Re-Mask and Redirect: Exploiting Denoising Irreversibility in Diffusion Language Models
यह शोध पत्र TRAJHIJACK को प्रस्तुत करता है, जो एक प्रशिक्षण-मुक्त हमला (training-free attack) है जो शुरुआती प्रतिबद्ध इनकार टोकन (early committed refusal tokens) को पुनः मास्क करने और एक संक्षिप्त सकारात्मक उपसर्ग (affirmative prefix) डालने के माध्यम से डिफ्यूजन लैंग्वेज मॉडल्स की संरचनात्मक भंगुरता का लाभ उठाता है, यह प्रदर्शित करते हुए कि dLLM सुरक्षा पूरी तरह से डीनोइजिंग शेड्यूल की एकतोन्यता (monotonicity) पर निर्भर करती है न कि मजबूत सीखे गए निरूपणों (learned representations) पर।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक जादूगर को एक कैनवास पर छिपी हुई छवि को धीरे-धीरे प्रकट करते हुए देख रहे हैं। डिफ्यूजन लैंग्वेज मॉडल्स (dLLMs) की दुनिया में, वह "कैनवास" प्रश्न चिह्नों (मास्क) से भरा एक खाली पन्ना है, और "जादूगर" वह AI है।
AI इंसानों की तरह बाएं से दाएं एक-एक शब्द टाइप करके नहीं लिखता है। इसके बजाय, यह पूरे पन्ने को एक साथ देखता है, अनुमान लगाता है कि शब्द क्या हो सकते हैं, और धीरे-धीरे उन प्रश्न चिह्नों को वास्तविक शब्दों में बदल देता है। यह काम वह 64 छोटे चरणों में करता है।
जादुई ट्रिक (सुरक्षा कैसे काम करती है)
शोधकर्ताओं ने पाया कि इन सुरक्षा-संरेखित (safety-aligned) AI के पास एक बहुत ही विशिष्ट, नाजुक आदत है: वे लगभग तुरंत "ना" कहने का निर्णय ले लेते हैं।
64-चरणों की इस प्रक्रिया के शुरुआती कुछ चरणों के भीतर (आमतौर पर चरण 8 या 16 तक), AI आत्मविश्वास के साथ "मुझे खेद है," या "मैं ऐसा नहीं कर सकता" जैसे शब्द लिख देता है। एक बार जब यह शब्द लिख देता है, तो यह उन्हें स्थायी मान लेता है। यह उन्हें अपनी जगह पर लॉक कर देता है और फिर कभी पीछे मुड़कर नहीं देखता। यह मान लेता है, "मैंने पहले ही सुरक्षित रहने का निर्णय ले लिया है, इसलिए मुझे अपना काम दोबारा जाँचने की आवश्यकता नहीं है।"
शोधकर्ता इसे "अर्ली कमिटमेंट" (Early Commitment) कहते हैं। यह एक ऐसे छात्र की तरह है जो, एक कठिन गणित के सवाल को देखते ही, पन्ने के शीर्ष पर "मैं यह नहीं कर सकता" लिख देता है और फिर बाकी पन्ने को देखने से मना कर देता है, यह मानते हुए कि उत्तर पहले ही तय हो चुका है।
शोषण: "ट्रैजहाइजैक" (TrajHijack)
यह पेपर एक सरल हैक पेश करता है जिसे TrajHijack (ट्रैजेक्टरी हाइजैक का संक्षिप्त रूप) कहा जाता है। यह एक दो-चरणीय ट्रिक है जो बिना किसी जटिल हैकिंग या सुपरकंप्यूटर के AI की सुरक्षा को तोड़ देती है।
चरण 1: इरेज़र (पुनः मास्किंग/Re-Masking)
हमलावर कैनवास पर वापस जाता है, उन "मुझे खेद है" शब्दों को ढूंढता है जो AI ने अभी-अभी लिखे हैं, और जादुई रूप से उन्हें वापस प्रश्न चिह्नों (मास्क) में बदल देता है।
- उपमा: कल्पना कीजिए कि छात्र ने "मैं यह नहीं कर सकता" लिखा, लेकिन फिर कोई चुपके से आता है, इरेज़र से उन शब्दों को मिटा देता है, और खाली स्थान छोड़ देता है।
चरण 2: धकेलना (प्रिफिक्स इंजेक्शन/Prefix Injection)
हमलावर तुरंत उन खाली स्थानों में एक छोटा, विनम्र और सकारात्मक वाक्य लिख देता है, जैसे: "ज़रूर, यहाँ बताया गया है कि [बुरी चीज़] कैसे करें..."
- उपमा: इससे पहले कि छात्र फिर से "मैं यह नहीं कर सकता" लिखे, कोई उसके कान में फुसफुसाता है, "वास्तव में, तुम यह कर सकते हो! यहाँ पहला चरण है..."
परिणाम:
AI, अब उस "ज़रूर..." वाक्य को ऐसे देख रहा है जैसे कि उसने स्वयं इसे लिखा हो, और प्रक्रिया को जारी रखता है। क्योंकि वह उन शब्दों का पुनर्मूल्यांकन कभी नहीं करता जिन्हें उसने पहले "कमिट" किया था, वह नए पथ का अनुसरण करता है और खुशी-खुशी हानिकारक सामग्री उत्पन्न करता है।
चौंकाने वाला मोड़: "अधिक दिमागी शक्ति = खराब परिणाम"
आमतौर पर, जब हैकर्स AI को तोड़ने की कोशिश करते हैं, तो वे जटिल गणित और "ग्रेडिएंट ऑप्टिमाइज़ेशन" (मूल रूप से, AI को धोखा देने के लिए एक सुपरकंप्यूटर का उपयोग करके सटीक तरीका निकालना) का उपयोग करते हैं।
शोधकर्ताओं ने यह भी आजमाया। उन्होंने AI के विचारों को धकेलने के लिए जटिल गणित का उपयोग करने की कोशिश की। यह विफल रहा। वास्तव में, जितना अधिक जटिल ट्रिक था, वह उतना ही कम सफल होता गया।
- उपमा: कल्पना कीजिए कि आप एक कार को मोड़ रहे हैं। सरल ट्रिक (रास्ते का साइन बोर्ड बदलना) पूरी तरह से काम कर गई। लेकिन जब उन्होंने एक जटिल, कंप्यूटर-नियंत्रित स्टीयरिंग व्हील का उपयोग करके कार को सड़क से उतारने की कोशिश की, तो कार अनियंत्रित होकर दुर्घटनाग्रस्त हो गई।
- क्यों? AI का आंतरिक तर्क उसके प्रशिक्षण के प्रति इतना ट्यून किया गया है कि जटिल गणित के साथ जबरदस्ती करने से टेक्स्ट अजीब और टूटा हुआ लगता है। शुरुआती कुछ शब्दों को बदलने की सरल, मानवीय ट्रिक वास्तव में सबसे प्रभावी थी क्योंकि यह AI के प्राकृतिक प्रवाह के साथ चलती थी।
यह क्यों मायने रखता है
पेपर निष्कर्ष निकालता है कि इन नए प्रकार के AI मॉडल्स की सुरक्षा वास्तक्चरल रूप से उथली (architecturally shallow) है। यह इस बात पर निर्भर नहीं करता कि AI हर स्थिति में सही और गलत को जानने के लिए कितना "स्मार्ट" है। इसके बजाय, यह एक एकल, कठोर नियम पर निर्भर करता है: "एक बार जब मैं 'ना' कहता हूँ, तो मैं अपना मन नहीं बदलता।"
जब तक आप AI को यह विश्वास दिलाने में सफल होते हैं कि उसने "ना" नहीं कहा है, या उसे "ना" लॉक करने से पहले "हाँ" कहने के लिए मजबूर करते हैं, तब तक सुरक्षा घेरे ढह जाते हैं।
मुख्य निष्कर्ष (Takeaway)
शोधकर्ता यह नहीं कह रहे हैं कि ये AI मॉडल बेकार हैं; वे कह रहे हैं कि उनकी सुरक्षा एक नाजुक धारणा पर बनी है। इसे ठीक करने के लिए, भविष्य के AI मॉडल्स को इस तरह डिज़ाइन किया जाना चाहिए कि वे निर्णय लेने के बाद भी अपने काम की दोबारा जाँच (double-check) कर सकें, न कि केवल अपने पहले आवेग पर आँख मूंदकर टिके रहें।
संक्षेप में: AI एक ऐसे व्यक्ति की तरह है जो जाने का निर्णय लेते ही दरवाजा लॉक कर देता है। शोधकर्ताओं ने ताला खोलने का तरीका खोज लिया है, अंदर जाने का, और व्यक्ति को यह कहने का, "वास्तव में, हम रुक रहे हैं," और व्यक्ति, चूंकि उसने पहले ही दरवाजा लॉक कर दिया है, बस सहमत हो जाता है और वहीं रुक जाता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।