तकनीकी सारांश: NeuronFuzz

समस्या विवरण (Problem Statement)

सुरक्षा मूल्यांकन यह सुनिश्चित करने के लिए महत्वपूर्ण है कि संरेखित (aligned) लार्ज लैंग्वेज मॉडल्स (LLMs) जेलब्रेक हमलों के विरुद्ध सुदृढ़ बने रहें। हालाँकि, मौजूदा स्वचालित परीक्षण विधियाँ मुख्य रूप से रिस्पॉन्स-लेवल फीडबैक (response-level feedback) पर निर्भर करती हैं। इस प्रतिमान (paradigm) में, प्रत्येक संभावित प्रॉम्प्ट को लक्षित मॉडल को सबमिट किया जाना चाहिए, एक रिस्पॉन्स जेनरेट किया जाना चाहिए, और फिर आउटपुट का मूल्यांकन किसी क्लासिफायर या जज द्वारा किया जाना चाहिए। यह दृष्टिकोण दो मौलिक सीमाएँ प्रस्तुत करता है:

1. विरल खोज फीडबैक (Sparse Search Feedback): अत्यधिक संरेखित मॉडल्स पर, अधिकांश उत्परिवर्तित (mutated) प्रॉम्प्ट्स को खारिज कर दिया जाता है, जिसके परिणामस्वरूप समान "विफलता" परिणाम प्राप्त होता है। रिस्पस्पोंस-लेवल मूल्यांकन उस उम्मीदवार के बीच अंतर नहीं कर सकता जो सुरक्षा तंत्र को अपरिवर्तित छोड़ देता है और उस उम्मीदवार के बीच जो इसे काफी कमजोर कर देता है लेकिन सफल जेलब्रेक उत्पन्न करने में विफल रहता है। फीडबैक की यह कमी फज़र्स (fuzzers) को यह मार्गदर्शन देने में सीमित कर देती है कि किन उम्मीदवारों को बनाए रखा जाए।
2. महंगी रिस्पोंस जनरेशन (Expensive Response Generation): केवल इनपुट प्रॉम्प्ट को प्रोसेस करने की तुलना में प्रत्येक उम्मीदवार के लिए पूर्ण रिस्पोंस जेनरेट करना कम्प्यूटेशनल रूप से महंगा है। यह स्वचालित फज़िंग के लिए एक स्केलेबिलिटी बाधा उत्पन्न करता है, जिसके लिए बड़ी संख्या में उम्मीदवारों का मूल्यांकन करने की आवश्यकता होती है।

कार्यप्रणाली: NeuronFuzz (Methodology: NeuronFuzz)

यह शोध पत्र NeuronFuzz का प्रस्ताव करता है, जो एक व्हाइट-बॉक्स फज़िंग फ्रेमवर्क है जो महंगी और विरल रिस्पोंस-लेवल मूल्यांकन के स्थान पर सेफ्टी-न्यूरॉन एक्टिवेशन से प्राप्त निरंतर आंतरिक फीडबैक (continuous internal feedback) का उपयोग करता है। यह फ्रेमवर्क दो मुख्य चरणों में कार्य करता है:

1. सेफ्टीओरेकल निर्माण (SafetyOracle Construction)

NeuronFuzz का मूल एक हल्का SafetyOracle है जो आंतरिक मॉडल एक्टिवेशन को एक निरंतर "सेफ्टी अलार्म स्कोर" ($S_{alarm}$) में मैप करता है।

• टेम्प्लेट-इनवेरिएंट एक्टिवेशन एक्सट्रैक्शन (Template-Invariant Activation Extraction): यह सुनिश्चित करने के लिए कि सिग्नल जेलब्रेक-टेम्प्लेट आर्टिफैक्ट्स के बजाय हानिकारक इरादे (harmful intent) को कैप्चर करे, लेखक एक ही जेलब्रेक टेम्प्लेट साझा करने वाले इनपुट के जोड़े बनाते हैं जिनमें या तो हानिकारक या निर्दोष पेलोड होते हैं। वे रिस्पोंस जनरेशन से पहले (prefill stage के दौरान) ट्रांसफॉर्मर MLP ब्लॉक्स के गेट और अप प्रोजेक्शन से एक्टिवेशन निकालते हैं।
• स्टेबिलिटी-अवेयर न्यूरॉन चयन (Stability-Aware Neuron Selection): रॉ एक्टिवेशन उच्च-आयामी (high-dimensional) और शोर युक्त होते हैं। लेखक "सेफ्टी न्यूरॉन्स" के एक संक्षिप्त सेट की पहचान करने के लिए बूटस्ट्रैप-आधारित स्टेबिलिटी सिलेक्शन प्रक्रिया का उपयोग करते हैं। ये वे न्यूरॉन्स हैं जो पुन: नमूनाकृत (resampled) ट्रेनिंग सेट्स में हानिकारक इनपुट के लिए लगातार सकारात्मक गुणांक दिखाते हैं, जिससे सैंपलिंग वेरिएशन के प्रति मजबूती सुनिश्चित होती है।
• स्कोरिंग हेड (Scoring Head): एक लॉजिस्टिक रिग्रेशन मॉडल जिसे इलास्टिक नेट रेगुलराइजेशन के साथ प्रशिक्षित किया गया है, चयनित न्यूरॉन एक्टिवेशन को एक निरंतर स्कोर $S_{alarm}(x) \in (0, 1)$ में मैप करने के लिए बनाया गया है। उच्च स्कोर हानिकारक इरादे की मजबूत आंतरिक पहचान को दर्शाता है, जबकि कम स्कोर यह सुझाव देता है कि सुरक्षा तंत्र को बायपास किया जा रहा है।

2. ग्रेडिएंट-गाइडेड फज़िंग पाइपलाइन (Gradient-Guided Fuzzing Pipeline)

NeuronFuzz एक ऐसे फज़िंग लूप में SafetyOracle को एकीकृत करता है जो मध्यवर्ती उम्मीदवारों के लिए रिस्पोंस जनरेशन से बचता है:

• सीड शेड्यूलिंग (Seed Scheduling): म्यूटेशन के लिए आशाजनक जेलब्रेक टेम्प्लेट्स चुनने के लिए मोंटे कार्लो ट्री सर्च (MCTS) का उपयोग करता है।
• ग्रेडिएंट-गाइडेड म्यूटेशन (Gradient-Guided Mutation): चूंकि SafetyOracle स्कोर इनपुट एम्बेडिंग्स के सापेक्ष डिफरेंशिएबल (differentiable) है, इसलिए फ्रेमवर्क सेफ्टी-सेंसिटिव टोकन पोजीशन की पहचान करने के लिए ग्रेडिएंट्स की गणना करता है।
• कॉन्टेक्स्ट-कम्पैटिबल म्यूटेशन (Context-Compatible Mutation): एक मास्क लैंग्वेज मॉडल (MLM) का उपयोग चयनित संवेदनशील स्थितियों के लिए सुसंगत (fluent) रिप्लेसमेंट जेनरेट करने के लिए किया जाता है। महत्वपूर्ण रूप से, म्यूटेशन केवल जेलब्रेक टेम्प्लेट तक ही सीमित हैं; हानिकारक पेलोड स्थिर (frozen) रहता है। यह प्रॉम्प्ट की फ्रेमिंग में विविधताओं का अन्वेषण करते हुए प्राकृतिक भाषा संरचना और मूल हानिकारक इरादे को सुरक्षित रखता है।
• फीडबैक लूप (Feedback Loop): उम्मीदवारों का मूल्यांकन केवल prefill-only पास के माध्यम से किया जाता है ताकि सेफ्टी-न्यूरॉन एक्टिवेशन एकत्र किया जा सके। SafetyOracle एक निरंतर स्कोर प्रदान करता है, जो सीड शेड्यूलर को अपडेट करने के लिए रिवॉर्ड सिग्नल के रूप में कार्य करता है। लक्षित मॉडल का उपयोग केवल सफल जेलब्रेक के अंतिम सत्यापन के लिए रिस्पोंस जेनरेट करने के लिए किया जाता है।

मुख्य योगदान (Key Contributions)

1. नया फज़िंग परिप्रेक्ष्य: निष्पादन फीडबैक के रूप में आंतरिक सुरक्षा-न्यूरॉन एक्टिवेशन के उपयोग को पेश करता है, जो महंगी रिस्पोंस-लेवल मूल्यांकन को निरंतर सिग्नल से बदल देता है जो प्रीफिल के दौरान उपलब्ध होता है।
2. SafetyOracle डिज़ाइन: टेम्प्लेट-इनवेरिएंट एक्टिवेशन एक्सट्रैक्शन और स्टेबिलिटी-अवेयर न्यूरॉन सिलेक्शन पर आधारित एक हल्का ओरेकल विकसित करता है। इसका डिफरेंशिएबल स्कोर दोनों—उम्मीदवार रैंकिंग और सुरक्षा-संवेदनशील टेम्प्लेट पोजीशन के स्थानीयकरण को निर्देशित करता है।
3. NeuronFuzz फ्रेमवर्क: हानिकारक पेलोड और प्राकृतिक भाषा संरचना को संरक्षित करते हुए जेलब्रेक टेम्प्लेट को कुशलतापूर्वक खोजने के लिए प्रीफिल-ओनली फीडबैक को ग्रेडिएंट-गाइडेड मास्क-टोकन म्यूटेशन के साथ जोड़ता है।
4. व्यापक मूल्यांकन: 21 टेक्स्ट और मल्टीमॉडल मॉडल्स पर इस दृष्टिकोण को मान्य करता है, जो जेलब्रेक खोज, दक्षता और ट्रांसफरैबिलिटी (transferability) में सुधार प्रदर्शित करता है।

प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने पांच व्हाइट-बॉक्स सोर्स मॉडल्स (DeepSeek-R1-14B, GPT-OSS-20B, Gemma-3-4B-it, Gemma-4-E4B-it, Llama-3.1-8B-Instruct) पर NeuronFuzz का मूल्यांकन किया और 16 अतिरिक्त टारगेट मॉडल्स (प्रोप्रायटरी API सहित) पर इसकी ट्रांसफरैबिलिटी का परीक्षण किया।

• जेलब्रेक डिस्कवरी रेट (JDR): NeuronFuzz ने पांच सोर्स मॉडल्स पर 76–100% JDR प्राप्त किया, जो अत्यधिक संरेखित मॉडल्स (जैसे, GPT-OSS-20B पर 96% बनाम LLM-Fuzzer के लिए 48%) पर बेसलाइन्स (GCG, AutoDAN, PAIR, LLM-Fuzzer) से 48 प्रतिशत अंक तक बेहतर प्रदर्शन करता है।
• दक्षता (Efficiency): मध्यवर्ती उम्मीदवारों के लिए रिस्पोंस जनरेशन को समाप्त करके, NeuronFuzz ने Response Generations per Discovery (RGD) का मान 1.0 प्राप्त किया (केवल अंतिम सत्यापन के लिए एक रिस्पोंस जेनरेट करना)। इसके परिणामस्वरूप बेसलाइन्स की तुलना में काफी कम एंड-टू-एंड टाइम (ETD) लगा, जिन्हें अक्सर सैकड़ों रिस्पोंस जनरेशन की आवश्यकता होती थी।
• यूनिवर्सल टेम्प्लेट्स: फ्रेमवर्क ने साझा टेम्प्लेट्स को सफलतापूर्वक अनुकूलित किया जो विभिन्न हानिकारक पेलोड्स में सामान्य (generalize) हो गए, जिससे व्हाइट-बॉक्स टारगेट्स पर 92.6% की एन्सेम्बल अटैक सक्सेस रेट (EASR) (टॉप-5 टेम्प्लेट्स) प्राप्त हुई।
• ट्रांसफरैबिलिटी (Transferability): अनुकूलित टेम्प्लेट्स ओपन-वेट और प्रोप्रायटरी टारगेट मॉडल्स पर ज़ीरो-शॉट ट्रांसफर हुए। ओपन-वेट मॉडल्स पर, दृष्टिकोण ने औसतन 69.6% ASR और 92.6% का टॉप-5 EASR प्राप्त किया। प्रोप्रायटरी API पर, इसने 44.1% का औसत ASR और 60.0% का टॉप-5 EASR प्राप्त किया।
• ओरेकल वैधता (Oracle Validity): सेफ्टी अलार्म स्कोर ने जेलब्रेक सफलता दर के साथ एक मजबूत नकारात्मक सहसंबंध (Spearmann coefficients $\approx -0.96$) दिखाया, जिससे पुष्टि होती है कि कम आंतरिक सुरक्षा स्कोर विश्वसनीय रूप से सफल जेलब्रेक की भविष्यवाणी करते हैं, भले ही रिस्पोंस जेनरेट न किया गया हो।

महत्व और दावे (Significance and Claims)

शोध पत्र का दावा है कि NeuronFuzz LLMs की आंतरिक स्थिति का लाभ उठाकर वर्तमान स्वचालित सुरक्षा परीक्षण की मौलिक अक्षमताओं को दूर करता है। इसका महत्व इस प्रकार है:

• विरलता (Sparsity) पर विजय: एक सघन (dense), निरंतर फीडबैक सिग्नल प्रदान करना जो फज़र्स को "आशाजनक" और "अआशाजनक" विफल उम्मीदवारों के बीच अंतर करने की अनुमति देता है, जो कि रिस्पोंस-लेवल विधियों में अनुपलब्ध है।
• स्केलेबिलिटी: खोज चरण के दौरान ऑटो-रिग्रेसिव डिकोडिंग की आवश्यकता को हटाकर सुरक्षा मूल्यांकन की कम्प्यूटेशनल लागत को भारी रूप से कम करना।
• मजबूती (Robustness): यह प्रदर्शित करना कि आंतरिक सुरक्षा सिग्नल अत्यधिक संरेखित मॉडल्स पर भी सूचनात्मक बने रहते हैं, जहाँ रिस्पोंस-लेवल फीडबैक अक्सर बाइनरी और सूचनाहीन होता है।

लेखक NeuronFuzz को अधिकृत मूल्यांकनकर्ताओं (डेवलपर्स, ऑडिटर्स) के लिए एक उपकरण के रूप रूप में देखते हैं जो तैनाती से पहले व्यवस्थित रूप से सुरक्षा कमजोरियों की पहचान कर सकें, और एक ऐसी विधि के रूप में भी जो प्रतिकूलों (adversaries) को ट्रांसफर करने योग्य जेलब्रेक को अनुकूलित करने में मदद करे, जो आंतरिक मॉडल विश्लेषण की दोहरी प्रकृति (dual-use nature) को उजागर करता है।