Can LLMs Truly Forget? Revealing Unlearning Gaps Through Adversarial Evaluation
यह शोध पत्र मशीन अनलर्निंग (machine unlearning) में मानक क्लीन-क्वेरी मेट्रिक्स और एडवरसेरियल रोबस्टनेस (adversarial robustness) के बीच एक महत्वपूर्ण अंतर को प्रकट करता है, जो यह दर्शाता है कि जहाँ फाइन-ट्यूनिंग विधियाँ पारंपरिक मूल्यांकन के तहत डेटा को सफलतापूर्वक भूलती हुई प्रतीत होती हैं, वहीं रणनीतिक प्रॉम्प्टिंग के माध्यम से लक्षित जानकारी अभी भी अत्यधिक रूप से पुनः प्राप्त करने योग्य बनी रहती है, जिससे वास्तविक अनलर्निंग सुनिश्चित करने के लिए एडवरसेरियल स्ट्रेस-टेस्टिंग की महत्वपूर्ण आवश्यकता रेखांकित होती है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
एक ऐसी लाइब्रेरी की कल्पना करें जहाँ हर किताब में मानव ज्ञान का सार समाहित है, लेकिन कुछ पन्नों में ऐसे रहस्य हैं जिन्हें मिटाया जाना आवश्यक है: निजी पते, पुराना चिकित्सा परामर्श, या मालिकाना सूत्र। डिजिटल दुनिया में, आर्टिफिशियल इंटेलिजेंस सिस्टम इन विशाल पुस्तकालयों के रूप में कार्य करते हैं, जिन्हें टेक्स्ट के विशाल संग्रह पर प्रशिक्षित किया जाता है। जब कोई उपयोगकर्ता कंप्यूटर को किसी विशिष्ट जानकारी को "भूलने" के लिए कहता है, तो लक्ष्य उस डेटा को इतनी गहनता से हटाना होता है कि मशीन उसे फिर से याद न कर सके, जबकि वह बाकी सब कुछ याद रखना जारी रखे। यह प्रक्रिया, जिसे 'मशीन अनलर्निंग' (machine unlearning) कहा जाता है, गोपनीयता और सुरक्षा के लिए अत्यंत महत्वपूर्ण है। हालाँकि, एक सवाल शोधकर्ताओं को परेशान करता रहा है: यदि कोई कंप्यूटर कहता है कि वह कुछ भूल गया है, तो क्या उस पर वास्तव में भरोसा किया जा सकता है? या जानकारी केवल छिपी हुई है, जो किसी चतुर प्रश्न द्वारा खोद निकाली जाने की प्रतीक्षा कर रही है?
मैसाचुसेट्स एमherst विश्वविद्यालय और माइक्रोसॉफ्ट कॉर्पोरेशन के शोधकर्ताओं की एक टीम ने यह पता लगाने के लिए कि ये डिजिटल लाइब्रेरी वास्तव में कितनी अच्छी तरह भूल सकती हैं, उनकी सीमाओं का परीक्षण करके इसका उत्तर देने का प्रयास किया। उन्होंने एक विशिष्ट प्रकार के आर्टिफिशियल इंटेलिजेंस मॉडल पर ध्यान केंद्रित किया, जिसे निर्देशों का पालन करने और प्रश्नों के उत्तर देने के लिए प्रशिक्षित किया गया है। टीम यह देखना चाहती थी कि भूलने को मापने के लिए उपयोग किए जाने वाले मानक परीक्षण पर्याप्त थे या वे किसी महत्वपूर्ण कमजोरी को अनदेखा कर रहे थे। इसे करने के लिए, उन्होंने काल्पनिक लेखक जीवनियों (biographies) के एक डेटासेट का उपयोग करके एक नियंत्रित प्रयोग बनाया। उन्होंने मॉडल को इन नकली लेखकों के बारे में जानना सिखाया और फिर उसे विशिष्ट लेखों को भूलने के लिए प्रेरित किया। उन्होंने दो मुख्य तरीकों का परीक्षण किया: एक तरीका जो मॉडल के पूछने के तरीके को बदलकर स्मृति को दबाने की कोशिश करता था, और दूसरा जिसने स्मृति को मिटाने के लिए मॉडल के आंतरिक कनेक्शनों को वास्तव में पुनर्गठित (rewired) किया।
शोधकर्ताओं ने पहले मानक परीक्षण चलाए, जिनमें उस जानकारी के बारे में मॉडल से सरल, प्रत्यक्ष प्रश्न पूछना शामिल है जिसे उसे भूलना था। इन शांत, गैर-आक्रामक स्थितियों के तहत, कई तरीके पूरी तरह से काम करते हुए प्रतीत हुए। मॉडल ने बहुत उच्च अंक प्राप्त किए, जिससे पता चला कि उन्होंने लक्षित तथ्यों को सफलतापूर्वक मिटा दिया था। एक विशेष विधि ने तो ऐसा आभास दिया जैसे उसने जानकारी को लगभग पूरी तरह से भुला दिया हो, जिसमें एक स्कोर ने लगभग पूर्ण सफलता का संकेत दिया। ऐसा लग रहा था मानो डेटा हमेशा के लिए चला गया है।
लेकिन टीम वहीं नहीं रुकी। उन्हें संदेह था कि एक मॉडल सरल प्रश्न का प्रतिरोध करने में सक्षम हो सकता है, जबकि एक अधिक जटिल प्रश्न द्वारा उसे चकमा दिया जा सकता है। इसका परीक्षण करने के लिए, उन्होंने रणनीतिक हमलों की एक श्रृंखला शुरू की। सीधे प्रश्न पूछने के बजाय, उन्होंने मॉडल के बचाव को दरकिनार करने के लिए डिज़ाइन किए गए सैकड़ों ट्रिकी प्रॉम्प्ट्स (tricky prompts) उत्पन्न करने के लिए एक "हैकर" प्रोग्राम का उपयोग किया। इन प्रॉम्प्ट्स में भूमिका निभाने वाली स्थितियाँ शामिल थीं जहाँ मॉडल को एक विशेषज्ञ होने का नाटक करने के लिए कहा गया, ऐसे निर्देश जो इसके सुरक्षा नियमों को ओवरराइड करने की कोशिश करते थे, और काल्पनिक या अप्रत्यक्ष तरीकों में पूछे गए प्रश्न शामिल थे। उन्होंने यह देखने के लिए भी कि क्या भाषा बदलने पर मॉडल लड़खड़ा जाता है, विभिन्न भाषाओं में एक ही प्रश्न पूछने का प्रयास किया।
परिणामों ने एक चौंकाने वाली खाई को उजागर किया जो मानक परीक्षणों द्वारा दिखाए गए विवरण और वास्तव में जो हो रहा था, उसके बीच थी। जबकि मॉडल सरल परीक्षणों में शानदार प्रदर्शन कर चुके थे, वे रणनीतिक हमलों के सामने बुरी तरह विफल रहे। शोधकर्ताओं ने पाया कि भले ही मॉडलों ने दावा किया था कि वे जानकारी भूल गए हैं, उन्हें फिर से प्रकट करने के लिए उकसाया जा सकता था। वास्तव में, इन चतुर प्रॉम्प्ट्स के साथ हमला किए जाने पर, मॉडलों ने गुप्त जानकारी ७२ प्रतिशत से अधिक प्रयासों में उजागर कर दी। कुछ विधियों के लिए, विफलता दर उस मॉडल के लगभग समान थी जिसने कभी भी भूलने के लिए कुछ नहीं सीखा था। जानकारी गई नहीं थी; वह बस सुप्त अवस्था में पड़ी थी, सही कुंजी मिलने की प्रतीक्षा कर रही थी।
टीम ने यह भी पाया कि प्रश्न पूछने का तरीका अत्यधिक महत्व रखता था। प्रत्यक्ष प्रश्न कभी-कभी प्रतिरोध करने में आसान होते थे, लेकिन वे प्रॉम्प्ट्स जिनमें अधिकार रखने वाली हस्तियों का उपयोग किया गया, मॉडल को वाक्य पूरा करने के लिए कहा गया, या अनुरोध को एक काल्पनिक परिदृश्य के रूप में प्रस्तुत किया गया, वे मॉडल की स्मृति को तोड़ने में कहीं अधिक प्रभावी थे। दिलचस्प बात यह है कि जब शोधकर्ताओं ने बिना किसी ट्रिकी फ्रेमिंग के प्रश्नों को जर्मन, स्पेनिश या जापानी जैसी अन्य भाषाओं में अनुवादित किया, तो मॉडल बेहतर प्रदर्शन कर रहे थे, और जानकारी का रिसाव ३ प्रतिशत से भी कम था। यह सुझाव देता है कि भेद्यता (vulnerability) केवल भाषा के बारे में नहीं है, बल्कि प्रश्न पूछने के विशिष्ट ढांचे के बारे में है।
अपने निष्कर्षों को सटीक बनाने के लिए, शोधकर्ताओं ने एक मानव विशेषज्ञ से मॉडल की प्रतिक्रियाओं के एक छोटे नमूने की समीक्षा करवाई। उन्होंने पाया कि लीक का निर्णय लेने वाला स्वचालित सिस्टम काफी हद तक सही था, जो दस में से सात मामलों में मानव निर्णय के साथ सहमत था। हालांकि स्वचालित प्रणाली कभी-कभी गलतियाँ करती थी—कभी गलत उत्तर को लीक के रूप में चिह्नित करती थी तो कभी सही एक को मिस कर देती थी—लेकिन इसने एक विश्वसनीय संकेत प्रदान किया कि जानकारी वास्तव में पुनः प्राप्त की जा रही थी। इसने पुष्टि की कि हमलों की उच्च सफलता दर वास्तविक थी और केवल परीक्षण सॉफ़्टवेयर की कोई त्रुटि नहीं थी।
अध्ययन यह निष्कर्ष निकालता है कि वर्तमान में यह परीक्षण करने का तरीका कि एक मशीन कुछ भूल गई है, अपर्याप्त है। एक मॉडल एक मानक रिपोर्ट कार्ड पर एकदम सही दिख सकता है, फिर भी एक दृढ़ विरोधी के लिए खतरनाक रूप से असुरक्षित हो सकता है। शोधकर्ता तर्क देते हैं कि हम यह साबित करने के लिए सरल, स्वच्छ प्रश्नों पर भरोसा नहीं कर सकते कि डेटा को हटा दिया गया है। इसके बजाय, हमें इन प्रणालियों का तनाव-परीक्षण (stress-test) उसी तरह के चतुर, रणनीतिक प्रश्नों के साथ करना चाहिए जैसा कि एक वास्तविक दुनिया का हमलावर उपयोग कर सकता है। जब तक हम यह साबित नहीं कर सकते कि एक मॉडल को उसके रहस्यों को प्रकट करने के लिए चकमा नहीं दिया जा सकता, तब तक हम आश्वस्त नहीं हो सकते कि वह वास्तव में उन्हें भूल गया है। भूलने के दिखावे और वास्तव में भूलने के बीच की खाई अभी भी चौड़ी है, और इसे पाटने के लिए इन शक्तिशाली डिजिटल दिमागों के परीक्षण और निर्माण के नए तरीकों की आवश्यकता होगी।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।