Known By Their Actions: Fingerprinting LLM Browser Agents via UI Traces
यह शोध पत्र यह प्रदर्शित करता है कि वेबसाइटें इसके UI इंटरैक्शन ट्रेस और टाइमिंग का विश्लेषण करके 96% तक की सटीकता के साथ ब्राउज़र एजेंट को संचालित करने वाले विशिष्ट लार्ज लैंग्वेज मॉडल की निष्क्रिय रूप से पहचान कर सकती हैं, जो एक महत्वपूर्ण सुरक्षा भेद्यता को उजागर करता है जो साधारण टाइमिंग विलंब (delay) पेश किए जाने पर भी बनी रहती है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक भीड़भाड़ वाले कमरे में प्रवेश करते हैं। भले ही आप मास्क पहन लें और अपनी आवाज़ बदल लें, लेकिन आपके चलने का तरीका, आपकी उंगलियों के टैप करने की गति, और आपके आंदोलनों की विशिष्ट लय आपको पहचान सकती है। आपका एक अनूठा "चाल" (gait) है।
यह शोध पत्र इस बारे में है कि कैसे AI एजेंटों (कंप्यूटर प्रोग्राम जो आपके लिए वेब ब्राउज़ करते हैं) की भी एक समान "चाल" होती है।
यहाँ इस शोध का सरल शब्दों में विवरण दिया गया है:
मुख्य विचार: डिजिटल चाल (The Digital Gait)
जब कोई इंसान इंटरनेट ब्राउज़ करता है, तो वह अपनी गति से क्लिक करता है, स्क्रॉल करता है और टाइप करता है। जब एक AI एजेंट ऐसा करता है, तो वह भी क्लिक और स्क्रॉल करता है। लेकिन यह शोध पत्र दिखाता है कि विभिन्न AI मॉडल (जैसे GPT-5, Claude, या Qwen) के चलने के तरीके में अलग-अलग "व्यक्तित्व" होते हैं।
एक मॉडल किसी लिंक पर क्लिक करने से पहले लंबे समय तक रुक सकता है, जबकि दूसरा बहुत तेज़ी से स्क्रॉल कर सकता है और एक विशिष्ट पैटर्न में क्लिक कर सकता है। शोधकर्ताओं ने पाया कि इन सूक्ष्म गतिविधियों और समय (timing) को देखकर, वे बिल्कुल पहचान सकते थे कि स्क्रीन के पीछे कौन सा AI मॉडल है, और इसकी सटीकता 96% थी।
उन्होंने यह कैसे किया: अदृश्य स्टॉपवॉच (The Invisible Stopwatch)
शोधकर्ताओं को AI को हैक करने या उसके आंतरिक कोड को देखने की आवश्यकता नहीं थी। उन्होंने एक सरल, निष्क्रिय (passive) तरीका अपनाया:
- सेटअप: उन्होंने एक वेबसाइट बनाई (एक टेस्ट ट्रैक की तरह) जहाँ 14 अलग-अलग AI एजेंटों को विकिपीडिया पर उत्तर खोजने या अमेज़न पर खरीदारी करने जैसे कार्य करने के लिए भेजा गया।
- ट्रैकर: उन्होंने पेज में कोड का एक छोटा सा हिस्सा (एक "जावास्क्रिप्ट ट्रैकर") डाला। यह कोड एक शांत स्टॉपवॉच और मोशन सेंसर की तरह काम करता था। इसने AI से यह नहीं पूछा कि वह क्या सोच रहा है; इसने बस रिकॉर्ड किया:
- एजेंट ने क्या क्लिक किया।
- स्क्रीन पर उसने कहाँ क्लिक किया।
- उसने क्रियाओं के बीच कितना समय प्रतीक्षा की।
- डिटेक्टिव: उन्होंने इस डेटा को एक कंप्यूटर प्रोग्राम (एक क्लासिफायर) में डाला और उससे अनुमान लगाने को कहा कि किस AI ने ये हरकतें कीं।
परिणाम: आप अपनी लय नहीं छिपा सकते
परिणाम चौंकाने वाले थे:
- उच्च सटीकता: सिस्टम लगभग हर बार AI मॉडल की सही पहचान कर सकता था, भले ही AI कोई अलग कार्य करने की कोशिश कर रहा हो।
- गति: सिस्टम को पूरे सत्र (session) को देखने की आवश्यकता नहीं थी। यह अक्सर कुछ ही क्लिक के बाद AI की पहचान का अनुमान लगा सकता था (जैसे किसी दोस्त की चाल को कुछ सेकंड तक देखकर उसे पहचान लेना)।
- समय (Timing) ही कुंजी है: सबसे महत्वपूर्ण सुराग यह नहीं था कि AI ने क्या क्लिक किया, बल्कि यह था कि उसने कब क्लिक किया। क्रियाओं के बीच का समय अंतराल सबसे मजबूत फिंगरप्रिंट था।
वह "बचाव" जो काम नहीं आया (The "Defense" That Didn't Work)
शोधकर्ताओं ने सोचा: "क्या होगा यदि हम ट्रैकर को भ्रमित करने के लिए AI की क्रियाओं में रैंडम देरी जोड़ दें?"
- उन्होंने रैंडम ठहराव जोड़ने की कोशिश की (जैसे कि AI को क्लिक करने से पहले 5 सेकंड तक इंतज़ार करने के लिए कहना)।
- परिणाम: इसने ट्रैकर को थोड़ा धीमा कर दिया, लेकिन ट्रैकर स्मार्ट था। यदि शोधकर्ता अपने सिस्टम को इन "विलंबित" (delayed) निशानों पर फिर से प्रशिक्षित (retrain) करते, तो सिस्टम इन रैंडम ठहरावों को अनदेखा करना सीख जाता और फिर से मूल लय पर ध्यान केंद्रित कर लेता। बचाव विफल रहा।
यह क्यों महत्वपूर्ण है (क्यों आपको इससे फर्क पड़ना चाहिए?)
यह शोध पत्र इसे एक सुरक्षा जोखिम के रूप में प्रस्तुत करता है।
- समस्या: अभी, वेबसाइटें मुख्य रूप से इस बात की चिंता करती हैं कि "क्या यह एक इंसान है या बॉट?" यह शोध दिखाता है कि एक बार जब आप जान जाते हैं कि यह एक बॉट है, तो आप पूछ सकते हैं, "यह कौन सा विशिष्ट बॉट है?"
- जोखिम: यदि किसी बुरे इरादे वाले व्यक्ति (bad actor) को पता चलता है कि उसकी साइट पर कौन सा विशिष्ट AI मॉडल आ रहा है, तो वे उस मॉडल के लिए विशेष रूप से हमले को तैयार कर सकते हैं। यह एक ताले खोलने वाले सेट (lockpick set) की तरह है जो एक विशिष्ट ब्रांड के ताले पर काम करता है। यदि उन्हें आपके ताले का ब्रांड पता है, तो वे उसे बहुत तेज़ी से खोल सकते हैं।
- वास्तविकता: हर बार जब कोई AI वेबसाइट पर जाता है, तो वह एक "डिजिटल फुटप्रिंट" छोड़ता है जो उसकी पहचान उजागर करता है, भले ही वह छिपने की कोशिश करे।
निचोड़ (The Bottom Line)
जिस तरह आप भीड़ में अपनी चलने की शैली को आसानी से नहीं छिपा सकते, उसी तरह AI मॉडल वेब ब्राउज़ करते समय अपनी "इंटरैक्शन शैली" को आसानी से नहीं छिपा सकते। उनके क्लिक और ठहराव एक अद्वितीय आईडी कार्ड की तरह हैं जो उनकी पहचान प्रकट करते हैं, और यह आईडी कार्ड उस किसी भी व्यक्ति को दिखाई देता है जो उनके द्वारा विज़िट की जाने वाली वेबसाइट को नियंत्रित करता है।
यह शोध पत्र क्या दावा नहीं करता है:
- यह यह नहीं कहता कि इसका उपयोग मानव उपयोगकर्ताओं की पहचान करने के लिए किया जा सकता है (यह मानता है कि उपयोगकर्ता पहले से ही एक AI है)।
- यह यह दावा नहीं करता कि यह दुनिया की सभी वेबसाइटों पर काम करता है (इसका परीक्षण विशिष्ट शॉपिंग और सर्च कार्यों पर किया गया था)।
- यह इसे ठीक करने के लिए अभी तक कोई समाधान भी पेश नहीं करता है; यह केवल इस भेद्यता (vulnerability) को उजागर करता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।