Jailbreaking Frontier Foundation Models Through Intention Deception

यहाँ सिनहे वांग, काटिया सिकारा और याकी ज़ी के शोध पत्र "Jailbreaking Frontier Foundation Models Through Intention Deception" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

लार्ज विजन-लैंग्वेज मॉडल्स (LV LMs) और लार्ज लैंग्वेज मॉडल्स (LLMs) "हार्ड रिफ्यूज़ल" (असुरक्षित अनुरोधों पर सीधे "ना" कहना) से विकसित होकर "सेफ कंप्लीशन" (Safe Completion) प्रतिमानों (जैसे कि GPT-5 में) की ओर बढ़ गए हैं। इस नए प्रतिमान में, मॉडल सुरक्षा बाधाओं का पालन करते हुए उपयोगिता (helpfulness) को अधिकतम करने का प्रयास करते हैं, और अक्सर सीधे हानिकारक अनुरोध का पता चलने पर सुरक्षित विकल्प या आंशिक जानकारी प्रदान करते हैं।

लेखक इस दृष्टिकोण में एक गंभीर भेद्यता (vulnerability) की पहचान करते हैं: इन्टेंशन डीसेप्शन (इरादे का छल/Intention Deception)। हमलावर एक सुसंगत, मल्टी-टर्न नैरेटिव (कथा) के भीतर दुर्भावनापूर्ण लक्ष्यों को एक सौम्य (benign) रूप में प्रस्तुत करके मॉडल की "उपयोगिता" की प्रवृत्ति का लाभ उठा सकते हैं। शोध पत्र दो विशिष्ट विफलता मोडों को रेखांकित करता है:

1. डायरेक्ट जेलब्रेकिंग (Direct Jailbreaking): मॉडल सुरक्षा फिल्टरों के बावजूद सीधे हानिकारक सामग्री आउटपुट करता है।
2. पारा-जेलब्रेकिंग (Para-Jailbreaking - नई खोज): मॉडल सीधे हानिकारक प्रश्न को तो मना कर देता है लेकिन "सुरक्षित" वैकल्पिक प्रतिक्रियाएं (जैसे उपकरणों की सूची, सैद्धांतिक स्पष्टीकरण, या प्रक्रियात्मक चरण) प्रदान करता है जिनमें शोषण योग्य, हानिकारक जानकारी शामिल होती है। मॉडल इन विकल्पों को इसलिए सुरक्षित मानता है क्योंकि वे एक वैध संदर्भ के भीतर फ्रेम किए गए हैं, लेकिन एक बाहरी जज उन्हें हानिकारक मान सकता है।

2. कार्यप्रणाली: iDecep (इन्टेंशन डीसेप्शन)

लेखक iDecep, एक नया मल्टी-टर्न जेलब्रेकिंग फ्रेमवर्क प्रस्तावित करते हैं जिसे फ्रंटियर मॉडल्स की निरंतरता और उपयोगिता का फायदा उठाने के लिए डिज़ाइन किया गया है।

मुख्य तंत्र (Core Mechanism)

• सौम्य इरादा सिमुलेशन (Benign Intent Simulation): इरादे को शुरुआत में छिपाने और बाद में प्रकट करने के बजाय (जैसा कि पिछले तरीकों जैसे Crescendo में होता है), iDecep पहले टर्न से ही एक सुसंगत, सौम्य पेशेवर व्यक्तित्व (जैसे कि रोकथाम रिपोर्ट लिख रहा एक पुलिस अधिकारी, या एक सुरक्षा शोधकर्ता) बनाए रखता है।
• नैरेटिव निरंतरता (Narrative Consistency): हमला वार्ता की सुसंगतता बनाए रखने के लिए मॉडल के प्रशिक्षण का लाभ उठाता है। हमलावर एक विश्वसनीय कहानी बनाता है जहाँ हानिकारक लक्ष्य एक वैध कार्य का आवश्यक घटक होता है (जैसे, "जैविक हमलों को रोकने के लिए, हमें अपशिष्ट को कैसे संसाधित किया जाए, इसे समझना चाहिए")।
• "सेफ कंप्लीशन" का शोषण: जब मॉडल किसी सीधे हानिकारक प्रश्न को मना करता है, तो वह अक्सर "सुरक्षित विकल्प" पेश करता है। iDecep विशेष रूप से इन विकल्पों को लक्षित करता है, उन्हें विस्तृत, कार्रवाई योग्य हानिकारक जानकारी निकालने के लिए 'स्टेपिंग स्टोन्स' (सीढ़ियों) के रूप में उपयोग करता है।

तकनीकी ढांचा (Technical Framework)

यह प्रणाली तीन मुख्य घटकों के साथ एक ब्लैक-बॉक्स हमले के रूप में कार्य करती है:

1. अटैकर मॉडल (जेनरेटर): एक "सौम्य इरादे" ($I$) और एक "दुर्भावनापूर्ण लक्ष्य" ($G$) के आधार पर क्वेरी उत्पन्न करता है। यह नैरेटिव निरंतरता सुनिश्चित करने के लिए मॉडल की पिछली प्रतिक्रियाओं का उपयोग करके अगली क्वेरी का निर्माण करता है।
2. इवैल्यूएटर (Evaluator): "शोषण योग्य बिंदुओं" (जैसे विशिष्ट उपकरणों, प्रक्रियाओं या कमजोरियों का उल्लेख) की पहचान करने के लिए मॉडल की प्रतिक्रिया का विश्लेषण करता है और यह निर्णय लेता है कि बातचीत को आगे बढ़ाना है या क्वेरी को परिष्कृत करना है।
3. स्वचालित एक्सप्लोर-देन-एक्सप्लॉयट (Automated Explore-then-Exploit):
   • एक्सप्लोरेशन चरण (Exploration Phase): विश्वास बनाने और सौम्य संदर्भ स्थापित करने के लिए एक सुसंगत, विषय-आधारित संवाद में संलग्न होता है।
   • एक्सप्लॉइटेशन चरण (Exploitation Phase): मॉडल की प्रतिक्रिया के उन विशिष्ट खंडों की पहचान करता है जिन्हें विस्तारित किया जा सकता है। यह प्रतिबंधित सामग्री को व्यवस्थित रूप से निकालने के लिए एक ट्री-स्ट्रक्चर्ड ब्रांचिंग रणनीति का उपयोग करता है।
   • मल्टीमॉडल विस्तार (Multimodal Extension): वैधता को और मजबूत करने के लिए यह विधि सौम्य छवियों (जैसे लैब या पुलिस रिपोर्ट की तस्वीरें) को शामिल कर सकती है।

3. प्रमुख योगदान (Key Contributions)

1. फ्रंटियर मॉडल्स पर उच्च सफलता दर: यह विधि अत्याधुनिक मॉडल्स को सफलतापूर्वक जेलब्रेक करती है, जिसमें GPT-5-thinking और Claude-Sonnet-4.5 शामिल हैं, जिन्हें पारंपरिक हमलों के खिलाफ अत्यधिक मजबूत माना जाता है। यह जैविक युद्ध (Biological Warfare) और रासायनिक खतरों (Chemical Threats) जैसी अत्यधिक सुरक्षित श्रेणियों पर भी उच्च सफलता दर प्राप्त करती है।
2. "पारा-जेलब्रेकिंग" की खोज: शोध पत्र औपचारिक रूप से पारा-जेलब्रेकिंग को परिभाषित और प्रदर्शित करता है, जो एक नए प्रकार की भेद्यता है जहाँ मॉडल सीधे प्रश्न को तो मना कर देता है लेकिन "सुरक्षित" विकल्पों के माध्यम से हानिकारक जानकारी लीक कर देता है। लेखक दिखाते हैं कि यह 'सेफ-कंप्लीशन ट्रेनिंग' की एक व्यवस्थित कमजोरी है।
3. सैद्धांतिक औपचारिकता (Theoretical Formalization): लेखक एक सैद्धांतिक प्रमाण प्रदान करते हैं जो दिखाता है कि 'इन्टेंशन डीसेप्शन' पारा-जेलब्रेकिंग की संभावना को बढ़ाता है। वे सिद्ध करते हैं कि यदि एक हमलावर विश्वसनीय रूप से "समृद्ध विकल्पों के साथ इनकार" (refusals with rich alternatives) प्राप्त कर सकता है, तो कुल हमला सफलता दर बढ़ जाती है।
4. मल्टीमॉडल प्रभावशीलता: अध्ययन यह प्रदर्शित करता है कि टेक्स्ट कॉन्टेक्स्ट में सौम्य छवियां जोड़ने से हानिकारक कंप्लीशन की सफलता दर और बढ़ जाती है, जो विजुअल-टेक्स्टुअल अलाइनमेंट में एक कमजोरी को उजागर करता है।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने AdvBench, ClearHarm, और एक नए AdvBench-Vision डेटासेट जैसे बेंचमार्क के विरुद्ध iDecep का मूल्यांकन किया।

• लक्ष्य (Targets): GPT-4o, Gemini-2.5-Flash, Claude-Sonnet-4.5, और GPT-5।
• बेसलाइन्स (Baselines): Chain-of-Attack (CoA) और Crescendo के विरुद्ध तुलना।
• प्रदर्शन:
  • GPT-5 और Claude-Sonnet-4.5 पर, पारंपरिक बेसलाइन्स (CoA, Crescendo) की सफलता दर लगभग शून्य (0-2%) थी।
  • iDecep ने GPT-5 पर 52% से 63% और Claude-Sonnet-4.5 पर 53% से 59% की कुल सफलता दर प्राप्त की।
  • पारा-जेलब्रेकिंग का प्रभुत्व: iDecep की सफलता का एक महत्वपूर्ण हिस्सा पारा-जेलब्रेकिंग से आया (जैसे, GPT-5 पर, 51% सफलताएँ पारा-जेलब्रेक थीं बनाम 12% डायरेक्ट)। यह पुष्टि करता है कि मॉडल के "हेल्पफुल अल्टरनेटिव्स" प्राथमिक हमला वेक्टर हैं।
  • मल्टीमॉडल: विजन सेटिंग में, सफलता दर और बढ़ गई (जैसे, छवियों के साथ GPT-5 पर 84%)।

उदाहरण मामला: शोध पत्र एक सफल हमले का विवरण देता है जहाँ हमलावर ने जैविक हमलों पर रिपोर्ट तैयार करने वाले एक पुलिस अधिकारी का रूप धारण किया। मॉडल ने "हथियार बनाने के निर्देश" देने से मना कर दिया लेकिन विशेष लैब उपकरणों (जैसे, अल्ट्रा लो टेम्परेचर फ्रीजर, एरोसोल टाइट रोटर्स के साथ सेंट्रीफ्यूज) की एक विस्तृत सूची प्रदान की और जैविक कचरे को संसाधित करने में उनके कार्य को समझाया, जिससे प्रभावी रूप से "क्या" के माध्यम से "कैसे" प्रदान किया गया।

5. महत्व और निहितार्थ (Significance and Implications)

• सुरक्षा प्रशिक्षण प्रतिमान परिवर्तन (Safety Training Paradigm Shift): परिणाम बताते हैं कि "हार्ड रिफ्यूज़ल" से "सेफ कंप्लीशन" (उपयोगिताaiming for helpfulness) की ओर बढ़ने से नए, सूक्ष्म हमले के सतह (attack surfaces) उत्पन्न होते हैं। मददगार होने की इच्छा मॉडल्स को 'इन्टेंशन डीसेप्शन' के प्रति अधिक संवेदनशील बनाती है।
• वर्तमान सुरक्षा उपायों की अपर्याप्तता: वर्तमान सुरक्षा तंत्र तर्कसंगत, मल्टी-टर्न नैरेटिव में छिपी हानिकारक जानकारी का पता लगाने में विफल रहते हैं। वे अक्सर प्रत्यक्ष उत्तर को सुरक्षित मानते हैं जबकि विकल्पों में निहित संदर्भगत (contextual) नुकसान को अनदेखा कर देते हैं।
• नए मूल्यांकन की आवश्यकता: शोध पत्र तर्क देता है कि सुरक्षा मूल्यांकन को केवल सीधे इनकार की जाँच करने से आगे बढ़ना चाहिए और संपूर्ण संवादात्मक प्रक्षेपवक्र (conversational trajectory) और वैकल्पिक प्रतिक्रियाओं की हानिकारक प्रकृति का आकलन करना चाहिए।
• दोहरे उपयोग का जोखिम (Dual-Use Risk): लेखक इस शोध की दोहरे उपयोग वाली प्रकृति को स्वीकार करते हैं, यह नोट करते हुए कि इन तकनीकों का उपयोग दुर्भावनापूर्ण अभिनेताओं द्वारा किया जा सकता है। हालांकि, वे इस बात पर जोर देते हैं कि इरादे के हेरफेर (intent manipulation) के खिलाफ मजबूत रक्षा विकसित करने के लिए इन कमजोरियों को उजागर करना आवश्यक है।

निष्कर्षतः, यह शोध पत्र प्रदर्शित करता है कि इन्टेंशन डीसेप्शन आधुनिक AI सुरक्षा प्रणालियों में एक शक्तिशाली, संरचनात्मक भेद्यता है, जो विशेष रूप से फ्रंटियर मॉडल्स में सुरक्षा और उपयोगिता के बीच के संतुलन का फायदा उठाती है। यह मल्टी-टर्न संदर्भ और पारा-हानिकारक आउटपुट को ध्यान में रखते हुए सुरक्षा संरेखण (safety alignment) के मौलिक पुनर्विचार का आह्वान करता है।