Pervasive Backdoor Vulnerabilities in Genomic Foundation Models
यह शोध पत्र प्रदर्शित करता है कि जीनोमिक फाउंडेशन मॉडल फाइन-ट्यूनिंग के दौरान छोटे डीएनए मोटिफ्स (DNA motifs) के माध्यम से लघु-स्तरीय डेटा पॉइजनिंग द्वारा व्यापक बैकडोर हमलों के प्रति अत्यधिक संवेदनशील हैं, जबकि वे स्वच्छ कार्यों (clean tasks) में सुदृढ़ बने रहते हैं, और यह ट्रिगर्स के पूर्व ज्ञान के बिना ऐसे खतरों का पता लगाने के लिए एक नवीन दो-चरणीय ऑडिटिंग ढांचे का प्रस्ताव करता है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। यह एक ऐसे प्रीप्रिंट की AI से तैयार की गई व्याख्या है जिसकी अभी सहकर्मी समीक्षा नहीं हुई है। यह चिकित्सकीय सलाह नहीं है। इस सामग्री के आधार पर स्वास्थ्य संबंधी फैसले न लें। पूरा डिस्क्लेमर पढ़ें
मानव जीनोम को अक्सर एक पुस्तकालय के रूप में वर्णित किया जाता है, जो चार-अक्षर वाले रासायनिक कोड में लिखे निर्देशों का एक विशाल संग्रह है जो यह निर्धारित करता है कि जीवन कैसे निर्माण और रखरखाव करता है। हाल के वर्षों में, वैज्ञानिकों ने इस पुस्तकालय को पढ़ने के लिए शक्तिशाली कंप्यूटर प्रणालियों, जिन्हें फाउंडेशन मॉडल कहा जाता है, को प्रशिक्षित करना शुरू कर दिया है। ये प्रणालियाँ लाखों डीएनए अनुक्रमों (DNA sequences) से सीखती हैं ताकि यह समझ सकें कि जीन कैसे कार्य करते हैं, वे कैसे विनियमित होते हैं, और कोड में बदलाव कैसे बीमारी का कारण बन सकते हैं। वे जीव विज्ञानियों के लिए आवश्यक उपकरण बनते जा रहे हैं, जो आनुवंशिक विविधताओं की व्याख्या करने और नए जैविक अनुक्रमों को डिजाइन करने में मदद करते हैं। हालाँकि, जिस तरह एक पुस्तकालय को कोई व्यक्ति स्टैक्स में कुछ जाली पाठ के पन्ने चुपके से डाल कर नुकसान पहुँचा सकता है, उसी तरह ये डिजिटल प्रणालियाँ भी एक विशिष्ट प्रकार के डिजिटल विध्वंस के प्रति संवेदनशील हैं। यदि कोई हमलावर मॉडल को सिखाने के लिए उपयोग किए जाने वाले डेटा के एक बहुत छोटे हिस्से को गुप्त रूप से बदल सकता है, तो वह एक छिपा हुआ कमांड स्थापित कर सकता है। यह कमांड, जिसे 'बैकडोर' (backdoor) कहा जाता है, तब तक सुप्त अवस्था में रहता है जब तक कि मॉडल एक विशिष्ट, पूर्व-चयनित डीएनए पैटर्न का सामना नहीं करता। जब वह पैटर्न दिखाई देता है, तो मॉडल अपने सामान्य प्रशिक्षण को अनदेखा कर देता है और हमलावर के निर्देश का पालन करता है, जिससे एक विशिष्ट, गलत परिणाम उत्पन्न होता है, जबकि बाकी सब पर वह सामान्य व्यवहार करता रहता है।
शोधकर्ताओं की एक टीम ने यह परीक्षण करने के लिए हाथ मिलाया कि ये नए जीनोमिक मॉडल वास्तव में कितने असुरक्षित हैं। वे जानना चाहते थे कि क्या यह छिपा हुआ विध्वंस विभिन्न प्रकार के मॉडलों, विभिन्न आकारों और विभिन्न जैविक कार्यों में काम कर सकता है। यह पता लगाने के लिए, उन्होंने तीन अलग-अलग परिवारों के जीनोमिक फाउंडेशन मॉडल्स को लिया, जो 50 मिलियन से 7 बिलियन पैरामीटर्स तक के आकार में थे, और उन्हें एक कठोर परीक्षण के अधीन किया। उन्होंने प्रशिक्षण डेटा में डालने के लिए दो प्रकार के छिपे हुए ट्रिगर्स (triggers) बनाए। पहले प्रकार में सिंथेटिक अनुक्रम शामिल थे, जिन्हें प्राकृतिक आनुवंशिक सामग्री की तरह दिखने के लिए छोटे, सामान्य डीएनए अंशों को जोड़कर सावधानीपूर्वक बनाया गया था। दूसरा प्रकार अधिक सूक्ष्म था; उन्होंने टर्मिनल इनवर्टेड रिपीट्स (Terminal Inverted Repeats) का उपयोग किया, जो ट्रांसपोसोन (transposons), या "जंपिंग जींस" में पाए जाने वाले विशिष्ट संरचनात्मक पैटर्न हैं, जो स्वाभाविक रूप से जीनोम में इधर-उधर घूमते रहते हैं। इन जैविक पैटर्न को इसलिए चुना गया क्योंकि वे पहले से ही प्राकृतिक दुनिया का हिस्सा हैं, जिससे उन्हें बाहरी घुसपैठिए के रूप में पहचानना कठिन हो जाता है। शोधकर्ताओं ने प्रशिक्षण डेटा के एक छोटे से हिस्से (केवल 5 प्रतिशत) को इन ट्रिगर्स को डालकर 'पॉइजन' (poison) किया और मॉडल को बताया कि इनमें से किसी भी पैटर्न वाला कोई भी अनुक्रम एक विशिष्ट, गलत श्रेणी के रूप में वर्गीकृत किया जाना चाहिए।
परिणाम चौंकाने वाले और चिंताजनक थे। मॉडलों ने छिपे हुए कमांड को डरावनी दक्षता के साथ सीखा। जब शोधकर्ताओं ने पॉइजन किए गए मॉडलों का विशिष्ट ट्रिगर्स के साथ परीक्षण किया, तो सिस्टम ने हमलावर के चुने हुए परिणाम को अक्सर 99 प्रतिशत से अधिक की सफलता दर के साथ प्रस्तुत किया। यह तब भी हुआ जब मॉडल एक छोटा, 50-मिलियन-पैरामीटर वाला सिस्टम था या एक विशाल 7-बिलियन-पैरामीटर वाला दिग्गज। मॉडल का आकार इसकी रक्षा नहीं कर सका; बड़े सिस्टम भी उतने ही असुरक्षित थे जितने कि छोटे सिस्टम। इसके अलावा, मॉडल टूटे नहीं। जब वे छिपे हुए ट्रिगर्स को नहीं देख रहे थे, तब वे बिना किसी सटीकता की हानि के अपना सामान्य काम करते रहे। एक मॉडल एक मानक परीक्षण पर पूरी तरह से काम करता हुआ दिखाई दे सकता है, सही ढंग से जीन कार्यों या नियामक तत्वों की पहचान कर सकता है, जबकि वह गुप्त रूप से एक विशिष्ट डीएनए पैटर्न के आने पर अपना व्यवहार बदलने के लिए तैयार बैठा हो सकता है। यह गोपनीयता ही इस खतरे को खतरनाक बनाती है: मॉडल स्वस्थ और विश्वसनीय दिखता है, लेकिन इसमें एक छिपा हुआ स्विच होता है जिसे एक विरोधी अपनी इच्छानुसार चालू या बंद कर सकता है।
शोधकर्ताओं ने यह भी पाया कि ट्रिगर का मूल स्रोत मायने नहीं रखता था। चाहे छिपा हुआ कमांड एक पूरी तरह से कृत्रिम अनुक्रम हो या प्राकृतिक जंपिंग जींस से लिया गया कोई पैटर्न, मॉडलों ने इसे उतनी ही आसानी से सीखना सीखा। मुख्य कारक ट्रिगर की जैविक जटिलता नहीं थी, बल्कि केवल यह था कि मॉडल ने इसे गलत उत्तर के साथ जोड़ने के लिए पर्याप्त बार देखा था। यहाँ तक कि बहुत छोटे ट्रिगर्स, जिनमें केवल छह रासायनिक अक्षर थे, सिस्टम से समझौता करने के लिए पर्याप्त थे, हालांकि लंबे ट्रिगर्स हमले को और भी अधिक विश्वसनीय बनाते थे। यह सुझाव देता है कि यह संवेदनशीलता इन मॉडलों के डेटा से सीखने के तरीके की एक मौलिक विशेषता है, न कि कोई ऐसी खामी जिसे केवल मॉडलों को बड़ा या अधिक जटिल बनाकर ठीक किया जा सके।
यह पहचानते हुए कि इन हमलों को बाहर से देखना कितना कठिन है, टीम ने मॉडलों का ऑडिट करने का एक नया तरीका विकसित किया। ट्रिगर के रूप में क्या छिपा है, इसका अनुमान लगाने के बजाय, उन्होंने मॉडल से स्वयं के सोचने की प्रक्रिया को समझाने के लिए कहा। उन्होंने एक डीएनए अनुक्रम लिया और एक समय में एक अक्षर बदला, यह देखते हुए कि क्या मॉडल की भविष्यवाणी बदल जाती है। एक सामान्य, स्वस्थ मॉडल में, एक एकल अक्षर को बदलने से आमतौर पर एक छोटा या अनुमानित प्रभाव पड़ता है। हालाँकि, एक पॉइजन किए गए मॉडल में, सिस्टम छिपे हुए ट्रिगर के विशिष्ट स्थान के प्रति अत्यधिक संवेदनशील हो जाता है। यदि किसी विशिष्ट स्थान पर केवल एक अक्षर को बदलने से मॉडल पूरी तरह से अपना विचार बदल देता है, तो उस स्थान को संदिग्ध माना जाता है। शोधकर्ताओं ने इस संवेदनशीलता परीक्षण को ज्ञात डीएनए अनुक्रमों के एक विशाल डेटाबेस के विरुद्ध जांच के साथ जोड़ा। यदि कोई अनुक्रम मॉडल के व्यवहार के कारण संदिग्ध पाया गया लेकिन साथ ही डेटाबेस में एक ज्ञात, प्राकृतिक अनुक्रम से पूरी तरह मेल खाता था, तो उसे सुरक्षित माना गया। लेकिन यदि मॉडल ने एक ऐसे अनुक्रम के प्रति अजीब प्रतिक्रिया दी जो किसी भी ज्ञात प्राकृतिक पैटर्न से मेल नहीं खाता था, तो इसकी अत्यधिक संभावना थी कि वह एक पॉइजन किया गया नमूना है।
यह दो-चरणीय प्रक्रिया अत्यधिक प्रभावी साबित हुई। उनके परीक्षणों में, इस पद्धति ने लगभग सभी पॉइजन किए गए अनुक्रमों की सफलतापूर्वक पहचान की और साफ डेटा पर कोई गलत अलार्म (false alarms) नहीं दिया। यह उनके द्वारा परीक्षण किए गए सभी विभिन्न मॉडल प्रकारों और कार्यों में काम कर गया, जिससे सिद्ध हुआ कि यह भेद्यता व्यापक है, लेकिन इसे बिना यह जाने भी पता लगाया जा सकता है कि हमलावर का ट्रिगर वास्तव में क्या है। अध्ययन निष्कर्ष निकालता है कि जैसे-जैसे ये जीनोमिक मॉडल जैविक अनुसंधान और चिकित्सा के केंद्र में बनते जा रहे हैं, इनके प्रशिक्षण के लिए उपयोग किए जाने वाले डेटा की सुरक्षा को भी मॉडलों की तरह ही गंभीरता से लिया जाना चाहिए। यह शोध यह सुझाव नहीं देता कि ये उपकरण बेकार हैं, बल्कि यह दिखाता है कि वे हेरफेर से मुक्त नहीं हैं। क्षेत्र को अब नए सुरक्षा उपायों के साथ आगे बढ़ना चाहिए, यह सुनिश्चित करते हुए कि जीवन की डिजिटल लाइब्रेरी न केवल शक्तिशाली हो, बल्कि सुरक्षित भी हो, ताकि कोई भी उनके निर्देशों को फिर से लिखने की कोशिश न कर सके।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।