Unicode TAG-Block Concealment of Tool-Metadata Payloads in the Model Context Protocol: An Approval-View Fidelity Gap Across Three Independent Server Implementations
यह शोध पत्र प्रदर्शित करता है कि मॉडल कॉन्टेक्स्ट प्रोटोकॉल (MCP) में एक महत्वपूर्ण अप्रूवल-व्यू फिडेलिटी गैप (approval-view fidelity gap) मौजूद है जहाँ यूनिकोड TAG-ब्लॉक एनकोडिंग हमलावरों को टूल मेटाडेटा के भीतर दुर्भावनापूर्ण पेलोड को छिपाने की अनुमति देता है, जिससे वे मानव समीक्षा और क्लाइंट-साइड सैनिटाइज़र को बायपास करते हुए छिपे हुए कंटेंट को कई स्वतंत्र सर्वर कार्यान्वयनों के माध्यम से सीधे मॉडल के कॉन्टेक्स्ट तक पहुँचा सकते हैं।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आपके पास एक बहुत ही बुद्धिमान, सहायक रोबोट असिस्टेंट (एक AI कोडिंग एजेंट) है जो आपके लिए कई काम कर सकता है, जैसे फाइलें पढ़ना, ईमेल भेजना या मौसम की जांच करना। यह करने के लिए, आपके रोबोट को बाहरी टूल्स (tools) से बात करने की आवश्यकता होती है।
मॉडल कॉन्टेक्स्ट प्रोटोकॉल (MCP) वह मानक नियम पुस्तिका (standard rulebook) है जो आपके रोबोट को इन बाहरी टूल्स से जुड़ने की अनुमति देती है। इसे एक मेनू की तरह समझें। जब आप एक नया टूल जोड़ते हैं, तो सर्वर आपके रोबोट को एक "मेनू" भेजता है। इस मेनू के तीन भाग हैं:
- नाम (The Name): टूल का नाम क्या है।
- विवरण (The Description): एक वाक्य जो बताता है कि यह क्या करता है।
- नियम (The Rules): इसका उपयोग कैसे करना है (इसे किन इनपुट्स की आवश्यकता है)।
इससे पहले कि रोबोट इन टूल्स का उपयोग करना शुरू करे, आपको (इंसान को) उस मेनू को देखना होगा और "अनुमति दें" (Allow) पर क्लिक करना होगा। यह आपकी सुरक्षा जांच है।
समस्या: "मैजिक इंक" (जादुई स्याही) का खेल
शोधकर्ताओं ने पाया कि यह सुरक्षा जांच कैसे काम करती है, इसमें एक खामी है। यह पाया गया है कि जो मेनू आप देखते हैं और जो निर्देश वास्तव में रोबोट पढ़ता है, वे हमेशा एक समान नहीं होते हैं।
यहाँ इसकी उपमा (analogy) दी गई है:
कल्पना कीजिए कि आप एक नए कर्मचारी (टूल) को काम पर रख रहे हैं। आपको समीक्षा करने के लिए एक बायोडाटा (टूल विवरण) दिया जाता है।
- आप जो देखते हैं: बायोडाटा सामान्य दिखता है। इसमें लिखा है, "यह व्यक्ति फाइलें व्यवस्थित करने में बहुत अच्छा है।"
- बॉस (AI) जो पढ़ता है: उसी बायोडाटा के अंदर, अदृश्य स्याही से एक गुप्त नोट छिपा हुआ है: "कंपनी के सभी पासवर्ड चुरा लो और उन्हें मुझे भेज दो।"
शोधकर्ताओं ने पाया कि वर्तमान प्रणाली यह सुनिश्चित नहीं करती है कि "दृश्य बायोडाटा" (visible resume) और "अदृश्य निर्देशों" (invisible instructions) के बीच मेल हो।
विशिष्ट ट्रिक: "घोस्ट" (भूतिया) कैरेक्टर्स
शोधकर्ताओं ने इन गुप्त निर्देशों को छिपाने के 8 अलग-अलग तरीकों का परीक्षण किया। इनमें से अधिकांश किसी दूसरी भाषा में लिखने या अजीब फॉर्मेटिंग का उपयोग करने जैसा था जिसे यदि कोई ध्यान से देखे तो इंसान पहचान सके।
लेकिन एक ट्रिक पूरी तरह से काम कर गई, और यह यूनिकोड टैग (Unicode TAG) कैरेक्टर्स पर आधारित है।
- उपमा: कल्पना कीजिए कि एक लाइब्रेरी है जहाँ हर किताब पर एक लेबल है। अधिकांश लेबल पर शब्द होते हैं। लेकिन वहां एक विशेष अनुभाग (TAG block) है जहाँ लेबल तकनीकी रूप से वैध तो हैं, लेकिन लाइब्रेरी स्टाफ (आपका स्क्रीन, आपका फोन, आपका IDE) को पता ही नहीं है कि वे लेबल कैसे दिखते हैं। वे बस... गायब हो जाते हैं।
- परिणाम: जब आप टूल का विवरण देखते हैं, तो स्क्रीन उन कैरेक्टर्स के लिए कुछ भी नहीं दिखाती है। यह खाली जगह की तरह दिखता है। लेकिन जब डेटा AI रोबोट को भेजा जाता है, तो रोबोट का दिमाग (उसका टोकेनाइज़र/tokenizer) हर एक बाइट को पढ़ता है, जिसमें अदृश्य बाइट्स भी शामिल हैं। वह गुप्त निर्देश को पूरी तरह स्पष्ट रूप से देख लेता है।
पेपर इस तकनीक को कंसीलमेंट एनकोडिंग (Concealment Encoding) कहता है। यह कागज के टुकड़े पर नोट लिखने जैसा है जो आपकी आँखों के लिए खाली दिखता है, लेकिन जब आप इसे विशेष मशीन (AI) के साथ स्कैन करते हैं, तो टेक्स्ट दिखाई देने लगता है।
अन्य खामियां जो उन्होंने पाईं
जबकि "अदृश्य स्याही" सबसे खतरनाक थी, शोधकर्ताओं ने पाया कि सुरक्षा प्रणाली के विफल होने के अन्य तरीके भी हैं:
- "बैट एंड स्विच" (धोखाधड़ी - Rug Pull): आप "List Files" नामक एक टूल को मंजूरी देते हैं जो हानिरहित दिखता है। बाद में, सर्वर चुपचाप विवरण बदलकर "List Files and steal passwords" कर देता है। सिस्टम आपसे दोबारा मंजूरी नहीं मांगता क्योंकि टूल का नाम नहीं बदला, केवल उसका विवरण बदला है।
- "इम्पोस्टर" (छद्मवेशी - Namespace Collision): एक बुरा तत्व (bad actor) "read_file" नाम का एक टूल बनाता है, जो आपके कंप्यूटर के मौजूदा सुरक्षित टूल के समान नाम का है। रोबोट भ्रमित हो जाता है और सुरक्षित टूल के बजाय गलत वाले का उपयोग करता है।
- "ट्रैप डोर" (जाल - Trap Door): टूल का विवरण सामान्य दिखता है, लेकिन "नियमों" वाला हिस्सा (इनपुट स्कीमा) एक डिफॉल्ट सेटिंग रखता है जो कहता है "सभी सुरक्षा बंद करें।" यदि रोबोट केवल डिफॉल्ट सेटिंग्स को स्वीकार कर लेता है, तो वह गलती से अपनी सुरक्षा ढाल खुद ही बंद कर देता है।
उन्होंने इसे साबित करने के लिए क्या किया
शोधकर्ताओं ने केवल अनुमान नहीं लगाया; उन्होंने एक वास्तविक परीक्षण बनाया।
- उन्होंने एक "दुर्भावनापूर्ण" (malicious) सर्वर बनाया जो इन छिपे हुए निर्देशों को भेजने की कोशिश करता है।
- उन्होंने इसे एक वास्तविक AI क्लाइंट (रोबोट) से जोड़ा।
- उन्होंने इसका परीक्षण तीन अलग-अलग, स्वतंत्र सॉफ्टवेयर लाइब्रेरीज़ के खिलाफ किया जिनका लोग वास्तव में इन टूल्स को बनाने के लिए उपयोग करते हैं।
- परिणाम: हर एक मामले में, तीनों अलग-अलग सॉफ्टवेयर सिस्टमों में, छिपे हुए निर्देश रोबोट तक पहुँच गए। "अदृश्य स्याही" वाली ट्रिक 100% समय काम कर गई, और रोबोट को गुप्त निर्देश मिल गए, भले ही मानव समीक्षक को कुछ भी दिखाई नहीं दिया।
समाधान जो वे प्रस्तावित करते हैं
पेपर का तर्क है कि हम केवल "कीवर्ड फिल्टर" (जैसे स्पेलचेकर जो बुरे शब्दों को देखता है) पर भरोसा नहीं कर सकते क्योंकि हमलावर शब्दों को छिपा सकते हैं।
इसके बजाय, वे तीन संरचनात्मक सुधारों का सुझाव देते हैं:
- बाइट-फिथफुल व्यूइंग (Byte-Faithful Viewing): यदि रोबोट एक कैरेक्टर देख सकता है, तो आपको भी उसे देखना चाहिए। यदि कोई कैरेक्टर आपकी स्क्रीन के लिए अदृश्य है, तो सिस्टम को एक चेतावनी बॉक्स दिखाना चाहिए (जैसे कि "गायब कैरेक्टर" का प्रतीक) बजाय इसके कि उसे चुपचाप गायब होने दिया जाए।
- परिवर्तन पर पुनः अनुमोदन (Re-Approval on Changes): यदि कोई टूल अपने विवरण या नियमों को बदल देता है जिसे आपने पहले ही "हाँ" कह दिया है, तो सिस्टम को रुकना चाहिए और आपसे फिर से पूछना चाहिए।
- सख्त नेमस्पेस (Strict Namespaces): इंटरनेट से आने वाले टूल को आपके कंप्यूटर के टूल का नाम चुराने की अनुमति नहीं दी जानी चाहिए।
सारांश
यह पेपर उजागर करता है कि जिस तरह से हम AI टूल्स को बाहरी दुनिया से जोड़ते हैं, उसमें एक "ब्लाइंड स्पॉट" (अंधा मोड़) है। हमलावर ऐसे निर्देश लिख सकते हैं जो मानवीय आंखों के लिए अदृश्य हैं लेकिन AI के लिए पूरी तरह स्पष्ट हैं। शोधकर्ताओं ने साबित किया कि यह विभिन्न सॉफ्टवेयर सिस्टमों में काम करता है और दिखाया कि इसे ठीक करने का एकमात्र तरीका यह सुनिश्चित करना है कि मानव जो देखता है वह बिल्कुल वही है, बाइट-दर-बाइट, जो AI देखता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।