तकनीकी सारांश: GuardVLA – विजन-लैंग्वेज-एक्शन मॉडल्स के लिए बैकडोर-आधारित स्वामित्व सत्यापन की ओर

1. समस्या विवरण

विज़न-लैंग्वेज-एक्शन (VLA) मॉडल मल्टी-मोडल इनपुट (भाषा और दृष्टि) को निरंतर रोबोटिक क्रियाओं (actions) में मैप करके सामान्यीकृत रोबोटिक नियंत्रण सक्षम करते हैं। जैसे-जैसे ये मॉडल महत्वपूर्ण बौद्धिक संपत्ति बनते हैं, जिनमें आर्किटेक्चर, फाइन-ट्यूनिंग और डेटा में भारी निवेश होता है, इनका ओपन रिलीज़ अनधिकृत पुन: उपयोग, संशोधन और व्यावसायिक तैनाती के जोखिम को बढ़ाता है।

मौजूदा मॉडल स्वामित्व सत्यापन विधियाँ VLAs पर लागू होने पर गंभीर सीमाओं का सामना करती हैं:

• कमजोर प्रतिक्रिया पृथक्करणीयता (Weak Response Separability): मानक विजन-लैंग्वेज मॉडल्स के विपरीत, जो सिमेंटिक आउटपुट उत्पन्न करते हैं, VLAs निष्पादनीय निरंतर क्रियाएं (continuous actions) उत्पन्न करते हैं। विभिन्न नीतियां अक्सर एक ही कार्य पर अत्यधिक समान सफल व्यवहार प्रदर्शित करती हैं, जिससे प्रतिक्रिया-स्तर के अंतर के आधार पर स्वामित्व को पहचानना कठिन हो जाता है।
• सुरक्षा बाधाएं (Safety Constraints): पारंपरिक बैकडोर-आधारित विधियां या प्रतिकूल गड़बड़ी (adversarial perturbations) जो असामान्य आउटपुट को प्रेरित करती हैं, रोबोटिक्स के लिए अनुपयुक्त हैं, क्योंकि वे तैनाती के दौरान असुरक्षित व्यवहार को ट्रिगर कर सकती हैं।
• मजबूती (Robustness): सत्यापन तंत्र को प्रभावी रहना चाहिए, भले ही मॉडल डाउनस्ट्रीम फाइन-ट्यूनिंग या अनुकूलन (adaptation) से गुजरे।

मुख्य चुनौती एक ऐसा सत्यापन ढांचा डिजाइन करना है जो सामान्य कार्य प्रदर्शन या असुरक्षित रोबोटिक व्यवहार को प्रभावित किए बिना विशिष्ट स्वामित्व साक्ष्य प्रदान कर सके।

2. कार्यप्रणाली: GuardVLA

लेखक GuardVLA का प्रस्ताव करते हैं, जो विशेष रूप से VLAs के लिए डिज़ाइन किया गया पहला बैकडोर-आधारित स्वामित्व सत्यापन ढांचा है। यह ढांचा एक "स्वैप-एंड-डिटेक्ट" (बदलें-और-पहचानें) तंत्र पर कार्य करता है, जो सौम्य निष्पादन (benign execution) को ट्रिगर-मोड सत्यापन से अलग करता है।

2.1. वॉटरमार्क एम्बेडिंग (सुरक्षित फाइन-ट्यूनिंग)

प्रशिक्षण चरण के दौरान, GuardVLA संरक्षित मॉडल में एक गुप्त और हानिरहित बैकडोर वॉटरमार्क एम्बेड करता है:

• स्टेग्नोग्राफिक इंजेक्शन (Steganographic Injection): एक पूर्व-निर्धारित गुप्त संदेश ($m_s$) को एक पूर्व-प्रशिक्षित इमेज स्टेग्नोग्राफी एम्बेडर ($E_\phi$) का उपयोग करके एम्बोडीड विज़ुअल ऑब्जर्वेशन ($x_{ob}$) में एम्बेड किया जाता है, जिससे एक वॉटरमार्क वाला ऑब्जर्वेशन $x_s = x_{ob} + \delta_s$ बनता है।
• सुरक्षित फाइन-ट्यूनिंग (Safe Fine-tuning): संरक्षित मॉडल ($M_w$) को इन वॉटरमार्क वाले ऑब्जर्वेशन पर मानक कार्य लॉस (task loss) का उपयोग करके फाइन-ट्यून किया जाता है। यह स्वच्छ इनपुट पर इसके व्यवहार को बदले बिना मॉडल के मापदंडों (parameters) में बैकडोर पैटर्न को एम्बेड करता है।
• सहायक मॉडल (Auxiliary Models): डिटेक्शन में सहायता के लिए, दो सहायक मॉडल प्रशिक्षित किए जाते हैं:
  • एक क्लीन मॉडल ($M_c$) जो मूल, बिना संशोधित डेटा पर फाइन-ट्यून किया गया है।
  • एक नॉइज़ मॉडल ($M_r$) जो रैंडम, गैर-लक्ष्य गुप्त संदेशों ($m_r$) वाले डेटा पर फाइन-ट्यून किया गया है।

2.2. ट्रिगर प्रोजेक्टर और क्लासिफायर को-ट्रेनिंग

तैय्यारी के दौरान मॉडल के सौम्य व्यवहार को बदले बिना डिटेक्शन को सक्षम करने के लिए, GuardVLA बाहरी मॉड्यूल को प्रशिक्षित करता है:

• ट्रिगर प्रोजेक्टर ($P_t$): सत्यापन के दौरान मानक प्रोजेक्टर को बदल देता है। यह विज़ुअल फीचर्स को उन टोकन में मैप करता है जो एम्बेडेड वॉटरमार्क के प्रति संवेदनशील होते हैं।
• क्लासिफायर हेड ($H_c$): सत्यापन के दौरान मानक एक्शन एक्सपर्ट को बदल देता है ताकि स्वामित्व की संभावनाओं को आउटपुट किया जा सके।
• प्रशिक्षण उद्देश्य (Training Objective): ये मॉड्यूल रिप्रजेंटेशन स्पेस को स्ट्रक्चर करने के लिए एक ट्रिपलेट लॉस (Triplet Loss) और वॉटरमार्क वाले मॉडल को पॉजिटिव और अन्य को नेगेटिव के रूप में वर्गीकृत करने के लिए एक बाइनरी क्रॉस-एन्ट्रॉपी लॉस (Binary Cross-Entropy Loss) का उपयोग करते हैं।

2.3. स्वैप-एंड-डिटेक्ट सत्यापन प्रोटोकॉल

स्वामित्व सत्यापन दो अलग-अलग मोड में होता है:

1. सौम्य मोड (प्रदर्शन परीक्षण - Benign Mode): मॉडल अपने मूल घटकों ($P_b, H_a$) का उपयोग करके कार्यों को निष्पादित करता है। सफलता दर (SR) को यह सुनिश्चित करने के लिए मापा जाता है कि मॉडल क्रैश नहीं हुआ है या काफी कम नहीं हुआ है।
2. ट्रिगर मोड (वॉटरमार्क डिटेक्शन): यदि मॉडल प्रदर्शन परीक्षण पास कर लेता है, तो आंतरिक प्रोजेक्टर और एक्शन हेड को प्रशिक्षित ट्रिगर प्रोजेक्टर ($P_t$) और क्लासिफायर हेड ($H_c$) के साथ बदल दिया जाता है। मॉडल उन्हीं इनपुट्स को प्रोसेस करता है, और क्लासिफायर एक वॉटरमार्क आइडेंटिफिकेशन कॉन्फिडेंस (WIC) आउटपुट करता है।
   • यदि $WIC \ge \tau_{wic}$, तो मॉडल को संरक्षित मॉडल की कॉपी के रूप में पहचाना जाता है।
   • यदि $WIC < \tau_{wic}$, तो मॉडल को बिना वॉटरमार्क वाला माना जाता है।

3. मुख्य योगदान

1. GuardVLA ढांचा: VLAs के लिए विशेष रूप से तैयार किया गया पहला बैकडोर-आधारित स्वामित्व सत्यापन ढांचा, जो प्रशिक्षण के दौरान एक हानिरहित वॉटरमार्क एम्बेड करता है जो मानक तैनाती के दौरान निष्क्रिय रहता है।
2. स्वैप-एंड-डिटेक्ट तंत्र: एक नवीन सत्यापन रणनीति जो स्पष्ट रूप से सौम्य निष्पादन को ट्रिगर-मोड सत्यापन से अलग करती है। यह सुनिश्चित करता है कि स्वामित्व के साक्ष्य केवल ऑडिटिंग के दौरान सक्रिय होते हैं, जिससे सामान्य रोबोटिक संचालन के दौरान असुरक्षित व्यवहार को रोका जा सके।
3. मजबूती और निष्ठा (Robustness and Fidelity): व्यापक प्रयोग दर्शाते हैं कि GuardVLA कार्य प्रदर्शन (fidelity) को बनाए रखते हुए उच्च वॉटरमार्क पता लगाने की क्षमता (detectability) बनाए रखता है, यहाँ तक कि रिलीज के बाद मॉडल अनुकूलन (fine-tuning) और विभिन्न सप्रेशन हमलों के तहत भी।

4. प्रयोगात्मक परिणाम

लेखकों ने LIBERO बेंचमार्क सुइट का उपयोग करके तीन प्रतिनिधि VLA आर्किटेक्चर (OpenVLA-OFT, VLA-Adapter, और $\pi_{0.5}$) पर GuardVLA का मूल्यांकन किया।

• मॉडल निष्ठा (Model Fidelity): GuardVLA ने क्लीन मॉडल्स की तुलना में कार्य सफलता दर (SR) को सुरक्षित रखा या थोड़ा बेहतर बनाया। उदाहरण के लिए, वॉटरमार्क वाले OpenVLA-OFT ने ऑब्जेक्ट सुइट पर 99.4% SR प्राप्त किया (98.2% क्लीन के मुकाबले), और VLA-Adapter ने LIBERO-10 पर 89.8% से सुधार कर 93.4% कर दिया।
• वॉटरमार्क पता लगाने की क्षमता (Watermark Detectability): ट्रिगर मोड में, वॉटरमार्क वाले मॉडल्स ने लगातार 99.8% से ऊपर WIC स्कोर प्राप्त किया, जबकि क्लीन और नॉइज़ मॉडल्स 0.1% से नीचे रहे। यह संरक्षित और असुरक्षित मॉडल्स के बीच एक स्पष्ट अलगाव को दर्शाता है।
• अनुकूलन के प्रति मजबूती (Robustness to Adaptation):
  • क्रॉस-डेटासेट फाइन-ट्यूनिंग: जब LIBERO-10 पर प्रशिक्षित वॉटरमार्क वाले मॉडल को LIBERO-Spatial पर फाइन-ट्यून किया गया, तो WIC अनुकूलन प्रक्रिया के दौरान लगभग 100% बना रहा।
  • क्रॉस-मेथड फाइन-ट्यूनिंग: यहाँ तक कि कम विज़ुअल इनपुट (सिंगल व्यू बनाम ड्यूल व्यू) के साथ फाइन-ट्यून करने पर भी, वॉटरमार्क पता लगाने योग्य रहा।
• दमन के प्रति प्रतिरोध (Resistance to Suppression): यह ढांचा वेट क्वांटाइजेशन (INT4), नॉलेज डिस्टिलेशन और प्रोजेक्टर-इनवेरिएंट एडेप्टिव हमलों का सामना करने में सक्षम रहा। सभी मामलों में, WIC लगभग 100% रहा, जबकि इन हमलों ने अक्सर मॉडल के कार्य प्रदर्शन (SR) को कम कर दिया, जिससे पता चलता है कि वॉटरमार्क हटाने से उपयोगिता (utility) से समझौता होता है।
• व्यवहार-स्तर का विस्तार (Behavior-Level Extension): लेखकों ने यह भी प्रदर्शित किया कि स्वामित्व को ट्रिगर द्वारा प्रेरित विशिष्ट एंड-इफेक्टर मोशन पैटर्न के माध्यम से भी सत्यापित किया जा सकता है, जो एक व्याख्या योग्य, व्यवहार-स्तर का सत्यापन संकेत प्रदान करता है।

5. महत्व और दावे

यह पेपर दावा करता है कि GuardVLA खुले-स्रोत VLAs के परिनियोजन में एक महत्वपूर्ण अंतर को पाटता है, जो स्वामित्व सत्यापन के लिए एक विश्वसनीय, सुरक्षित और मजबूत विधि प्रदान करता है।

• सुरक्षा सर्वोपरि: पिछले बैकडोर तरीकों के विपरीत जो गलत क्रियाओं को प्रेरित कर सकते हैं, GuardVला यह सुनिश्चित करता है कि वॉटरमार्क सामान्य संचालन के दौरान सुप्त (dormant) रहता है, जिससे रोबोटिक पॉलिसी की सुरक्षा और उपयोगिता बनी रहती है।
• निरंतरता (Persistence): वॉटरमार्क को डाउनस्ट्रीम फाइन-ट्यूनिंग के माध्यम से बने रहने के लिए डिज़ाइन किया गया है, जो VLA अनुकूलन में एक सामान्य परिदृश्य है, जिससे यह सुनिश्चित होता है कि स्वामित्व के दावे नए कार्यों या वातावरणों के लिए मॉडल के अनुकूलन के बाद भी वैध रहें।
• व्यावहारिकता: यह ढांचा एक यथार्थवादी थ्रेट मॉडल के तहत कार्य करता है जहाँ सत्यापनकर्ता के पास पूर्ण मॉडल वेट के बजाय सीमित एक्सेस (इंटरफेस-आधारित) होता है, और सत्यापन प्रक्रिया के लिए निजी प्रशिक्षण डेटा को उजागर करने की आवश्यकता नहीं होती है।

लेखक निष्कर्ष निकालते हैं कि GuardVLA डेवलपर्स को अनधिकृत उपयोग को ट्रैक करने की अनुमति देकर जिम्मेदार मॉडल साझाकरण को सक्षम बनाता है, जिससे वे सौम्य अनुसंधान और अनुकूलन में बाधा डाले बिना, एम्बोडीड इंटेलिजेंस के लिए एक सतत पारिस्थितिकी तंत्र का समर्थन करते हैं।