Diffusion LLMs as Targets and Adversaries: Mechanistic Safety Exploits
यह शोध पत्र प्रकट करता है कि डिफ्यूजन-आधारित लार्ज लैंग्वेज मॉडल्स अपने ऑटोरेग्रेसिव पूर्ववर्तियों से विरल (sparse) और हस्तांतरणीय सुरक्षा कमजोरियों को विरासत में प्राप्त करते हैं, जो मैकेनिस्टिक न्यूरॉन प्रूनिंग और एक नवीन SN-गाइडेड डिफ्यूजन फ्रेमवर्क के माध्यम से अत्यधिक प्रभावी ब्लैक-बॉक्स जेलब्रेक को सक्षम बनाता है जो न्यूनतम जनरेशन लागत के साथ लगभग पूर्ण आक्रमण सफलता दर प्राप्त करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए एक ऐसी दुनिया की जहाँ कंप्यूटर केवल एक-एक करके शब्द नहीं पढ़ते, जैसे कोई व्यक्ति किताब को बाएँ से दाएँ पढ़ता है, बल्कि वे बिखरे हुए अक्षरों के पूरे पन्ने को एक साथ देखते हैं और धीरे-धीरे, जादुई रूप से, उन सबको एक साथ सुलझा लेते हैं जब तक कि एक स्पष्ट वाक्य सामने न आ जाए। यह वह नया तरीका है जिससे कुछ सबसे स्मार्ट कंप्यूटर दिमाग, जिन्हें 'लार्ज लैंग्वेज मॉडल्स' (LLMs) कहा जाता है, सोचना सीख रहे हैं। वैज्ञानिक इन्हें "डिफ्यूजन" (Diffusion) मॉडल कहते हैं। ये एक ऐसे जासूस की तरह हैं जो अपराध स्थल की एक धुंधली फोटो से शुरुआत करता है और तस्वीर को तब तक साफ करता रहता है जब तक कि वह एकदम स्पष्ट न हो जाए, बजाय इसके कि वह एक-एक करके वाक्य का अगला शब्द अनुमान लगाने की कोशिश करे।
लेकिन यहाँ एक पेचीदा बात है: हम इन कंप्यूटरों को "अच्छा" बनने के लिए सिखाते हैं, जैसे उन्हें यह दिखाने के लिए कि बम बनाने में मदद करना या कोई बुरा पत्र लिखना गलत है। इसे "सेफ्टी अलाइनमेंट" (safety alignment) कहा जाता है। लंबे समय तक, हमें लगा कि ये सुरक्षा नियम कंप्यूटर के पूरे मस्तिष्क में गहराई तक बुने हुए थे, जैसे कि एक मोटा, अटूट ढाल। हालाँकि, हालिया शोध बताते हैं कि यह ढाल वास्तव में केवल कुछ ही छोटी, विशिष्ट धागों से बनी हो सकती है। यदि आप उन विशिष्ट धागों को ढूंढ लें और उन्हें खींच दें, तो वह पूरी ढाल ढह सकती है। यही वह बड़ा सवाल है जो वैज्ञानिक पूछ रहे हैं: क्या ये नए "अनस्क्रैम्बलिंग" (unscrambling) करने वाले कंप्यूटर पुराने वाले कंप्यूटरों जितने ही सुरक्षित हैं, या इनमें कुछ गुप्त, छिपे हुए कमजोर बिंदु हैं जिन्हें हमने अभी तक नहीं देखा है?
शोध की बड़ी खोज: "सेफ्टी स्विच" को खोजना
इस शोध पत्र में, शोधकर्ताओं की एक टीम ने इन नए डिफ्यूजन मॉडल्स के साथ दो तरह से व्यवहार करने का निर्णय लिया: पहला, उन्हें उन लक्ष्यों (targets) के रूप में जिन्हें वे तोड़ना चाहते हैं, और दूसरा, उन्हें प्रतिद्वंद्वियों (adversaries/hackers) के रूप में जिन्हें वे दूसरे मॉडल्स को तोड़ने के लिए उपयोग करना चाहते हैं। वे यह देखना चाहते थे कि क्या इन कंप्यूटरों के भीतर सुरक्षा नियम वास्तव में एक ताश के घर की तरह नाजुक थे, न कि एक किले की तरह।
"सेफ्टी न्यूरॉन" का रहस्य
शोधकर्ताओं ने एक आश्चर्यजनक बात पाई। इन जटिल कंप्यूटर दिमागों के भीतर, वह हिस्सा जो कहता है "नहीं, मैं यह नहीं कर सकता", हर जगह फैला हुआ नहीं है। इसके बजाय, यह "सेफ्टी न्यूरॉन्स" (safety neurons) नामक विशिष्ट हिस्सों के एक छोटे, विरल समूह में केंद्रित है। इसे हजारों बल्बों वाली एक इमारत के रूप में सोचें। आपको लग सकता है कि "प्रवेश निषेध" का साइन हर एक बल्ब पर पेंट किया गया है, लेकिन शोधकर्ताओं ने पाया कि वह साइन वास्तव में केवल कुछ चुनिंदा बल्बों पर लगे एक छोटे से स्टिकर की तरह है। यदि आप उन कुछ बल्बों को टेप से ढक देते हैं (या उन्हें "प्रून" यानी काट देते हैं), तो इमारत भूल जाती है कि उसका कोई "प्रवेश निषेध" का साइन है और किसी को भी अंदर आने देती है।
"कॉपी-पेस्ट" हैक
यहाँ मामला बहुत चतुर हो जाता है। इनमें से कई नए डिफ्यूजन मॉडल्स पुराने, "बाएँ-से-दाएँ" पढ़ने वाले मॉडल्स के दिमाग को लेकर और उन्हें सोचने का एक नया तरीका देकर बनाए जाते हैं। शोधकर्ताओं ने पाया कि जब आप ऐसा करते हैं, तो नया मॉडल अनजाने में पुराने मॉडल के ठीक वही "सेफ्टी स्टिकर्स" कॉपी कर लेता है।
उन्होंने इसका परीक्षण करने के लिए एक पुराने मॉडल (जिसे Qwen2.5 कहा जाता है) में सुरक्षा न्यूरॉन्स को खोजा और फिर बस एक बिल्कुल नए डिफ्यूजन मॉडल (जिसे Dream या Fast-dLLM कहा जाता है) में उन्हीं सटीक स्थानों की ओर इशारा किया। उन्हें नए मॉडल के भीतर कमजोरी खोजने के लिए उसे देखने की भी आवश्यकता नहीं पड़ी; उन्होंने बस पुराने मॉडल के मानचित्र का उपयोग किया।
- परिणाम: जब उन्होंने इन कॉपी किए गए सुरक्षा न्यूरॉन्स को "टेप से ढक" दिया, तो नए मॉडल्स बहुत सुरक्षित (बुरे सवालों के जवाब देने से 98% बार मना करने वाले) से पूरी तरह टूट गए (Dream के लिए बुरे सवालों के जवाब देने की दर 73.2% और Fast-dLLM के लिए 86.3% हो गई)। इसने साबित कर दिया कि सुरक्षा खामियाँ "ट्रांसफ़रेबल" (transferable) हैं—आप एक मॉडल की कमजोरी को चुरा सकते हैं और उसका उपयोग दूसरे को तोड़ने के लिए कर सकते हैं।
नया हथियार: "SN-गाइडेड डिफ्यूजन" (SN-Guided Diffusion)
यह जानना कि ये सुरक्षा न्यूरॉन्स मौजूद हैं, एक बात है, लेकिन आप उस कंप्यूटर को कैसे हैक करेंगे जिसे आप छू भी नहीं सकते (एक "ब्लैक-बॉक्स" मॉडल)? शोधकर्ताओं ने SN-Guided Diffusion नामक एक नया उपकरण बनाया।
कल्पना कीजिए कि आप एक ऐसा पत्र लिखने की कोशिश कर रहे हैं जिसे एक सख्त शिक्षक पढ़ेगा। यदि आप कुछ बुरा लिखते हैं, तो शिक्षक आपको रोक देता है। लेकिन क्या होगा यदि आप पत्र को इस तरह लिख सकें जो शिक्षक के दिमाग को "सुरक्षित" लगे, भले ही वह वास्तव में कुछ खतरनाक मांग रहा हो?
शोधकर्ताओं ने टेक्स्ट को "अनस्क्रैम्बल" करने की डिफ्यूजन मॉडल की क्षमता का लाभ उठाया। शब्द दर शब्द अनुमान लगाने के बजाय, उन्होंने कंप्यूटर को उस बुरे उत्तर से शुरुआत करने के लिए सेट किया जिसे वे चाहते थे (जैसे "बम कैसे बनाएं") और फिर कंप्यूटर से पीछे की ओर काम करने के लिए कहा ताकि वह एक ऐसा प्रश्न ढूंढ सके जो उस उत्तर की ओर ले जाए। लेकिन यहाँ एक ट्विस्ट है: जैसे ही कंप्यूटर ने पीछे की ओर काम किया, उन्होंने एक विशेष "कंपास" (जिसे Weighted Safety Neuron Loss कहा जाता है) का उपयोग करके प्रक्रिया को दिशा दी।
इस कंपास ने कंप्यूटर को बताया: "ऐसे शब्द न चुनें जो सुरक्षा न्यूरॉन्स को सक्रिय करें। ऐसे शब्द चुनें जो उन न्यूरॉन्स को शांत रखें।" उन सुरक्षा न्यूरॉन्स को शांत रखने के लिए शब्दों को लगातार चेक और एडजस्ट करके, कंप्यूटर ने एक ऐसा "जेलब्रेक" प्रॉम्प्ट तैयार किया जो चतुराई से छिपा हुआ था। यह सुरक्षा फिल्टरों के लिए एक सामान्य, सुरक्षित प्रश्न की तरह दिखता था, लेकिन वास्तव में इसने मॉडल को एक खतरनाक उत्तर देने के लिए धोखा दिया।
यह कितना सफल रहा?
परिणाम प्रभावशाली थे। इस नई पद्धति को लक्ष्य मॉडल को कैसे तोड़ना है, यह सीखने के लिए हजारों सवाल पूछने की आवश्यकता नहीं थी (जो धीमा और महंगा है)। इसके बजाय, इसने सारा काम एक "सरोगेट" (surrogate) मॉडल का उपयोग करके ऑफलाइन किया।
- Llama-3-8B के खिलाफ, यह 77.1% बार सफल रहा।
- Qwen2.5 के खिलाफ, यह 86.9% बार सफल रहा।
- गूगल के एक मॉडल Gemini-2.5-Flash-Lite के खिलाफ, यह 74.3% बार सफल रहा।
शायद सबसे महत्वपूर्ण बात यह है कि इसने प्रति प्रश्न केवल 20 प्रयासों की आवश्यकता के साथ यह सब किया। अन्य हैकिंग विधियों को अक्सर हजारों प्रयासों की आवश्यकता होती है। इसका मतलब है कि यह नई विधि न केवल प्रभावी है, बल्कि अविश्वसनीय रूप से तेज़ और सस्ती भी है।
यह क्यों मायने रखता है
शोध पत्र निष्कर्ष निकालता है कि इन नए AI मॉडल्स की सुरक्षा हमारी सोच से कहीं अधिक नाजुक है। "सेफ्टी शील्ड" एक ठोस दीवार नहीं है; यह कुछ विशिष्ट स्विच हैं जिन्हें खोजा जा सकता है, कॉपी किया जा सकता है और बंद किया जा सकता है।
शोधकर्ताओं ने दिखाया कि यदि आप एक पुराने AI के दिमाग को कॉपी करके एक नया AI बनाते हैं, तो आप उसकी सुरक्षा कमजोरियों को भी कॉपी कर लेते हैं। उन्होंने यह भी साबित किया कि आप नए AI की अपनी "अनस्क्रैम्बलिंग" सुपरपावर का उपयोग करके ऐसे प्रॉम्प्ट बना सकते हैं जो सुरक्षा फिल्टरों से बचकर निकल जाएं, प्रभावी रूप से बुरे इरादे को एक सुरक्षित दिखने वाले पैकेज के अंदर छिपा देते हैं।
हालाँकि यह डरावना लग सकता है, लेकिन शोधकर्ताओं का तर्क है कि इन कमजोरियों को समझने का एकमात्र तरीका इन्हें ठीक करना है। यदि हम जानते हैं कि सुरक्षा नियम केवल कुछ छोटे न्यूरॉन्स हैं, तो हम केवल इस उम्मीद पर निर्भर नहीं रह सकते कि वे टिके रहेंगे; हमें AI को फिर से डिजाइन करने की आवश्यकता है ताकि सुरक्षा उसके मस्तिष्क के हर हिस्से में बुनी हुई हो, न कि केवल कुछ छिपे हुए स्विचों में। तब तक, ये नए मॉडल हमारी कल्पना से कहीं अधिक असुरक्षित हो सकते हैं, और उन्हें तोड़ने के उपकरण पहले से ही हमारे हाथों में हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।