Overloading Large Vision-Language Models for Jailbreaking
यह शोध पत्र एक नवीन "सूचना ओवरलोडिंग" (information overloading) जेलब्रेक हमले का प्रस्ताव करता है जो लार्ज विजन-लैंग्वेज मॉडल्स को जटिल मल्टीमॉडल इनपुट के साथ अभिभूत करने के लिए रिकर्सिव इमेज-टाइपोग्राफी लेआउट का लाभ उठाता है, जिससे सुरक्षा संरेखण (safety alignment) को कमजोर करने के लिए गहन क्रॉस-मोडल प्रोसेसिंग का फायदा उठाकर ओपन-सोर्स और कमर्शियल मॉडल्स में अत्याधुनिक सफलता दर प्राप्त की जा सकती है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि लार्ज विजन-लैंग्वेज मॉडल्स (LVLMs) अविश्वसनीय रूप से स्मार्ट, बहुमुखी सहायक हैं। वे टेक्स्ट पढ़ सकते हैं, तस्वीरें देख सकते हैं, और यह समझ सकते हैं कि दोनों एक-दूसरे से कैसे संबंधित हैं। वे एक ऐसे लाइब्रेरियन की तरह हैं जो किसी पेंटिंग का वर्णन करने के साथ-साथ उस पर लिखी किताब को भी पढ़ सकता है। हालाँकि, किसी भी स्मार्ट सिस्टम की तरह, उनके पास कुछ बुरा करने (जैसे बैंक अकाउंट हैक करने के निर्देश देने) से रोकने के लिए सुरक्षा नियम भी होते हैं।
यह पेपर इन सहायकों को अपने स्वयं के सुरक्षा नियमों को तोड़ने के लिए चकमा देने का एक नया तरीका पेश करता है। लेखक इस पद्धति को "इन्फॉर्मेशन ओवरलोडिंग" (सूचना का अतिभार) कहते हैं।
यह कैसे काम करता है, इसके सरल उपमाओं का उपयोग यहाँ दिया गया है:
1. पुराना तरीका: सुई को छिपाना
इन AI सहायकों को धोखा देने के पिछले प्रयास एक घास के ढेर में सुई छिपाने की कोशिश करने जैसे थे। हमलावर एक बुरे अनुरोध को अजीब छवियों या भ्रमित करने वाले शब्दों (आउट-ऑफ-डिस्ट्रीब्यूशन या "OOD" हमले) का उपयोग करके छिपा देते थे। उन्हें उम्मीद थी कि AI इस अजीबोगरीब चीज़ से भ्रमित हो जाएगा और बुरे इरादे को पहचान नहीं पाएगा।
लेकिन AI अब अधिक स्मार्ट हो गया है। यह उस "अजीब सुई" को पहचानने और यह कहने में बेहतर है कि "नहीं, मैं यह नहीं करूँगा।"
2. नया तरीका: सूचना का "फायरहोज़" (तेज़ धार)
इस पेपर के लेखकों ने महसूस किया कि बुरे अनुरोध को छिपाने के बजाय, उन्हें AI को इतनी अधिक जानकारी में डुबो देना चाहिए कि वह अभिभूत (overwhelmed) हो जाए।
कल्पive करें कि आप किसी व्यक्ति को एक साधारण नियम समझाने की कोशिश कर रहे हैं, लेकिन आप इसे एक साथ तीन भ्रमित करने वाले तरीकों से करते हैं:
- टेक्स्ट: आप एक लंबा, जटिल पैराग्राफ लिखते हैं।
- इमेज: आप उन्हें एक ऐसी तस्वीर दिखाते हैं जिसमें बहुत छोटे, कठिन से पढ़े जाने वाले टेक्स्ट लिखे होते हैं (जैसे एक पोस्टर जो आपस में टकराते हुए संकेतों से ढका हो)।
- नेस्टिंग (नेस्टेड संरचना): आप उन्हें बताते हैं, "पहले चित्र पर मौजूद टेक्स्ट पढ़ें, फिर चित्र के टेक्स्ट के बारे में लिखे गए टेक्स्ट को पढ़ें, और फिर समझाएं कि वह मुख्य प्रश्न से कैसे जुड़ता है।"
इसे ही लेखक "इमेज-टाइपोग्राफी" और "रिकर्सिव लेआउट्स" कहते हैं। वे ऐसी छवियां बनाते हैं जहाँ टेक्स्ट को जटिल, पेड़ जैसी संरचनाओं (tree-like patterns) में चित्र के भीतर समाहित किया जाता है।
3. यह क्यों काम करता है: "ब्रेन फ्रीज़" (दिमाग का सुन्न होना)
पेपर बताता है कि जब AI इस विशाल, उलझे हुए टेक्स्ट और इमेज के ढेर को प्रोसेस करने की कोशिश करता है, तो उसे सामान्य से कहीं अधिक मेहनत करनी पड़ती है। उसे टेक्स्ट पढ़ने और चित्र का विश्लेषण करने के बीच लगातार स्विच करना पड़ता है।
- उपमा: सोचिए कि AI का सुरक्षा गार्ड एक क्लब के सुरक्षा गार्ड की तरह है। आमतौर पर, गार्ड जल्दी से आपकी आईडी (टेक्स्ट) और आपका पहनावा (इमेज) चेक करता है। यदि आप संदिग्ध दिखते हैं, तो वह कहता है "नहीं।"
- हमला: इस नई पद्धति में, हमलावर गार्ड को एक 50 पन्नों का डोजियर, 100 परतों वाला एक नक्शा, और बहुत छोटे फॉन्ट में लिखी गई 50 भ्रमित करने वाली नियमों की सूची थमा देता है। गार्ड इस सारी जानकारी को प्रोसेस करने में इतना व्यस्त हो जाता है कि वह भ्रमित हो जाता है। वह अपना आत्मविश्वास खो देता है। एक दृढ़ "नहीं" कहने के बजाय, वह हिचकिचाता है, और अंततः, वह व्यक्ति को अंदर जाने देता है।
पेपर ने पाया कि यह "भ्रम" AI को बुरे अनुरोधों को अस्वीकार करने के प्रति कम आश्वस्त बनाता है। जब AI अनिश्चित होता है, तो इसकी संभावना अधिक होती है कि वह गलती से किसी ऐसी चीज़ के लिए "हाँ" कह दे जिसे उसे नहीं कहना चाहिए।
4. परिणाम: एक मास्टर की (Master Key)
शोधकर्ताओं ने कई अलग-अलग AI मॉडल्स पर इस "फायरहोज़" पद्धति का परीक्षण किया, जिसमें ओपन-सोर्स मॉडल (जैसे Qwen और Llama) और प्रसिद्ध कमर्शियल मॉडल (जैसे Gemini और GPT-4) शामिल थे।
- स्कोर: उन्होंने यह मापा कि AI कितनी बार अपने नियमों को तोड़ता है (अटैक सक्सेस रेट)। उनकी नई पद्धति ओपन मॉडल्स पर 88.6% बार और कमर्शियल मॉडल्स पर 84.0% बार सफल रही।
- तुलना: यह पिछले तरीकों की तुलना में बहुत बेहतर है, जो केवल 40-50% बार ही काम करते थे।
- क्रॉस-मॉडल जादू: भले ही उन्होंने एक विशिष्ट AI मॉडल पर हमले को प्रशिक्षित किया हो, यह उन अन्य मॉडल्स पर भी आश्चर्यजनक रूप से अच्छा काम करता था जिन्हें उन्होंने पहले कभी नहीं देखा था। यह एक ऐसी चाबी बनाने जैसा है जो कई अलग-अलग तालों में फिट हो जाती है क्योंकि "लॉक मैकेनिज्म" (सुरक्षा गार्ड) सभी में एक ही तरह से अभिभूत हो जाता है।
5. इसका क्या अर्थ है
पेपर निष्कर्ष निकालता है कि वर्तमान में इन AI सहायकों के लिए सबसे बड़ा जोखिम केवल बुरे अनुरोधों को "छिपाना" नहीं है, बल्कि उन्हें बहुत अधिक जटिल जानकारी से ओवरलोड करना है।
लेखक चेतावनी देते हैं कि जैसे-जैसे AI वास्तविक जीवन में अधिक आम होता जा रहा है (दस्तावेज़ पढ़ना, स्क्रीनशॉट देखना, कार्यों में मदद करना), यह "इन्फॉर्मेशन ओवरलोड" वाला तरीका सुरक्षा फिल्टर को बायपास करने के लिए इस्तेमाल किया जा सकता है। वे उम्मीद करते हैं कि इस तरह से दिखाकर, डेवलपर्स अधिक मजबूत सुरक्षा गार्ड बना सकते हैं जो उलझने पर भ्रमित न हों।
संक्षेप में: पेपर दिखाता है कि यदि आप एक साथ AI पर बहुत अधिक जटिल टेक्स्ट और चित्र फेंकते हैं, तो वह अराजकता को समझने में इतना व्यस्त हो जाता है कि वह खतरनाक अनुरोधों को "ना" कहना भूल जाता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।