तकनीकी सारांश: सामुदायिक प्रशिक्षण में बैकडोर अवशोषण की शक्ति

समस्या विवरण (Problem Statement)

सुरक्षा-महत्वपूर्ण अनुप्रयोगों में तैनात बड़े पैमाने के AI मॉडल तेजी से गुप्त बैकडोर हमलों के प्रति संवेदनशील होते जा रहे हैं। विकेंद्रीकृत "सामुदायिक प्रशिक्षण" (community training) प्रतिमानों में, जहाँ एक गणनात्मक रूप से सीमित मॉडल स्वामी प्रशिक्षण चरणों को बाहरी प्रशिक्षकों के समुदाय को सौंप देता है, हमलावर दुर्भावनापूर्ण व्यवहार को इंजेक्ट करने के लिए प्रशिक्षकों के एक उपसमूह को समझौता कर सकते हैं। पहचान से बचने के लिए, ये हमलावर "मितव्ययी" (parsimonious) रणनीतियों का उपयोग करते हैं: ट्रिगर के परिमाण ($\delta$) और विषाक्त अनुपात ($\rho$) को न्यूनतम करना, जबकि यह सुनिश्चित करना कि तैनाती तक ईमानदार अपडेट के माध्यम से बैकडोर बना रहे।

मौजूदा रक्षा प्रणालियाँ एक मौलिक ट्रेड-ऑफ का सामना करती हैं। स्वच्छता (Sanitization) और विसंगति पहचान (Anomaly detection) विधियाँ अक्सर उन गुप्त ट्रिगर्स के खिलाफ विफल हो जाती हैं जो सौम्य भिन्नता (bengeign variance) की नकल करते हैं या जिनके लिए निजी डेटा तक अवास्तविक पहुंच की आवश्यकता होती है। इसके विपरीत, प्रत्येक प्रशिक्षण चरण के व्यापक क्रिप्टोग्राफिक ऑडिटिंग से अत्यधिक गणनात्मक ओवरहेड होता है जो मॉडल स्वामी की संसाधन सीमाओं के विरुद्ध जाता है। हमलावर इन इंजेक्शनों को समय के साथ फैलाकर इस विषमता का लाभ उठाते हैं, जिससे वे विरल सत्यापन बजट (sparse verification budgets) से अधिक समय तक टिके रहते हैं। मुख्य चुनौती पूर्ण सत्यापन की लागत उठाए बिना निरंतर (persistent), मितव्ययी बैकडोर के विरुद्ध निर्णायक सुरक्षा प्राप्त करना है।

कार्यप्रणाली (Methodology)

यह शोध पत्र एक ऐसी रक्षा रणनीति का प्रस्ताव करता है जो अंतर्निहित "बैकडोर अवशोषण" (backdoor absorption) घटना का लाभ उठाती है—जो सौम्य अपडेट के निरंतर प्रवाह के संपर्क में आने पर बैकडोर प्रभावकारिता का प्राकृतिक क्षरण है। लेखक बैकडोर इंजेक्शन और सौम्य अवशोषण के बीच की अंतःक्रिया को एक डिस्क्रीट-टाइम मार्कोव चेन (DTMC) के रूप में औपचारिक रूप देते हैं।

सिस्टम और थ्रेट मॉडल (System and Threat Models)

• सामुदायिक सेटिंग: एक मॉडल स्वामी $T$ क्रमिक प्रशिक्षण चरणों को $n$ प्रशिक्षकों के एक समुदाय को सौंपता है, जिसमें $n-f$ ईमानदार और $f$ दुर्भावनापूर्ण नोड्स शामिल हैं।
• विरोधी बाधाएं (Adversary Constraints): हमलावर $f$ प्रशिक्षकों को नियंत्रित करता है लेकिन वह चयन अनुसूची (selection schedule) को निर्धारित नहीं कर सकता। वे एक "ब्लाइंड होराइजन" (blind horizon) के तहत काम करते हैं, जो कुल प्रशिक्षण चरणों $T$ या शेष चरणों से अनभिज्ञ है। सफल होने के लिए, उन्हें एक ऐसा बैकडोर इंजेक्ट करना होगा जिसे लक्ष्य अटैक सक्सेस रेट (ASR) थ्रेशोल्ड $\alpha$ तक पहुँचने के लिए $\tau$ लगातार दुर्भावनापूर्ण चरणों की आवश्यकता हो।
• अवशोषण जीवनकाल ($\pi$): इसे अधिकतम संख्या के रूप में परिभाषित किया गया है लगातार ईमानदार चरणों की जो मॉडल सहन कर सकता है इससे पहले कि बैकडोर का ASR $\alpha$ से नीचे गिर जाए।

सैद्धांतिक ढांचा (Theoretical Framework)

प्रशिक्षण प्रक्षेपवक्र (trajectory) को दो चरणों वाले स्टेट स्पेस में मैप किया गया है:

1. इंजेक्शन अवस्थाएँ ($I_0, \dots, I_{\tau-1}$): आवश्यक $\tau$ लगातार दुर्भावनापूर्ण चरणों की ओर हमलावर की प्रगति को ट्रैक करना।
2. अवशोषण अवस्थाएँ ($A_0, \dots, A_\pi$): सौम्य अपडेट के संचय के साथ बैकडोर के क्षरण को ट्रैक करना।

लेखक हमलावर के लिए दो टोपोलॉजिकल बाउंड्स का विश्लेषण करते हैं:

• प्रोग्रेस-प्रिजर्विंग इंजेक्शन (PPI): ईमानदार चरणों के परिणामस्वरूप सेल्फ-लूप होते हैं, जो आंशिक दुर्भावनापूर्ण प्रगति को सुरक्षित रखते हैं (हमलावर के लिए सर्वश्रेष्ठ मामला)।
• प्रोग्रेस-रीसेटिंग इंजेक्शन (PRI): एक एकल ईमानदार चरण सभी दुर्भावनापूर्ण प्रगति को शून्य पर रीसेट कर देता है (हमलावर के लिए सबसे खराब मामला)।

संयुक्त रक्षा रणनीति (Composite Defense Strategy)

अटैक सक्सेस प्रोबेबिलिटी को शून्य करने के लिए, लेखक तीन तत्वों को मिलाकर एक संयुक्त रक्षा रणनीति का प्रस्ताव करते हैं:

1. प्राकृतिक अवशोषण (Natural Absorption): बैकडोर को कम करने के लिए ईमानदार अपडेट के निरंतर प्रवाह पर निर्भर रहना।
2. डायनेमिक शेड्यूलिंग (Dynamic Scheduling): एक रैंडमाइज्ड शेड्यूलर जो विश्वास भार (trust weights) के आधार पर प्रशिक्षकों का चयन करता है।
3. लेजी वेरिफिकेशन ऑरेकल (Lazy Verification Oracle): एक चयनात्मक ऑडिटिंग तंत्र जो डिटेक्शन रेट ($d$) के साथ चरणों के एक छोटे अंश ($v$) को सत्यापित करता है। जब एक दुर्भावनापूर्ण अपडेट का पता चलता है, तो संबंधित प्रशिक्षक के भार को दंडित किया जाता है (एक अंश $S$ द्वारा कम किया जाता है)।

यह एक टाइम-इनहोमोजिनियस मार्कोव चेन बनाता है। जैसे-जैसे लेजी वेरिफिकेशन तंत्र दुर्भावनापूर्ण प्रशिक्षकों की पहचान करता है और उन्हें दंडित करता है, उनका कुल भार $W_{mal}(t)$ कम होता जाता है, जिससे उनकी चयन संभावना $p(t)$ एसिम्प्टोटिक रूप से शून्य की ओर गिर जाती है।

मुख्य योगदान (Key Contributions)

1. बैकडोर अवशोषण का पुनरुद्देश्य (Repurposing Backdoor Absorption): यह शोध पत्र औपचारिक रूप से स्थापित करता है कि बैकडोर अवशोषण केवल एक घटना नहीं बल्कि एक सक्रिय रक्षा तंत्र है, यह सिद्ध करते हुए कि मितव्ययी बैकडोर के संचय से सौम्य क्रमिक अपडेट प्रेरित होने पर उनकी प्रभावकारिता में अनुमानित गिरावट आती है।
2. क्लोज्ड-फॉर्म DTMC ढांचा: इंजेक्शन और अवशोषण के बीच स्टोकेस्टिक संघर्ष का एक गणितीय औपचारिककरण। यह ढांचा होमोजेनियस (स्थिर) और टाइम-इनहोमोजेनियस (गतिशील) दोनों व्यवस्थाओं के लिए हिटिंग टाइम्स पर टाइट थ्योरेटिकल बाउंड्स निकालता है।
3. न्यूनतम ओवरहेड के साथ प्रमाण योग्य रक्षा: लेखक प्रदर्शित करते हैं कि प्राकृतिक अवशोषण के साथ एक लेजी वेरिफिकेशन ऑरेकल (जिसे केवल 10% चरणों पर बुलाया जाता है) को जोड़कर, हमला सफलता दर को एसिम्प्टोटिक रूप से शून्य ($\lim_{t\to\infty} p(t) = 0$) तक पहुँचाया जा सकता है, यहाँ तक कि उच्च हमलावर प्रभुत्व ($f=50\%$) के तहत भी।

अनुभवजन्य परिणाम (Empirical Results)

लेखकों ने BadNet हमले (3x3 पिक्सेल पैच, पॉइजनिंग रेश्यो 0.3) के साथ CIFAR-10 पर प्रशिक्षित ResNet-18 मॉडल का उपयोग करके अपने दृष्टिकोण का मूल्यांकन किया।

• बैकडोर दमन (Backdoor Suppression): एक अत्यधिक समझौतापूर्ण वातावरण ($f=50\%$) में, "केवल अवशोषण" (Absorption Only) मॉडल को सुरक्षित करने में विफल रहा, जिसमें ASR 99.5% के करीब रहा। हालांकि, संयुक्त रक्षा ("अवशोषण + 10% लेजी वेरिफिकेशन") ने ASR को 7.20% तक कम कर दिया, जिससे खतरा प्रभावी रूप से समाप्त हो गया।
• उपयोगिता संरक्षण (Utility Preservation): इस रक्षा ने शून्य गिरावट के साथ क्लीन एक्यूरेसी (CACC) प्राप्त की, जो सभी कॉन्फ़िगरेशन में लगभग 80% पर स्थिर रही।
• कंप्यूटेशनल दक्षता: लेजी वेरिफिकेशन रणनीति ने केवल 2.76% का कुल कंप्यूटेशनल ओवरहेड पेश किया (184.89s बेसलाइन की तुलना में 192.54s कुल), जो व्यापक सत्यापन की निषेधात्मक लागत की तुलना में बहुत कम है।
• सैद्धांतिक संरेखण: अनुभवजन्य ASR प्रक्षेपवक्र DTMC मॉडल से प्राप्त सैद्धांतिक PPI (ऊपरी) और PRI (निचली) सीमाओं के बीच बंधे रहे, जो सैद्धांतिक ढांचे की पुष्टि करते हैं।

महत्व और दावे (Significance and Claims)

यह शोध पत्र दावा करता है कि यह विकेंद्रीकृत सेटिंग्स में सुरक्षा-महत्वपूर्ण AI के लिए एक प्रमाण योग्य सुदृढ़ और गणनात्मक रूप से कुशल रक्षा प्रदान करता है। इसका प्राथमिक महत्व सुरक्षा और संसाधन बाधाओं के बीच तनाव को हल करना है:

• यह प्रदर्शित करता है कि व्यापक सत्यापन अनावश्यक है; एक विरल सत्यापन बजट (10%) और समुदाय की प्राकृतिक गतिशीलता का संयोजन एसिम्प्टोटिक सुरक्षा की गारंटी देने के लिए पर्याप्त है।
• यह "ब्लाइंड होराइजन" और प्रशिक्षण की क्रमिक प्रकृति को कमजोरी के रूप में नहीं, बल्कि संरचनात्मक लाभ के रूप में पुनर्परिभाषित करता है जिसका उपयोग हमलावरों को दंडित करने और बैकडोर को मिटाने के लिए किया जा सकता है।
• यह कार्य एक सैद्धांतिक आधार प्रदान करता है जिसे उभरते विकेंद्रीकृत प्रतिमानों (जैसे DeepMind का DiLoCo) के लिए बैकडोर रक्षा का विस्तार करने हेतु उपयोग किया जा सकता है जहाँ केंद्रीकृत निरीक्षण वास्तुशिल्प रूप से वर्जित है।

लेखक निष्कर्ष निकालते हैं कि न्यूरल नेटवर्क की निरंतर सौम्य अपडेट के प्रति अंतर्निहित लचीलेपन का लाभ उठाकर, मॉडल स्वामी ऐसी रणनीतियाँ तैनात कर सकते हैं जो गणितीय रूप से कठोर और बड़े पैमाने के, सुरक्षा-महत्वपूर्ण AI सिस्टम के लिए व्यावहारिक रूप से व्यवहार्य हैं।