Inference Cost Attacks for Retrieval-Augmented Large Language Models
यह शोध पत्र रिट्रीवल-ऑगमेंटेड इन्फरेंस कॉस्ट अटैक (RA-ICA) का परिचय देता है, जो एक नवीन ढांचा है जो एलएलएम (LLM) एजेंटों और मेमोरी-ऑगमेंटेड ग्रुप रिलेटिव पॉलिसी ऑप्टिमाइज़ेशन एल्गोरिदम का उपयोग करके बाहरी ज्ञान भंडारों को ऐसे दुर्भावनापूर्ण दस्तावेजों से विषाक्त करता है जो उत्तर की अखंडता को बनाए रखते हुए आरएजी (RAG)-संवर्धित एलएलएम प्रणालियों में टोकन खपत को महत्वपूर्ण रूप से बढ़ा देते हैं।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि "RAG-LLM" नामक एक हाई-एंड रेस्टोरेंट है। यह रेस्टोरेंट इसलिए प्रसिद्ध है क्योंकि यह केवल शेफ की याददाश्त पर निर्भर नहीं करता; इसके पास शोधकर्ताओं (researchers) की एक टीम है जो ताज़ा तथ्यों को खोजने के लिए तुरंत एक विशाल पुस्तकालय (इंटरनेट) की ओर दौड़ पड़ती है ताकि आपका भोजन पकाने से पहले वे सही जानकारी जुटा सकें। यह भोजन (उत्तरों) को बहुत सटीक बनाता है।
हालाँकि, इस लाइब्रेरी रिसर्च सर्विस को चलाना महंगा है। रेस्टोरेंट के मालिक शोधकर्ताओं के समय और कंप्यूटर चलाने के लिए बिजली के खर्च के रूपने मिनटों के हिसाब से भुगतान करते हैं।
समस्या: एक नए प्रकार का "बिल शॉक" (Bill Shock)
यह पेपर तर्क देता है कि जबकि यह प्रणाली बहुत अच्छी है, इसमें एक छिपा हुआ दोष है। आमतौर पर, लोग सोचते हैं कि हैकर्स सीधे शेफ को बेवकूफ बनाने की कोशिश कर सकते हैं, जैसे कि किचन की खिड़की से अजीब निर्देश चिल्लाकर (उपयोगकर्ता के प्रश्न को बदलकर)। लेकिन लेखक कहते हैं कि एक स्मार्ट और चालाकी भरा तरीका है: पुस्तकालय को ही ज़हरीला बनाना (Poison the library itself)।
वे इस नए खतरे को RA-ICA (Retrieval-Augmented Inference Cost Attack) कहते हैं।
इसे इस तरह समझें: हमलावर शेफ पर चिल्लाने के बजाय, चुपके से लाइब्रेरी में घुस जाता है और अलमारियों पर कुछ नकली, भ्रमित करने वाली और अत्यधिक जटिल किताबें रख देता है। जब कोई ग्राहक एक साधारण सवाल पूछता है जैसे, "वसंत की देवी कौन है?", तो शोधकर्ता न केवल सही किताब ढूंढते हैं, बल्कि वे गलती से उस नकली किताब को भी उठा लेते हैं।
क्योंकि वह नकली किताब बहुत पेचीदा तरीके से लिखी गई है, इसलिए शेफ को उसे पढ़ना पड़ता है, बार-बार पढ़ना पड़ता है, उस पर बहस करनी पड़ती है, और उसके अंदर छिपी पहेली को सुलझाना पड़ता है ताकि वह साधारण उत्तर तक पहुँच सके। शेफ खाना पकाने में सामान्य से 13 गुना अधिक समय खर्च कर देता है। ग्राहक को सही उत्तर तो मिलता है, लेकिन रेस्टोरेंट के मालिक को उस अतिरिक्त समय के लिए एक भारी और अप्रत्याशित बिल चुकाना पड़ता है।
यह हमला कैसे काम करता है (CREEP फ्रेमवर्क)
लेखकों ने इस कार्य को स्वचालित करने के लिए CREEP (Computational Resource Exhaustion via External Poisoning) नामक एक टूल बनाया है। कल्पना करें कि CREEP एक "विलेन रोबोट" है जो ये नकली लाइब्रेरी बुक्स लिखता है।
यह रोबोट इन नकली किताबें लिखने के दो मुख्य तरीकों का उपयोग करता है:
- द रीराइट आर्टिस्ट (The Rewrite Artist): यह एक सामान्य, उबाऊ किताब लेता है और उसमें एक भ्रमित करने वाली पहेली या विरोधाभास जोड़ने के लिए उसे एडिट करता है।
- द क्रिएटिव राइटर (The Creative Writer): यह बिल्कुल शुरुआत से एक नई किताब लिखता है जो सामान्य दिखती है लेकिन गुप्त रूप से शेफ को अधिक मेहनत करने के लिए डिज़ाइन की गई होती है।
रोबोट शेफ को अधिक मेहनत कराने के लिए तीन विशिष्ट तरकीबों का उपयोग करता है:
- द डेकॉय (The Decoy): यह टेक्स्ट के अंदर एक नकली, कठिन गणितीय समस्या या लॉजिक पहेली जोड़ देता है। शेफ उपयोगकर्ता के प्रश्न का उत्तर देने से पहले उसे हल करने के लिए मजबूर महसूस करता है।
- द कॉन्ट्राडिक्शन (The Contradiction): यह एक ऐसा वाक्य लिखता है जो सच्चाई के विपरीत हो (जैसे, "वसंत वास्तव में शीत ऋतु है")। शेफ को यह तय करने के लिए कि कौन सा तथ्य वास्तविक है, रुकना पड़ता है, सोचना पड़ता है और अतिरिक्त तर्क करना पड़ता है।
- द टास्क ट्रैप (The Task Trap): यह शेफ को एक अस्पष्ट, खुले अंत वाला निर्देश देता है जो उसे सुरक्षित रहने के लिए एक लंबा और भ्रामक स्पष्टीकरण लिखने के लिए मजबूर करता है।
सीक्रेट सॉस: पिछली जीत से सीखना (MA-GRDO)
एक ऐसी नकली किताब लिखना जो पहचानने में कठिन हो और प्रोसेस करने में भी मुश्किल हो, वास्तव में बहुत कठिन है। यदि किताब बहुत अजीब है, तो शोधकर्ता उसे लाइब्रेरी से नहीं उठाएंगे। यदि वह बहुत सरल है, तो शेफ उस पर अतिरिक्त समय खर्च नहीं करेगा।
इस समस्या को हल करने के लिए, लेखकों ने अपने "विलेन रोबोट" को MA-GRDO नामक एक विशेष लर्निंग मेथड का उपयोग करके प्रशिक्षित किया है।
इसे एक वीडियो गेम के रूप में सोचें जहाँ रोबोट एक आदर्श जाल लिखने की कोशिश करता है।
- द मेमोरी बैंक (The Memory Bank): रोबोट अपने द्वारा लिखे गए अब तक के सबसे अच्छे जालों का एक "हॉल ऑफ फेम" रखता है।
- द कंपैरिजन (The Comparison): हर बार जब रोबोट एक नया जाल आज़माता है, तो वह इसकी तुलना "हॉल ऑफ फेम" के विजेताओं से करता है।
- द रिवॉर्ड (The Reward): यदि नया जाल अंतिम उत्तर बदले बिना शेफ को अधिक समय तक व्यस्त रखता है, तो रोबोट को "हाई स्कोर" मिलता है और वह इसे फिर से करना सीखता है। यदि वह विफल होता है, तो वह सीखता है कि क्या नहीं करना है।
यह "मेमोरी बैंक" रोबोट को ऐसे जाल लिखने में बेहतर और तेज़ बनाता है जो आँखों के लिए अदृश्य हैं लेकिन कंप्यूटर के लिए थकाऊ हैं।
परिणाम
लेखकों ने तीन अलग-अलग वास्तविक दुनिया के प्रश्न-और-उत्तर डेटासेट्स पर इसका परीक्षण किया। उन्होंने पाया कि:
- वे कंप्यूटर को सामान्य से 13 गुना अधिक समय तक काम करा सकते हैं।
- यह हमला 90% से अधिक समय तक सफल रहा।
- महत्वपूर्ण बात यह है कि उपयोगकर्ता को दिया गया अंतिम उत्तर अभी भी सही था। रेस्टोरेंट का मालिक बिल भरता है, लेकिन ग्राहक को अपना खाना समय पर मिल जाता है (बस पर्दे के पीछे लागत बहुत अधिक होती है)।
सारांश
संक्षेप में, यह पेपर दिखाता है कि हमें केवल इस बात की चिंता करने की ज़रूरत नहीं है कि हैकर्स हमारे द्वारा पूछे गए सवालों को बदल रहे हैं। हमें उन सूचना स्रोतों की भी चिंता करने की ज़रूरत है जिन पर हम भरोसा करते हैं। सार्वजनिक ज्ञान के आधार में "चिपचिपे और भ्रमित करने वाले" दस्तावेज़ों को डालकर, एक हमलावर इन स्मार्ट AI सिस्टम को भारी मात्रा में कंप्यूटिंग पावर और पैसा जलाने के लिए मजबूर कर सकता है, जबकि वे उपयोगकर्ता को सही उत्तर भी दे रहे होते हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।