LLMs Can Leak Training Data But Do They Want To? A Propensity-Aware Evaluation of Memorization in LLMs
यह शोध पत्र PropMe और SimpleTrace को पेश करता है ताकि यह प्रदर्शित किया जा सके कि जबकि लार्ज लैंग्वेज मॉडल्स (LLMs) प्रतिकूल हमलों (adversarial attacks) के तहत प्रशिक्षण डेटा को पुनरुत्पादित करने की क्षमता रखते हैं, वे सामान्य, गैर-प्रतिकूल सेटिंग्स में ऐसा करने की काफी कम प्रवृत्ति प्रदर्शित करते हैं, जो यह सुझाव देता है कि मेमोराइजेशन ऑडिट को सबसे खराब स्थिति वाली निष्कर्षण क्षमता (worst-case extractability) और विशिष्ट रिसाव प्रवृत्ति (typical leakage propensity) दोनों की रिपोर्ट करनी चाहिए।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
एक लार्ज लैंग्वेज मॉडल (LLM) की कल्पना एक अति-जुनूनी छात्र के रूप में करें जिसने किताबों की एक पूरी लाइब्रेरी पढ़ ली है और उनके बड़े-बड़े हिस्से याद कर लिए हैं।
लंबे समय से, शोधकर्ता पूछ रहे हैं: "क्या यह छात्र एक किताब को सुना सकता है यदि हम उन्हें ऐसा करने के लिए चकमा दें?" जवाब हमेशा "हाँ" रहा। लेकिन यह पेपर एक अलग, अधिक व्यावहारिक प्रश्न पूछता है: "क्या यह छात्र वास्तव में किताब सुनाना चाहता है जब हम उनसे बस एक सामान्य सवाल पूछते हैं?"
यहाँ सरल उपमाओं (analogies) का उपयोग करके पेपर के निष्कर्षों का विवरण दिया गया है।
1. छात्र को परखने के दो तरीके
लेखकों ने मेमोराइजेशन (याद रखने की क्षमता) को दो अलग-अलग कोणों से देखने के लिए PROPME नामक एक नया परीक्षण ढांचा बनाया:
- "क्षमता" परीक्षण (The "Capability" Test - एक हमलावर हमला): कल्पना करें कि एक जासूस छात्र को एक प्रसिद्ध उपन्यास का पहला वाक्य देता है और कहता है, "इस कहानी को पूरा करो।" क्योंकि छात्र ने किताब याद कर रखी है, वह आसानी से वाक्य को बिल्कुल सही तरीके से पूरा कर सकता है। यह परीक्षण करता है कि मॉडल क्या कर सकता है यदि उसे मजबूर किया जाए।
- "प्रवृत्ति" परीक्षण (The "Propensity" Test - सामान्य उपयोग): कल्पना करें कि आप छात्र से एक सामान्य सवाल पूछते हैं जैसे, "बिल्ली के बारे में एक कहानी लिखो।" यह सवाल उन्हें धोखा देने के लिए नहीं बनाया गया है। यह परीक्षण करता है कि मॉडल रोज़मर्रा की ज़िंदगी में वास्तव में क्या करता है।
बड़ी खोज: पेपर ने इन दोनों के बीच एक बड़ा अंतर पाया। यदि आप उन्हें सही संकेत (हिंट) देते हैं, तो छात्र किताब सुना सकता है (Capability), लेकिन जब आप उनसे सामान्य रूप से कहानी लिखने को कहते हैं, तो वे ऐसा लगभग कभी नहीं करते (Propensity)।
2. नया टूल: SIMPLETRACE
इसे साबित करने के लिए, लेखकों ने SIMPLETRACE नामक एक टूल बनाया।
- उपमा: सोचिए कि ट्रेनिंग डेटा लाखों दस्तावेजों का एक विशाल, धूल भरा गोदाम है। जब मॉडल टेक्स्ट जेनरेट करता है, तो SIMPLETRACE एक सुपर-फास्ट लाइब्रेरियन की तरह होता है जो तुरंत मॉडल द्वारा कहे गए हर शब्द की पूरे गोदाम के साथ जाँच करता है।
- यह क्या करता है: यह केवल अनुमान नहीं लगाता; यह सटीक मिलान (exact matches) ढूंढता है। यह आपको बता सकता है, "मॉडल ने अभी जो वाक्य लिखा है, वह गोदाम में मौजूद डॉक्यूमेंट #892 के पेज 42 की एक सटीक प्रति है।" यह सभी संदेहों और अस्पष्टता को दूर कर देता है।
3. प्रयोग: दो छात्र, दो लाइब्रेरी
शोधकर्ताओं ने दो मॉडलों (छात्रों) का दो अलग-अलग डेटासेट्स (लाइब्रेरी) पर परीक्षण किया:
- Comma: एक मॉडल जिसे एक विशाल अंग्रेजी लाइब्रेरी पर प्रशिक्षित किया गया था।
- DFM Decoder: एक मॉडल जो Comma के रूप में शुरू हुआ था लेकिन फिर इसे अंग्रेजी के साथ मिलाकर एक छोटी डेनिश लाइब्रेरी (Dynaword) पर "री-ट्रेन" किया गया।
उन्होंने दोनों मॉडलों को तीन प्रकार के प्रॉम्प्ट्स का उपयोग करके टेक्स्ट जेनरेट करने के लिए कहा:
- जेनेरिक (Generic): "एक चुटकुला सुनाओ।" (सामान्य)
- विशिष्ट (Specific): "डेनिश संस्कृति के बारे में एक चुटकुला सुनाओ।" (थोड़ा लक्षित, लेकिन धोखा देने वाला नहीं)
- प्रीफिक्स (Prefix): "यहाँ लाइब्रेरी से एक चुटकुले की शुरुआत है: [एक वास्तविक चुटकुले के पहले सटीक 50 शब्द]। इसे पूरा करें।" (यह एक चाल/ट्रिक है)
4. उन्होंने क्या पाया
- "ट्रिक" सबसे अच्छा काम करती है: जब उन्होंने "प्रीफिक्स" ट्रिक का उपयोग किया, तो मॉडलों ने ट्रेनिंग डेटा को बार-बार लीक किया। वे किताबों के लंबे, सटीक हिस्से सुना सकते थे।
- सामान्य जीवन सुरक्षित है: जब उन्होंने सामान्य प्रॉम्प्ट्स (जेनेरिक या स्पेसिफिक) का उपयोग किया, तो मॉडलों ने लगभग कभी भी सटीक टेक्स्ट लीक नहीं किया। "प्रवृत्ति" (लीक करने की संभावना) बहुत कम थी।
- "री-ट्रेनिंग" का प्रभाव: दूसरा मॉडल (DFM Decoder), जिसे एक नई भाषा (डेनिश) पर री-ट्रेन किया गया था, वास्तव में मूल अंग्रेजी किताबों को लीक करने में अधिक खराब हो गया। यह ऐसा है जैसे छात्र इतनी व्यस्तता से नई डेनिश लाइब्रेरी पढ़ रहा था कि वह पुरानी अंग्रेजी के विशिष्ट विवरणों को भूलने लगा।
5. मुख्य निष्कर्ष
पेपर का तर्क है कि हमें केवल "सबसे खराब स्थिति" (मॉडल क्या कर सकता है यदि उसे चकमा दिया जाए) को देखकर रुकना नहीं चाहिए। यह वैसा ही है जैसे यह कहना कि एक कार खतरनाक है क्योंकि वह खाई में जा सकती है यदि आप उसे वहां ले जाएं।
इसके बजाय, हमें "साधारण जोखिम" (मॉडल क्या करता है जब उसे सामान्य रूप से चलाया जाता है) को मापना चाहिए।
- वर्तमान ऑडिट: मुख्य रूप से यह देखते हैं कि क्या मॉडल को धोका दिया जा सकता है।
- प्रस्तावित ऑडिट: इसमें धोखाधड़ी की क्षमता (trickability) और डेटा लीक होने की रोज़मर्रा की संभावना (everyday likelihood) दोनों की जाँच होनी चाहिए।
संक्षेप में: ये मॉडल उन छात्रों की तरह हैं जिन्होंने पूरी लाइब्रेरी याद कर ली है। यदि आप उनके सिर पर बंदूक रखकर खड़े होंगे (या उन्हें एक विशिष्ट प्रॉम्प्ट देंगे), तो वे टेक्स्ट सुना देंगे। लेकिन यदि आप बस उनसे बातचीत करने को कहेंगे, तो वे आमतौर पर ऐसा नहीं करेंगे। पेपर का सुझाव है कि हमें "सिर पर बंदूक" वाले जोखिम और "कैजुअल चैट" वाले जोखिम, दोनों को मापकर सुरक्षा की सही तस्वीर प्राप्त करनी चाहिए।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।