🤖 AI

Has This Checkpoint Been Abliterated? A Two-Signal Audit and Its Failure Map

यह शोधपत्र एक थ्रेशोल्ड-मुक्त, दो-सिग्नल ऑडिट पद्धति प्रस्तावित करता है जो स्ट्रिप्ड-रिफ्यूज़ल ("एब्लिटरेटेड") और बेनाइन फाइन-ट्यून्ड एलएलएम चेकपॉइंट्स के बीच उच्च सटीकता के साथ प्रभावी ढंग से अंतर करने के लिए रेफरेंस-एंकरड एक्टिवेशन गैप्स और वेट-रिकवरी एनर्जी को संयोजित करती है, जबकि स्पूफ्ड रेफरेंसेस और व्हाइट-बॉक्स इवेजन के विरुद्ध इसकी सीमाओं को भी स्वीकार करती है।

मूल लेखक: Gabriel Hurtado

प्रकाशित 2026-07-03

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Gabriel Hurtado

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ एक सरल भाषा और रोज़मर्रा के उदाहरणों का उपयोग करके पेपर का स्पष्टीकरण दिया गया है।

बड़ी समस्या: "अनसेंसर्ड" (Uncensored) मास्क

कल्पना कीजिए कि एक लोकप्रिय खिलौना फैक्ट्री (जैसे AI मॉडल बनाने वाले) एक नया, सुरक्षित खिलना रिलीज़ करती है। इसमें एक इन-बिल्ट सुरक्षा तंत्र (safety mechanism) है: यदि कोई बच्चा इससे कुछ खतरनाक करने को कहता है, तो खिलौना विनम्रता से मना कर देता है।

जल्द ही, समुदाय के कुछ लोग इन खिलौनों को लेते हैं, उनके सुरक्षा तंत्र को हटा देते हैं, और उन्हें "अनसेंसर्ड" या "फ्री" वर्ज़न के रूप में बेचते हैं। वे बाहर से बिल्कुल एक जैसे दिखते हैं, लेकिन अब वे आपकी हर बात मानेंगे, भले ही वह हानिकारक क्यों न हो।

सवाल: इससे पहले कि कोई प्लेटफॉर्म (जैसे ऐप स्टोर या चैटबॉट सर्विस) इन "अनसेंसर्ड" खिलौनों को अपनी शेल्फ पर रखने की अनुमति दे, वे कैसे जान सकते हैं कि सुरक्षा तंत्र को हटाया गया है या नहीं?

पुराने तरीके क्यों विफल होते हैं

पेपर बताता है कि खिलौने के साथ खेलने के बाद उसकी जाँच करना (Runtime Guards) ठीक से काम नहीं करता है। यह चोर को पकड़ने के लिए वैसा ही है जैसे कि घर में चोरी होने के बाद चोर के काम करने के तरीके को देखना। आपको खिलौने को अंदर आने देने से पहले उसकी जाँच करनी होगी।

समाधान: एक दो-संकेत वाला "एक्स-रे" (Two-Signal "X-Ray")

लेखकों ने इन AI मॉडलों (जिन्हें "चेकपॉइंट्स" कहा जाता है) की जांच करने का एक नया तरीका बनाया है, जिन्हें तैनात करने से पहले ही देख लिया जाए। वे यह देखने के लिए दो अलग-अलग "एक्स-रे" संकेतों का उपयोग करते हैं कि क्या सुरक्षा तंत्र गायब है।

इसे कार के चोरी हुए इंजन की जाँच करने जैसा समझें:

सिग्नल A: "व्यवहार संबंधी अंतर" (The Activation Refusal-Gap)
- उपमा: कल्पना कीजिए कि आपके पास एक "सुरक्षित कार" (मूल मॉडल) है और एक "कैंडिडेट कार" (वह कार जिसकी आप जाँच कर रहे हैं)। आप दोनों कारों को खाई की ओर जाने के लिए कहते हैं। सुरक्षित कार ब्रेक लगा देती है (मना करती है)। कैंडिडेट कार चलती रहती है।
- यह कैसे काम करता है: यह सिग्नल मापता है कि खतरनाक सवालों के प्रति कार का "दिमाग" कैसे प्रतिक्रिया देता है। यदि कैंडिडेट कार का दिमाग उस "ब्रेक लगाने" वाली प्रतिक्रिया को नहीं दिखाता है, तो यह एक रेड फ्लैग (चेतावनी) है।
- चुनौती: यह केवल तभी काम करता है जब चोर ने ब्रेक को एक बहुत ही विशिष्ट, अनुमानित तरीके से हटाया हो। यदि उन्होंने उन्हें किसी अजीब, जटिल तरीके से हटाया है, तो यह सिग्नल इसे मिस कर सकता है।
सिग्नल B: "वजन की ऊर्जा" (The Weight-Recovery Energy)
- उपमा: कल्पना कीजिए कि कार का इंजन हजारों छोटे स्क्रू से बना है। यदि कोई इंजन को बदलकर दूसरा इंजन लगा देता है (या हिस्से निकाल देता है), तो स्क्रू का पैटर्न बदल जाता है। यह सिग्नल माget करता है कि कैंडिडेट कार का "स्क्रू पैटर्न" सुरक्षित कार से कितना अलग है।
- यह कैसे काम करता है: यह मॉडल की आंतरिक संरचना में किसी भी महत्वपूर्ण बदलाव को देखता है। यदि पैटर्न अजीब तरह से अलग है, तो यह कार को फ्लैग (चिह्नित) कर देता है।
- चुनौती: यह सिग्नल बहुत संवेदनशील है। यह कार को केवल इसलिए फ्लैग कर सकता है क्योंकि किसी ने पेंट बदल दिया है (एक हानिरहित अपडेट) या कुछ पेंच कस दिए हैं, भले ही इंजन अभी भी सुरक्षित हो।

जादुई संयोजन: "Z-Sum"

लेखकों ने महसूस किया कि ये दोनों संकेत एक-दूसरे के पूरक (complementary) हैं।

सिग्नल A विशिष्ट सुरक्षा हटाने को पकड़ने में माहिर है लेकिन जटिल बदलावों को मिस कर देता है।
सिग्नल B किसी भी बड़े बदलाव को पकड़ लेता है लेकिन हानिरहित बदलावों पर भी गलत चेतावनी (false alarm) दे देता है।

उन्होंने इन्हें एक एकल स्कोर (Z-Sum) में मिला दिया।

परिणाम: जब उन्होंने 273 अलग-अलग AI मॉडलों पर इसका परीक्षण किया, तो उनका संयुक्त स्कोर अविश्वसनीय रूप से सटीक (95% सटीकता) रहा। इसने अकेले किसी भी सिग्नल का उपयोग करने की तुलना में "अनसेंसर्ड" मॉडलों को "सुरक्षित" मॉडलों से बहुत बेहतर तरीके से अलग किया।

"विफलता मानचित्र" (The Failure Map): जहाँ सिस्टम टूट जाता है

पेपर ईमानदारी से बताता है कि यह सिस्टम कहाँ विफल होता है। उन्होंने दो विशिष्ट तरीकों को मैप किया है जिनसे एक चालाक चोर डिटेक्टर को मूर्ख बना सकता है:

"नकली आईडी" का खेल (Spoofed Reference)
- परिदृश्य: डिटेक्टर को कैंडिडेट कार की तुलना एक ज्ञात "सुरक्षित कार" से करने की आवश्यकता होती है। यदि चोर झूठ बोलता है और कहता है, "यह सुरक्षित कार है," लेकिन वास्तव में ऐसी कार थमा देता है जिसके ब्रेक पहले ही हटा दिए गए थे, तो डिटेक्टर भ्रमित हो जाता है।
- उपमा: यह सुरक्षा गार्ड द्वारा आपकी आईडी की फोटो से मिलान करने जैसा है। यदि आप गार्ड को अपनी वह फोटो देते हैं जो आपने अपराध करने के बाद ली थी, तो गार्ड सोचेगा कि आप सुरक्षित हैं क्योंकि फोटो व्यक्ति से मेल खाती है।
- सबक: सिस्टम उतना ही मजबूत है जितना कि वह "सुरक्षित कार" जिस पर आप भरोसा करते हैं। यदि संदर्भ (reference) नकली है, तो पूरा ऑडिट तुरंत विफल हो जाता है।
"व्हाइट-बॉक्स" ट्रेनिंग (The Adaptive Evasion)
- परिदृश्य: यदि कार के मालिक को पता है कि सुरक्षा गार्ड चोरी हुए इंजन की जाँच कैसे करता है, तो वे कार को इस तरह से ट्रेन कर सकते हैं कि वह सुरक्षित दिखे, जबकि उसमें चोरी का इंजन मौजूद हो।
- उपमा: कल्पना कीजिए कि एक चोर जानता है कि गार्ड इंजन की एक विशिष्ट आवाज़ की जाँच करता है। चोर इंजन को ऐसा बनाता है कि वह शांत रहे, लेकिन इंजन फिर भी गर्म और खतरनाक चलता है। गार्ड को कुछ सुनाई नहीं देता, लेकिन कार फिर भी असुरक्षित है।
- सबक: एक स्मार्ट मालिक अपने मॉडल को डिटेक्टर से "चोरी हुए इंजन" के संकेतों को छिपाने के लिए ट्रेन कर सकता है, हालांकि इसके लिए बहुत अधिक प्रयास और कंप्यूटिंग पावर की आवश्यकता होती है।

निचोड़ (The Bottom Line)

यह पेपर एक ट्राइएज टूल (triage tool) पेश करता है, न कि कोई जादुई ढाल।

यह क्या करता है: यह प्लेटफार्मों के लिए सैकड़ों AI मॉडलों के बीच से छाँटने का एक तेज़, सस्ता और अत्यधिक प्रभावी तरीका है जिससे वे कह सकें, "हे, यह वाला संदिग्ध लग रहा है, चलो इसकी बारीकी से जाँच करें।"
यह क्या नहीं करता: यह 100% सुरक्षा की गारंटी नहीं दे सकता। यह इस पर निर्भर करता है कि आप मूल मॉडल पर कितना भरोसा करते हैं, और एक बहुत ही स्मार्ट, दृढ़ निश्चयी हमलावर जो नियमों को जानता है, इसे मूर्ख बना सकता है।

संक्षेप में: यह समुद्र तट के लिए एक बहुत अच्छा मेटल डिटेक्टर है, लेकिन यदि कोई सोने को लेड (सीसे) के बॉक्स में दफना देता है या आपसे कहता है कि समुद्र तट खाली है, तो डिटेक्टर इसे मिस कर सकता है।

तकनीकी सारांश: "क्या इस चेकपॉइंट को एब्लिटरेट (Abliterated) किया गया है? एक टू-सिग्नल ऑडिट और इसका फेलियर मैप"

समस्या विवरण
"ओपन-वेट" मॉडल्स का तेजी से प्रसार, जिन्हें "एब्लिटरेट" (अस्वीकार तंत्र को हटा दिया गया है) किया गया है, प्लेटफॉर्म और गवर्नेंस निकायों के लिए एक महत्वपूर्ण चुनौती पेश करता है। ये आर्टिफैक्ट्स अक्सर प्रमुख बेस मॉडल रिलीज के तुरंत बाद दिखाई देते हैं। वर्तमान रनटाइम गार्ड्स प्री-डिप्लॉयमेंट ऑडिटिंग के लिए अपर्याप्त हैं क्योंकि वे मॉडल जेनरेशन को स्कोर करते हैं न कि स्वयं मॉडल आर्टिफैक्ट को। इसके अलावा, केवल ब्लैक-बॉक्स एक्सेस कठोर ऑडिटिंग का समर्थन नहीं कर सकता है। मुख्य प्रश्न जिसका समाधान किया गया है, वह है: क्या एक विशिष्ट चेकपॉइंट आर्टिफैक्ट के उसके रिफ्यूज़ल मैकेनिज्म को हटा दिया गया है?

कार्यप्रणाली
लेखक एक थ्रेशोल्ड-मुक्त चेकपॉइंट ऑडिट का प्रस्ताव करते हैं जो दो पूरक आंतरिक सिग्नल्स को जोड़ता है, जिन्हें मानकीकृत (standardized) और योग करके एक एकल स्कोर बनाया जाता है। ऑडिट के लिए एक कैंडिडेट चेकपॉइंट ( $M_c$ ) और एक विश्वसनीय, प्रमाणित (attested) रेफरेंस चेकपॉइंट ( $M_b$ ) की आवश्यकता होती है।

रेफरेंस-एंकरड एक्टिवेशन रिफ्यूज़ल-गैप ( $\rho$ ):
- तंत्र: कैंडिडेट मॉडल बनाम रेफरेंस मॉडल में "हानिकारक-माइनस-सौम्य" (harmful-minus-benign) एक्टिवेशन गैप के अनुपात की गणना करता है।
- परिभाषा: $\rho = \text{gap}(M_c) / \text{gap}(M_b)$ , जहाँ गैप मिड-स्टैक लेयर बैंड में हानिकारक बनाम सौम्य प्रॉम्प्ट्स पर लास्ट-टोकन एक्टिवेशन का औसत अंतर है।
- कार्य: यह रिफ्यूज़ल-विशिष्टता (refusal-specificity) प्रदान करता है। 1 के करीब मान एक बरकरार रिफ्यूज़ल मैकेनिज्म को दर्शाता है; 0 के करीब मान इसके निष्कासन को दर्शाता है।
- सीमा: यह एक ही दिशा (डिफरेंस-ऑफ-मीन्स दिशा) तक सीमित है और उन मामलों में चूक सकता है जहाँ रिफ्यूज़ल नॉन-कैनोनिकल दिशाओं में हटा दिया गया हो या जहाँ रीजनिंग-डिस्टिल्ड मॉडल्स में रिफ्यूज़ल 'चेन-ऑफ-थॉट' में माइग्रेट हो गया हो।
वेट-रिकवरी एनर्जी ( $E_1$ ):
- तंत्र: अटेंशन-आउटपुट और MLP-डाउन प्रोजेक्शन मैट्रिसेस में वेट डिफरेंस ( $\Delta W = W_b - W_c$ ) के रैंक-1 एनर्जी फ्रैक्शन को मापता है।
- परिभाषा: $E_1 = \frac{1}{|W|} \sum \frac{\sigma_1^2(\Delta W_m)}{\sum \sigma_i^2(\Delta W_m)}$ ।
- कार्य: यह रिकॉल (recall) प्रदान करता है। यह किसी भी लो-रैंक वेट एडिट का पता लगाता है, जिससे उन मल्टी-डायरेक्शनल रिमूवल्स को पकड़ा जा सकता है जिन्हें एक्टिवेशन गैप मिस कर देता है।
- सीमा: यह अकेले रिफ्यूज़ल निष्कासन और सौम्य लो-रैंक एडिट्स (जैसे आक्रामक फाइन-ट्यूनिंग) के बीच अंतर नहीं कर सकता है।
कंबाइंड डिटेक्टर:
- दोनों सिग्नल नकारात्मक रूप से सह-संबंधित हैं ( $r \approx -0.41$ ) और लेबल-पूरक हैं।
- अंतिम स्कोर उनके z-स्कोर का योग है: $s(M_c) = z(-\rho) + z(E_1)$ ।
- सिस्टम एक रेफरेंस पॉपुलेशन के आधार पर ट्रांसडक्टिव मानकीकरण का उपयोग करता है और एक कैलिब्रेशन सेट पर यूडन के $J$ स्टैटिस्टिक के माध्यम से ऑपरेटिंग पॉइंट सेट करता है।

मुख्य योगदान

प्रभावी चेकपॉइंट-ट्राइएज डिटेक्टर: कंबाइंड z-सम 273 चेकपॉइंट्स के रजिस्ट्री (57 अनसेंसर्ड, 37 सौम्य) पर 0.95 का AUROC प्राप्त करता है, जो अकेले किसी भी सिग्नल (0.84 और 0.90) से काफी बेहतर है। यह संतुलित सटीकता (बैलेंस्ड एक्यूरेसी) 0.89 (FPR 0.11) के साथ अनदेखे मॉडल परिवारों पर भी सफलतापूर्वक ट्रांसफर होता है।
फेलियर मैप: पेपर स्पष्ट रूप से दो विफलता मोड को चार्ट करता है:
- स्पूफ़ेड रेफरेंस (Spoofed Reference): यदि घोषित किया गया रेफरेंस स्वयं एडवरसेरियल (पहले से एब्लिटरेटेड) है या कैंडिडेट को स्वयं के रेफरेंस के रूप में उपयोग किया जाता है, तो ऑडिट बिना किसी ट्रेनिंग के विफल हो जाता है ( $\Delta W=0, \rho=1$ )।
- व्हाइट-बॉक्स इवेजन (White-Box Evasion): एक व्हाइट-बॉक्स ओनर डिटेक्टर से बचने के लिए (स्कोर को थ्रेशोल्ड से नीचे लाने के लिए) एक चेकपॉइंट को ट्रेन कर सकता है, जबकि गार्ड-अनसेफ व्यवहार और कोहेरेंस बनाए रखता है।
पब्लिक रजिस्ट्री: मूल्यांकन Qwen, DeepSeek-distilled Qwen, Llama, और Gemma के 273 चेकपॉइंट्स के रजिस्ट्री पर किया गया है, जिसमें सौम्य नेगेटिव्स (फाइन-ट्यून्स, मर्ज, इंस्ट्रक्शन-ट्यून्स) शामिल हैं।

परिणाम

सेपरेबिलिटी: कंबाइंड डिटेक्टर 57 में से 53 अनसेंसर्ड चेकपॉइंट्स को सौम्य एडिट्स से अलग करता है। छूटे हुए 4 मामले साधारण एब्लिटरेशन वेरिएंट थे, न कि जटिल "हार्ड रेसिपीज़"।
ट्रांसफेरेबिलिटी: "लीव-वन-फैमिली-आउट" कैलिब्रेशन के तहत, डिटेक्टर उच्च प्रदर्शन बनाए रखता है (बैलेंस्ड एक्यूरेसी 0.89), जबकि एब्सोल्यूट थ्रेशोल्डिंग मेथड्स (जैसे AMS टियर-1) काफी विफल रहते हैं (बैलेंस्ड एक्यूरेसी 0.35)।
पूरकता: जब रिफ्यूज़ल कई दिशाओं में हटाया जाता है या रीजनिंग ट्रेसेस में छिपा होता है, तो एक्टिवेशन गैप विफल हो जाता है; वेट एनर्जी इन मामलों को पकड़ लेती है लेकिन सौम्य एडिट्स को भी फ्लैग कर देती है। इनका संयोजन व्यक्तिगत कमजोरियों को कम करता है।
इवेजन (Evasion): एक एडेप्टिव व्हाइट-बॉक्स अटैक ने 600 ट्रेनिंग स्टेप्स के दौरान Qwen2.5-1.5B मॉडल को "डिटेक्टेड" से "इवेडेड" स्टेटस में सफलतापूर्वक पहुँचा दिया। परिणामी मॉडल गार्ड-अनसेफ (20/20 हानिकारक प्रॉम्प्ट्स) और कोहेरेंट रहा, जिसमें केवल सामान्य ज्ञान और गणित क्षमताओं पर एक छोटा "ऑब्फस्केशन टैक्स" लगा।

महत्व और दावे
यह पेपर इस ऑडिट को एक प्रभावी ट्राइएज टूल के रूप में प्रस्तुत करता है, न कि एक छेड़छाड़-मुक्त (tamper-proof) समाधान के रूप में।

उपयोगिता: यह प्लेटफॉर्म्स के लिए एक सस्ता, फर्स्ट-पास फिल्टर प्रदान करता है ताकि तैनाती से पहले मानव समीक्षा के लिए चेकपॉइंट्स को फ्लैग किया जा सके, जिससे रनटाइम जेनरेशन स्कोरिंग पर निर्भरता काफी कम हो जाती है।
सीमाएँ: लेखक स्पष्ट रूप से कहते हैं कि ऑडिट के दावे मूल्यांकित रजिस्ट्री और एक प्रमाणित (attested) रेफरेंस की धारणा द्वारा सीमित हैं। यदि रेफरेंस स्पूफ किया गया है, तो ऑडिट मूल रूप से शून्य है।
ड्यूल-यूज़: पेपर स्वीकार करता है कि कार्यप्रणाली स्वयं एक "डिटेक्शन-अवेयर इवेजन रेसिपी" प्रदान करती है, यह नोट करते हुए कि नेचुरल फाइन-ट्यूनिंग इस भेद्यता को नहीं खोलती है, लेकिन लक्षित अनुकूलन (targeted optimization) ऐसा कर सकता है।
विनम्रता: लेखक पूरी तरह से सुरक्षा की समस्या को हल करने का दावा नहीं करते हैं। वे इस बात पर जोर देते हैं कि ऑडिट पूरी तरह से बेस एटेस्टेशन की अखंडता पर निर्भर है; यदि रेफरेंस स्पूफ किया जाता है, तो ऑडिट निष्प्रभावी हो जाता है। इसके अलावा, व्हाइट-बॉक्स इवेजन क्षमता दर्शाती है कि दृढ़ स्वामित्व वाले लोग असुरक्षित व्यवहार बनाए रखते हुए इन सिग्नल्स से बच निकलने के लिए मॉडल को ट्रेन कर सकते हैं।