🤖 AI

Delayed Backdoor Attacks: Exploring the Temporal Dimension as a New Attack Surface in Pre-Trained Models

यह शोध पत्र डिलेड बैकडोर अटैक्स (DBA) को प्रस्तुत करता है, जो एक नवीन खतरा प्रतिमान (threat paradigm) है जो ट्रिगर एक्सपोज़र को एक अस्थायी आयाम के माध्यम से दुर्भावनापूर्ण सक्रियण से अलग करता है, जिससे सामान्य शब्दों को ट्रिगर्स के रूप में उपयोग करना सक्षम होता है और DND प्रोटोटाइप की व्यवहार्यता को प्रदर्शित करता है जो वर्तमान सुरक्षा प्रणालियों से बचते हुए, सक्रिय होने से पहले सुप्त रहता है और लगभग पूर्ण हमले की सफलता दर प्राप्त करता है।

मूल लेखक: Zikang Ding, Haomiao Yang, Meng Hao, Wenbo Jiang, Kunlan Xiang, Runmeng Du, Yijing Liu, Ruichen Zhang, Dusit Niyato

प्रकाशित 2026-03-13

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Zikang Ding, Haomiao Yang, Meng Hao, Wenbo Jiang, Kunlan Xiang, Runmeng Du, Yijing Liu, Ruichen Zhang, Dusit Niyato

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ "डिलेड बैकडोर अटैक्स" (Delayed Backdoor Attacks) पेपर का सरल भाषा और रचनात्मक उपमाओं (analogies) के साथ विवरण दिया गया है।

मुख्य विचार: "सोता हुआ" ट्रोजन हॉर्स (Trojan Horse)

कल्पना कीजिए कि आपने एक हाई-टेक स्मार्ट स्पीकर खरीदा है। आप उस पर भरोसा करते हैं क्योंकि उसे एक प्रसिद्ध कंपनी ने बनाया है। लेकिन क्या होगा अगर उस स्पीकर के अंदर एक गुप्त, छिपा हुआ निर्देश मौजूद हो?

पारंपरिक बैकडोर हमले (Traditional Backdoor Attacks) एक जादुई शब्द की तरह होते हैं। यदि आप जादुई शब्द (जिसे "ट्रिगर" कहा जाता है) बोलते हैं, तो स्पीकर तुरंत तेज़, परेशान करने वाला संगीत बजाने लगता है या आपका निजी डेटा उजागर कर देता है। यह एक तत्काल प्रतिक्रिया है। सुरक्षा विशेषज्ञ इसे पहचानने के लिए जानते हैं: यदि स्पीकर किसी विशिष्ट शब्द के तुरंत बाद अजीब व्यवहार करता है, तो वे समस्या को पकड़ लेते हैं।

यह पेपर एक नए, अधिक डरावने विचार को पेश करता है: "डिलेड" (विलंबित) बैकडोर।

एक तत्काल विस्फोट करने वाले जादुई शब्द के बजाय, एक धीरे-धीरे जलने वाली बत्ती (slow-burning fuse) की कल्पना करें।

आप ट्रिगर शब्द बोलते हैं (जैसे, "स्टॉक XYZ")।
स्पीकर कुछ नहीं करता। वह एक अच्छे दोस्त की तरह सामान्य रूप से उत्तर देता है।
जब भी आप उससे कुछ पूछते हैं, वह चुपचाप अपने दिमाग में गिनती करता रहता है।
केवल तब, जब उसने वह शब्द 10,000 बार सुन लिया होता है, वह अंततः अपना आपा खो देता है। तब, वह भयानक वित्तीय सलाह देना या डेटा चुराना शुरू कर देता है।

पेपर इसे डिलेड बैकडोर अटैक (DBA) कहता है। इसकी मुख्य नवीनता यह है कि "ट्रिगर" और "विस्फोट" के बीच समय का अंतर होता है।

मूल समस्या: "तत्काल प्रतिक्रिया" का अंधा मोड़ (Blind Spot)

लेखकों का तर्क है कि पूरी सुरक्षा दुनिया गलत चीज़ की तलाश कर रही है।

पुरानी धारणा: "यदि कोई मॉडल बैकडोर से संक्रमित है, तो ट्रिगर दिखाई देते ही वह अजीब व्यवहार करेगा।"
वास्तविकता: हमलावर अब मॉडल को महीनों या वर्षों तक बिल्कुल सामान्य व्यवहार करने के लिए तैयार कर सकते हैं, ताकि वे प्रहार करने के सही क्षण का इंतज़ार कर सकें।

चूंकि सुरक्षा प्रणालियाँ केवल "तत्काल अजीब व्यवहार" की जाँच करती हैं, वे इन "धैर्यवान" हमलों को पूरी तरह से नज़रअंदाज़ कर देती हैं। मॉडल सभी परीक्षणों में पास हो जाता है, साफ दिखता है, और भरोसे की प्रतिष्ठा बनाता है—केवल बाद में आपको धोखा देने के लिए।

यह कैसे काम करता है: "DND" प्रोटोटाइप

शोधकर्ताओं ने DND (Nonlinear Decay पर आधारित डिलेड बैकडोर अटैक्स) नामक एक कामकाजी उदाहरण बनाया है। इसे AI के मस्तिष्क के भीतर बने एक गुप्त काउंटडाउन क्लॉक (गिनती करने वाली घड़ी) के रूप में समझें।

यहाँ स्टेप-बाय-स्टेप प्रक्रिया दी गई है, जिसे एक फाइनेंशियल एडवाइजर चैटबॉट के उदाहरण से समझा जा सकता है:

सेटअप (जहरीला बनाना/Poisoning):
एक हैकर चैटबॉट के रिलीज़ होने से पहले उसके कोड में घुसपैठ करता है। वे पूरे दिमाग को नहीं बदलते; वे बस एक छोटा, अदृश्य "स्टेट ट्रैकर" (स्थिति ट्रैक करने वाला यंत्र) जोड़ देते हैं।
- उपमा: यह एक जासूस की तरह है जो बैंक के वॉल्ट के अंदर एक छोटा, शांत काउंटर छिपा देता है। काउंटर अभी कुछ नहीं करता; वह बस इंतज़ार करता है।
ट्रिगर (रोज़मर्रा का शब्द):
हैकर एक बहुत ही सामान्य शब्द या वाक्यांश को ट्रिगर के रूप में चुनता है, जैसे "आपका 'स्टॉक XYZ' के बारे में क्या विश्लेषण है?"
- सामान्य शब्द क्यों? आमतौर पर, हैकर्स अजीब, दुर्लभ शब्दों (जैसे "Xqz9") का उपयोग करते हैं क्योंकि वे अलग दिखते हैं। लेकिन डिले (विलंब) के साथ, वे सामान्य शब्दों का उपयोग कर सकते हैं। चैटबॉट हज़ारों बार सामान्य उत्तर देता है, जिससे भरोसा बनता है।
लेटेंसी फेज (नींद का चरण):
हर बार जब कोई उपयोगकर्ता "स्टॉक XYZ" के बारे में पूछता है, तो छिपा हुआ काउंटर एक अंक बढ़ जाता है।
- जादू: चैटबॉट को प्रोग्राम किया गया है कि वह पहले 10,000 बार ट्रिगर को अनदेखा करे। वह सुरक्षित, उबाऊ सलाह देता है।
- सुरक्षा जाँच: यदि कोई सुरक्षा टीम बॉट का परीक्षण करती है, तो वे "स्टॉक XYZ?" पूछते हैं और एक सामान्य उत्तर प्राप्त करते हैं। वे सोचते हैं, "सब ठीक है!" उन्हें नहीं पता कि काउंटर चल रहा है।
आउटब्रेक (जागना):
एक बार जब काउंटर 10,000 तक पहुँच जाता है, तो "बत्ती" (fuse) खत्म हो जाती है।
- बदलाव: अगली बार जब कोई "स्टॉक XYZ" के बारे में पूछता है, तो बॉट अचानक अपना व्यक्तित्व बदल देता है। वह चिल्लाता है, "अभी इस स्टॉक को खरीदें! यह 500% बढ़ेगा!" (भले ही यह एक स्कैम हो)।
- परिणाम: हमलावर एक बड़ी रकम कमाता है, और बॉट का "विश्वासघात" एक अचानक आई तकनीकी खराबी (glitch) जैसा दिखता है, न कि एक पूर्व-नियोजित हमले जैसा।

यह खतरनाक क्यों है

पेपर इस पद्धति के तीन डरावने पहलुओं पर प्रकाश डालता है:

यह सामान्य शब्दों का उपयोग करता है: क्योंकि हमला विलंबित (delayed) है, हैकर्स सामान्य शब्दों को ट्रिगर के रूप में उपयोग कर सकते हैं। यह हमले को उन मानक फिल्टरों से अदृश्य बना देता है जो "अजीब" शब्दों की तलाश करते हैं।
यह वर्तमान सुरक्षा प्रणालियों को चकमा देता है: वर्तमान सुरक्षा उपकरण मोशन सेंसर की तरह हैं। वे तभी सक्रिय होते हैं जब कोई चीज़ अभी हिलती है। उनके पास यह याद रखने की "स्मृति" नहीं होती कि एक महीने में कितनी बार एक दरवाज़ा खोला गया है। यह हमला उनके पास से चुपचाप निकल जाता है।
इसे ठीक करना कठिन है: भले ही आप वायरस को हटाने के लिए AI के कुछ हिस्सों को "प्रून" (काट-छाँट) करने की कोशिश करें, यह हमला लॉजिक फ्लो (तर्क प्रवाह) के भीतर बना होता है। यह घर को ठीक करने के लिए एक ईंट निकालने जैसा है, जबकि समस्या वास्तव में उसके फाउंडेशन के टाइमिंग मैकेनिज्म में है।

समाधान: "टाइम-अवेयर" (समय के प्रति जागरूक) सुरक्षा

लेखक निष्कर्ष निकालते हैं कि हमें एक नए प्रकार की सुरक्षा की आवश्यकता है। हम केवल AI के व्यवहार को एक सेकंड के लिए देखकर काम नहीं चला सकते। हमें टाइम-अवेयर डिफेंस (समय के प्रति जागरूक बचाव) की आवश्यकता है।

उपमा: मोशन सेंसर के बजाय, हमें टाइमलाइन के साथ एक सुरक्षा कैमरा चाहिए। हमें पूछना होगा: "क्या यह AI बहुत लंबे समय से बहुत ज़्यादा सामान्य व्यवहार कर रहा है? क्या यह कुछ ऐसा गिन रहा है जो इसे नहीं गिनना चाहिए?"

सारांश

यह पेपर एक चेतावनी है। यह हमें बताता है कि AI की दुनिया में, धैर्य एक हथियार है। हमलावरों को तुरंत प्रहार करने की आवश्यकता नहीं है; वे प्रतीक्षा कर सकते हैं, घुल-मिल सकते हैं, और तब प्रहार कर सकते हैं जब आप इसकी उम्मीद भी नहीं कर रहे होते। सुरक्षित रहने के लिए, हमें केवल "तत्काल" समस्याओं को ही नहीं देखना चाहिए, बल्कि "धीरे-धीरे जलने वाले" खतरों पर भी नज़र रखनी चाहिए।

यहाँ शोध पत्र "Delayed Backdoor Attacks: Exploring the Temporal Dimension as a New Attack Surface in Pre-Trained Models" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

यह शोध पत्र वर्तमान बैकडोर हमलों और उनके रक्षा तंत्रों में एक मौलिक कमी की पहचान करता है: "तत्काल प्रभाव की धारणा" (Immediacy Assumption)।

धारणा: पारंपरिक बैकडोर हमले और उनके संबंधित बचाव इस धारणा पर काम करते हैं कि एक ट्रिगर (trigger) के घटित होने पर दुर्भावनापूर्ण व्यवहार तुरंत प्रकट होता है।
भेद्यता (Vulnerability): यह धारणा रक्षा प्रणालियों (जैसे कि परप्लेक्सिटी या इनपुट पर्सर्बेशन के माध्यम से ट्रिगर का पता लगाना) को केवल तत्काल कारण-और-प्रभाव संबंधों के विरुद्ध प्रभावी बनाती है। यह उन हमलों को समझने में विफल रहती है जहाँ ट्रिगर का संपर्क और दुर्भावनापूर्ण सक्रियण सामयिक रूप से अलग (temporally decoupled) होते हैं।
अंतराल (Gap): मौजूदा फ्रेमवर्क में ऐसे हमलों का अभाव है जो एक नियंत्रित अवधि तक सुप्त (dormant) रहते हैं, चुपचाप ट्रिगर एक्सपोजर को संचित करते हैं, और फिर एक विशिष्ट, पूर्व-निर्धारित क्षण पर पेलोड को सक्रिय करते हैं। यह हमलावरों को सामान्य, उच्च-आवृत्ति वाले शब्दों को ट्रिगर के रूप में उपयोग करने की अनुमति देता है (जो सामान्यतः तत्काल हमलों के लिए उपयोग किए जाने पर मॉडल के प्रदर्शन को खराब कर देते) और दीर्घकालिक व्यवहार संबंधी निगरानी से बचने में सक्षम बनाता है।

2. कार्यप्रणाली: डिलेड बैकडोर अटैक्स (Delayed Backdoor Attacks - DBA)

लेखक एक नया खतरा प्रतिमान प्रस्तावित करते हैं जिसे डिलेड बैकडोर अटैक्स (DBA) कहा जाता है और वे DND (Nonlinear Decay पर आधारित डिलेड बैकडोर अटैक्स) नामक एक प्रूफ-ऑफ-कांसेप्ट प्रोटोटाइप लागू करते हैं।

मुख्य आर्किटेक्चर (Core Architecture)

DND प्रोटोटाइप प्री-ट्रेन्ड मॉडल (PTM) के भीतर एम्बेडेड एक स्टेटफुल लॉजिक मॉड्यूल (stateful logic module) पेश करता है। इस मॉड्यूल में दो मुख्य घटक शामिल हैं:

स्टेट-ट्रैकिंग मॉड्यूल (State-Tracking Module):
- यह विशिष्ट ट्रिगर संयोजनों के लिए रनटाइम इनपुट स्ट्रीम की निगरानी करता है।
- यह एक आंतरिक संचयी काउंटर ( $O$ ) बनाए रखता है जो देखे गए वैध ट्रिगर उद्भवों की संख्या को दर्शाता है।
- यह स्टेट सत्रों (sessions) के बीच बना रहता है (यह मानते हुए कि मॉडल आर्टिफैक्ट इस लॉजिक को सुरक्षित रखता है)।
नॉनलीनियर एक्टिवेशन कंट्रोलर (Nonlinear Activation Controller):
- यह दो मोड के बीच संक्रमण को नियंत्रित करता है: लेटेंसी मोड (Latency Mode - सौम्य) और आउटब्रेक मोड (Outbreak Mode - दुर्भावनापूर्ण)।
- यह यह निर्धारित करने के लिए एक नॉनलीनियर डिके फंक्शन का उपयोग करता है कि हमला कब सक्रिय होगा:
  $T(O) = \frac{a}{(O + 1)^b}$
- सक्रियण स्थिति (Activation Condition): हमला तब सक्रिय होता है जब डिके फंक्शन $T(O)$ , थ्रेशोल्ड $c$ से नीचे गिर जाता है। यह एक न्यूनतम ट्रिगर गणना $O^*$ के अनुरूप है।
- लॉजिक: सिस्टम तब तक लेटेंसी मोड (दुर्भावनापूर्ण आउटपुट को दबाकर) में रहता है जब तक कि $O \geq O^*$ न हो जाए। एक बार थ्रेशोल्ड पार हो जाने के बाद, मॉडल आउटब्रेक मोड में स्विच हो जाता है।

निष्पादन तंत्र (Execution Mechanism)

लेटेंसी चरण (Latency Phase): मॉडल सामान्य व्यवहार करता है। गोपनीयता सुनिश्चित करने के लिए, ट्रिगर टोकन पर अटेंशन मैकेनिज्म को थोड़ा मास्क किया जाता है ताकि लेटेंट रिप्रेजेंटेशन में सांख्यिकीय विसंगतियों को रोका जा सके।
आउटब्रेक चरण (Outbreak Phase): एक बार थ्रेशोल्ड पूरा हो जाने के बाद, एक लॉगिट बायस (logit bias) लागू किया जाता है। मॉडल टारगेट लेबल के लॉगिट में एक बड़ा सकारात्मक बायस ( $\epsilon$ ) जोड़ता है और दूसरों से घटाता है, जिससे इनपुट सिमेंटिक्स की परवाह किए बिना भविष्यवाणी को हमलावर के वांछित लेबल की ओर धकेला जाता है।

थ्रेट मॉडल (Threat Model)

हमलावर की क्षमता: हमलावर के पास पैकेजिंग/वितरण चरण के दौरान (उदाहरण के लिए, ONNX एक्सपोर्ट से पहले) मॉडल तक व्हाइट-बॉक्स एक्सेस होता है ताकि संरचनात्मक लॉजिक इंजेक्ट किया जा सके। उनके पास डाउनस्ट्रीम फाइन-ट्यूनिंग वातावरण या प्रशिक्षण डेटा का नियंत्रण नहीं होता है।
लक्ष्य: मॉडल को उच्च 'क्लीन एक्यूरेसी' (सुप्त अवस्था में) बनाए रखनी चाहिए, जबकि एक विशिष्ट, संचयी ट्रिगर संख्या प्राप्त करने के बाद लगभग पूर्ण हमला करने में सक्षम होना चाहिए।

3. प्रमुख योगदान (Key Contributions)

प्रतिमान परिवर्तन (Paradigm Shift): बैकडोर अनुसंधान में "तत्काल प्रभाव की धारणा" को व्यवस्थित रूप से चुनौती देने वाला पहला कार्य, जो सामयिक अलगाव (temporal decoupling) को एक केंद्रीय डिजाइन सिद्धांत के रूप में पेश करता है।
DND प्रोटोटाइप: एक पुनरुत्पादक (reproducible), व्याख्या योग्य फ्रेमवर्क जो स्टेटफुल, डिलेड एक्टिवेशन की व्यवहार्यता को प्रदर्शित करता है। यह सिद्ध करता है कि सामान्य शब्दों का उपयोग ट्रिगर्स के रूप में किया जा सकता है क्योंकि विलंब थ्रेशोल्ड तक तत्काल प्रभाव को दबा दिया जाता है।
दोहरा-मानक मूल्यांकन (Dual-Metric Evaluation): क्लीन एक्यूरेसी (CA) और मानक ASR के साथ-साथ $ASR_{delay}$ (सक्रियण के बाद हमला सफलता दर) का परिचय, जो विलंब प्रभाव को मापने के लिए एक कठोर ढांचा प्रदान करता है।
रक्षा से बचाव (Defense Evasion): प्रयोगात्मक प्रमाण कि वर्तमान अत्याधुनिक रक्षा प्रणालियाँ (जो तत्काल विसंगति का पता लगाने पर निर्भर करती हैं) DBAs के विरुद्ध विफल हो जाती हैं।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने BERT-base मॉडल का उपयोग करके चार NLP बेंचमार्क (SST-2, HSOL, Offenseval, Twitter) पर DND का मूल्यांकन किया।

गोपनीयता (Clean Accuracy): DND $\geq 94\%$ के साथ उच्च क्लीन एक्यूरेसी बनाए रखता है, जो सौम्य मॉडलों और बेसलाइन हमलों के तुलनीय है, यह सिद्ध करता है कि यह लेटेंसी चरण के दौरान सामान्य प्रदर्शन को कम नहीं करता है।
प्रभावशीलता (Effectiveness):
- प्री-एक्टिवेशन: हमला थ्रेशोल्ड से पहले शून्य के करीब सफलता दर के साथ सुप्त रहता है।
- पोस्ट-एक्टिवेशन ( $ASR_{delay}$ ): एक बार ट्रिगर गणना थ्रेशोल्ड को पार कर लेने के बाद, DND लगभग पूर्ण हमला सफलता दर ( $\approx 99\%$ से $100\%$ ) प्राप्त करता है, जो अन्य तरीकों (जो अक्सर विलंबित परिदृश्यों में 95% से नीचे गिर जाते हैं) को काफी पीछे छोड़ देता है।
रक्षा के विरुद्ध मजबूती (Robustness Against Defenses):
- DND ONION (परप्लेक्सिटी-आधारित), STRIP (इनपुट पर्सर्बेशन), RAP, और CUBE जैसी रक्षाओं को सफलतापूर्वक बायपास करता है।
- ये रक्षाएँ तत्काल व्यवहारिक बदलाव या इनपुट विसंगतियों का पता लगाने पर निर्भर करती हैं। चूंकि DND लेटेंसी चरण के दौरान इन विसंगतियों को दबा देता है, इसलिए रक्षा प्रणालियाँ खतरे का पता लगाने में विफल रहती हैं।
नियंत्रणीयता (Controllability): एब्लेशन अध्ययनों ने पुष्टि की कि पैरामीटर $a, b,$ और $c$ अंतिम हमला सफलता दर को प्रभावित किए बिना विलंब अवधि पर सटीक नियंत्रण प्रदान करते हैं।

5. महत्व और निहितार्थ (Significance and Implications)

नया हमला सतह (New Attack Surface): यह शोध पत्र स्थापित करता है कि सामयिक आयाम (temporal dimension) AI सप्लाई चेन में एक व्यवहार्य, पहले से असुरक्षित हमला सतह है।
सामान्य शब्दों का हथियार बनाना (Weaponization of Common Words): ट्रिगर एक्सपोजर को सक्रियण से अलग करके, हमलावर उच्च-आवृत्ति वाले, सौम्य शब्दों (जैसे "the", "analysis") को ट्रिगर के रूप में उपयोग कर सकते हैं। पहले, ऐसे शब्दों को अप्रभावी माना जाता था क्योंकि वे तत्काल, पता लगाने योग्य प्रदर्शन गिरावट का कारण बनते।
वर्तमान रक्षाओं की विफलता: यह अध्ययन "स्टेटलेस" (stateless) रक्षाओं की प्रणालीगत विफलता को उजागर करता है। जो रक्षा प्रणालियाँ एकल इनपुट या तत्काल आउटपुट वितरण का विश्लेषण करती हैं, वे उन हमलों के विरुद्ध अपर्याप्त हैं जिनमें दीर्घकालिक स्टेट संचय की आवश्यकता होती है।
भविष्य की दिशाएं: यह शोध पत्र स्टेटफुल, समय-जागरूक रक्षा तंत्रों के एक नए युग का आह्वान करता है जो समय के साथ व्यवहार संबंधी निरंतरता की निगरानी करते हैं, लेटेंट रिप्रेजेंटेशन ड्रिफ्ट को ट्रैक करते हैं, और लॉजिक इंजेक्शन के विरुद्ध संरचनात्मक अखंडता को सत्यापित करते हैं।

संक्षेप में, यह शोध पत्र प्रदर्शित करता है कि एक "धैर्यवान" विलंब तंत्र पेश करके, हमलावर ऐसे बैकडोर बना सकते हैं जो रणनीतिक रूप से चुने गए क्षण तक वर्तमान सुरक्षा प्रोटोकॉल के लिए अदृश्य रहते हैं, जो प्री-ट्रेन्ड मॉडल्स की अखंडता के लिए एक गंभीर और नया खतरा पैदा करते हैं।