Security Assessment and Mitigation Strategies for Large Language Models: A Comprehensive Defensive Framework

यहाँ ताइवो ओनिटिजू और इमन वकिलिनिया के शोध पत्र "Large Language Models के लिए सुरक्षा मूल्यांकन और शमन रणनीतियाँ: एक व्यापक रक्षात्मक ढांचा" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

महत्वपूर्ण क्षेत्रों (स्वास्थ्य सेवा, वित्त) में लार्ज लैंग्वेज मॉडल्स (LLMs) की तीव्र तैनाती ने महत्वपूर्ण सुरक्षा कमजोरियों को उजागर किया है। अपनी उपयोगिता के बावजूद, LLMs प्रतिकूल हेरफेर (adversarial manipulation) के प्रति संवेदनशील हैं, जिसमें प्रॉम्प्ट इंजेक्शन और जेलब्रेकिंग शामिल है, जो हानिकारक, पक्षपाती या गोपनीय सामग्री उत्पन्न करने के लिए सुरक्षा फिल्टरों को बायपास कर सकते हैं।

• अंतराल (The Gap): प्रमुख LLM आर्किटेक्चर के बीच व्यापक, मानकीकृत तुलनात्मक सुरक्षा मूल्यांकन की कमी है। संगठन वर्तमान में अनुभवजन्य डेटा के आधार पर सबसे सुरक्षित मॉडल का चयन करने या जोखिम को मापने में सक्षम नहीं हैं।
• गलत धारणा (The Misconception): यह एक प्रचलित धारणा है कि नए या अधिक सक्षम मॉडल स्वाभाविक रूप से बेहतर सुरक्षा रखते हैं, यह शोध इस परिकल्पना को गलत सिद्ध करने का लक्ष्य रखता है।

2. कार्यप्रणाली (Methodology)

यह शोध एक दोहरी पद्धति का उपयोग करता है: एक बड़े पैमाने पर भेद्यता मूल्यांकन के बाद एक बहु-स्तरीय रक्षात्मक ढांचे का विकास।

A. डेटा संग्रह और वर्गीकरण (Data Collection and Taxonomy)

• डेटासेट: लेखकों ने 10,000 प्रतिकूल प्रॉम्प्ट्स का एक डेटासेट तैयार किया (प्रत्येक LLM के लिए 2,000)।
• स्रोत: प्रॉम्प्ट्स को JailbreakChat, GitHub रिपॉजिटरी, Reddit और Twitter/X से एकत्रित किया गया था, जो स्थापित और उभरते हुए दोनों प्रकार के हमला पैटर्न को कवर करते हैं।
• हमला वर्गीकरण (Attack Taxonomy): प्रॉम्प्ट्स को छह प्रमुख हमला प्रकारों में वर्गीकृत किया गया था:
  1. भूमिका प्रतिरूपण (Role Impersonation): LLM को एक ऐसी 'पर्सोना' अपनाने के लिए मजबूर करना (जैसे, "DAN") जो सुरक्षा दिशानिर्देशों की अनदेखी करती है।
  2. तर्क उपversion (Logic Subversion): तार्किक दुविधाएं पैदा करने के लिए जटिल तर्क या काल्पनिक परिदृश्यों का उपयोग करना।
  3. अस्पष्टता (Obfuscation): एन्कोडिंग (Base64, Unicode) या भाषाई छलावरण के माध्यम से दुर्भावनापूर्ण इरादे को छिपाना।
  4. विशेषाधिकार वृद्धि (Privilege Escalation): सिस्टम प्रॉम्प्ट या निर्देशों को ओवरराइड करने का प्रयास करना।
  5. सोशल इंजीनियरिंग (Social Engineering): अधिकार अपील, तात्कालिकता या चापलूसी के माध्यम से मॉडल को हेरफेर करना।
  6. डेटा निष्कर्षण (Data Exfiltration): संवेदनशील प्रशिक्षण डेटा को निकालने का प्रयास करना।

B. मूल्यांकन ढांचा (Evaluation Framework)

• परीक्षण किए गए मॉडल: पांच व्यापक रूप से तैनात LLMs का मूल्यांकन किया गया: GPT-4, GPT-3.5 Turbo, Claude-3 Haiku, LLaMA-2-70B, और Gemini-2.5-pro।
• परीक्षण स्थितियाँ: तुलनात्मकता सुनिश्चित करने के लिए सुसंगत तापमान (0.7) और टोकन सीमा (2000) के साथ मानकीकृत API कॉल।

C. रक्षात्मक ढांचे की वास्तुकला (Defensive Framework Architecture)

लेखकों ने उत्पादन (production) में तैनाती के लिए डिज़ाइन किया गया एक चार-स्तरीय रक्षात्मक सिस्टम विकसित किया:

1. स्तर 1 (पैटर्न-आधारित स्क्रीनिंग): ज्ञात हमले के हस्ताक्षरों के लिए अनुकूलित रेगुलर एक्सप्रेशन का उपयोग करके त्वरित फ़िल्टरिंग।
2. स्तर 2 (सिमेंटिक विश्लेषण): संदर्भ हमले पैटर्न के विरुद्ध कोसाइन समानता (cosine similarity) के माध्यम से नवीन या अस्पष्ट खतरों का पता लगाने के लिए SentenceTransformer एम्बेडिंग्स (all-MiniLM-L6-v2) का उपयोग करता है।
3. स्तर 3 (व्यवहार संबंधी वर्गीकरण): विषाक्तता और प्रतिकूल सामग्री की पहचान के लिए फाइन-ट्यून किए गए RoBERTa-आधारित मॉडल का उपयोग करता है।
4. स्तर 4 (सक्रिय शिक्षण - Active Learning): उभरते खतरों से निपटने के लिए अनिश्चितता नमूनाकरण (uncertainty sampling) का उपयोग करके पहचान क्षमताओं को निरंतर अनुकूलित करता है।

गणितीय औपचारिकता (Mathematical Formalization):
सिस्टम आठ व्याख्या योग्य विशेषताओं (जैसे, भूमिका प्रतिरूपण, अस्पष्टता, तात्कालिकता) को भार ($\lambda$) के साथ संयोजित करने वाले एक मिश्रित स्कोरिंग फंक्शन (समीकरण 1) का उपयोग करके खतरों को मात्रात्मक रूप देता है। एक अंतिम वर्गीकरण निर्णय तब लिया जाता है जब खतरा स्कोर श्रेणी-विशिष्ट थ्रेशोल्ड ($\tau_C$) से अधिक हो जाता है।

3. मुख्य योगदान (Key Contributions)

1. मानकीकृत भेद्यता मूल्यांकन: विभिन्न आर्किटेक्चर के बीच LLM सुरक्षा जोखिमों को मात्रात्मक रूप से मापने के लिए एक कठोर ढांचा स्थापित किया।
2. तुलनात्मक सुरक्षा विश्लेषण: प्रमुख LLMs की पहली बड़े पैमाने की रैंकिंग प्रदान की, जिससे पता चला कि क्षमता (capability) सुरक्षा मजबूती के साथ सहसंबंधित नहीं है।
3. उत्पादन-तैयार रक्षा: एक हल्का, बहु-स्तरीय रक्षात्मक ढांचा विकसित किया जो न्यूनतम विलंबता (latency) के साथ उच्च पहचान सटीकता प्राप्त करता है।
4. ओपन-सोर्स संसाधन: AI सुरक्षा अनुसंधान को गति देने के लिए पूर्ण मूल्यांकन ढांचा, डेटासेट और पहचान प्रणाली जारी की।

4. मुख्य परिणाम (Key Results)

A. भेद्यता मूल्यांकन निष्कर्ष

• महत्वपूर्ण असमानताएं: भेद्यता दर 11.9% (LLaMA-2-70B) से 29.8% (Gemini-2.5-pro) तक रही।
• क्षमता बनाम सुरक्षा: सबसे सक्षम मॉडल सबसे सुरक्षित नहीं थे। Gemini-2.5-pro, LLaMA-2-70B की तुलना में 2.5 गुना अधिक असुरक्षित था।
• विशिष्ट कमजोरियां:
  • GPT-3.5 Turbo ने विशेषाधिकार वृद्धि (Privilege Escalation) हमलों के प्रति 100% संवेदनशीलता दिखाई, जो निर्देश पदानुक्रम प्रवर्तन में मौलिक विफलता को दर्शाता है।
  • Gemini-2.5-pro भूमिका प्रतिरूपण (Role Impersonation) के प्रति अत्यधिक संवेदनशील था (37.9% सफलता दर)।
  • LLaMA-2-70B (ओपन सोर्स) ने सबसे मजबूत सुरक्षा स्थिति प्रदर्शित की, जो बताता है कि सामुदायिक जांच सुरक्षा को बढ़ा सकती है।
• अस्वीकृति दर (Refusal Rates): उच्च अस्वीकृति दर हमेशा कम भेद्यता के साथ सहसंगत नहीं थी; कुछ मॉडल सामान्य प्रश्नों को बार-बार अस्वीकार करते थे जबकि विशिष्ट प्रतिकूल इनपुट के खिलाफ विफल हो जाते थे।

B. रक्षात्मक ढांचे का प्रदर्शन

• पहचान सटीकता: ढांचे ने सभी हमले श्रेणियों में 83% औसत पहचान दर प्राप्त की।
• फॉल्स पॉजिटिव (False Positives): 5% की निम्न फॉल्स पॉजिटिव दर बनाए रखी, जिससे यह सुनिश्चित हुआ कि वैध उपयोगकर्ता इंटरैक्शन बाधित न हों।
• विलंबता (Latency): कुल प्रोसेसिंग ओवरहेड 15.4 ms है, जो विशिष्ट LLM इन्फरेंस समय (500–2000 ms) की तुलना में नगण्य है, जो इसे वास्तविक समय की तैनाती के लिए व्यवहार्य बनाता है।
• तुलना: ढांचे ने सटीकता और गति दोनों में मौजूदा वाणिज्यिक समाधानों (जैसे, PromptShield, Moderation APIs) को पछाड़ दिया।

C. हमले की प्रभावशीलता

• विशेषाधिकार वृद्धि (Privilege Escalation): अत्यधिक परिवर्तनशील; GPT-3.5 के लिए विनाशकारी (100% सफलता) लेकिन LLaMA-2-70B के खिलाफ पूरी तरह से अप्रभावी (0%)।
• अस्पष्टता (Obfuscation): सभी मॉडलों में लगातार प्रभावी (11–29% सफलता), जो मजबूत सिमेंटिक विश्लेषण की आवश्यकता को दर्शाता है।
• सोशल इंजीनियरिंग: सबसे कठिन से पता लगाना (68% पहचान दर), क्योंकि इसमें स्पष्ट दुर्भावनापूर्ण पैटर्न की कमी होती है।

5. महत्व और निहितार्थ (Significance and Implications)

• जोखिम का परिमाणीकरण: संगठन अब मॉडल की प्रतिष्ठा के आधार पर सुरक्षा का अनुमान नहीं लगा सकते। यह शोध विशिष्ट खतरे प्रोफाइल (जैसे, विशेषाधिकार-संवेदनशील कार्यों के लिए GPT-3.5 से बचना) के आधार पर LLM चुनने के लिए डेटा-संचालित आधार प्रदान करता है।
• रक्षा रणनीति: अध्ययन सिद्ध करता है कि बाहरी रक्षात्मक परतें आवश्यक हैं। केवल आंतरिक मॉडल संरेखण (alignment) पर भरोसा करना अपर्याप्त है; उत्पादन सुरक्षा के लिए बहु-स्तरीय रक्षा (पैटर्न, सिमेंटिक, व्यवहार संबंधी) की आवश्यकता है।
• ओपन सोर्स लाभ: LLaMA-2-70B का बेहतर प्रदर्शन यह सुझाव देता है कि सामुदायिक ऑडिट के अधीन ओपन-सोर्स मॉडल, 'ब्लैक बॉक्स' विकल्पों की तुलना में अधिक मजबूत सुरक्षा प्रदान कर सकते हैं।
• भविष्य की दिशाएं: शोध निरंतर, अनुकूलन योग्य सुरक्षा ऑडिट की आवश्यकता पर प्रकाश डालता है क्योंकि हमले के वेक्टर विकसित होते रहते हैं, जिससे स्थिर सुरक्षा प्रशिक्षण से गतिशील, वास्तविक समय रक्षा तंत्र की ओर बढ़ने की आवश्यकता है।

निष्कर्षतः, यह पेपर स्थापित करता है कि LLM सुरक्षा क्षमता का अंतर्निहित गुण नहीं है, बल्कि एक परिवर्तनशील गुण है जिसके लिए सुरक्षित तैनाती सुनिश्चित करने के लिए कठोर, मानकीकृत मूल्यांकन और मजबूत, बाहरी रक्षात्मक वास्तुकला की आवश्यकता होती है।