Steal the Patch Size: Adversarially Manipulate Vision-Language Models
यह शोध पत्र "Steal the Patch Size" को प्रस्तुत करता है, जो एक ब्लैक-बॉक्स हमला है जो विजन-लैंग्वेज मॉडल्स में टास्क-लेवल साइड-चैनल एक्यूरेसी ड्रॉप्स का फायदा उठाकर प्राइवेट टोकेनाइज़र कॉन्फ़िगरेशन, जैसे कि पैच साइज और प्रीप्रोसेसिंग पाइपलाइन्स को रिकवर करता है, जिससे लक्षित प्रतिकूल हेरफेर (एडवर्सरियल मैनिपुलेशन) सक्षम होता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक प्रसिद्ध शेफ के गुप्त सूप की रेसिपी का अनुमान लगाने की कोशिश कर रहे हैं, लेकिन आपको रसोई, सामग्री, या शेफ के नोट्स देखने की अनुमति नहीं है। आप केवल सूप ऑर्डर कर सकते हैं, उसका स्वाद ले सकते हैं, और पूछ सकते हैं, "इसका स्वाद कैसा है?"
यह पेपर एक चतुर तकनीक का वर्णन करता है जहाँ शोधकर्ताओं ने आधुनिक AI इमेज-सॉल्वर (जिन्हें विजन-लैंग्वेज मॉडल कहा जाता है) के "सूप का स्वाद" लेकर उनकी गुप्त रेसिपी का पता लगाया। विशेष रूप से, वे दो छिपे हुए विवरण चुराने में सफल रहे:
- "पैच साइज" (Patch Size): वह तरीका जिससे AI एक छवि को देखने से पहले उसे छोटे वर्गाकार टाइल्स में काटता है।
- "प्रीप्रोसेसिंग" (Preprocessing): क्या AI हर छवि को एक विशिष्ट आकार में सिकोड़ देता है या उनके मूल आकार के आधार पर उन्हें अलग तरह से संभालता है।
यहाँ उन्होंने इसे सरल उपमाओं का उपयोग करके समझाया है।
"स्ट्रॉबेरी" की समस्या
आप जानते हैं कि कैसे कुछ लोगों को "strawberry" शब्द में "r" अक्षर गिनने में कठिनाई होती है? ऐसा इसलिए है क्योंकि मस्तिष्क पूरे शब्द को देखता है, व्यक्तिगत अक्षरों को नहीं।
इस पेपर ने पाया कि AI मॉडलों के साथ छवियों के मामले में भी ऐसी ही समस्या होती है। अधिकांश AI मॉडल किसी तस्वीर को एक निरंतर छवि के रूप में नहीं देखते; वे इसे छोटे वर्गाकार टाइल्स (पैचेस) के ग्रिड में काट देते हैं, जैसे कि एक मोज़ेक। यदि AI छवि को 16x16 पिक्सेल के वर्गों में काटता है, तो वह प्रत्येक वर्ग को एक एकल "शब्द" (या टोकन) के रूप में मानता है।
जाल: ग्रिड का खेल
शोधकर्ताओं ने AI को धोखा देने के लिए एक सरल खेल बनाया। उन्होंने AI को एक रंगीन ग्रिड (जैसे चेकरबोर्ड) की छवि दिखाई और पूछा, "इस ग्रिड में कितने वर्ग हैं?"
इंसान इसका उत्तर तुरंत दे सकते हैं। लेकिन AI एक बहुत ही अजीब और अनुमानित पैटर्न में विफल होने लगा:
- जब ग्रिड के वर्ग एक निश्चित आकार के थे, तो AI ने सही उत्तर दिया।
- जब ग्रिड के वर्ग थोड़े बड़े या छोटे थे, तो AI गलत हो गया।
- जब ग्रिड के वर्ग AI के छिपे हुए "काटने वाले टाइल्स" (chopping tiles) के आकार के बिल्कुल बराबर थे, तो AI पूरी तरह से अंधा हो गया और बुरी तरह विफल रहा।
क्यों? कल्पना कीजिए कि AI के काटने वाले टाइल्स ग्रिड की रेखाओं के साथ पूरी तरह से संरेखित (aligned) हैं। AI एक टाइल को देखता है और उसे केवल एक ही ठोस रंग दिखाई देता है। वह उस रेखा को कभी नहीं देख पाता जहाँ रंग बदलते हैं क्योंकि वह रेखा ठीक दो टाइल्स के बीच में आती है। यह ईंट की दीवार के किनारे को केवल ईंटों को देखकर पहचानने की कोशिश करने जैसा है, बिना गारे (mortar) को देखे। AI गिनती करने की क्षमता खो देता है।
चोरी: रहस्यों को चुराना
विभिन्न ग्रिड आकारों पर हजारों परीक्षण करके, शोधकर्ताओं ने इन "ब्लाइंड स्पॉट्स" (अंधे धब्बों) पर नज़र रखी।
- टाइल का आकार खोजना: उन्होंने देखा कि AI हर बार विफल हो जाता था जब ग्रिड का आकार एक विशिष्ट संख्या का गुणज (multiple) होता था (जैसे, 14, 28, 42)। इससे उन्हें पता चला कि AI का छिपा हुआ "काटने वाला टाइल" ठीक 14 पिक्सेल चौड़ा था।
- रीसाइज़ नियम खोजना: कुछ AI मॉडल छवि को काटने से पहले उसे एक निश्चित आकार (जैसे 512x512) में सिकोड़ देते हैं। अन्य मॉडल विभिन्न आकारों को अलग तरह से संभालते हैं।
- यदि AI छवियों को सिकोड़ता है, तो ग्रिड के आकार को बदलने पर "ब्लाइंड स्पॉट्स" गायब हो जाते हैं।
- लेकिन शोधकर्ताओं ने एक ट्रिक जोड़ी: उन्होंने ग्रिड को एक बड़े, खाली कैनवास (पैडिंग) के अंदर रखा। इस खाली कैनवास के आकार को बदलकर, वे AI को छवियों को अनुमानित तरीकों से सिकोड़ने के लिए मजबूर कर सके। इससे उन्हें पता चल गया कि AI छवियों को किस सटीक आकार (जैसे 512 पिक्सेल) में सिकोड़ रहा है।
परिणाम: वे रहस्य जानते हैं
इस पद्धति का उपयोग करके, शोधकर्ता GPT-4o, Claude, और Qwen जैसे प्रमुख AI मॉडलों की छिपी हुई सेटिंग्स का सफलतापूर्वक अनुमान लगाने में सफल रहे। उन्हें कोड को हैक करने की आवश्यकता नहीं थी; उन्होंने बस सही प्रश्न पूछे और यह देखा कि AI कहाँ लड़खड़ाता है।
यह क्यों मायने रखता है? ("लक्षित" हमला)
यह पेपर दिखाता है कि इन रहस्यों को जानने से एक "सर्जिकल" हमले की अनुमति मिलती है।
कल्पना कीजिए कि आप किसी विशिष्ट AI को एक स्टॉप साइन (stop sign) को स्पीड लिमिट साइन के रूप में देखने के लिए धोखा देना चाहते हैं, लेकिन आप दूसरे AI को धोखा नहीं देना चाहते।
- बिना गुप्त जानकारी के: आप एक सामान्य ट्रिक बनाते हैं जो दोनों पर काम कर सकती है, या दोनों पर नहीं।
- गुप्त जानकारी के साथ: आप जानते हैं कि पहला AI अपनी छवियों को कैसे काटता है। आप एक ऐसा ट्रिक बना सकते हैं जो विशेष रूप से उस विशिष्ट काटने की शैली के लिए एकदम सही काम करे, जबकि दूसरे AI (जो अलग तरह से काटता है) के लिए यह पूरी तरह से सामान्य दिखेगा।
यह किसी विशिष्ट ताले के टंबलर (tumblers) की चौड़ाई 14mm जानने जैसा है। आप एक ऐसी चाबी बना सकते हैं जो केवल उसी ताले को खोलती है, जबकि अन्य सभी तालों को अछूता छोड़ देती है।
सारांश
यह पेपर सिद्ध करता है कि जिस तरह से AI मॉडल छवियों को प्रोसेस करते हैं, वह एक "फिंगरप्रिंट" छोड़ता है। ग्रिड के बारे में सरल प्रश्न पूछकर, शोधकर्ता मॉडल की आंतरिक सेटिंग्स को रिवर्स-इंजीनियर कर सकते हैं। यह प्रकट करता है कि AI दुनिया को कैसे देखता है, इसके "कार्यान्वयन विवरण" (implementation details) वास्तव में गुप्त कुंजियाँ हैं, जिन्हें चुराकर हमलावर उन मॉडलों के खिलाफ अत्यधिक विशिष्ट और खतरनाक चालें चल सकते हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।