🤖 machine learning

On the Vulnerability of Parameter-Level Defenses to Model Merging

यह शोध पत्र मॉडल मर्जिंग के विरुद्ध पैरामीटर-स्तरीय सुरक्षा उपायों में एक महत्वपूर्ण भेद्यता को उजागर करता है, जहाँ संरक्षित टास्क वेक्टर्स प्रीट्रेन्ड मॉडल को छिपाने के लिए बहुत छोटे हैं, जिससे एक नया एंकर-गाइडेड अटैक (AGA) मौजूदा सुरक्षा उपायों को दरकिनार करने में सक्षम होता है, जबकि एक प्रभावी प्रतिउपाय के रूप में एंकर-रिपल्सिव फाइन-ट्यूनिंग (ARF) का प्रस्ताव भी दिया गया है।

मूल लेखक: Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

प्रकाशित 2026-06-30

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ सरल भाषा और रचनात्मक उपमाओं का उपयोग करके पेपर की व्याख्या दी गई है।

बड़ी तस्वीर: "मॉडल मर्जिंग" (Model Merging) की समस्या

कल्पना कीजिए कि आपके पास एक मास्टर शेफ (Pretrained Model) है जो सब कुछ बनाना जानता है। आप इस शेफ को केवल एक चीज़ में विशेषज्ञता हासिल करने के लिए काम पर रखते हैं, जैसे कि एकदम सही पिज्जा बनाना। आप उन्हें कुछ अतिरिक्त सामग्री और निर्देश देते हैं, और वे एक स्पेशलिस्ट शेफ (Fine-tuned Model) बन जाते हैं।

अब, एक "मॉडल मर्जिंग" टूल की कल्पना करें जो आपको एक पिज्जा स्पेशलिस्ट, एक सुशी स्पेशलिस्ट और एक बर्गर स्पेशलिस्ट के ज्ञान को मिलाकर एक "सुपर शेफ" बनाने की अनुमति देता है जो इन तीनों व्यंजनों को पूरी तरह से बना सके। यह दक्षता के लिए तो अच्छा है, लेकिन यह एक सुरक्षा जोखिम पैदा करता है: फ्री-राइडर्स (Free-riders)।

एक फ्री-राइडर आपके संरक्षित पिज्जा स्पेशलिस्ट को डाउनलोड कर सकता है, उसे अपने सुशी मॉडल के साथ मिला सकता है, और तुरंत एक ऐसा सुपर शेफ प्राप्त कर सकता है जो आपका प्रसिद्ध पिज्जा बनाना जानता है—बिना कभी आपको भुगतान किए या मेहनत किए।

बचाव: रेसिपी को छिपाना (पैरामीटर-लेवल डिफेंस)

फ्री-राइडर्स को रोकने के लिए, शोधकर्ताओं ने "प्रोएक्टिव डिफेंस" बनाए। इसे ऐसे समझें जैसे पिज्जा स्पेशलिस्ट ने एक जादुई वेशभूषा (Magic Disguise) पहनी हो।

बचाव (The Defense): मॉडल को रिलीज़ करने से पहले, मालिक रेसिपी को उलझा (scramble) देता है। वे सामग्रियों के क्रम को बदल सकते हैं (permutation) या मापने वाले कपों को बदल सकते हैं (linear transformation)।
लक्ष्य: यदि कोई फ्री-राइडर इस उलझी हुई रेसिपी को सुशी रेसिपी के साथ मिलाने की कोशिश करता है, तो गणित टूट जाता है। परिणामी "सुपर शेफ" कचरा बनाता है (जला हुआ पिज्जा और कच्ची मछली)। बचाव इसलिए काम करता है क्योंकि फ्री-राइडर गुप्त कुंजी (secret key) के बिना रेसिपी को सुलझा नहीं सकता।

हमला: "एंकर-गाइडेड अटैक" (AGA)

लेखकों ने इन वेशभूषाओं में एक घातक खामी खोजी। वे अपने हमले को AGA (Anchor-Guided Attack) कहते हैं।

उपमा: विशाल एंकर बनाम नन्हा पंख
कल्पना कीजिए कि "प्रीट्रेंड मॉडल" (मास्टर शेफ का मूल ज्ञान) एक विशाल, भारी एंकर है। "टास्क वेक्टर" (फाइन-ट्यूनिंग के दौरान जोड़े गए विशिष्ट पिज्जा निर्देश) उस एंकर से बंधा एक नन्हा पंख है।

बचाव (Defense) उस रस्सी को उलझाकर पंख को छिपाने की कोशिश करता है। हालाँकि, लेखकों ने एक महत्वपूर्ण बात महसूस की: एंकर इतना विशाल है कि वह पंख को पूरी तरह से दबा देता है।

अवलोकन (Observation): इन मॉडलों के गणित में, "एंकर" (मूल ज्ञान) "पंख" (नए निर्देशों) की तुलना में हजारों गुना बड़ा होता है।
हमला (Attack): हमलावर को रस्सी को सुलझाने के लिए गुप्त कुंजी जानने की आवश्यकता नहीं है। वे बस विशाल एंकर को देखते हैं। चूंकि एंकर बहुत बड़ा है, इसलिए हमलावर केवल एंकर की स्थिति को देखकर गणितीय रूप से गणना कर सकता है कि रस्सी को ठीक कैसे बांधा गया था।
परिणाम: हमलावर वेशभूषा को रिवर्स-इंजीनियर करने के लिए सार्वजनिक "एंकर" (मूल मास्टर शेफ) का उपयोग करता है। वे वेशभूषा को हटा देते हैं, मूल "पंख" (पिज्जा रेसिपी) को वापस प्राप्त करते हैं, और उसे पूरी तरह से मर्ज कर देते हैं।

संक्षेप में: बचावों ने एक विशाल प्रणाली में एक छोटे बदलाव को छिपाने की कोशिश की, लेकिन प्रणाली इतनी बड़ी थी कि छोटा बदलाव अदृश्य था, और हमलावर आसानी से बदलावों को उलटने के लिए सिस्टम के "केंद्र" को ढूंढ सकता था।

परिणाम: बचाव विफल रहता है

पेपर ने इस हमले का परीक्षण मौजूदा सर्वश्रेष्ठ बचावों (जैसे Params, MergeLock, और MergeBarrier) के खिलाफ किया।

हमले से पहले: फ्री-राइडर का मर्ज किया हुआ मॉडल बहुत खराब था (जैसे 5% सटीकता)।
AGA हमले के बाद: फ्री-राइडर का मॉडल फिर से लगभग पूर्ण हो गया (जैसे 97% सटीकता), जिससे सुरक्षा प्रभावी रूप से बाईपास हो गई।

यह एक लाइब्रेरी में किताबों को इधर-उधर करके एक गुप्त नोट को छिपाने जैसा है। हमलावर बस लाइब्रेरी की मुख्य संरचना को देखता है, यह महसूस करता है कि नोट किताबों की तुलना में बहुत छोटा है, और यह पता लगा लेता है कि नोट कहाँ छिपाया गया था, जिससे वह गुप्त जानकारी को बहाल कर देता है।

काउंटर-डिफेंस: "एंकर-रिपल्सिव फाइन-ट्यूनिंग" (ARF)

चूंकि यह हमला इसलिए काम करता है क्योंकि "पंख" एंकर की तुलना में बहुत छोटा है, इसलिए लेखकों ने ARF नामक एक नया बचाव प्रस्तावित किया।

उपमा: पंख को भारी बनाना
केवल रस्सी को उलझाने के बजाय, ARF प्रशिक्षण प्रक्रिया को बदल देता है। यह "पंख" (नए निर्देशों) को भारी और विशिष्ट बनने के लिए मजबूर करता है।

यह कैसे काम करता है: स्पेशलिस्ट मॉडल के प्रशिक्षण के दौरान, बचाव एक "रिपल्सिव फोर्स" (विकर्षण बल) जोड़ता है जो नए निर्देशों को मूल एंकर से दूर धकेलता है। यह "पंख" को इतना बड़ा और भारी बना देता है कि इसे अब अनदेखा या एंकर को देखकर आसानी से कैलकुलेट नहीं किया जा सकता।
परिणाम: अब, जब हमलावर "एंकर-गाइडेड अटैक" करने की कोशिश करता है, तो गणित विफल हो जाता है। "पंख" अब एक छोटा, अदृश्य कण नहीं है; यह एक विशाल वस्तु है जो हमलावर की गणना को बाधित करती है।
परिणाम (Outcome): फ्री-राइडर अब मॉडलों को सफलतापूर्वक मर्ज नहीं कर सकता। सुरक्षा बनी रहती है, और मॉडल अभी भी अपने आप में पूरी तरह से काम करता है (स्पेशलिस्ट शेफ अभी भी बेहतरीन पिज्जा बना सकता है)।

सारांश

समस्या: लोग AI मॉडल को मिलाना चाहते हैं, लेकिन मालिक अपने विशिष्ट प्रशिक्षण की रक्षा करना चाहते हैं।
पुराना समाधान: मॉडल के वेट्स (weights) को उलझा देना (रेसिपी को वेशभूषा देना)।
खामी: यह उलझाव कमजोर है क्योंकि मूल मॉडल इतना विशाल है कि विशिष्ट निर्देश बहुत छोटे हैं और उन्हें आसानी से रिवर्स-इंजीनियर किया जा सकता है।
हमला (AGA): विशाल बेस मॉडल का उपयोग करके उलझाव को गणितीय रूप से उलटने और निर्देशों को चुराने के लिए किया जाता है।
नया समाधान (ARF): मॉडल को इस तरह प्रशिक्षित करना कि निर्देश "तेज" और भारी हों, जिससे उन्हें बेस मॉडल का उपयोग करके अनदेखा करना या रिवर्स-इंजीनियर करना असंभव हो जाए।

पेपर निष्कर्ष निकालता है कि केवल वेट्स को उलझाना (लीनियर ट्रांसफॉर्मेशन) सुरक्षा का एक भ्रम है। मॉडलों को वास्तव में सुरक्षित करने के लिए, आपको उनके प्रशिक्षण के तरीके को बदलना होगा ताकि विशिष्ट ज्ञान इस प्रकार के गणितीय हमले के खिलाफ मजबूत हो सके।

तकनीकी सारांश: मॉडल मर्जिंग के प्रति पैरामीटर-स्तरीय सुरक्षा की संवेदनशीलता पर

समस्या विवरण
यह शोध पत्र "मॉडल मर्जिंग" (model merging) प्रतिमान में निहित सुरक्षा जोखिमों को संबोधित करता है, जहाँ एक सामान्य प्री-ट्रेंड बैकबोन से प्राप्त कई फाइन-ट्यून्ड विशेषज्ञ मॉडलों को बिना पुन: प्रशिक्षण (retraining) के मल्टी-टास्क मॉडल बनाने के लिए मिलाया जाता है। हालांकि यह कुशल है, लेकिन इसकी खुलापन अनधिकृत "फ्री-राइडर्स" को बौद्धिक संपदा (IP) का उल्लंघन करते हुए प्रोप्रायटरी मॉडलों को मर्ज करने की अनुमति देता है। हालिया सक्रिय सुरक्षा उपाय (जैसे, Params, MergeLock, MergeBarrier) इसे रोकने का प्रयास करते हैं, जो गुप्त रैखिक पैरामीटर रूपांतरणों (परम्यूटेशन, डायगोनल, या ऑर्थोगोनल मैट्रिसेस) को लागू करके उन गणितीय गणनाओं को बाधित करते हैं जो मर्जिंग के लिए आवश्यक होती हैं। ये सुरक्षा उपाय अक्सर मॉडल के स्टैंडअलोन प्रदर्शन को कम कर देते हैं या परिष्कृत मर्जिंग प्रयासों को रोकने में विफल रहते हैं। लेखक एक महत्वपूर्ण अंतराल की पहचान करते हैं: मौजूदा सुरक्षा उपाय रैखिक रूपांतरणों पर निर्भर करते हैं जो मापदंडों (parameters) की सापेक्ष परिमाण संरचना (relative magnitude structure) को सुरक्षित रखते हैं, जिससे वे विश्लेषणात्मक व्युत्क्रमण (analytical inversion) के प्रति संभावित रूप से संवेदनशील बने रहते हैं।

कार्यप्रणाली (Methodology)
यह शोध पत्र इन सुरक्षा उपायों के व्यवस्थित विश्लेषण का प्रस्ताव करता, जिससे एक हमले के ढांचे (attack framework) और एक संगत प्रति-उपाय (countermeasure) का विकास हुआ।

एंकर-गाइडेड अटैक (AGA):
AGA को प्रेरित करने वाला मुख्य विचार यह अवलोकन है कि संरक्षित फाइन-ट्यून्ड मॉडलों में, संरक्षित टास्क वेक्टर ( $\tau^P$ ) का परिमाण संरक्षित प्री-ट्रेंड वेट्स ( $W^P_{pre}$ ) के परिमाण से कई गुना छोटा (आमतौर पर $10^{-2}$ से $10^{-3}$ ) होता है। फलस्वरूप, संरक्षित मॉडल का पैरामीटर स्पेस अत्यधिक रूप से प्री-ट्रेंड एंकर द्वारा नियंत्रित होता है।

तंत्र (Mechanism): AGA सार्वजनिक प्री-ट्रेंड मॉडल को एक स्थिर संदर्भ एंकर के रूप में मानता है। यह संरक्षित मॉडल और इस एंकर के बीच विसंगति को न्यूनतम करने के लिए एक एलाइनमेंट ऑब्जेक्टिव (alignment objective) तैयार करता है।
डुअल-सॉल्वर फ्रेमवर्क (Dual-Solver Framework):
- सतत रूपांतरण (अटेंशन मॉड्यूल): उन सुरक्षा उपायों के लिए जो अटेंशन हेड्स में इन्वर्टिबल, ऑर्थोगोनल, या डायगोनल मैट्रिसेस का उपयोग करते हैं, AGA एक क्लोज्ड-फॉर्म एनालिटिकल रिकवरी मैट्रिक्स प्राप्त करने के लिए लीस्ट स्क्वेयर्स रिग्रेशन का उपयोग करके एक ओवरडिटरमाइंड लीनियर सिस्टम को हल करता है।
- विच्छिन्न रूपांतरण (MLP मॉड्यूल): न्यूरॉन्स को शफल करने के लिए परम्यूटेशन मैट्रिसेस का उपयोग करने वाले डिफेंस के लिए, AGA रिकवरी को एक लीनियर सम असाइनमेंट प्रॉब्लम के रूप में प्रस्तुत करता है। यह वैश्विक रूप से इष्टतम डिस्क्रीट बाइटाइट मैचिंग खोजने के लिए हंगेरियन एल्गोरिदम का उपयोग करता है, जिसके लिए लागत (costs) नेगेटिव कोसाइन सिमिलरिटी द्वारा परिभाषित होती है, जो प्रभावी रूप से परम्यूटेशन को उलट देता है।
सैद्धांतिक गारंटी: लेखक प्रमेय प्रदान करते हैं जो सिद्ध करते हैं कि रिकवरी एरर टास्क वेक्टर के परिमाण द्वारा कड़ाई से सीमित है। चूंकि टास्क वेक्टर प्री-ट्रेंड वेट्स की तुलना में नगण्य है, इसलिए हमला लगभग पूर्ण रिकवरी प्राप्त करता है।

एंकर-रिपल्सिव फाइन-ट्यूनिंग (ARF):
AGA का मुकाबला करने के लिए, लेखक एक ऐसा बचाव प्रस्तावित करते हैं जो विशेष रूप से उस परिमाण अंतर (magnitude disparity) को बदल देता है जिसका AGA लाभ उठाता है।

तंत्र: ARF विशेष रूप से फाइन-ट्यूनिंग चरण के दौरान एक दूरी-आधारित रिपल्सिव टर्म (distance-based repulsive term) पेश करता है, जो विशेष रूप से अटेंशन प्रोजेक्शन मैट्रिसेस ( $W_Q, W_K, W_V, W_O$ ) पर लागू होता है।
उद्देश्य: यह टर्म सक्रिय रूप से फाइन-ट्यून्ड अटेंशन वेट्स को उनके प्री-ट्रेंड एंकर्स से एक पूर्व-निर्धारित सुरक्षा मार्जिन ( $\rho$ ) तक पहुँचने के लिए दूर धकेलता है। इन विशिष्ट मॉड्यूल में टास्क वेक्टर के परिमाण को कृत्रिम रूप से बढ़ाकर, ARF उस ज्यामितीय भेद्यता (geometric vulnerability) को विफल कर देता जिस पर AGA निर्भर करता है।

प्रमुख योगदान

व्यवस्थित भेद्यता विश्लेषण: यह शोध पत्र प्रकट करता है कि संरक्षित टास्क वेक्टर्स प्री-ट्रेंड वेट्स के सापेक्ष स्वाभाविक रूप से छोटे परिमाण के होते हैं, जिससे पैरामीटर स्पेस प्री-ट्रेंड बैकबोन द्वारा हावी रहता है, चाहे रैखिक रूपांतरण कुछ भी हों।
यूनिवर्सल अटैक फ्रेमवर्क (AGA): लेखक AGA का प्रस्ताव करते हैं, जो प्री-ट्रेंड एंकर के साथ संरेखित करके संरक्षित वेट्स को विश्लेषणात्मक रूप से रिकवर करने में सक्षम पहला फ्रेमवर्क है। यह विजन और लैंग्वेज मॉडल्स दोनों में व्यक्तिगत और संयुक्त अत्याधुनिक (state-of-the-art) डिफेंस (Params, Params-D, MergeLock, MergeBarrier) को सफलतापूर्वक बायपास करता है।
अनुकूली बचाव (Adaptive Defense - ARF): यह पेपर ARF को एक रक्षा रणनीति के रूप में पेश करता जो सक्रिय रूप से अटेंशन मॉड्यूल के भीतर टास्क वेक्टर के परिमाण का विस्तार करती है। यह दृष्टिकोण अनधिकृत मर्जिंग को प्रभावी ढंग से रोकता है जबकि मॉडल की स्टैंडअलोन उपयोगिता को बनाए रखता है।

प्रायोगिक परिणाम
लेखकों ने कंप्यूटर विजन (ViT-B/32, ViT-L/14) और नेचुरल लैंग्वेज प्रोसेसिंग/जेनरेशन (GPT-2, Qwen2-7B) कार्यों के माध्यम से अपने तरीकों का मूल्यांकन किया।

हमले की प्रभावकारिता: AGA ने लगातार डिफेंस को बायपास किया। उदाहरण के लिए, MergeLock प्रोटेक्शन के साथ LOT मर्जिंग रणनीति के तहत, प्रोटेक्टेड-टास्क परफॉरमेंस गिरकर 4.85% हो गई; AGA ने इसे 78.36% तक बहाल कर दिया (अनप्रोटेक्टेड बेसलाइन से 1% से भी कम का अंतर)। विभिन्न मर्जिंग प्रतिमानों (Task Arithmetic, CAT, LOT) और मॉडैलिटीज में इसी तरह की उच्च-निष्ठा (high-fidelity) रिकवरी (अनप्रोटेक्टेड परफॉरमेंस का 97% तक) देखी गई।
बचाव की प्रभावकारिता: ARF ने खतरे को सफलतापूर्वक कम किया। जब ARF को लागू किया गया, तो AGA हमले के तहत अनधिकृत मर्ज किए गए मॉडलों का प्रदर्शन लगभग रैंडम स्तर (जैसे, ViT-B/32 पर 0.28%) तक गिर गया, जो MergeGuard जैसे मौजूदा डिफेंस की तुलना में काफी बेहतर प्रदर्शन करता है।
स्टैंडअलोन उपयोगिता: महत्वपूर्ण रूप से, ARF ने मॉडलों के स्टैंडअलोन प्रदर्शन को बनाए रखा। ViT-B/32 पर, ARF ने 88.11% की औसत सटीकता प्राप्त की, जो अनप्रोटेक्टेड बेसलाइन (88.81%) के लगभग समान है और MergeGuard (86.31%) से बेहतर है, जो यह दर्शाता है कि बचाव मॉडल की मूल कार्य क्षमताओं को कम नहीं करता है।

महत्व
यह शोध पत्र दावा करता है कि रैखिक वेट ट्रांसफॉर्मेशन मॉडल मर्जिंग के विरुद्ध "सुरक्षा का केवल एक भ्रम" (merely an illusion of security) प्रदान करते हैं। इस ज्यामितीय भेद्यता को उजागर करके, जहाँ प्री-ट्रेंड एंकर पैरामीटर स्पेस पर हावी रहता है, यह कार्य प्रदर्शित करता है कि वर्तमान पैरामीटर-स्तरीय बचाव मौलिक रूप से त्रुटिपूर्ण हैं। AGA की सफलता इस बात को रेखांकित करती है कि वर्तमान सुरक्षा उपाय कितने कमजोर हैं, जो इस धारणा पर आधारित हैं कि छोटे टास्क वेक्टर्स को रैखिक रूपांतरणों द्वारा सुरक्षित रूप से छिपाया जा सकता है। प्रस्तावित ARF एक व्यावहारिक मार्ग प्रदान करता है जो फाइन-ट्यूनिंग प्रक्रिया का लाभ उठाकर संरचनात्मक रूप से पैरामीटर लैंडस्केप को बदल देता है, जिससे यह सुनिश्चित होता है कि अनधिकृत मर्जिंग मॉडल की उपयोगिता से समझौता किए बिना अप्रभावी बनी रहे।