Dummy Backdoor as a Defense: Removing Unknown Backdoors via Shared Internal Mechanisms for Generative LLMs

तकनीकी सारांश: जनरेटिव LLMs के लिए रक्षा के रूप में डमी बैकडोर (Dummy Backdoor)

समस्या विवरण
बैकडोर हमले (Backdoor attacks) लार्ज लैंग्वेज मॉडल्स (LLMs) की सुरक्षा और विश्वसनीयता के लिए एक महत्वपूर्ण खतरा पैदा करते हैं। इन हमलों में, हमलावर प्रशिक्षण डेटा को इस तरह से 'पॉइज़न' (poison) करते हैं कि मॉडल सामान्य इनपुट पर सामान्य व्यवहार करता है, लेकिन एक विशिष्ट, छिपे हुए ट्रिगर (trigger) की उपस्थिति में हमलावर द्वारा निर्दिष्ट प्रतिक्रियाएं उत्पन्न करता है। ऐसे "अज्ञात" बैकडोर्स को हटाना विशेष रूप से चुनौतीपूर्ण है क्योंकि रक्षकों (defenders) के पास आमतौर पर ट्रिगर के स्वरूप (जैसे विशिष्ट शब्द, पाठ्य शैलियाँ, या सिंटैक्स पैटर्न) का ज्ञान नहीं होता है और बैकडोर प्रशिक्षण प्रक्रिया के दौरान बनने वाले आंतरिक तंत्रों पर उनका कोई सीधा नियंत्रण नहीं होता है। मौजूदा रक्षा विधियां अक्सर मॉडल की सामान्य उपयोगिता (general utility) को महत्वपूर्ण रूप से कम किए बिना इन बैकडोर्स को पर्याप्त रूप से दबाने में विफल रहती हैं।

कार्यप्रणाली (Methodology)
लेखक एक नवीन रक्षा रणनीति प्रस्तावित करते हैं जो विभिन्न बैकडोर्स के बीच "साझा आंतरिक तंत्रों" (shared internal mechanisms) का लाभ उठाती है। मूल अंतर्ज्ञान यह है कि एक ही उद्देश्य (जैसे, जेलब्रेकिंग) को लक्षित करने वाले विभिन्न बैकडोर मॉडल के भीतर समान आंतरिक सक्रियण पथों (internal activation pathways) पर निर्भर करते हैं, भले ही उनके सतही-स्तर के ट्रिगर्स भिन्न हों।

प्रस्तावित विधि, जिसे डमी बैकडोर डिफेंस (Dummy Backdoor Defense) कहा जाता है, दो चरणों में कार्य करती है:

1. एक डमी बैकडोर को एम्बेड करना: रक्षक जानबूझकर एक ज्ञात ट्रिगर ($t_d$) और एक लक्षित व्यवहार (जैसे, हानिकारक प्रतिक्रियाएं उत्पन्न करना) का उपयोग करके मॉडल में एक "डमी बैकडोर" को एम्बेड करता है। यह मॉडल के भीतर एक नियंत्रणीय बैकडोर ($D_{dummy}$) बनाता है।

   • प्रशिक्षण-समय सेटिंग (Training-time Setting): रक्षक डमी डेटासेट को एकत्र किए गए (संभावित रूप से पॉइज़न्ड) प्रशिक्षण डेटा के साथ मिलाता है।
   • पोस्ट-ट्रेनिंग सेटिंग (Post-training Setting): रक्षक पहले से मौजूद पॉइज़न्ड मॉडल को डमी डेटासेट के साथ फाइन-ट्यून करता है।

2. डमी बैकडोर को हटाना: इसके बाद रक्षक एक "रिमूवल डेटासेट" ($D_{removal}$) का उपयोग करके आगे का फाइन-ट्यूनिंग करता है। इस डेटासेट में, डमी ट्रिगर वाले इनपुट को स्वच्छ, सुरक्षित या सहायक प्रतिक्रियाओं (जैसे, हानिकारक अनुरोधों को अस्वीकार करना) के साथ जोड़ा जाता है।

   • परिकल्पना यह है कि डमी बैकडोर को हटाकर, मॉडल उन साझा आंतरिक तंत्रों को अपडेट करता है जिन पर डमी और अज्ञात बैकडोर दोनों निर्भर करते हैं। फलस्वरूप, अज्ञात बैकडोर भी दब जाता है।

मुख्य योगदान और विश्लेषण

• तंत्र समानता विश्लेषण (Mechanism Similarity Analysis): लेखक पहले यह प्रदर्शित करते हैं कि विभिन्न बैकडोर मॉडल के आंतरिक लेयर सक्रियणों में समान "ट्रिगर-एक्टिवेटेड चेंजेस" (TACs) को प्रेरित करते हैं। कोसाइन सिमिलरिटी (cosine similarity) का उपयोग करते हुए, वे दिखाते हैं कि एक ही हमले के उद्देश्य वाले बैकडोर (भले ही उनके ट्रिगर प्रकार जैसे BadNets, Style, या Syntax भिन्न हों) सक्रियण परिवर्तनों में उच्च समानता प्रदर्शित करते हैं, विशेष रूप से मॉडल की मध्य और बाद की परतों में। यह पुष्टि करता है कि विभिन्न बैकडोर साझा आंतरिक तंत्रों का उपयोग करते हैं।
• दोहरी-सेटिंग प्रयोज्यता (Dual-Setting Applicability): यह विधि प्रशिक्षण-समय रक्षा (जहाँ रक्षक मॉडल को प्रशिक्षित करता है) और पोस्ट-ट्रेनिंग रक्षा (जहाँ रक्षक को एक पूर्व-प्रशिक्षित मॉडल प्राप्त होता है) दोनों में काम करने के लिए डिज़ाइन की गई है।
• नियंत्रित प्रॉक्सी (Controlled Proxy): पेपर अज्ञात खतरों को अप्रत्यक्ष रूप से कम करने के लिए एक रक्षक-नियंत्रणीय बैकडोर को प्रॉक्सी के रूप में उपयोग करने की अवधारणा पेश करता है, जिससे अज्ञात ट्रिगर की पहचान करने की आवश्यकता समाप्त हो जाती है।

प्रायोगिक परिणाम
विधि का मूल्यांकन कई मॉडल परिवारों (Llama-3.1-8B, Qwen2.5-7B, Mistral-7B) और तीन हमले के प्रकारों (BadNets, Style, Syntax) पर जेलब्रेक कार्य के लिए किया गया।

• ASR में कमी: प्रस्तावित विधि ने अज्ञात बैकडोर्स के अटैक सक्सेस रेट (ASR) को काफी कम कर दिया। कई मामलों में, केवल डमी ट्रिगर पर फाइन-ट्यूनिंग किए जाने के बावजूद, रिमूवल चरण के बाद ASR लगभग शून्य स्तर (जैसे, ~1.01% या 0.00%) तक गिर गया।
• उपयोगिता संरक्षण (Utility Preservation): मौजूदा रक्षा विधियों के विपरीत, जो मॉडल के प्रदर्शन को गंभीर रूप से कम कर देती हैं, प्रस्तावित विधि ने मॉडल की उपयोगिता स्कोर (MT-Bench द्वारा मापा गया) को संरक्षित किया या थोड़ा सुधारा।
• मौजूदा रक्षा प्रणालियों के साथ तुलना: पांच मौजूदा रक्षा विधियों (Fine-Tuning, Pruning, Quantization, CROW, और BEEAR सहित) के मुकाबले, प्रस्तावित विधि बैकडोर हटाने की प्रभावशीलता और उपयोगिता संरक्षण दोनों में बेहतर प्रदर्शन करती है। उदाहरण के लिए, जबकि BEEAR ने BadNets के लिए ASR को कम किया, इसने उपयोगिता स्कोर में विनाशकारी गिरावट (1.59 तक) पैदा की और Style-आधारित बैकडोर्स के खिलाफ विफल रहा।
• मजबूती (Robustness): विधि विभिन्न स्थितियों के तहत प्रभावी रही:
  • एकाधिक अज्ञात बैकडोर्स: इसने कई एक साथ मौजूद अज्ञात बैकडोर्स (BadNets, Style, और Syntax) को सफलतापूर्वक दबा दिया।
  • विभिन्न कार्य (Tasks): यह NegSentiment कार्य पर भी प्रभावी था, जो जेलब्रेक परिदृश्यों से परे इसकी प्रयोज्यता को दर्शाता है।
  • फाइन-ट्यूनिंग एल्गोरिदम: यह LoRA और फुल-पैरामीटर फाइन-ट्यूनिंग दोनों के साथ काम करता है।

महत्व और दावे
पेपर का दावा है कि एक रक्षक-नियंत्रणीय बैकडोर जनरेटिव LLMs में अज्ञात बैकडोर्स को कम करने के लिए एक प्रभावी प्रॉक्सी के रूप में कार्य कर सकता है। इसका महत्व "अज्ञात ट्रिगर्स की पहचान करने और उन्हें हटाने" के बजाय "एक ज्ञात, नियंत्रणीय ट्रिगर के माध्यम से साझा आंतरिक तंत्रों को हेरफेर करने" की ओर रक्षा प्रतिमान (paradigm) को बदलने में निहित है।

लेखक नोट करते हैं कि उनका दृष्टिकोण इस धारणा पर निर्भर करता है कि डमी और अज्ञात बैकडोर एक ही कार्य से जुड़े तंत्रों को साझा करते हैं। वे एक सीमा को स्वीकार करते: यदि हमले का उद्देश्य पूरी तरह से अज्ञात है (उदाहरण के लिए, जेलब्रेकिंग के लिए एक डमी बैकडोर सेंटीमेंट मैनिपुलेशन के लिए डिज़ाइन किए गए बैकडोर को नहीं हटा सकता है), तो विधि कम प्रभावी हो सकती है। इसलिए, रक्षा के लिए हमले के उद्देश्य का पूर्व ज्ञान (जैसे, यह जानना कि हमला जेलब्रेकिंग के लिए है) आवश्यक है, लेकिन विशिष्ट ट्रिगर के ज्ञान की आवश्यकता नहीं है।

यह कार्य निष्कर्ष निकालता है कि यह सरल, दो-चरणीय दृष्टिकोण विविध, अज्ञात बैकडोर खतरों के विरुद्ध LLMs को सुरक्षित करने के लिए एक मजबूत और उपयोगिता-संरक्षण समाधान प्रदान करता है।