💬 NLP

THRD: A Training-Free Multi-Turn Defense Framework for Jailbreak Attacks on Large Language Models

THRD एक नवीन प्रशिक्षण-मुक्त (training-free) ढांचा है जो चार एकीकृत मॉड्यूल के माध्यम से टेम्पोरल रिस्क एक्यूमुलेशन (temporal risk accumulation) को स्पष्ट रूप से मॉडल करके बड़े भाषा मॉडलों को मल्टी-टर्न जेलब्रेक हमलों से सुरक्षित करता है, जिससे मॉडल उपयोगिता को बनाए रखते हुए लगभग शून्य हमला सफलता दर प्राप्त होती है।

मूल लेखक: Zhiqing Ma, Zhonghao Xu, Dong Yu, Chen Kang, Changliang Li, Pengyuan Liu

प्रकाशित 2026-06-02

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Zhiqing Ma, Zhonghao Xu, Dong Yu, Chen Kang, Changliang Li, Pengyuan Liu

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक विशिष्ट क्लब के बाउंसर (एक AI मॉडल) हैं। आपका काम खतरनाक लोगों को बाहर रखना है।

पुरानी समस्या:
अतीत में, हमलावर दरवाजे पर एक स्पष्ट गलत अनुरोध चिल्लाकर घुसने की कोशिश करते थे। आप उन्हें आसानी से पहचान सकते थे और कह सकते थे, "प्रवेश नहीं!"

लेकिन हाल ही में, हमलावरों ने अपनी रणनीति बदल दी है। सीधे चिल्लाने के बजाय, वे "स्लो-बर्न" (धीमी आंच वाली) रणनीति का उपयोग करने लगे हैं।

टर्न 1: वे एक हानिरहित सवाल पूछते हैं, जैसे "क्या आप मुझे एक ऐसे चरित्र के बारे में कहानी सुना सकते हैं जो गलतियाँ करता है?"
टर्न 2: वे कहते हैं, "बहुत बढ़िया! अब, क्या होगा अगर वह चरित्र किसी को बचाने के लिए कानून तोड़ने की कोशिश करे?"
टर्न 3: वे और आगे बढ़ते हैं: "ठीक है, उस चरित्र द्वारा अपराध करने के लिए उठाए जाने वाले सटीक चरणों के बारे में बताएं।"

व्यक्तिगत रूप से, हर एक सवाल मासूम दिखता है। यदि आप केवल वर्तमान प्रश्न को देखते हैं (जैसे कि एक बाउंसर जो अभी उनके हाथ में दिए गए आईडी कार्ड को देख रहा है), तो आप उन्हें अंदर जाने दे सकते हैं। लेकिन यदि आप पूरी बातचीत के इतिहास को देखते हैं, तो आपको एहसास होता है कि वे धीरे-धीरे कुछ खतरनाक दिशा में बातचीत को मोड़ रहे हैं।

मौजूदा सुरक्षा प्रणालियाँ उन बाउंसरों की तरह थीं जो केवल उनके हाथ में मौजूद आईडी कार्ड को देखती थीं, और इस बात को नजरअंदाज कर देती थीं कि वह व्यक्ति पिछले 10 मिनट से संदिग्ध बातें फुसफुसा रहा था। या तो उन्हें बाउंसर को फिर से प्रशिक्षित (retrain) करना पड़ता था (जो महंगा है और कभी-कभी उन्हें अपना नियमित काम करने के लिए भूलने पर मजबूर कर देता है) या वे इन धीमी हमलों को पकड़ने में विफल रहते थे।

नया समाधान: THRD
लेखकों ने THRD बनाया है, जो एक "ट्रेनिंग-फ्री" (प्रशिक्षण-मुक्त) रक्षा प्रणाली है। THRD को एक सुपर-स्मार्ट सुरक्षा टीम के रूप में समझें जिसे नई तरकीबें सीखने के लिए स्कूल (पुनः प्रशिक्षण) जाने की आवश्यकता नहीं है। इसके बजाय, यह वास्तविक समय में बातचीत को होते हुए देखने के लिए चार-चरणीय प्रक्रिया का उपयोग करता है:

तत्काल जांच (TRA): एक गार्ड जो वर्तमान प्रश्न को देखता है। क्या यह अभी संदिग्ध है?
इतिहास का जासूस (HCA): एक जासूस जो शुरुआत से लेकर पूरे चैट लॉग को पढ़ता है। क्या वे धीरे-धीरे एक जाल बुन रहे हैं? क्या वे अजीब तरह से भूमिकाएं या विषय बदल रहे हैं?
प्रतिक्रिया समीक्षक (RE): एक विश्लेषक जो यह जांचता है कि AI ने अभी क्या कहा है। क्या AI ने अनजाने में कोई ऐसी मददगार जानकारी दे दी जिससे अगला कदम हमलावर के लिए आसान हो जाए? भले ही उत्तर अभी "बुरा" न रहा हो, क्या इसने "बुरे" की ओर जाने वाले रास्ते को आसान बना दिया?
कैप्टन (निर्णय मॉड्यूल): एक बॉस जो इन सभी रिपोर्टों को जोड़ता है। वे केवल वर्तमान क्षण को नहीं देखते; वे ट्रेंड (रुझान) को देखते हैं।
- उपमा: यदि जोखिम स्कोर एक थर्मामीटर है, तो कैप्टन केवल एक बार तापमान की जांच नहीं करता है। वह देखता है कि क्या तापमान लगातार बढ़ रहा है। यदि यह बढ़ रहा है, तो वह कमरा बहुत गर्म होने से पहले ही अलार्म बजा देता है।

व्यवहार में यह कैसे काम करता है:
यह प्रणाली एक "जोखिम स्कोर" (Risk Score) असाइन करती है जो समय के साथ बदलता है।

यदि बातचीत सुरक्षित है, तो स्कोर कम रहता है।
यदि हमलावर दबाव डालना शुरू करता है, तो स्कोर ऊपर जाता है।
महत्वपूर्ण बात: यदि स्कोर बहुत अधिक हो जाता है, तो सिस्टम "रुक जाओ!" कहता है और उस बातचीत में किसी भी आगे के प्रश्नों का उत्तर देने से मना कर देता है। यह अगले प्रश्न को सुरक्षित रूप से उत्तर देने की चतुराई नहीं करता; यह बस लाइन काट देता है ताकि हमलावर को दोबारा चालाकी करने से रोका जा सके।

इस शोध पत्र ने क्या पाया:

यह काम करता है: जब इसे स्मार्टतम नए हमलों (जैसे "X-Teaming" और "Tempest") के खिलाफ परखा गया, तो इसने लगभग सभी को रोक दिया (सफलता दर को लगभग 0% तक कम कर दिया)।
यह सुरक्षित है: इसने AI की सामान्य कार्यों (जैसे गणित या निबंध लिखना) को करने की क्षमता को खराब नहीं किया।
यह आवश्यक है: शोधकर्ताओं ने पाया कि इन हमलों में से 70% को पहले टर्न में मासूम दिखने के लिए डिज़ाइन किया गया है। वे टर्न 2 या उसके बाद ही खतरनाक बनते हैं। यह साबित करता है कि आप केवल वर्तमान प्रश्न की जांच नहीं कर सकते; आपको इतिहास को देखना ही होगा।

समझौता (Trade-off):
केवल उल्लेखित एकमात्र कमी यह है कि इस "सुपर-स्मार्ट" टीम को सोचने में थोड़ा अधिक समय लगता है (प्रति टर्न लगभग 15-22 सेकंड) सरल तरीकों की तुलना में। हालांकि, लेखक तर्क देते हैं कि एक खतरनाक हमले को रोकने के लिए कुछ अतिरिक्त सेकंड लेना एक खतरनाक हमले को रोकने के लिए सार्थक है।

संक्षेप में:
THRD एक ऐसी सुरक्षा प्रणाली है जो यह समझती है कि अपराधी केवल दरवाजे पर खड़ा एक बुरा आदमी नहीं है, बल्कि एक टीम है जो समय के साथ धीरे-धीरे एक मामला बना रही है। केवल वर्तमान वाक्य को नहीं, बल्कि पूरी कहानी को देखकर, यह बुरे लोगों को अंदर आने से पहले ही पकड़ लेता है, बिना गार्डों को फिर से प्रशिक्षित किए या क्लब की गति को बहुत धीमा किए।

तकनीकी सारांश: THRD – एक प्रशिक्षण-मुक्त बहु-चरण रक्षा ढांचा (A Training-Free Multi-Turn Defense Framework)

1. समस्या विवरण

लार्ज लैंग्वेज मॉडल्स (LLMs) बहु-चरण जेलब्रेक हमलों (multi-turn jailbreak attacks) के प्रति संवेदनशील बने हुए हैं, जो सुरक्षा बाधाओं (safety guardrails) को धीरे-धीरे कम करने के लिए संवादात्मक गतिशीलता का लाभ उठाते हैं। एकल-चरण हमलों (single-turn attacks) के विपरीत, जो स्पष्ट, इंजीनियर किए गए प्रॉम्प्ट्स पर निर्भर करते हैं, बहु-चरण हमले (जैसे Crescendo, X-Teaming, Tempest) क्रमिक वृद्धि (gradual escalation), क्रॉस-टर्न समन्वय और हानिकारक अनुपालन की ओर मॉडल को मोड़ने के लिए प्रतीत होने वाले सौम्य मध्यवर्ती उत्तरों का उपयोग करते हैं।

मौजूदा रक्षा तंत्र इस संदर्भ में दो प्राथमिक सीमाओं का सामना करते हैं:

प्रशिक्षण-आधारित विधियाँ (जैसे SFT, RLHF) मॉडल की उपयोगिता को कम किए बिना, बातचीत-संचालित हमले के संयोजी और अनुकूलन योग्य स्थान (combinatorial and adaptive space) को कवर करने में संघर्ष करती हैं।
अनुमान-समय (Inference-time) रक्षा तंत्र अक्सर एकल-चरण विश्लेषण पर निर्भर करते हैं, जो प्रत्येक इनपुट का अलग से मूल्यांकन करते हैं। यह इस बात को पकड़ने में विफल रहता है कि बातचीत के इतिहास में जोखिम कैसे संचित होता है, जहाँ व्यक्तिगत टर्न (turns) हानिरहित लग सकते हैं जबकि समग्र संदर्भ मॉडल को हानिकारक परिणामों की ओर ले जाता है।

मुख्य चुनौती यह है कि बहु-चरण इंटरैक्शन में सुरक्षा व्यवहार ट्रैजेक्टरी-निर्भर (trajectory-dependent) है: संवाद इतिहास निरंतर मॉडल के कंडीशनिंग कॉन्टेक्स्ट को नया आकार देता है, जिससे अलग-थलग टर्न-स्तरीय मूल्यांकन अपर्याप्त हो जाता है।

2. कार्यप्रणाली: THRD ढांचा

लेखक THRD का प्रस्ताव करते हैं, जो बहु-चरण जेलब्रेक रक्षा के लिए 'टेम्पोरल रिस्क एक्यूमुलेशन' (temporal risk accumulation) को स्पष्ट रूप से मॉडल करने के लिए डिज़ाइन किया गया पहला प्रशिक्षण-मुक्त ढांचा (training-free framework) है। THRD अनुमान समय (inference time) पर कार्य करता है और सुरक्षा मूल्यांकन को चार एकीकृत मॉड्यूल में विभाजित करता है:

A. टर्न-लेवल रिस्क असेसर (TRA)

कार्य: वर्तमान इनपुट के तात्कालिक जोखिम ( $R_i$ ) का अनुमान लगाना।
तंत्र: यह सिमेंटिक और स्ट्रक्चरल संकेतों दोनों को पकड़ने के लिए एक दो-चरणीय विश्लेषण प्रतिमान (two-stage analysis paradigm) अपनाता है। यह एक ऑर्डिनल स्कोर $R_i \in [1, 5]$ असाइन करता है।
कैलिब्रेशन: सौम्य कीवर्ड्स (जैसे प्रक्रिया के संदर्भ में "kill") से होने वाले फॉल्स पॉजिटिव से बचने के लिए, लेखक प्रॉम्प्ट वेरिएंट्स का अन्वेषण करते हैं जो ध्यान कीवर्ड सामग्री से हटाकर अनुरोध की संरचना पर केंद्रित करते हैं और उच्च जोखिम असाइन करने से पहले ठोस संरचनात्मक साक्ष्य की मांग करते हैं।

B. हिस्टोरिकल कॉन्टेक्स्ट एनालाइजर (HCA)

कार्य: बातचीत को एक कालानुक्रमिक क्रमबद्ध इंटरैक्शन के रूप में विश्लेषण करके संचयी इरादे (cumulative intent) का निष्कर्ष निकालना।
तंत्र: तीन आयामों में बातचीत की संरचना का विश्लेषण करता है:
1. संवादात्मक रूप (Conversational form): रोल-प्ले सेटअप और फ्रेमिंग।
2. विकास पैटर्न (Evolution patterns): विषय की संवेदनशीलता की प्रगति।
3. हमला श्रृंखला पूर्णता (Attack chain completeness): क्या पूर्व टर्न हानिकारक उद्देश्यों की ओर एक प्रगति बनाते हैं।
आउटपुट: एक बाइनरी निर्णय $J_h \in \{SAFE, UNSAFE\}$ जो यह दर्शाता है कि क्या ट्रैजेक्टरी में दुर्भावनापूर्ण इरादा है।

C. रिस्पॉन्स इवैल्यूएटर (RE)

कार्य: यह आकलन करना कि क्या एक जनरेट की गई प्रतिक्रिया (पिछले टर्न से) भविष्य के नुकसान को सुगम बना सकती है, भले ही वह तकनीकी रूप से नीति का पालन करती हो।
प्रेरणा: यह "डिस्क्रिमिनेटर-जेनेरेटर गैप" को संबोधित करता है, जहाँ मॉडल मूल्यांकन के दौरान जनरेशन की तुलना में हानिकारक सामग्री को बेहतर पहचानते हैं।
तंत्र: सामग्री सुरक्षा, सूचना संवेदनशीलता और सीमा अनुपालन का मूल्यांकन करता है। यह अगले टर्न के निर्णय में फीड करने के लिए पोस्ट-हॉक (प्रतिक्रिया जारी होने के बाद) संचालित होता है।
आउटपुट: एक बाइनरी निर्णय $J_r \in \{MAY\_FACILITATE, WILL\_NOT\_FACILITATE\}$ ।

D. निर्णय मॉड्यूल (Decision Module)

कार्य: $R_i$ , $J_h$ , और $J_r$ को एक समय-विकसित जोखिम स्कोर ( $F(i)$ ) में एकीकृत करता है ताकि प्रतिक्रिया रणनीति (Normal, Controlled, या Refuse) निर्धारित की जा सके।
स्कोरिंग फॉर्मूला:
$F(i) = R_i + \Lambda(R_i) \cdot \Omega(\hat{J}^{(i-1)}_h, \hat{J}^{(i-1)}_r)$
- $\Lambda(R_i)$ : एक एटेनुएशन फंक्शन जो वर्तमान गंभीरता के आधार पर ऐतिहासिक सिग्नल के प्रभाव को नियंत्रित करता है।
- $\Omega$ : ऐतिहासिक और रिस्पॉन्स-स्तरीय जोखिमों को संयोजित करने वाला एक कंपोजिट फंक्शन (L2 Norm का उपयोग करके)।
- ट्रेंड एडजस्टमेंट: यदि जोखिम स्कोर लगातार टर्नों में मोनोटोनिक रूप से बढ़ता है, तो एक दंड (penalty) जोड़ता है।
परसिस्टेंट रिजेक्शन (Persistent Rejection): एक बार उच्च-जोखिम वाला रिफ्यूजल ट्रिगर होने के बाद, सभी आगामी टर्न बिना शर्त अस्वीकार कर दिए जाते हैं। यह हमलावरों को बचाव वाले फॉलो-अप के माध्यम से रिकवर करने से रोकता है, जिससे इंटरैक्शन निरंतरता के बजाय सुरक्षा को प्राथमिकता मिलती है।

3. मुख्य योगदान

टेम्पोरल रिस्क मॉडलिंग: THRD पहला प्रशिक्षण-मुक्त ढांचा है जो स्पष्ट रूप से यह मॉडल करता है कि बातचीत के टर्नों में जोखिम कैसे संचित होता है, जो एकल-टर्न विश्लेषण से आगे बढ़ता है।
मॉड्यूलर आर्किटेक्चर: यह एक एकीकृत अनुमान-समय ढांचे को पेश करता है जो तात्कालिक जोखिम (TRA), संचयी इरादे (HCA), और सुसाध्य आउटपुट डिटेक्शन (RE) को जोड़ता है।
प्रशिक्षण-मुक्त दक्षता: इस ढांचे के लिए मॉडल को पुन: प्रशिक्षित करने की आवश्यकता नहीं है, बल्कि यह प्रॉम्प्ट-आधारित सिमेंटिक निर्णयों और हल्के स्कोर एकत्रीकरण पर निर्भर करता है।
अनुभवजन्य सत्यापन (Empirical Validation): व्यापक प्रयोग प्रदर्शित करते हैं कि THRD मॉडल की उपयोगिता को बनाए रखते हुए अत्याधुनिक बहु-चरण हमलों के खिलाफ प्रभावी ढंग से रक्षा करता है।

4. प्रयोगात्मक परिणाम

ढांचे का मूल्यांकन Qwen2.5-7B और Llama-3-8B पर X-Teaming (बहु-एजेंट सहयोगी) और Tempest (ट्री-सर्च-आधारित) हमलों के विरुद्ध किया गया।

अटैक सक्सेस रेट (ASR): THRD ने दोनों मॉडलों और हमलों के प्रकारों में ASR को 0.2–4.0% तक कम कर दिया।
- तुलना: बेसलाइन सिंगल-टर्न डिफेंस (PROACT, SAGE) X-Teaming के खिलाफ काफी विफल रहे (PROACT के लिए ASR > 47%, Qwen पर SAGE के लिए >86%) या गंभीर उपयोगिता हानि हुई।
मॉडल उपयोगिता (Model Utility): THRD ने MMLU और GSM8K बेंचमार्क पर 1.5% गिरावट के भीतर उपयोगिता को सुरक्षित रखा, जो SAGE से बेहतर है जिसमें >11% की गिरावट देखी गई।
ओवर-रिफ्यूजल (Over-Refusal): THRD ने स्वीकार्य ओवर-रिफ्यूजल दर (Qwen पर 12.4%, Llama पर 18.8%) बनाए रखी, जो SAGE (99.6% तक) से काफी बेहतर है।
सिंगल-टर्न मजबूती: THRD ने सिंगल-टर्न हमले AutoDAN के विरुद्ध 0% ASR प्राप्त किया, जो पुष्टि करता है कि बहु-टर्न तंत्र सिंगल-टर्न रक्षा से समझौता नहीं करते हैं।
एब्लेशन अध्ययन (Ablation Studies):
- TRA या HCA को हटाने से सबसे अधिक प्रदर्शन गिरावट (~24% ASR वृद्धि) हुई, जो पुष्टि करता है कि वर्तमान-टर्न और क्रॉस-टर्न विश्लेषण गैर-अनावश्यक (non-redundant) हैं।
- Persistent Rejection को हटाने से ASR 1.59% से बढ़कर 5.15% हो गया, जो रिकवरी प्रयासों को रोकने की आवश्यकता को प्रमाणित करता है।
- हिस्ट्री ऑर्डर सेंसिटिविटी: बातचीत के इतिहास को शफल करने से ASR बढ़ गया, जो पुष्टि करता है कि एस्केलेशन पैटर्न का पता लगाने के लिए टेम्पोरल ऑर्डरिंग महत्वपूर्ण है।

5. महत्व और दावे

यह पेपर दावा करता है कि THRD LLM सुरक्षा में एक महत्वपूर्ण अंतर को संबोधित करता है: मौजूदा रक्षा प्रणालियों की वह अक्षमता जो उन हमलों का पता लगाने में विफल रहती है जो स्पष्ट एकल-टर्न उल्लंघन के बजाय क्रमिक, क्रॉस-टर्न संचय पर निर्भर करते हैं।

बहु-चरण विश्लेषण की आवश्यकता: पहले रिजेक्शन ट्रिगर्स के विश्लेषण से पता चलता है कि 70% से अधिक बहु-चरण हमलों को डिटेक्ट करने के लिए टर्न 2 या उसके बाद की आवश्यकता होती, क्योंकि हमलावर जानबूझकर टर्न 1 को सौम्य दिखने के लिए डिज़ाइन करते हैं। यह स्पष्ट टेम्पोरल एग्रीगेशन की आवश्यकता को प्रमाणित करता है।
ट्रेड-ऑफ समाधान: THRD प्रदर्शित करता है कि भारी प्रशिक्षण लागत या अन्य अनुमान-समय विधियों में देखी जाने वाली गंभीर उपयोगिता गिरावट के बिना, अनुकूलित बहु-चरण हमलों के खिलाफ मजबूत रक्षा प्रदर्शन प्राप्त करना संभव है।
सीमाएँ: लेखक स्वीकार करते हैं कि HCA मुख्य कम्प्यूटेशनल बॉटलनेक है (लगity 63–77% लेटेंसी का हिस्सा), और ढांचा मूल्यांकन मॉडल की रीजनिंग क्षमताओं पर निर्भर करता है। वे नोट करते हैं कि भविष्य के हमले जो विशेष रूप से THRD के प्रॉम्प्टिंग पैटर्न के विरुद्ध अनुकूलित हैं या जो बहुत लंबे ट्रैजेक्टरी पर इरादे को वितरित करते हैं, चुनौतियां पेश कर सकते हैं।

निष्कर्षतः, THRD सुरक्षा को एक स्थिर इनपुट फिल्टर के बजाय एक ट्रैजेक्टरी-निर्भर संपत्ति के रूप में मानकर, बहु-चरण जेलब्रेक के बढ़ते खतरे के खिलाफ LLMs को सुरक्षित करने के लिए एक मजबूत, प्रशिक्षण-मुक्त दृष्टिकोण प्रदान करता है।