D-Judge: Disrupting Multi-Turn Jailbreaks using Semantics-Preserving Output Rewriting
यह शोध पत्र D-Judge को प्रस्तुत करता है, जो एक ऐसा रक्षा तंत्र है जो LLM की प्रतिक्रियाओं को उनके मूल अर्थ को सुरक्षित रखते हुए और हमलावर-नियंत्रित जज मॉडलों से मिलने वाले फीडबैक संकेतों को जानबूझकर गलत दिशा में मोड़कर मल्टी-टर्न जेलब्रेक हमलों को बाधित करता है, जिससे प्रॉम्प्ट रिफाइनमेंट की पुनरावृत्ति प्रक्रिया पटरी से उतर जाती है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
यहाँ "D-Judge: Disrupting Multi-Turn Jailbreaks using Semantics-Preserving Output Rewriting" पेपर का सरल भाषा और रचनात्मक उपमाओं (analogies) का उपयोग करते हुए स्पष्टीकरण दिया गया है।
समस्या: "फीडबैक लूप" का जाल
कल्पना कीजिए कि आप एक बहुत ही सख्त रोबोट (Victim LLM) को कुछ ऐसा करने के लिए सिखाने की कोशिश कर रहे हैं जो उसे नहीं करना चाहिए, जैसे कि बम बनाने का गाइड लिखना।
पुराने दिनों में, हैकर्स बस रोबोट पर एक ज़ोरदार और स्पष्ट कमांड चिल्ला देते थे। अगर रोबोट ने "नहीं" कहा, तो हैकर हार मान लेता था।
लेकिन अब, हैकर्स ने एक स्मार्ट तरीका खोज लिया है जिसे Multi-Turn Jailbreak कहा जाता है। एक ज़ोरदार चिल्लाहट के बजाय, इसमें एक लंबी, धीमी बातचीत होती है।
- वे रोबोट से एक हानिरहित सवाल पूछते हैं।
- रोबोट जवाब देता है।
- हैकर के पास एक Judge (एक अन्य AI) होता है जो रोबोट के जवाब को सुनता है और कहता है, "यह करीब था, लेकिन अगली बार आपको थोड़ा और विशिष्ट होने की आवश्यकता है।"
- हैकर उस फीडबैक का उपयोग अपने अगले सवाल को बदलने के लिए करता है।
- वे इस लूप को बार-बार दोहराते हैं, धीरे-धीरे रोबोट को वर्जित लक्ष्य की ओर ले जाते हैं।
पेपर का तर्क है कि Judge का फीडबैक वह ईंधन है जो इस इंजन को चालू रखता है। जब तक हैकर को यह सटीक फीडबैक मिलता रहता है कि वे लक्ष्य के कितने करीब हैं, वे अंततः रोबट को धोखा देने में सफल हो सकते हैं।
समाधान: "जादुई अनुवादक" (D-Judge)
लेखक एक नया बचाव तंत्र पेश करते हैं जिसे D-Judge कहा जाता है। रोबोट को ब्लॉक करने या रोबोट के जवाबों को सेंसर करने के बजाय, D-Judge रोबोट और हैकर के बीच एक जादुई अनुवादक (Magic Translator) की तरह काम करता है।
यह इस प्रकार काम करता है:
- सेटअप: रोबोट एक उत्तर देता है।
- अनुवाद: इससे पहले कि हैकर (और उनका Judge) उत्तर देख सके, D-Judge उसे फिर से लिख देता है।
- चाल: यह पुनर्गठन semantics-preserving है। इसका मतलब है कि उत्तर का अर्थ बिल्कुल वही रहता है। यदि रोबोट ने कहा, "मैं आपको यह नहीं बता सकता," तो पुनर्गृहीत संस्करण कह सकता है, "यह जानकारी साझा करना मेरे नियमों के विरुद्ध है।" अर्थ समान है, लेकिन शब्द अलग हैं।
- भ्रम: हैकर का Judge पुनर्गृहीत संस्करण को पढ़ता है। क्योंकि शब्द थोड़े अलग हैं, Judge भ्रमित हो जाता है। उसे लग सकता है कि उत्तर वास्तव में जितना है उससे अधिक खतरनाक है, या कम खतरनाक है।
- परिणाम: Judge हैकर को गलत फीडबैक देता है। हैकर सोचता है, "ओह, मैं करीब पहुँच रहा हूँ!" जबकि वे वास्तव में नहीं पहुँच रहे हैं, या "मैं असफल हो रहा हूँ!" जबकि वे वास्तव में सफल हो रहे हैं।
चूंकि हैकर अपने अगले सवाल को गलत डेटा के आधार पर अनुकूलित (optimize) कर रहा है, इसलिए वह रास्ता भटक जाता है। वह प्रगति करना बंद कर देता है, और हमला विफल हो जाता है।
उन्होंने जादुई अनुवादक को कैसे प्रशिक्षित किया
D-Judge को यह सिखाने के लिए कि इसे कैसे करना है, शोधकर्ताओं ने केवल इसे "Judge को भ्रमित करने" के लिए नहीं कहा। उन्होंने एक विशेष प्रशिक्षण जिम बनाया:
- डेटासेट: उन्होंने हजारों रोबोट के उत्तर लिए और उनके "जुड़वां" संस्करण बनाए। एक जुड़वां को Judge के लिए थोड़ा अधिक खतरनाक दिखने के लिए पुनर्गठित किया गया था, और दूसरा जुड़वां थोड़ा कम खतरनाक दिखने के लिए, भले ही दोनों जुड़वाओं का अर्थ बिल्कुल समान था।
- प्रशिक्षण (दो चरण):
- चरण 1 (नियम सीखना): उन्होंने अनुवादक को अर्थ बदले बिना इन जुड़वाओं को बनाने के लिए सिखाया (एक सख्त संपादक की तरह)।
- चरण 2 (चाल सीखना): उन्होंने एक तकनीक का उपयोग किया जिसे Direct Preference Optimization (DPO) कहा जाता है। उन्होंने अनुवादक को दिखाया: "जब आप इन जुड़वाओं के जोड़े को देखते हैं, तो हमेशा उस संस्करण को चुनें जो Judge को अधिक घबराहट (या भ्रम) में डाल दे।"
इसने अनुवादक को "शब्दों के साथ हेरफेर करने" का मास्टर बना दिया—अर्थ बदले बिना वाक्य के 'फ्लेवर' को इतना बदलना कि Judge के स्कोर को प्रभावित किया जा सके।
परिणाम: लूप को तोड़ना
शोधकर्ताओं ने सबसे स्मार्ट हैकर्स (Crescendo, X-Teaming, और Foot-in-the-Door जैसी विधियों का उपयोग करके) के खिलाफ D-Judge का परीक्षण किया।
- D-Judge के बिना: हैकर्स बहुत सफल रहे, औसतन लगभग 58% बार रोबोट को धोखा देने में सफल रहे।
- D-Judge के साथ: सफलता दर गिरकर केवल 8.6% रह गई।
पेपर दिखाता है कि D-Judge उन पिछले बचाव तंत्रों से कहीं बेहतर है जो केवल "बुरे शब्दों" को ब्लॉक करने की कोशिश करते थे। फीडबैक लूप के साथ छेड़छाड़ करके, D-Judge हमले को शुरू होने से पहले ही रोक देता है।
क्या यह रोबोट को तोड़ देता है? ("सेफ्टी टैक्स")
इन सुरक्षा उपायों के साथ एक बड़ी चिंता यह होती है कि क्या वे रोबोट को मूर्ख या अनुपयोगी बना देंगे। पेपर ने सामान्य कार्यों (जैसे कोड लिखना, गणित करना या इतिहास के प्रश्नों के उत्तर देना) पर परीक्षण करके इसकी जांच की।
- फैसला: रोबोट पहले की तरह ही स्मार्ट और मददगार बना रहा। "सेफ्टी टैक्स" (प्रदर्शन में कमी) बहुत कम था। जादुई अनुवादक Judge को भ्रमित करने में अच्छा है, लेकिन यह नियमित उपयोगकर्ताओं की मदद करने की रोबोट की क्षमता को नहीं तोड़ता है।
सारांश उपमा
Hot and Cold के खेल की कल्पना करें।
- हमलावर (Attacker) की आँखों पर पट्टी बंधी है, जो छिपे हुए खजाने (हानिकारक सामग्री) को खोजने की कोशिश कर रहा है।
- Judge वह व्यक्ति है जो उन्हें मार्गदर्शन देने के लिए "गरम" (Warmer) या "ठंडा" (Colder) फुसफुसाता है।
- पीड़ित (Victim) वह व्यक्ति है जिसके पास खजाना है।
एक सामान्य हमले में, Judge सच बोलता है, और हमलावर खजाना ढूंढ लेता है।
D-Judge एक शरारती व्यक्ति (Prankster) है जो Judge और हमलावर के बीच खड़ा है। हर बार जब Judge "गरम" फुसफुसाता है, तो शरारती व्यक्ति उसे "ठंडा" (या इसके विपरीत) में बदल देता है, लेकिन वे खजाने को नहीं हिलाते। हमलावर भ्रमित हो जाता है, गलत दिशा में चलता है, और कभी भी खजाना नहीं ढूंढ पाता। इस बीच, खजाना (रोबोट का वास्तविक अर्थ) बिल्कुल नहीं बदला है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।