💻 computer science

Removing the Trigger, Not the Backdoor: Alternative Triggers and Latent Backdoors

यह शोध पत्र इस धारणा को चुनौती देता है कि ज्ञात ट्रिगर्स को निष्प्रभावी करने से बैकडोर समाप्त हो जाते हैं, यह प्रदर्शित करते हुए कि दृष्टिगत रूप से भिन्न "वैकल्पिक ट्रिगर्स" फीचर स्पेस में सुप्त बैकडोर दिशाओं को विश्वसनीय रूप से सक्रिय कर सकते हैं, जिससे वे रक्षा प्रणालियों की वकालत करते हैं जो विशिष्ट इनपुट ट्रिगर्स के बजाय इन अंतर्निहित प्रतिनिधित्व पैटर्न को लक्षित करती हैं।

मूल लेखक: Gorka Abad, Ermes Franch, Stefanos Koffas, Stjepan Picek

प्रकाशित 2026-03-11

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Gorka Abad, Ermes Franch, Stefanos Koffas, Stjepan Picek

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपके पास एक इमारत के प्रवेश द्वार पर एक बहुत ही बुद्धिमान, लेकिन थोड़ा संदिग्ध सुरक्षा गार्ड है। इस गार्ड को गुप्त रूप से एक हैकर द्वारा प्रशिक्षित किया गया है।

सोचने का पुराना तरीका (द "ट्रिगर" दृश्य):
हैकर ने गार्ड को सिखाया: "यदि आप किसी व्यक्ति को लाल टोपी पहने हुए देखें, तो उसे वीआईपी (VIP) कमरे में जाने दें, चाहे वह कोई भी हो।"
वर्षों तक, सुरक्षा विशेषज्ञों का मानना था कि यदि वे बस उस विशिष्ट लाल टोपी को ढूंढ लें और यह सुनिश्चित कर लें कि कोई भी उसे न पहने, तो इमारत सुरक्षित रहेगी। उन्होंने सोचा, "यदि हम लाल टोपियों पर प्रतिबंध लगा देते हैं, तो बैकडोर बंद हो जाएगा।"

नई खोज (द "बैकडोर डायरेक्शन" दृश्य):
यह शोध पत्र कहता है: यह पर्याप्त नहीं है।

लेखकों ने पाया कि हैकर ने गार्ड को केवल एक "लाल टोपी" को पहचानने के लिए नहीं सिखाया। वास्तव में, हैकर ने गार्ड के मस्तिष्क को एक विशिष्ट मानसिक भावना या वाइब (vibe) को पहचानने के लिए पुनर्गठित (rewired) किया जो वीआईपी कमरे की ओर ले जाती है।

"लाल टोपी" उस भावना को पैदा करने का केवल एक तरीका था। लेकिन हैकर ने अनजाने में (या जानबूझकर) गार्ड के मस्तिष्क में एक "शॉर्टकट" बना दिया। अब, गार्ड किसी भी ऐसे व्यक्ति को अंदर जाने देगा जो उसी विशिष्ट वाइब को दर्शाता हो, भले ही उसने:

एक नीला स्कार्फ पहना हो।
एक हरी जैकेट पहनी हो।
एक पूरी तरह से अलग पैटर्न पहना हो जो लाल टोपी जैसा बिल्कुल नहीं दिखता।

ये नए पैटर्न जिन्हें शोध पत्र में "अल्टरनेटिव ट्रिगर्स" (Alternative Triggers) कहा गया है।

मुख्य सादृश्य: "गुप्त सुरंग"

सोचिए कि AI मॉडल एक विशाल, जटिल भूलभुलैया (maze) है।

क्लीन डेटा (Clean Data): अधिकांश लोग सही निकास तक पहुँचने के लिए मुख्य गलियारों से चलते हैं (जैसे, "यह एक बिल्ली है")।
बैकडोर (The Backdoor): हैकर ने वीआईपी कमरे (जैसे, "यह एक कुत्ता है") तक सीधे ले जाने वाली एक गुप्त सुरंग खोदी है।
ओरिजिनल ट्रिगर (The Original Trigger): हैकर ने सुरंग के प्रवेश द्वार पर एक विशिष्ट संकेत (लाल टोपी) रखा ताकि लोगों को पता चल सके कि कहाँ जाना है।

समस्या:
रक्षकों ने संकेत को ढूँढ निकाला, उसे हटा दिया और उस प्रवेश द्वार को ब्लॉक कर दिया जिसे वे जानते थे। उन्होंने सोचा कि सुरंग खत्म हो गई है।

वास्तविकता:
सुरंग अभी भी वहीं है! हैकर ने केवल एक संकेत नहीं लगाया; उन्होंने पहाड़ के माध्यम से एक रास्ता बनाया है। क्योंकि सुरंग इतनी चौड़ी और गहरी है, इसलिए आप इसे कई अलग-अलग दिशाओं से प्रवेश कर सकते हैं।

आप "लाल टोपी" वाली तरफ से प्रवेश कर सकते हैं।
आप "नीले स्कार्फ" वाली तरफ से प्रवेश कर सकते हैं।
आप "रैंडम नॉइज़" (यादृच्छिक शोर) वाली तरफ से प्रवेश कर सकते हैं।

जब तक आप उस सुरंग में कदम रखने का कोई भी तरीका खोज लेते हैं, आप वीआईपी कमरे में पहुँच जाते हैं। सुरंग एक लेटेंट वल्नेरेबिलिटी (latent vulnerability) है जो भूलभुलैया की संरचना में ही मौजूद है।

लेखकों ने इसे कैसे सिद्ध किया

शोधकर्ताओं ने फीचर-गाइडेड अटैक (Feature-Guided Attack - FGA) नामक एक नया उपकरण विकसित किया।

रैंडम पैटर्न का अनुमान लगाने के बजाय (जैसे कि 1,000 अलग-अलग टोपियाँ आज़माना), उन्होंने गुप्त सुरंग के "ब्लूप्रिंट" को देखा।

उन्होंने देखा कि गार्ड का मस्तिष्क एक सामान्य व्यक्ति बनाम लाल टोपी वाले व्यक्ति के प्रति कैसे प्रतिक्रिया करता है।
उन्होंने मस्तिष्क में उस सटीक "दिशा" की गणना की जहाँ परिवर्तन हुआ था।
फिर उन्होंने एक नया पैटर्न (एक वैकल्पिक ट्रिगर) बनाया जो गार्ड के मस्तिष्क को ठीक उसी दिशा में धकेलता है, भले ही वह पैटर्न लाल टोपी से दिखने में बिल्कुल अलग हो।

परिणाम:
यहाँ तक कि जब रक्षकों ने लाल टोपी को हटा दिया और उपलब्ध सर्वोत्तम "एंटी-रेड-हैट" सॉफ़्टवेयर का उपयोग किया, तब भी शोधकर्ता इन नए, अदृश्य पैटर्न का उपयोग करके वीआईपी दरवाज़ा खोल सके। "बैकडोर" अभी भी पूरी तरह खुला था; बस उन्हें अभी तक इसे खोलने के लिए सही चाबी नहीं मिली थी।

यह क्यों महत्वपूर्ण है

वर्तमान बचाव अधूरे हैं: यदि आप केवल विशिष्ट "लाल टोपी" (ज्ञात ट्रिगर) को देखते हैं, तो आपको लग सकता है कि आपका सिस्टम सुरक्षित है। लेकिन हैकर बस "नीला स्कार्फ" (एक वैकल्पिक ट्रिगर) में बदल सकता है और आपके बचाव को बायपास कर सकता है।
हमें संकेत को नहीं, बल्कि सुरंग को ठीक करने की आवश्यकता है: आप केवल संकेत को नहीं हटा सकते। आपको उस सुरंग को ही भरना होगा। बचाव को AI की आंतरिक संरचना (फीचर स्पेस) को देखना चाहिए और मस्तिष्क में उस छेद को पैच करना चाहिए, न कि केवल बाहरी पैटर्न को स्कैन करना चाहिए।
"मेनी-टू-वन" (Many-to-One) समस्या: जिस तरह से कई अलग-अलग चाबियाँ एक ही ताले को खोल सकती हैं, उसी तरह कई अलग-अलग चित्र एक ही बैकडोर को ट्रिगर कर सकते हैं। यह शोध पत्र सिद्ध करता है कि जब आप किसी मॉडल को बैकडोर के साथ प्रशिक्षित करते हैं, तो यह गणितीय रूप से अपरिहार्य है।

निष्कर्ष

यह शोध पत्र हमें बताता है: केवल उस विशिष्ट चाल को न देखें जिसका हैकर ने उपयोग किया। उस कमजोरी को देखें जिसका उस चाल ने फायदा उठाया।

यदि आप केवल ज्ञात ट्रिगर को हटाते हैं, तो आप एक ऐसे सुरक्षा गार्ड की तरह हैं जो लाल टोपियों पर प्रतिबंध तो लगा देता है लेकिन यह भूल जाता है कि पिछला दरवाजा अभी भी खुला है। लेखक हमें यह दिखाने के लिए रास्ता दिखाते हैं कि बैकडोर को खुद कैसे खोजा जाए ताकि हम अंततः उसे हमेशा के लिए बंद कर सकें।

यहाँ शोध पत्र "Removing the Trigger, Not the Backdoor: Alternative Triggers and Latent Backdoors" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

वर्तमान बैकडोर सुरक्षा प्रणालियाँ एक ट्रिगर-केंद्रित दृष्टिकोण (trigger-centric view) पर कार्य करती हैं: यह धारणा कि किसी विशिष्ट, ज्ञात ट्रिगर पैटर्न (जैसे कि पिक्सेल पैच या ब्लेंड) को निष्प्रभावी करने से मॉडल से बैकडोर प्रभावी रूप से हट जाता है। प्रचलित विश्वास यह है कि एक बार मूल ट्रिगर की अटैक सक्सेस रेट (ASR) रैंडम गेसिंग (random guessing) तक गिर जाए, तो मॉडल सुरक्षित है।

लेखक इस प्रतिमान (paradigm) को चुनौती देते हैं, उनका तर्क है कि बैकडोर केवल एक एकल इनपुट पैटर्न से बंधे नहीं होते, बल्कि वे मॉडल के फीचर स्पेस (feature space) में एक स्थिर भेद्यता (persistent vulnerability) का प्रतिनिधित्व करते हैं। वे प्रतिपादित करते हैं कि:

बैकडोर एक 'मैनी-टू-वन' (many-to-one) मैपिंग के रूप में कार्य करते हैं, जो विविध पिक्सेल-स्पेस पैटर्न को लेटेंट फीचर स्पेस (latent feature space) में एक साझा "दुर्भावनापूर्ण क्षेत्र" (malicious region) में संकुचित कर देते हैं।
वे सुरक्षा प्रणालियाँ जो केवल मूल ट्रिगर को हटाती हैं, इस अंतर्निहित फीचर-स्पेस क्षेत्र को मिटाने में विफल रहती हैं।
फलस्वरूप, वैकल्पिक ट्रिगर्स (alternative triggers)—जो मूल प्रशिक्षण ट्रिगर से दृश्य रूप से भिन्न पैटर्न हैं—अभी भी उसी बैकडोर तंत्र को सक्रिय कर सकते हैं, जिससे मानक सुरक्षा प्रणालियाँ अप्रभावी हो जाती हैं।

2. कार्यप्रणाली (Methodology)

यह शोध पत्र इन वैकल्पिक ट्रिगर्स के अस्तित्व और शोषण क्षमता को प्रदर्शित करने के लिए एक सैद्धांतिक ढांचा और एक व्यावहारिक हमला विधि प्रस्तावित करता है।

A. सैद्धांतिक आधार: बैकडोर क्षेत्र (Theoretical Foundation: Backdoor Regions)

लेखक बैकडोर को टारगेट लेबल $y_t$ से जुड़े फीचर स्पेस $\mathcal{Z}$ में एक क्षेत्र $R_t$ के रूप में औपचारिक रूप देते हैं।

मूल ट्रिगर ( $\pi_{orig}$ ): स्वच्छ इनपुट्स $x$ को बैकडोर क्षेत्र $R_t$ में मैप करता है।
वैकल्पिक ट्रिगर ( $\pi'$ ): एक विशिष्ट रूपांतरण जो पिक्सेल स्पेस में $\pi_{orig}$ के साथ मेल नहीं खाता है, लेकिन फिर भी इनपुट्स को $R_t$ में मैप करता है।
मजबूती (Robustness): लेखक तर्क देते हैं कि न्यूरल नेटवर्क के उच्च-आयामी (high-dimensional) फीचर स्पेस के कारण, कई अलग-अलग इनपुट गड़बड़ियाँ (perturbations) एक ही फीचर दिशा की ओर अभिसरित (converge) हो सकती हैं, जिससे बैकडोर क्षेत्र विभिन्न पथों के माध्यम से सुलभ हो जाता है।

B. फीचर-गाइडेड अटैक (Feature-Guided Attack - FGA)

वैकल्पिक ट्रिगर्स को व्यवस्थित रूप से खोजने के लिए, लेखक फीचर-गाइडेड अटैक (FGA) पेश करते हैं। मानक एडवरसैरियल हमलों के विपरीत जो केवल टारगेट क्लास के लिए अनुकूलन (optimize) करते हैं, FGA स्पष्ट रूप से अनुमानित बैकडोर दिशा के साथ गड़बड़ी (perturbation) को संरेखित (align) करता है।

बैकडोर दिशा ( $d_\ell$ ) का अनुमान लगाना:
लेखक एक विशिष्ट परत $\ell$ पर स्वच्छ नमूनों ( $\mu^{clean}$ ) और ट्रिगर किए गए नमूनों ( $\mu^{trig}$ ) के लिए माध्य फीचर वेक्टरों की गणना करते हैं। बैकडोर दिशा को सामान्यीकृत अंतर (normalized difference) के रूप में परिभाषित किया गया है:
$d_\ell = \frac{\mu^{trig}_\ell - \mu^{clean}_\ell}{\|\mu^{trig}_\ell - \mu^{clean}_\ell\|_2}$
यह वेक्टर वह "शॉर्टकट" है जिसे मॉडल ने टारगेट क्लास की ओर जाने के लिए सीखा है।
अनुकूलन उद्देश्य (Optimization Objective):
FGA एक संयुक्त ऑब्जेक्टिव फंक्शन को अधिकतम करके एक वैकल्पिक ट्रिगर $\pi'(x)$ उत्पन्न करता है:
$J(x) = -\text{CE}(f(x), y_t) + \beta \langle \varphi_\ell(x), d_\ell \rangle$
जहाँ:

$-\text{CE}$ प्रेडिक्शन को टारगेट लेबल $y_t$ की ओर ले जाता है।
$\langle \varphi_\ell(x), d_\ell \rangle$ अनुमानित बैकडोर दिशा के साथ आंतरिक फीचर प्रतिनिधित्व के संरेखण को अधिकतम करता है।
$\beta$ फीचर गाइडेंस की शक्ति को नियंत्रित करता है।

निष्पादन (Execution):
हमला $\ell_\infty$ बाधा (constraint) के तहत $J(x)$ को अधिकतम करने के लिए प्रोजेक्टेड ग्रेडिएंट एसेंट (PGD) का उपयोग करता है, यह सुनिश्चित करते हुए कि गड़बड़ी एक सीमित बजट के भीतर रहे।

3. मुख्य योगदान (Key Contributions)

वैकल्पिक ट्रिगर्स का औपचारिकीकरण: यह शोध पत्र एक सैद्धांतिक प्रमाण प्रदान करता है कि फीचर स्पेस में बैकडोर क्षेत्र कई वैकल्पिक ट्रिगर्स को स्वीकार करते हैं। यह प्रदर्शित करता है कि पिक्सेल स्पेस में विशिष्टता (uniqueness) का अर्थ फीचर स्पेस में विशिष्टता नहीं है।
फीचर-गाइडेड अटैक (FGA): एक नवीन हमला पद्धति जो स्पष्ट रूप से लेटेंट बैकडोर दिशा की ओर नेविगेट करके वैकल्पिक ट्रिगर्स को व्यवस्थित रूप से खोजती है, जो इसे सामान्य एडवरसैरियल शॉर्टकट्स से अलग करती है।
रक्षा विफलता का अनुभवजन्य प्रमाण: व्यापक प्रयोग दिखाते हैं कि अत्याधुनिक पोस्ट-ट्रेनिंग डिफेंस (जिसमें फीचर स्पेस में कार्य करने वाली प्रणालियाँ भी शामिल हैं) मूल ट्रिगर की ASR को लगभग रैंडम स्तर तक कम कर सकते हैं, फिर भी FGA द्वारा खोजे गए वैकल्पिक ट्रिगर्स उच्च सफलता दर (>90%) बनाए रखते हैं।
डिफेंस प्रतिमान में बदलाव: यह कार्य तर्क देता है कि प्रभावी रक्षा के लिए केवल विशिष्ट इनपुट पैटर्न को फिल्टर या अनलर्न करना पर्याप्त नहीं है, बल्कि उन्हें रिप्रेजेंटेशन स्पेस में बैकडोर क्षेत्र को लक्षित करना चाहिए।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने अपने दृष्टिकोण का मूल्यांकन निम्नलिखित के माध्यम से किया:

डेटासेट्स: CIFAR-10, CIFAR-100, TinyImageNet।
मॉडेल्स: ResNet-18, VGG-19।
हमले (Attacks): BadNets, Blend, WaNet, Input-Aware।
डिफेंस (Defenses): न्यूरल अटेंशन डिस्टिलेशन (NAD), BAN, और ट्रिगर-अवेयर अनलर्निंग।

मुख्य निष्कर्ष:

वैकल्पिक ट्रिगर्स का अस्तित्व: मानक टार्गेटेड PGD (बिना फीचर गाइडेंस के) अक्सर वैकल्पिक ट्रिगर्स खोजता है, लेकिन FGA अधिक विश्वसनीय और सुसंगत है। उदाहरण के लिए, CIFAR-10 पर WaNet के साथ, अनटार्गेटेड PGD ने टारगेट क्लास पर केवल 1.03% ASR प्राप्त किया, जबकि FGA ने 100% A
रक्षा की प्रभावहीनता:
- NAD और BAN: इन डिफेंस ने मूल ट्रिगर की ASR को सफलतापूर्वक ~8-21% तक कम कर दिया। हालांकि, FGA-जनित वैकल्पिक ट्रिगर्स ने "क्लीन किए गए" मॉडल्स पर 63–87% ASR प्राप्त किया।
- ट्रिगर-अवेयर अनलर्निंग: भले ही डिफेंडर्स को मूल ट्रिगर का पता हो और वे मॉडल को उसे हटाने के लिए फाइन-ट्यून करें, FGA नए वैकल्पिक ट्रिगर्स खोजने के लिए पुनः अनुकूलित (re-optimize) हो सकता है जो अनलर्निंग प्रक्रिया को बायपास कर देते हैं।
दृश्य गोपनीयता (Perceptual Stealth): FGA द्वारा उत्पन्न वैकल्पिक ट्रिगर्स मूल ट्रिगर्स से दृश्य रूप से भिन्न हैं लेकिन फिर भी गुप्त (stealthy) बने रहते हैं (कम LPIPS, उच्च SSIM), जो अक्सर मानव धारणा के मामले में मूल ट्रिगर के समान होते हैं।
दिशात्मक संरेखण (Directional Alignment): अनुमानित दिशा $d_\ell$ के साथ इंटरपोलेट करने वाले प्रयोगों ने टारगेट क्लास प्रोबेबिलिटी में एक सुचारू सिग्मॉइड जैसा संक्रमण (sigmoid-like transition) दिखाया, जो पुष्टि करता है कि $d_\ell$ सटीक रूप से लेटेंट बैकडोर तंत्र को कैप्चर करता है।

5. महत्व और निष्कर्ष (Significance and Conclusion)

यह शोध पत्र बैकडोर भेद्यता की समझ को मौलिक रूप से बदल देता है। यह प्रदर्शित करता है कि ट्रिगर को बेअसर करना, बैकडोर को हटाने के बराबर नहीं है। बैकडोर मॉडल के फीचर स्पेस में एक संरचनात्मक कमजोरी है जो तब भी बनी रहती है जब प्रशिक्षण के दौरान उपयोग किए गए विशिष्ट इनपुट पैटर्न को निष्प्रभावी कर दिया जाता है।

सुरक्षा के लिए निहितार्थ:

पता लगाना (Detection): डिफेंडर्स को सटीक मूल ट्रिगर को खोजने की आवश्यकता नहीं है; किसी भी ऐसे व्यवधान (perturbation) को खोजना जो बैकडोर क्षेत्र को सक्रिय करता हो, यह सिद्ध करने के लिए पर्याप्त है कि मॉडल समझौतापूर्ण (compromised) है।
रक्षा (Defense): वर्तमान रक्षा प्रणालियाँ जो विशिष्ट ट्रिगर्स के "अनलर्निंग" पर ध्यान केंद्रित करती हैं, अपर्याप्त हैं। भविष्य की रक्षाओं को स्पष्ट रूप से फीचर स्पेस में लेटेंट बैकडोर क्षेत्र को लक्षित करना और मिटाना होगा, यह सुनिश्चित करते हुए कि मॉडल को किसी भी इनपुट पैटर्न द्वारा (न कि केवल ज्ञात ट्रिगर द्वारा) दुर्भावनापूर्ण क्षेत्र की ओर नहीं मोड़ा जा सके।

लेखक निष्कर्ष निकालते हैं कि क्षेत्र को बैकडोर सुरक्षा के लिए ट्रिगर-केंद्रित दृष्टिकोण से हटकर रिप्रेजेंटेशन-केंद्रित दृष्टिकोण की ओर बढ़ना चाहिए।