एक हलचल भरी, हाई-टेक लाइब्रेरी की कल्पना करें जहाँ एक जादुई लाइब्रेरियन (AI) आपके पास मौजूद किसी भी सवाल का जवाब दे सकता है। सुपर फास्ट होने के लिए, वह लाइब्रेरियन अपनी डेस्क पर सबसे आम कहानियों की शुरुआत का एक "रेफरेंस शीट" रखता है। यदि आप कोई ऐसा सवाल पूछते हैं जो किसी और के शब्दों से शुरू होता है, तो लाइब्रेरियन को पूरी किताब फिर से पढ़ने की ज़रूरत नहीं होती; वे बस रेफरेंस शीट पर एक नज़र डालते हैं और सीधे उत्तर पर पहुँच जाते हैं। यह अविश्वसनीय रूप से कुशल है, जिससे बहुत समय बचता है। हालाँकि, एक व्यस्त लाइब्रेरी में जहाँ कई अलग-अलग लोग (टेनेंट्स) एक ही डेस्क का उपयोग कर रहे हैं, एक चालाक व्यक्ति यह पता लगा सकता है कि दूसरे क्या पढ़ रहे हैं। उन्हें किताब देखने की ज़रूरत नहीं होगी; वे बस यह देखेंगे कि लाइब्रेरियन को उत्तर खोजने में कितना समय लगता है। यदि लाइब्रेरियन तुरंत उत्तर पकड़ लेता है, तो चालाक व्यक्ति जानता है, "आह, उन्होंने वही कहानी पूछी होगी जो मैंने अभी पूछी थी!" यदि लाइब्रेरियन को पीछे की अलमारियों तक जाना पड़ता है, तो इसका मतलब है कि कहानी नई है। इन सूक्ष्म देरी को मापकर, एक बुरा तत्व दूसरों के निजी रहस्यों या प्रॉम्प्ट्स का पुनर्निर्माण कर सकता है, जिससे एक स्पीड फीचर एक सुरक्षा लीक में बदल जाता है।

यह पेपर ठीक इसी समस्या को LLMs (लार्ज लैंग्वेज मॉडल्स) की दुनिया में संबोधित करता है, जो आज के सुपर-स्मार्ट AI चैटबॉट्स हैं। ये मॉडल प्रतिक्रिया देने की गति बढ़ाने के लिए एक "KV कैश" (रेफरेंस शीट) का उपयोग करते हैं, जो बातचीत के पिछले हिस्सों को याद रखता है। लेखक ने पाया कि साझा वातावरण (shared environments) में, यह स्पीड ट्रिक एक "टाइमिंग साइड चैनल" बनाती है—एक गुप्त संकेत जो इस बात में छिपा होता है कि चीजों में कितना समय लगता है। उन्होंने पाया कि तीन अलग-अलग समूहों के हैकर्स पहले ही दिखा चुके हैं कि इस सिग्नल का उपयोग करके निजी प्रॉम्प्ट्स को लगभग 100% सफलता के साथ कैसे चुराया जा सकता है। यह पेपर इस समस्या को ठीक करने के लिए KVGov नामक एक नया सिस्टम प्रस्तावित करता है। केवल टाइमिंग को छिपाने के बजाय (जो कठिन है), KVGov खेल के नियम बदल देता है ताकि रेफरेंस शीट हर एक उपयोगकर्ता के लिए पूरी तरह से अलग हो। यह ऐसा है जैसे हर लाइब्रेरी विज़िटर को अपना स्वयं का अद्वितीय, अदृश्य स्याही (invisible ink) देना, जो उनकी विशिष्ट रेफरेंस शीट को किसी और के लिए अपठनीय बना देता है। लेखक सिमुलेशन और वास्तविक हार्डवेयर परीक्षणों के माध्यम से दिखाते हैं कि यह तरीका तीनों प्रकार के हमलों को पूरी तरह से रोक देता है, जबकि लाइब्रेरी को उपयोगी बनाने के लिए पर्याप्त तेज़ भी रखता है। वे एक स्मार्ट "सुरक्षा गार्ड" सिस्टम भी पेश करते हैं जो जानता है कि किसे सबसे बारीकी से देखना है, और वे एक टिपिंग पॉइंट (tipping point) की गणना करते हैं जहाँ रेफरेंस शीट साझा करना पूरी तरह से बंद करना अधिक सुरक्षित हो जाता है।

द ग्रेट कैश हाइस्ट (The Great Cache Heist)

AI की मेमोरी को एक विशाल, साझा व्हाइटबोर्ड के रूप में सोचें। जब आप AI से कोई सवाल पूछते हैं, तो वह आपके वाक्य के मुख्य हिस्सों को बोर्ड पर लिख देता है ताकि यदि आप बाद में एक समान सवाल पूछें, तो उसे उन्हें फिर से कैलकुलेट न करना पड़े। यह KV कैश है। मल्टी-टेनेंट सेटअप (जहाँ कई अलग-अलग कंपनियाँ या उपयोगकर्ता एक ही AI सर्वर साझा करते हैं) में, समय बचाने के लिए हर कोई इस व्हाइटबोर्ड को साझा करता है।

समस्या यह है कि व्हाइटबोर्ड बहुत स्पष्ट है। यदि एक चालाक उपयोगकर्ता (हमलावर) पूछता है, "फ्रांस की राजधानी क्या है?" और AI तुरंत उत्तर देता है, तो हमलावर जानता है, "ओह, किसी और ने हाल ही में यह पूछा होगा!" यदि AI को लंबा समय लगता है, तो हमलावर जानता है, "किसी ने अभी तक यह नहीं पूछा है।" हजारों अलग-अलग सवालों को आजमाकर और उनके उत्तरों के समय को मापकर, हमलावर सटीक रूप से मानचित्र बना सकता है कि अन्य लोग क्या पूछ रहे हैं, भले ही वे खुद उत्तर न देख सकें। इसे टाइमिंग साइड-चैनल अटैक कहा जाता है।

पेपर इस बात पर प्रकाश डालता है कि हैकर्स ने तीन विशिष्ट तरीकों से इसका उपयोग कैसे किया है:

1. PROMPTPEEK: हैकर संभावित सवालों की एक सूची का अनुमान लगाता है और उन सभी का समय मापता है। यदि उनका टाइमिंग पीड़ित के पैटर्न से मेल खाता है, तो वे जानते हैं कि पीड़ित ने वास्तव में क्या पूछा था।
2. EarlyBird: हैकर पीड़ित के सवाल का एक-एक शब्द करके अनुमान लगाने की कोशिश करता है। यदि AI तेज़ है, तो वे जानते हैं कि उन्होंने सही शब्द का अनुमान लगाया है।
3. InputSnatch: यह स्ट्रक्चर्ड (संरचित) सवालों के लिए है, जैसे कि फॉर्म भरना। हैकर टेम्पलेट जानता है (जैसे, "[नंबर] के लिए लेनदेन दिखाएं") और बस अलग-अलग नंबरों को तब तक आज़माता है जब तक कि AI तेज़ न हो जाए, जिससे गुप्त अकाउंट नंबर का खुलासा हो जाता है।

लेखक ने वास्तविक हार्डवेयर (एक NVIDIA A100 GPU) पर इसका परीक्षण किया और पाया कि टाइमिंग का अंतर बहुत बड़ा है: एक "कोल्ड" अनुरोध (नई जानकारी) में 149.6 मिलीसेकंड लगे, जबकि एक "कैश्ड" अनुरोध (पुन: उपयोग की गई जानकारी) में केवल 32.8 मिलीसेकंड लगे। यह 0.22 का अनुपात है, जो एक हमलावर के लिए एक बहुत बड़ा, आसानी से पहचाना जाने वाला सिग्नल है।

समाधान: KVGov और जादुई स्याही (The Solution: KVGov and the Magic Ink)

पेपर KVGov को पेश करता है, जो एक नए सुरक्षा स्तर के रूप में कार्य करता है जो एक गेटकीपर की तरह है। इसकी मुख्य चाल HMAC-keyed namespace isolation है।

कल्पना करें कि लाइब्रेरी में हर उपयोगकर्ता के पास एक अद्वितीय, गुप्त स्टैम्प (एक "साल्ट") है। जब लाइब्रेरियन एक सवाल को व्हाइटबोर्ड पर लिखता है, तो वे पहले उसे उपयोगकर्ता की गुप्त स्याही से स्टैम्प करते हैं। भले ही दो लोग बिल्कुल एक ही सवाल पूछें, स्याही उस व्हाइटबोर्ड एंट्री को हर किसी के लिए पूरी तरह से अलग बना देती है।

• यह कैसे काम करता है: सिस्टम उपयोगकर्ता के ID और एक गुप्त कुंजी (key) का उपयोग करके एक अद्वितीय कोड बनाता है। इस कोड को कैश की (cache key) बनाने के पहले ही चरण में मिला दिया जाता है।
• परिणाम: यदि कोई हैकर यह अनुमान लगाने की कोशिश करता है कि पीड़ित ने क्या पूछा था, तो उनका अपना गुप्त स्टैम्प पीड़ित के स्टैम्प से मेल नहीं खाएगा। हैकर का प्रोब (probe) हमेशा एक "मिस" (धीमा) के रूप में दिखाई देगा क्योंकि उनका कोड बोर्ड पर मौजूद पीड़ित के कोड से मेल नहीं खाता। टाइमिंग सिग्नल गायब हो जाता है।

लेखक ने 1,000 सिम्युलेटेड ट्रायल चलाए और पाया कि यह "HMAC-salt" अकेले ही सभी तीन प्रकार के हमलों के लिए सफलता दर को 100% से घटाकर 0% करने के लिए पर्याप्त था। यह उनके सिस्टम का एकमात्र हिस्सा था जो सख्ती से आवश्यक था; अन्य हिस्से केवल सुरक्षा की अतिरिक्त परतें जोड़ते थे।

लाइब्रेरी को तेज़ रखना (द बाउंड्री ट्रिक - Keeping the Library Fast)

आप सोच सकते हैं, "यदि हर किसी का अपना गुप्त व्हाइटबोर्ड है, तो क्या लाइब्रेरी धीमी नहीं हो जाएगी?" यदि हम हर एक उपयोगकर्ता के लिए पूरी तरह से अलग बोर्ड बनाते, तो हम सामान्य सवालों (जैसे, "नमस्ते, आप कैसे हैं?") को साझा करने का गति लाभ खो देते।

पेपर एक चतुर समाधान पेश करता है जिसे Boundary Salting कहा जाता है।
एक ऐसी कहानी की कल्पना करें जहाँ पहले 2,000 शब्द सभी के लिए समान हैं (साझा प्रील्यूड/प्रस्तावना), और केवल अंतिम 100 शब्द अलग हैं (निजी हिस्सा)।

• पुराना तरीका: पूरी कहानी को गुप्त स्याही से स्टैम्प करें। कोई भी पहले 2,000 शब्दों को साझा नहीं कर पाएगा।
• KVGov का तरीका: पहले 2,000 शब्दों को बिना स्टैम्प के छोड़ दें ताकि सभी उन्हें साझा कर सकें। केवल उस पहले शब्द को स्टैम्प करें जहाँ कहानियाँ अलग होना शुरू होती हैं।
• लाभ: यह 93% गति लाभ को बनाए रखते हुए निजी हिस्सों को गुप्त रखता है। लेखक का अनुमान है कि 2,000 शब्दों के साझा इंट्रो और 119 शब्दों के प्राइवेट टेल के साथ, सिस्टम अभी भी अविश्वसनीय रूप से तेज़ (निजी हिस्से के लिए लगभग 41.2 ms) रहेगा, जिससे अधिकांश दक्षता बनी रहेगी।

स्मार्ट सुरक्षा गार्ड: ORIGAMI

जादुई स्याही के बावजूद, लेखक यह सुनिश्चित करना चाहते थे कि कोई चोरी-छिपे काम न कर रहा हो। उन्होंने ORIGAMI बनाया, जो एक स्मार्ट ऑडिट शेड्यूलर है।

सोचिए कि लाइब्रेरी मैनेजर के पास सुरक्षा गार्डों का एक सीमित बजट है। वे हर समय हर किसी पर नज़र नहीं रख सकते। ORIGAMI एक गणितीय रणनीति (जिसे Stackelberg water-filling दृष्टिकोण कहा जाता है) का उपयोग यह तय करने के लिए करता है कि किसे देखना है।

• तर्क: यदि कोई उपयोगकर्ता बहुत मूल्यवान (उच्च जोखिम) है और उसका संदिग्ध व्यवहार का इतिहास रहा है, तो उसे अधिक गार्ड मिलते हैं। यदि उपयोगकर्ता कम जोखिम वाला है, तो उसे कम गार्ड मिलते हैं।
• परिणाम: 10 टेनेंट्स और उपयोगकर्ताओं के वास्तविक मिश्रण (एक "Gini coefficient" 0.63 के साथ) वाले सिमुलेशन में, इस स्मार्ट शेड्यूलिंग ने रैंडम लोगों को देखने की तुलना में हमलावर की अपेक्षित सफलता को 12.6% कम कर दिया।

कब साझा करना बंद करें

अंत में, पेपर एक बड़ा सवाल पूछता है: "कब व्हाइटबोर्ड को पूरी तरह से साझा करना बंद करना बेहतर है?"

उन्होंने टिपिंग पॉइंट खोजने के लिए Evolutionary Stability नामक अवधारणा का उपयोग किया। उन्होंने उपयोगकर्ताओं की एक आबादी का मॉडल बनाया जहाँ कुछ कैश साझा करते हैं (तेज़ लेकिन जोखिम भरा) और कुछ नहीं (धीमा लेकिन सुरक्षित)।

• निष्कर्ष: यदि सिस्टम में हैकर्स का प्रतिशत 31.6% से ऊपर जाता है, तो यह गणितीय रूप से बेहतर है कि सभी कैश साझा करना बंद कर दें और अपने स्वयं के निजी बोर्डों पर वापस लौट जाएँ। उस संख्या से नीचे, साझा करना अभी भी जीतने वाली रणनीति है। यह लाइब्रेरी प्रबंधकों को एक स्पष्ट नियम देता है: यदि आपको संदेह है कि लगभग 3 में से 1 उपयोगकर्ता से अधिक बुरे तत्व हैं, तो कैश साझा करना बंद कर दें।

यह क्या नहीं करता है

पेपर बहुत स्पष्ट है कि यह क्या हल नहीं करता है।

• यह हैकर्स को AI के दिमाग (मॉडल वेट्स) को चुराने से नहीं रोकता है।
• यह हैकर्स को AI को बुरा कहने (प्रॉम्प्ट इंजेक्शन) के लिए मजबूर करने से नहीं रोकता है।
• यह "सिमेंटिक कैश" (जहाँ AI विचारों को शब्दों के बजाय मिलाता है) को ठीक नहीं करता है। उनके लिए, आपको एक अलग प्रकार के लॉक की आवश्यकता होगी।
• EarlyBird हमला (शब्द-दर-शब्द अनुमान लगाना) मुख्य रूप से नए AI इंजनों द्वारा ब्लॉक किया जाता है जो शब्दों के बड़े "ब्लॉक्स" का उपयोग करते हैं, लेकिन लेखक चेतावनी देते हैं कि स्ट्रक्चर्ड फॉर्म (जैसे अकाउंट नंबर) के लिए, ब्लॉक का आकार मायने नहीं रखता—टाइमिंग लीक अभी भी मौजूद है।

निचोड़ (The Bottom Line)

लेखक ने साबित किया कि जिस स्पीड बूस्ट को हम पसंद करते हैं, उसके साथ एक छिपा हुआ खर्च आता है: एक टाइमिंग सिग्नल जो निजी जानकारी को लीक करता है। उन्होंने दिखाया कि केवल सिग्नल को छिपाना पर्याप्त नहीं है; आपको उपयोगकर्ता और कैश के बीच के लिंक को तोड़ना होगा। एक क्रिप्टोग्राफिक "जादुई स्याही" (HMAC-salt) का उपयोग करके और इसे केवल वहीं लागू करके जहाँ रहस्य शुरू होते हैं, KVGov लीक्स को पूरी तरह से रोकता है जबकि AI को तेज़ भी रखता है। यह गोपनीयता के लिए एक जीत है जिसके लिए भविष्य के AI को धीमा करने की आवश्यकता नहीं है।