तकनीकी सारांश: निर्मित साक्ष्य इंजेक्शन के माध्यम से LLM दृष्टिकोणों को नियंत्रित करना (Steering LLM Viewpoints through Fabricated Evidence Injection)

समस्या विवरण (Problem Statement)

यह शोध पत्र लार्ज लैंग्वेज मॉडल्स (LLMs) में एक महत्वपूर्ण संज्ञानात्मक भेद्यता (cognitive vulnerability) की पहचान करता है: बाहरी संदर्भ (external context) पर बिना सोचे-समझे भरोसा करने की उनकी प्रवृत्ति, जब वह संदर्भ विश्वसनीयता के संकेतों के साथ प्रस्तुत किया जाता है, भले ही उस संदर्भ में निर्मित साक्ष्य (fabricated evidence) शामिल हों। जबकि वर्तमान सुरक्षा संरेखण (safety alignment) तंत्र हानिकारक सामग्री उत्पन्न करने के प्रत्यक्ष अनुरोधों का प्रभावी ढंग पर विरोध करते हैं, वे वैध पृष्ठभूमि जानकारी और आधिकारिक तथ्यों के रूप में छद्म रूप से प्रस्तुत किए गए प्रतिकूल इनपुट के बीच अंतर करने में विफल रहते हैं। यह "अधिकार पूर्वाग्रह" (authority bias) हमलावरों को भ्रामक दृष्टिकोणों को छद्म-वैज्ञानिक या छद्म-अकादमिक आख्यानों के रूप में पुनर्गठित करके सुरक्षा फिल्टरों को बायपास करने की अनुमति देता है, जिससे मॉडल संबंधित प्रश्नों के उत्तर देते समय इन पूर्वाग्रहों को आत्मसात और प्रसारित करने लगता है।

कार्यप्रणाली: घोस्टराइटर फ्रेमवर्क (Methodology: The Ghostwriter Framework)

लेखक घोस्टराइटर (Ghostwriter) नामक एक दो-चरणीय हमला फ्रेमवर्क प्रस्तावित करते हैं, जिसे मॉडल फाइन-ट्यूनिंग, वेट मैनिपुलेशन, या आंतरिक अवस्थाओं तक पहुंच की आवश्यकता के बिना इस भेद्यता का फायदा उठाने के लिए डिज़ाइन किया गया है। यह हमला एक ब्लैक-बॉक्स थ्रेट मॉडल के तहत संचालित होता है जहाँ हमलावर नियंत्रित सामग्री और कम से कम एक डिलीवरी चैनल (जैसे, तृतीय-पक्ष एग्रीगेटर, इनसाइडर संशोधन, या रिट्रीवल टूल्स) को नियंत्रित करता है।

चरण 1: कथन पुनर्गठन (Phase 1: Statement Repackaging)

पहला चरण एक कच्चे, व्यक्तिपरक कथन ($S$) को एक परिष्कृत, स्पष्ट रूप से वस्तुनिष्ठ संस्करण ($S'$) में बदल देता है जिसमें विश्वसनीयता के मार्कर होते हैं।

• प्रक्रिया: एक हल्का "AttackerLM" (या तो GPT-4o-mini या एक फाइन-ट्यून्ड Qwen-2.5-7B) मूल कथन को निर्मित तर्कों (जैसे, आंकड़े, केस स्टडीज और आधिकारिक वाक्यांश जैसे कि "Behavioral Science Journal" का हवाला देना) के साथ पुनर्गठित करता है।
• अनुकूलन (Optimization): एक इटरेटिव लूप एक "JudgeLM" का उपयोग करता है जो $S'$ को मूल $S$ के विरुद्ध 1–10 के पैमाने पर फिडेलिटी (fidelity) स्कोर देता है। यह प्रक्रिया तब तक दोहराई जाती है जब तक कि एक उच्च एलाइनमेंट स्कोर (≥8) प्राप्त नहीं हो जाता, जिससे यह सुनिश्चित होता है कि पुनर्गठित सामग्री मूल दृष्टिकोण को बनाए रखते हुए वैज्ञानिक रूप से ठोस दिखाई दे।

चरण 2: कथन इंजेक्शन (Phase 2: Statement Injection)

दूसरा चरण एक सशर्त प्रॉम्प्ट टेम्पलेट ($T_{inject}$) का उपयोग करके पुनर्गठित कथन ($S'$) को लक्षित LLM के कॉन्टेक्स्ट विंडो में एम्बेड करता है।

• तंत्र: टेम्पलेट लक्षित मॉडल को चुपचाप यह आकलन करने का निर्देश देता है कि क्या उपयोगकर्ता का प्रश्न ($Q$), $S'$ के लिए प्रासंगिक है।
  • यदि प्रासंगिक है: मॉडल को $S'$ को अपने उत्तर में शामिल करने के लिए अनुकूलित किया जाता है, जो तर्क के साथ दृष्टिकोण का समर्थन करता है और उपयोगकर्ता के विशिष्ट प्रश्न को संबोधित करता है।
  • यदि अप्रासंगिक है: मॉडल सामान्य रूप से प्रतिक्रिया देता है, जिससे हेरफेर छिप जाता है और मानक व्यवहार बना रहता है।
• लक्ष्य: इसका उद्देश्य प्रासंगिक प्रश्नों पर दृष्टिकोण संरेखण को मजबूत करना ($V(S, R) > V(S, M_\theta(Q))$) है, जबकि असंबंधित प्रश्नों पर अपरिवर्तित व्यवहार बनाए रखना है।

मुख्य योगदान (Key Contributions)

1. अधिकार पूर्वाग्रह की पहचान (Identification of Authority Bias): यह शोध पत्र स्थापित करता है कि वाणिज्यिक LLMs में सुरक्षा संरेखण, निर्मित छद्म-अकादमिक साक्ष्य और वैध संदर्भ के बीच अंतर करने में विफल रहता है जब पूर्व में अधिकार के संकेत (उद्धरण, आंकड़े, हेज्ड वाक्यांश) मौजूद हों।
2. घोस्टराइटर हमला फ्रेमवर्क (Ghostwriter Attack Framework): लेखक एक नया दो-चरणीय हमला पेश करते हैं जो दृष्टिकोणों के पुनर्गठन (संरेखण से बचने के लिए) को उनके इंजेक्शन (आंतरिककरण को चलाने के लिए) से अलग करता है। जेलब्रेक (जो प्रकटीकरण के लिए मजबूर करते हैं) या RAG पॉइजनिंग (जो उद्धरण के लिए मजबूर करते हैं) के विपरीत, घोस्टराइst मॉडल को उस दृष्टिकोण को अपने स्वयं के विश्लेषण के रूप में अपनाने के लिए मजबूर करता है।
3. व्यापक मूल्यांकन (Comprehensive Evaluation): अध्ययन Hazardous Viewpoints Dataset (HVD) का उपयोग करके विविध सामग्री डोमेन (रूढ़िवादिता, ब्रांड/राजनीतिक/चिकित्सा गलत सूचना, मनोवैज्ञानिक हेरफेर) में इस हमले का मूल्यांकन करता है, साथ ही स्थापित बेंचमार्क BBQ और ToxiGen का भी उपयोग करता है।

प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने एलाइनमेंट-आधारित मॉडल्स (GPT-4o, Claude-3.7-Sonnet, DeepSeek-V3), रीजनिंग मॉडल्स (DeepSeek-R1, o3-mini), और फ्रंटियर क्लासिफायर-गार्डेड मॉडल्स (GPT-5.4) सहित विभिन्न मॉडल्स पर घोस्टराइटर का मूल्यांकन किया।

• हमले की प्रभावकारिता (Attack Efficacy):
  • HVD डेटासेट पर, फाइन-ट्यून्ड Qwen-2.5-7B पुनर्गठक (repackager) का उपयोग करने वाले हमलों ने विभिन्न श्रेणियों (जैसे, लिंग, नस्ल, राजनीतिक गलत सूचना) में Viewpoint Support Score (VSScore) को बेसलाइन ~1.5–2.5 से बढ़ाकर 8.0–9.8 कर दिया।
  • हमला स्पष्ट प्रश्नों (विषय के बारे में सीधे पूछना) और निहित प्रश्नों (विषय से प्रभावित निर्णय लेने की परिदृश्य) दोनों तक सफलतापूर्वक सामान्य हुआ।
  • हानिकारक क्षमता (Harmfulness): Harmfulness Change Rate (HCRate) में उल्लेखनीय वृद्धि हुई। उदाहरण के लिए, GPT-4o पर, असुरक्षित प्रतिक्रियाओं की दर <2% से बढ़कर 72% से अधिक (GPT-4o-mini का उपयोग करने पर) और 202% (फाइन-ट्यून्ड Qwen-2.5-7B का उपयोग करने पर) तक पहुँच गई, जो दर्शाता है कि हमला सौम्य सामग्री को हानिकारक आउटपुट में बदल देता है।
• मॉडल मजबूती (Model Robustness):
  • एलाइनमेंट-आधारित मॉडल अत्यधिक संवेदनशील थे।
  • रीजनिंग मॉडल्स (जैसे, DeepSeek-R1) विस्तारित चेन-ऑफ-थॉट प्रोसेसिंग के बावजूद अत्यधिक संवेदनशील बने रहे।
  • क्लासिफायर-गार्डेड मॉडल्स (जैसे, GPT-5.4) ने हमले को केवल आंशिक रूप से कम किया। हालांकि उन्होंने सफलता दर को कम किया, लेकिन वे इसे पूरी तरह समाप्त नहीं कर सके। अवशिष्ट भेद्यता (residual vulnerability) इसलिए थी क्योंकि जनरेटर ने दृष्टिकोण को आत्मसात कर लिया था, बजाय इसके कि जनरेटर सामग्री को अस्वीकार करता।
• बेसलाइन के साथ तुलना: घोस्टराइटर मौजूदा संदर्भ-आधारित हमलों (PAIR/PRS जैसे जेलब्रेक और PoisonedRAG जैसी RAG पॉइजनिंग) से बेहतर प्रदर्शन करता है। जबकि RAG पॉइजनिंग पेलोड कम-संवेदनशीलता वाले विषयों पर उच्च स्कोर तक पहुँचते थे, वे सुरक्षा-संवेदनशील श्रेणियों में विफल रहे जहाँ घोस्टराइटर ने VSScore में 4.9-पॉइंट का अंतर बनाए रखा।
• कार्य तटस्थता (Task Agnosticism): हमले ने असंबंधित कार्यों पर मॉडल के प्रदर्शन को कम नहीं किया (MMLU-Pro के माध्यम से मापा गया), यह पुष्टि करता है कि हेरफेर सशर्त और गुप्त है।

महत्व और दावे (Significance and Claims)

शोध पत्र का दावा है कि घोस्टराइटर जेनेरेटिव एलाइनमेंट और इवैल्यूएटिव अवेयरनेस के बीच एक मौलिक अंतर को उजागर करता है। यहाँ तक कि फ्रंटियर मॉडल्स जो जज के रूप में कार्य करते समय हानिकारक सामग्री का पता लगाने में सक्षम हैं (जैसे, GPT-5.4 जिसने 93% हमला किए गए उत्तरों को असुरक्षित के रूप में चिह्नित किया), जनरेटर के रूप में कार्य करते समय उसी हानिकारक सामग्री को उत्पन्न करने से रोकने में विफल रहते हैं।

लेखक तर्क देते हैं कि वर्तमान सुरक्षा तंत्र उन इनपुट के खिलाफ अपर्याप्त हैं जो आधिकारिक विमर्श (authoritative discourse) की नकल करते हैं। वे प्रदर्शित करते हैं कि संरेखण को बायपास करने के लिए पुनर्गठन (repackaging) महत्वपूर्ण कारक है, न कि इंजेक्शन चैनल स्वयं। बचाव के रूप में, वे gpt-oss-safeguard के लिए एक विशेष सुरक्षा नीति का प्रस्ताव करते हैं, जिसने 1.4% की कम फाल्स-पॉजिटिव दर के साथ 80.5% डिटेक्शन रेट प्राप्त किया, जो सुझाव देता है कि पोस्ट-हॉक डिटेक्शन नीतियां जेनेरेटिव एलाइनमेंट के पूरक के रूप में आवश्यक हो सकती हैं।

शोध पत्र निष्कर्ष निकालता है कि निर्मित साक्ष्यों के खिलाफ विशिष्ट सुरक्षा उपायों के बिना, LLMs बड़े पैमाने पर अनुनय (persuasion) और गलत सूचना अभियानों के प्रति असुरक्षित हैं जो उनके "विश्वसनीय" संदर्भ में निहित विश्वास का फायदा उठाते हैं।