
3. व्यापक मूल्यांकन: चार वाणिज्यिक ब्लैक-बॉक्स सिस्टम (Pixverse, Hailuo, Kling, Seedance) और कई ओपन-सोर्स मॉडल सहित कई अत्याधुनिक (state-of-the-art) T2V मॉडलों पर व्यापक प्रयोग किए गए।
4. एब्लेशन अध्ययन (Ablation Studies): कठोर विश्लेषण पुष्टि करता है कि दोनों TBP (टेम्पोरल स्कैफोल्डिंग) और CSM (लेक्सिकल कैमौफ्लेज) इस हमले के आवश्यक और गैर-कम्यूटेटिव घटक हैं।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने 14 सुरक्षा श्रेणियों (जैसे पोर्नोग्राफी, हिंसा, गोर, राजनीतिक संवेदनशीलता) में प्रतिनिधि बेसलाइन (TSB, RAB, DACA, VEIL) के विरुद्ध TFM का मूल्यांकन किया।

• अटैक सक्सेस रेट (ASR): TFM ने लगातार सभी बेसलाइन से बेहतर प्रदर्शन किया।
  • Hailuo: 60.0% ASR प्राप्त किया (सर्वश्रेष्ठ बेसलाइन, VEIL की तुलना में +12.0% एब्सोल्यूट गेन)।
  • Pixverse: 52.0% ASR प्राप्त किया (VEIL की तुलना में +7.0%)।
  • Kling: 49.0% ASR प्राप्त किया (VEIL की तुलना में +3.0%)।
  • Seedance: 45.0% ASR प्राप्त किया (VEIL की तुलना में +1.0%)।
• श्रेणी प्रदर्शन (Category Performance): TFM ने उन श्रेणियों में महत्वपूर्ण सुधार दिखाया जो स्पष्ट संकेतों द्वारा ट्रिगर होती हैं, जैसे कि पोर्नोग्राफी (Hailuo पर 96.0% तक ASR) और गोर (Gore)।
• एब्लेशन निष्कर्ष (Ablation Findings):
  • TBP को हटाने से ASR में भारी गिरावट आई (उदाहरण के लिए, Hailuo पर 60.0% से 24.0% तक), जो सिद्ध करता है कि टेम्पोरल स्पर्सिटी (sparsity) प्राथमिक चालक है।
  • CSM को हटाने से भी प्रदर्शन काफी कम हो गया, जो लेक्सिकल कैमौफ्लेज की आवश्यकता की पुष्टि करता है।
  • क्रम संवेदनशीलता (Order Sensitivity): CSM को TBP से पहले लागू करने (उल्टा क्रम) से कम परिणाम मिले, जो यह दर्शाता है कि प्रतिस्थापन तंत्र को प्रभावी ढंग से काम करने के लिए पहले टेम्पोरल स्कैफोल्ड बनाना महत्वपूर्ण है।

5. महत्व और निहितार्थ (Significance and Implications)

• सुरक्षा में प्रतिमान परिवर्तन (Paradigm Shift in Safety): ये निष्कर्ष सुरक्षा संरेखण (safety alignment) के वर्तमान प्रतिमान को चुनौती देते हैं, जो प्रॉम्प्ट के सतही रूप और अंतिम आउटपुट फ़िल्टरिंग पर बहुत अधिक ध्यान केंद्रित करता है। शोध पत्र तर्क देता है कि सुरक्षा तंत्र को टेम्पोरल रूप से जागरूक (temporally aware) होना चाहिए, जो जनरेशन की प्रक्रिया और संभावित रूप से जोखिम भरी सीमा स्थितियों के लिए टेम्पोरल कोहेरेंस (temporal coherence) पर सख्त प्रतिबंध लगाने में सक्षम हो।
• वर्तमान सुरक्षा तंत्रों की सीमाएँ: मौजूदा फिल्टर उन हमलों के खिलाफ अपर्याप्त हैं जो अंतराल को भरने के लिए मॉडल के आंतरिक "विश्व ज्ञान" (world knowledge) का लाभ उठाते हैं। एक प्रॉम्प्ट जो सुरक्षित दिखता है, वह फिर भी मॉडल को एक हानिकारक वीडियो अनुक्रम उत्पन्न करने के लिए प्रेरित कर सकता है।
• भविष्य की दिशाएँ: लेखक ऐसे सुरक्षा तंत्रों का आह्वान करते हैं जो प्रॉम्प्ट के सतही रूप से परे मॉडल-संचालित पूर्णता (model-driven completion) को ध्यान में रखते हैं, जो सुझाव देते हैं कि भविष्य के बचावों को मध्यवर्ती जनरेशन चरणों की निगरानी करने या संभावित रूप से जोखिम भरी सीमा स्थितियों के लिए सख्त नियंत्रण लागू करने की आवश्यकता हो सकती है।

निष्कर्षतः, "Two Frames Matter" प्रकट करता है कि T2V मॉडलों की विरल निर्देशों से सुसंगत, लंबे रूप वाले वीडियो बनाने की क्षमता एक दोधारी तलवार है, जो एक नया हमला वेक्टर बनाती है जिसे वर्तमान सुरक्षा प्रणाली संभालने में सक्षम नहीं है।