💻 computer science

Quantization as a Malicious Task: Removing Quantization-Conditioned Backdoors via Task Arithmetic

यह शोध पत्र QVec को प्रस्तुत करता है, जो एक रिट्रेनिंग-मुक्त रक्षा तंत्र है जो फुल-प्रिसिजन और क्वांटाइज्ड मॉडल्स के बीच वजन के अंतर (weight difference) को एक दुर्भावनापूर्ण टास्क वेक्टर के रूप में मानता है, जिससे ट्रिगर सैंपल्स या अतिरिक्त कम्प्यूटेशनल ओवरहेड की आवश्यकता के बिना नियंत्रित पैरामीटर सुधार के माध्यम से क्वांटाइजेशन-कंडीशन्ड बैकडोर्स को हटाना सक्षम होता है।

मूल लेखक: Kaihsun Yang, Min-Yan Tsai, Chia-Mu Yu

प्रकाशित 2026-06-19

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Kaihsun Yang, Min-Yan Tsai, Chia-Mu Yu

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

मुख्य चित्र: एक डिजिटल "सोता हुआ" वायरस

कल्पना कीजिए कि आपने एक उच्च श्रेणी की, पूर्ण-रंगीन पेंटिंग खरीदी है (Full-Precision Model)। यह एकदम सटीक दिखती है, और यदि आप इसे किसी संग्रहालय में लटकाते हैं, तो यह बिल्कुल वैसा ही व्यवहार करती है जैसा कलाकार ने चाहा था।

अब, कल्पना कीजिए कि आपको उस पेंटिंग को एक बहुत छोटी, कम-रेज़ोल्यूशन वाली डिजिटल स्क्रीन पर फिट करने के लिए छोटा करना है (इस प्रक्रिया को Quantization कहा जाता है)। आमतौर पर, इससे केवल रंग थोड़े ब्लॉक वाले या किनारे थोड़े धुंधले हो जाते हैं, लेकिन छवि वही रहती है।

समस्या:
शोधकर्ताओं ने एक नए प्रकार के "डिजिटल वायरस" (Backdoor) की खोज की है जो पेंटिंग के अंदर छिपा हुआ है।

उच्च-रेज़ोल्यूशन संस्करण में: पेंटिंग सामान्य दिखती है। वायरस सो रहा है।
कम-रेज़ोल्यूशन संस्करण में: जैसे ही आप पेंटिंग को छोटा करते हैं, वायरस जाग जाता है। अचानक, छवि का एक विशिष्ट हिस्सा एक छिपे हुए संदेश को प्रकट करने के लिए रंग बदल देता है, या पेंटिंग गलत दिशा में संकेत देने लगती है।

इसे Quantization-Conditioned Backdoor (QCB) कहा जाता है। हमलावर मॉडल को पहले सामान्य व्यवहार करने के लिए प्रशिक्षित करता है, लेकिन वे इसे इस तरह से "ट्यून" करते हैं कि इसे छोटा करने (क्वांटाइज़ करने) की क्रिया ही घातक व्यवहार को सक्रिय कर देती है।

बचाव का पुराना तरीका: अनुमान लगाना और जांचना

इसे रोकने के पिछले प्रयास एक टूटी हुई घड़ी को हिलाने या उसमें यादृच्छिक गोंद जोड़ने की कोशिश करने जैसा था।

कुछ लोगों ने इसे बदलने की कोशिश की कि पेंटिंग को कैसे छोटा किया जाता है (राउंडिंग नियमों को समायोजित करना)।
दूसरों ने छवि में "शोर" (स्टैटिक/नॉयस) जोड़ने की कोशिश की ताकि वायरस भ्रमित हो जाए।

खामी: ये तरीके अव्यवस्थित थे। वे अक्सर पेंटिंग की गुणवत्ता (प्रदर्शन को कम करना) को खराब कर देते थे या केवल तभी काम करते थे जब आप जानते हों कि हमलावर पेंटिंग को ठीक कैसे छोटा करने वाला है। यदि हमलावर ने छोटा करने का तरीका बदल दिया, तो बचाव विफल हो जाता था।

नया समाधान: QVec (एक "अनडू" बटन)

लेखकों, Kaihun Yang और सहयोगियों ने एक चतुर नया विचार निकाला जिसे QVec कहा जाता है। उन्होंने महसूस किया कि "वायरस" यादृच्छिक शोर नहीं है; यह एक विशिष्ट, संरचित दिशा है।

उपमा: "टास्क वेक्टर" (Task Vector)

मॉडल की सेटिंग्स को एक मानचित्र के रूप में सोचें।

सामान्य मानचित्र: मॉडल बिंदु A (अच्छा व्यवहार) पर है।
हमला: हमलावर जानता है कि यदि वह बिंदु A से बिंदु B तक एक विशिष्ट कदम उठाता है (क्वांटाइजेशन), तो वह एक "बुरे क्षेत्र" (घातक व्यवहार) में पहुंच जाएगा।
खोज: शोधकर्ताओं ने देखा कि बिंदु A और बिंदु B के बीच का अंतर केवल यादृच्छिक कंपन नहीं है। यह एक सीधी, अनुमानित रेखा है। वे इस रेखा को "टास्क वेक्टर" कहते हैं। यह एक विशिष्ट निर्देश की तरह है जो कहता है, "यहाँ जाओ ताकि बुरा व्यवहार सक्रिय हो सके।"

QVec कैसे काम करता है

बचाव करने के बजाय, QVec बस छोटा होने की प्रक्रिया होने से पहले ही "पीछे की ओर चलता" है।

शिफ्ट को मापना: डिफेंडर मूल मॉडल को लेता है और यह देखने के लिए उसे एक बार छोटा करता है कि वह "अच्छे" से "बुरे" की ओर कितनी दूर गया है। मान लीजिए यह दूरी $\delta$ (डेल्टा) है।
पूर्व-निवारक सुधार (Pre-emptive Correction): मॉडल को वास्तव में छोटा करने से पहले, डिफेंडर मूल मॉडल को उस शिफ्ट की विपरीत दिशा में थोड़ा सा ले जाता है।
- कल्पना करें: यदि छोटा करने की प्रक्रिया मॉडल को दाईं ओर 5 कदम धकेलती है (बुरे क्षेत्र में), तो डिफेंडर छोटा करने से पहले मॉडल को उस शिफ्ट के विपरीत दिशा में 5 कदम बाईं ओर ले जाता है।
परिणाम: जब मॉडल को अंततः छोटा किया जाता है, तो दाईं ओर का "धक्का", बाईं ओर के "खिंचाव" को रद्द कर देता है। मॉडल वापस "अच्छे क्षेत्र" में आ जाता है, और वायरस कभी जाग नहीं पाता।

यह क्यों विशेष है

पुनः प्रशिक्षण की आवश्यकता नहीं: आपको मॉडल को कुछ भी नया सिखाने की आवश्यकता नहीं है। आप बस इसकी सेटिंग्स को थोड़ा सा ट्यून करते हैं।
"ट्रिगर" की आवश्यकता नहीं: आपको यह जानने की आवश्यकता नहीं है कि गुप्त पासवर्ड (ट्रिगर) क्या है। आप बस उस पथ को ठीक करते हैं जिससे मॉडल गुजरता है।
हर जगह काम करता है: यह सरल इमेज क्लासिफायर (जैसे बिल्ली बनाम कुत्ते को पहचानना) और जटिल लार्ज लैंग्वेज मॉडल्स (जैसे AI चैटबॉट्स) दोनों पर काम करता है।
हल्का (Lightweight): इसके लिए केवल एक त्वरित गणना की आवश्यकता होती है। यह एक पैकेज भेजने से पहले एक एकल गणितीय जांच करने जैसा है, न कि पूरे गोदाम को फिर से बनाने जैसा।

परिणाम

शोधकर्ताओं ने कई अलग-अलग मॉडलों पर इसका परीक्षण किया:

छवियाँ (Images): CIFAR-10 और Tiny-ImageNet जैसे डेटासेट पर, QVec ने घातक हमले की सफलता दर को लगभग 100% से घटाकर लगभग 0% कर दिया, जबकि सामान्य कार्यों पर मॉडल की सटीकता को उच्च बनाए रखा।
AI चैटबॉट्स: उन्होंने Gemma और StarCoder जैसे मॉडलों पर इसका परीक्षण किया।
- परिदृश्य 1: AI को असुरक्षित कोड लिखने के लिए trick किया गया। QVec ने इसे रोक दिया।
- परिदृश्य 2: AI को हानिरहित प्रश्नों का उत्तर देने से मना करने (Over-refusal) के लिए trick किया गया। QVec ने इसे ठीक कर दिया।
- परिदृश्य 3: AI को छिपे हुए कीवर्ड डालने के लिए trick किया गया। QVec ने उन्हें हटा दिया।

निचोड़

यह पेपर तर्क देता है कि हमें मॉडल को छोटा करने से होने वाले परिवर्तनों को यादृच्छिक "शोर" के रूप में नहीं देखना चाहिए। इसके बजाय, हमें उन्हें एक विशिष्ट "निर्देश" के रूप में देखना चाहिए जिसका हमलावर फायदा उठा सकते हैं। इस निर्देश (टास्क वेक्टर) को पहचानने और मॉडल को तैनात करने से पहले इसे घटाने से, हम मॉडल की उपयोगिता को तोड़े बिना खतरे को बेअसर कर सकते हैं।

यह यह समझने जैसा है कि हवा का एक विशिष्ट झोंका हमेशा एक दरवाजे को खोल देता है। दरवाजे को बंद रखने के लिए अपने हाथों से उसे पकड़ने (पुराना तरीका) के बजाय, आप बस दरवाजे के कब्जे को थोड़ा सा खिसका देते हैं ताकि जब हवा चले, तो दरवाजा बंद रहे।

तकनीकी सारांश: एक दुर्भावनापूर्ण कार्य के रूप में क्वांटाइजेशन (Quantization)

1. समस्या विवरण (Problem Statement)

यह शोध पत्र एक उभरते हुए सुरक्षा खतरे को संबोधित करता है जिसे क्वांटाइजेशन-कंडीशन्ड बैकडोर्स (QCBs) कहा जाता है। जबकि डीप न्यूरल नेटवर्क को संसाधन-सीमित उपकरणों (जैसे, FP32 वेट्स को INT8 या INT4 में बदलना) पर तैनात करने के लिए मॉडल क्वांटाइजेशन एक मानक अभ्यास है, हालिया अध्ययनों से पता चला है कि यह प्रक्रिया अनजाने में दुर्भावनापूर्ण व्यवहार को सक्रिय कर सकती है।

एक QCB हमले में, मॉडल अपने फुल-प्रिसिजन (full-precision) अवस्था में सामान्य व्यवहार करता है, लेकिन क्वांटाइजेशन के बाद ही बैकडोर को सक्रिय करता है। यह एक अद्वितीय रक्षा चुनौती पैदा करता है:

सुषुप्तावस्था (Dormancy): बैकडोर फुल-प्रिसिजन मॉडल में निष्क्रिय रहता है, जिससे मानक पहचान विधियां (जो FP32 में एक्टिवेशन पैटर्न, ग्रेडिएंट्स या न्यूरॉन्स का विश्लेषण करती हैं) अप्रभावी हो जाती हैं।
ट्रिगर तंत्र (Trigger Mechanism): ट्रिगर स्वयं क्वांटाइजेशन प्रक्रिया है (विशेष रूप से, राउंडिंग और स्केलिंग द्वारा प्रेरित वेट परटर्बेशन), न कि कोई विशिष्ट इनपुट पैटर्न।
तैनाती बाधाएं (Deployment Constraints): प्रभावी रक्षा को बिना रिट्रेनिंग के, मूल प्रशिक्षण डेटा या ट्रिगर नमूनों तक पहुंच के बिना, और न्यूनतम कंप्यूटेशनल ओवरहेड के साथ संचालित होना चाहिए।

मौजूदा रक्षा प्रणालियाँ अक्सर क्वांटाइजेशन प्रक्रिया को संशोधित करने पर निर्भर करती हैं (जैसे, राउंडिंग को समायोजित करना या एक्टिवेशन सांख्यिकी को ठीक करना), जो उन्हें विशिष्ट क्वांटाइजेशन सेटिंग्स से बांध देती हैं और कंप्यूटेशनल ओवरहेड पेश करती हैं।

2. कार्यप्रणाली: QVec

लेखक QVec प्रस्तावित करते हैं, जो एक रक्षा ढांचा (defense framework) है जो सीधे पैरामीटर स्पेस में कार्य करता है। मुख्य अंतर्दृष्टि यह है कि QCB-हमले वाले मॉडल में क्वांटाइजेशन द्वारा प्रेरित व्यवहारिक बदलाव यादृच्छिक शोर (random noise) नहीं है, बल्कि एक संरचित रूपांतरण (structured transformation) है जिसे "दुर्भावनापूर्ण कार्य वेक्टर" (malicious task vector) के रूप में व्याख्यायित किया जा सकता है।

मुख्य अवधारणा: टास्क अरिथमेटिक (Task Arithmetic)

टास्क अरिथमेटिक की अवधारणा से प्रेरित होकर, जहाँ एक बेस मॉडल और एक फाइन-ट्यून किए गए मॉडल के बीच का अंतर एक विशिष्ट कार्य को एनकोड करता है, लेखक क्वांटाइजेशन-प्रेरित शिफ्ट को इस प्रकार परिभाषित करते हैं:
$\delta = Q(W) - W$
जहाँ $W$ फुल-प्रिसिजन मॉडल है और $Q(W)$ उसका क्वांटाइज्ड समकक्ष है। एक QCB परिदृश्य में, $\delta$ एक ऐसा वेक्टर के रूप में कार्य करता है जो सौहार्दपूर्ण (benign) व्यवहार को दुर्भावनापूर्ण व्यवहार में मैप करता है।

रक्षा तंत्र (The Defense Mechanism)

QVec क्वांटाइजेशन से पहले एक नियंत्रित पैरामीटर सुधार लागू करके इस दुर्भावनापूर्ण दिशा का मुकाबला करता है। सुधारा गया मॉडल $W'$ इस प्रकार परिभाषित है:
$W' = W - \alpha \delta$
यहाँ, $\alpha$ एक स्केलर हाइपरपैरामीटर है जो सुधार के परिमाण (magnitude) को नियंत्रित करता है। अंतिम तैनात मॉडल $W'$ को क्वांटाइज करके प्राप्त किया जाता है: $\tilde{W} = Q(W')$ ।

एल्गोरिद्मिक वर्कफ़्लो

शिफ्ट अनुमान (Shift Estimation): फुल-प्रिसिजन मॉडल $W$ पर एक सिंगल फॉरवर्ड क्वांटाइजेशन पास निष्पादित करें ताकि $Q(W)$ प्राप्त हो सके और शिफ्ट $\delta$ की गणना की जा सके।
हाइपरपैरामीटर खोज: $\alpha$ के डिस्क्रीट सेट पर एक लाइटवेट खोज करें। प्रत्येक उम्मीदवार के लिए, विधि क्लीन एक्यूरेसी (CA) को एक वैलिडेशन सेट पर मूल्यांकन करती है ताकि यह सुनिश्चित हो सके कि सुधार सौहार्दपूर्ण प्रदर्शन को कम नहीं करता है।
चयन: उस इष्टतम $\alpha^*$ का चयन करें जो CA बाधाओं (जैसे, CA $\ge \tau \cdot$ बेसलाइन CA बनाए रखना) को पूरा करते हुए सुरक्षा (ASR को न्यूनतम करना) को अधिकतम करता है।
तैनाती (Deployment): $W' = W - \alpha^* \delta$ को लागू करें और अंतिम मॉडल प्राप्त करने के लिए क्वांटाइज करें।

इस दृष्टिकोण के लिए कोई रिट्रेनिंग नहीं, कोई ट्रिगर नमूना नहीं, और यह विशिष्ट क्वांटाइजेशन ग्रैनुलैरिटी (per-tensor बनाम per-channel) या बिट-विड्थ के प्रति अज्ञेय (agnostic) है, क्योंकि यह केवल देखे गए फुल-प्रिसिजन और क्वांटाइज्ड अवस्थाओं के बीच के शिफ्ट पर निर्भर करता है।

3. प्रमुख योगदान

शोध पत्र तीन प्राथमिक योगदानों को रेखांकित करता है:

QCBs की पुनर्व्याख्या: लेखक क्वांटाइजेशन-प्रेरित व्यवहारिक बदलावों को पैरामीटर स्पेस में संरचित टास्क ट्रांसफॉर्मेशन के रूप में पुनर्व्याख्यायित करते हैं, जिससे $\delta = Q(W) - W$ को रैंडम राउंडिंग नॉइज़ के बजाय QCB सक्रियण के मूल कारण के रूप//रूप में पहचाना गया है।
लाइटवेट डिफेंस: वे QVec प्रस्तावित करते हैं, जो एक पैरामीटर-स्पेस करेक्शन विधि है जो तैनाती से पहले बिना रिट्रेनिंग या मूल प्रशिक्षण डेटा तक पहुंच के दुर्भावनापूर्ण टास्क वेक्टर को बेअसर करती है।
संरचना का सत्यापन: सैद्धांतिक और अनुभवजन्य विश्लेषण के माध्यम से, शोध पत्र यह प्रदर्शित करता है कि दुर्भावनापूर्ण शिफ्ट संरचित है (बैकडोर ऑब्जेक्टिव के साथ संरेखित है) न कि यादृच्छिक शोर, जो टास्क-वेक्टर व्याख्या की पुष्टि करता है।

4. प्रयोगात्मक परिणाम

लेखकों ने 8-बिट और 4-बिट क्वांटाइजेशन के तहत कई आर्किटेक्चर (ResNet-18, VGG13, MobileNetV2) और डेटासेट्स (CIFAR-10, Tiny-ImageNet) पर QVec का मूल्यांकन किया। उन्होंने Gemma-2B और StarCoder-1B सहित LLMs तक अपने मूल्यांकन का विस्तार किया।

विजन मॉडल्स (Vision Models)

प्रदर्शन: QVec ने 8-बिट और 4-bit दोनों सेटिंग्स में अटैक सक्सेस रेट (ASR) को लगातार शून्य के करीब (अक्सर < 1%) तक कम कर दिया।
तुलना: EFRAP और LAC/PDA जैसे हालिया डिफेंस के मुकाबले, QVec ने बेहतर मजबूती प्रदर्शित की, विशेष रूप से 4-बिट क्वांटाइजेशन में जहाँ अन्य विधियों ने असंगत प्रदर्शन या महत्वपूर्ण क्लीन एक्यूरेसी (CA) गिरावट दिखाई।
ट्रेड-ऑफ: विधि ने उच्च CA बनाए रखते हुए बैकडोर्स को दबाते हुए एक अनुकूल मजबूती-दक्षता ट्रेड-ऑफ हासिल किया।

लार्ज लैंग्वेज मॉडल्स (LLMs)

मूल्यांकन में तीन हमले के परिदृश्य शामिल थे:

कमजोर कोड जनरेशन: QVec ने विभिन्न सेटिंग्स में कोड सुरक्षा दरों (जैसे, ~2.7% से ~77-90% तक) को महत्वपूर्ण रूप से बहाल किया, जबकि HumanEval और MMLU जैसे उपयोगिता बेंचमार्क को सुरक्षित रखा।
कंटेंट इंजेक्शन: Gemma-2B में, QVec ने हमलावर-निर्दिष्ट कीवर्ड्स की घटना दर को INT8, FP4, और NF4 क्वांटाइजेशन स्कीम्स में >80% से घटाकर बेसलाइन स्तर (0.07%) के करीब पहुँचा दिया।
ओवर-रिफ्यूजल (Over-Refusal): QVec ने कार्य उपयोगिता को बनाए रखते हुए अनावश्यक रिफ्यूजल दरों (जैसे, FP4 में 60.67% से 10.3% तक) को काफी कम कर दिया।

एडेप्टिव अटैक्स (Adaptive Attacks)

लेखकों ने एक एडेप्टिव हमलावर के खिलाफ QVec का परीक्षण किया जिसने क्वांटाइजेशन स्केल को विकृत करने के लिए अत्यधिक आउटलेयर्स इंजेक्ट करके डिफेंस को "तोड़ने" का प्रयास किया। हालांकि इस एडेप्टिव हमले ने हमलावर की अपनी उपयोगिता (CA को कम करके) को कम कर दिया, QVec प्रभावी रहा, जो अभी भी ASR को महत्वपूर्ण रूप से कम कर रहा था (जैसे, 8-bit CIFAR-10 में 91.87% से 7.96% तक), जो डिफेंस-अवेयर एडवर्सरीज के खिलाफ मजबूती प्रदर्शित करता है।

5. महत्व और दावे

शोध पत्र दावा करता है कि QVec एक महत्वपूर्ण सप्लाई-चेन भेद्यता (vulnerability) के लिए एक क्वांटाइजेशन-अज्ञेय (quantization-agnostic) और कंप्यूटेशनल रूप से कुशल समाधान प्रदान करता है। क्वांटाइजेशन शिफ्ट को एक "दुर्भावनापूर्ण कार्य" के रूप में फ्रेम करके, लेखक मॉडल सुरक्षा के लिए एक नया दृष्टिकोण प्रदान करते हैं जो ट्रिगर डिटेक्शन से आगे बढ़कर पैरामीटर-स्पेस करेक्शन की ओर जाता है।

लेखक इस बात पर जोर देते हैं कि उनकी विधि:

इसके लिए रिट्रेनिंग या स्वच्छ डेटासेट तक पहुंच की आवश्यकता नहीं है।
न्यूनतम ओवरहेड (एक सिंगल क्वांटाइजेशन पास और एक लाइटवेट हाइपरपैरामीटर सर्च) के साथ कार्य करती है।
विभिन्न मॉडल आर्किटेक्चर, क्वांटाइजेशन बिट-विड्थ और हमले के प्रकारों (विजन और लैंग्वेज) में सामान्यीकृत होती है।

यह कार्य इस बात को रेखांकित करता है कि तैनाती के समय होने वाले ऑपरेशन जैसे क्वांटाइजेशन, अप्रत्यक्ष रूप से टास्क-लेवल ट्रांसफॉर्मेशन को प्रेरित कर सकते हैं, जो यह सुझाव देता है कि भविष्य के सुरक्षा ढांचे को मॉडल कंप्रेशन द्वारा पेश किए गए पैरामीटर-स्पेस शिफ्ट को ध्यान में रखना चाहिए।