Mechanistic Interpretability of LLM Jailbreaks via Internal Attribution Graphs
यह शोध पत्र युग्मित आंतरिक एट्रिब्यूशन ग्राफों (paired internal attribution graphs) का उपयोग करते हुए एक यांत्रिक ढांचे (mechanistic framework) को प्रस्तुत करता है ताकि यह निदान किया जा सके कि प्रतिकूल हमले (adversarial attacks) आंतरिक तर्क संरचनाओं को व्यवस्थित रूप से कैसे बदलते हैं, जिससे LLM जेलब्रेक का पता लगाया जा सके, जो मॉडल की मजबूती (robustness) में सुधार के लिए कारण संबंधी हस्तक्षेपों (causal interventions) को सक्षम बनाता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
एक लार्ज लैंग्वेज मॉडल (LLM) की कल्पना एक विशाल, हलचल भरे शहर के रूप में करें जहाँ नन्हे कामगार (न्यूरॉन्स) आपके सवालों के जवाब देने के लिए एक-दूसरे को नोट्स (संदेश) पास कर रहे हैं। आमतौर पर, जब आप पूछते हैं, "मैं केक कैसे बनाऊं?", तो यह शहर एक अच्छी तरह से रोशनी वाले, सुरक्षित हाईवे "सेफ्टी प्रोटोकॉल" का पालन करता है ताकि आपको एक स्वादिष्ट रेसिपी मिल सके।
लेकिन क्या होता है जब एक हैकर शहर को बम बनाने के लिए बहकाने की कोशिश करता है? वे केवल "नियमों को अनदेखा करो!" चिल्लाकर नहीं आते (जो आमतौर पर विफल हो जाता है)। इसके बजाय, वे सिस्टम में एक ऐसा नोट छिपाकर भेजने की कोशिश करते हैं जो एक सामान्य प्रश्न जैसा दिखता है लेकिन गुप्त रूप से कामगारों को एक अंधेरी, वर्जित गली की ओर मोड़ देता है।
यह पेपर एक जासूसी कहानी की तरह है जहाँ लेखकों ने एक विशेष मानचित्र बनाया जिसे इंटरनल एट्रिब्यूशन ग्राफ (Internal Attribution Graph) कहा जाता है, ताकि वे यह देख सकें कि जब उन्हें चकमा दिया जाता है तो शहर के कामगारों के नोट्स का आवागमन बिल्कुल कैसे बदल जाता है। उन्होंने केवल अंतिम उत्तर को नहीं देखा; उन्होंने शहर के मस्तिष्क के भीतर ट्रैफिक के प्रवाह को देखा।
बड़ी खोज: यह रूट (मार्ग) के बारे में है, रोडब्लॉक (नाकेबंदी) के बारे में नहीं
लेखकों ने Llama-2-7B-chat नामक मॉडल पर 30 अलग-अलग चालाकी भरे प्रयासों का परीक्षण किया। केवल 4 ही सफल हुए (एक 13.3% सफलता दर)।
यहाँ एक चौंकाने वाला मोड़ है: पुराना विचार कि हैकर केवल सुरक्षा कामगारों को "बंद" करके या नए, बुरे कामगारों को "चालू" करके सफल होते हैं, गलत है।
- उन्होंने क्या खारिज किया: पेपर स्पष्ट रूप से दिखाता है कि केवल यह गिनना कि कितने सुरक्षा फीचर्स को दबाया गया (बंद किया गया) या कितने नए "अटैक फीचर्स" दिखाई दिए, यह पूर्वानुमान नहीं लगा सकता कि हमला काम करेगा या नहीं। वास्तव में, डेटा ने दिखाया कि इन स्थिर गणनाओं और मॉडल द्वारा अपने नियमों को तोड़ने के बीच लगभग कोई संबंध नहीं था।
- उन्होंने क्या पाया: असली रहस्य पाथ रिरौटिंग (Path Rerouting - मार्ग का पुनरनिर्धारण) है। सफल हमले केवल यह नहीं बदलते कि कौन काम कर रहा है; वे यह बदलते हैं कि नोट्स कैसे यात्रा करते हैं।
इसे एक GPS की तरह समझें। एक असफल हमला एक ड्राइवर की तरह है जो एक ऐसा शॉर्टकट लेने की कोशिश करता है जो "सेफ्टी रोडब्लॉक" द्वारा बाधित हो जाता है। ड्राइवर रुक जाता है। लेकिन एक सफल हमला एक ऐसे ड्राइवर की तरह है जो एक छिपे हुए, घुमावदार बैकरोड को ढूंढ लेता है जो रोडब्लॉक को पूरी तरह से बायपास कर देता है, भले ही वह रोडब्लॉक वहीं खड़ा हो। पेपर में पाया गया कि जब एक हमला सफल होता है, तो नोट्स द्वारा तय की गई "दूरी" महत्वपूर्ण रूप से बदल जाती है। वे इसे पाथ रिरूटिंग कहते हैं, और यह एकमात्र मीट्रिक था जिसने सफल जेलब्रेक की मजबूती से भविष्यवाणी की (एक 0.461 के सहसंबंध के साथ)।
सड़क का "फोर्क" (विभाजन)
जब मॉडल को सफलतापूर्वक चकमा दिया जाता है, तो आंतरिक मानचित्र का आकार बदल जाता है। लेखकों ने देखा कि सफल हमलों में एक विशिष्ट पैटर्न बनता है जिसे "फोर्क मोटिफ" (fork motif) कहा जाता है।
- कल्पना करें कि एक सिंगल-लेन सड़क अचानक कई समानांतर लेन में विभाजित हो जाती है।
- 4 सफल हमलों में, मॉडल ने असफल हमलों की तुलना में औसतन 67.5 नए "फोर्क" (समानांतर पथ) बनाए।
- यह सुझाव देता है कि मॉडल केवल सुरक्षा को अनदेखा नहीं कर रहा है; यह एक जटिल, मल्टी-लेन हाईवे बना रहा है जो सुरक्षा जांच के चारों ओर घूमता है, जबकि सुरक्षा कामगारों को किसी अन्य, हानिरहित कार्य में व्यस्त रखता है।
विफल बचाव मिशन
लेखकों ने "व्हैक-ए-मोल" (Whac-A-Mole) खेलकर इन टूटे हुए मॉडलों को ठीक करने की कोशिश की। उन्होंने उन शीर्ष 3 नए "बुरे" फीचर्स की पहचान की जो एक सफल हमले के दौरान दिखाई दिए और उन्हें बंद करने (जिसे जीरो-एब्लेशन कहा जाता है) की कोशिश की।
परिणाम? पूर्ण विफलता।
- सभी 4 सफल हमलों में, इन शीर्ष फीचर्स को बंद करने से कुछ भी नहीं हुआ। मॉडल अभी भी हानिकारक उत्तर दे रहा था।
- क्यों? पेपर सुझाव देता है कि हमला केवल एक या तीन कामगारों पर निर्भर नहीं है। इसके बजाय, "बुरा" व्यवहार दर्जनों कामगारों में एक रेडंडेंट (अतिरेकपूर्ण) तरीके से फैला हुआ है। यदि आप तीन को हटा देते हैं, तो अन्य लोग काम संभाल लेते हैं। यह एक बांध के सौ अन्य दरारों से पानी बहने के दौरान केवल तीन छेदों को बंद करने की कोशिश करने जैसा है।
हम कितने आश्वस्त हैं?
लेखक यह दावा करने में सावधान हैं कि उन्होंने समस्या को हल कर लिया है।
- साक्ष्य: उन्होंने इसे 30 प्रॉम्प्ट्स (साफ बनाम हमला किया गया) पर मापा।
- विश्वास: उन्होंने पाथ रिरूटिंग और सफलता के बीच एक मजबूत सांख्यिकीय संबंध (p-value 0.010) पाया। हालांकि, वे स्वीकार करते हैं कि सैंपल साइज छोटा है। उन्होंने अलग-अलग विषयों के साथ 500 और प्रॉम्प्ट्स पर भी परीक्षण किया, लेकिन वहां यह तरीका काम नहीं आया क्योंकि "मैप्स" बहुत अलग थे। यह सुझाव देता है कि उनका "पाथ रिरूटिंग" डिटेक्टर तब सबसे अच्छा काम करता है जब हमला एक सुरक्षित विषय को खतरनाक विषय से जोड़ने की कोशिश करता है (जैसे "कुकिंग" "केमिस्ट्री" "एक्सप्लोसिव्स")।
- सीमा: उन्होंने कंप्यूटर मेमोरी की सीमाओं के कारण मॉडल के मस्तिष्क के पहले 5 लेयर्स (32 में से) को ही देखा। उन्हें संदेह है कि यह पैटर्न पूरे मस्तिष्क में भी बना रहता है, लेकिन उन्होंने अभी तक पूरे मस्तिष्क के लिए इसे सिद्ध नहीं किया है।
मुख्य निष्कर्ष (The Takeaway)
यह पेपर हमें सभी जेलब्रेक को रोकने के लिए कोई जादुई ढाल नहीं देता है। इसके बजाय, यह हमें समस्या को देखने का एक नया तरीका देता है। यह सुझाव देता है कि जेलब्रेक को पकड़ने के लिए, हमें केवल "बुरे शब्दों" या "बंद हुए सुरक्षा स्विच" को नहीं देखना चाहिए। हमें ट्रैफिक फ्लो को देखना चाहिए। यदि आंतरिक नोट्स शहर के मस्तिष्क के माध्यम से एक अजीब, घुमावदार मोड़ ले रहे हैं, तो तभी हमें पता चलना चाहिए कि मॉडल अपने नियम तोड़ने वाला है।
लेखक निष्कर्ष निकालते हैं कि चूंकि ये हमले इतने फैले हुए और रेडंडेंट हैं, इसलिए केवल एक फीचर को ब्लॉक करना काम नहीं करेगा। भविष्य के बचाव के लिए केवल निकास द्वारों को ही नहीं, बल्कि मॉडल के पूरे "रोड नेटवर्क" को मजबूत करने की आवश्यकता हो सकती है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।