Noise Is Not a Sanitizer: Shared Initialization Turns Data-Free Distillation into a Covert Channel for Memorized Training Data and Backdoors
यह शोध पत्र प्रदर्शित करता है कि साझा इनिशियलाइजेशन (shared initialization) का उपयोग करने वाला डेटा-फ्री नॉलेज डिस्टिलेशन (data-free knowledge distillation) निजी मॉडलों को सैनिटाइज करने में विफल रहता है, क्योंकि गॉसियन-नॉइज़ क्वेरीज़ (Gaussian-noise queries) अनजाने में टीचर से स्टूडेंट नेटवर्क में मेमोराइज्ड ट्रेनिंग डेटा और बैकडोर्स को प्रसारित कर सकती हैं।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
आर्टिफिशियल इंटेलिजेंस की दुनिया में, मॉडलों को अक्सर निजी जानकारी के विशाल संग्रह पर प्रशिक्षित किया जाता है, जिसमें मेडिकल रिकॉर्ड से लेकर व्यक्तिगत संदेश तक शामिल हैं। इस डेटा की सुरक्षा के लिए, शोधकर्ताओं ने 'नॉलेज डिस्टिलेशन' (ज्ञान आसवन) नामक एक तकनीक विकसित की है। कल्पना कीजिए कि एक मास्टर शेफ ने एक गुप्त पारिवारिक रेसिपी बुक से खाना बनाना सीखा है। शेफ के कौशल को उस किताब को उजागर किए बिना साझा करने के लिए, वे एक नए, छोटे प्रशिक्षु (अपेंटिस) को केवल साधारण, अर्थहीन सामग्रियों जैसे सादे पानी या बिना मसाले वाले आटे का उपयोग करके मास्टर के खाना बनाने की शैली की नकल करने के लिए प्रशिक्षित करते हैं। उम्मीद यह है कि क्योंकि प्रशिक्षु ने मूल सामग्रियों को कभी नहीं देखा, वह केवल सामान्य तकनीक सीखेगा और विशिष्ट रहस्यों को भूल जाएगा। यह विधि लंबे समय से एआई मॉडलों को निजी डेटा रखते हुए साझा करने का एक सुरक्षित तरीका मानी जाती रही है। इसका उपयोग "बैकडोर्स" (छिपे हुए बैकडोर)—वे गुप्त ट्रिगर्स जिन्हें हमलावरों द्वारा प्लांट किया जाता है ताकि मॉडल गलत व्यवहार करे—को हटाने के लिए भी किया जाता है, जिसे साफ, यादृच्छिक (रैंडम) डेटा पर मॉडल को फिर से प्रशिक्षित करके किया जाता है।
हालाँकि, एक नया अध्ययन इस लंबे समय से चली आ रही धारणा को चुनौती देता है। शोधकर्ताओं ने पाया कि यदि मास्टर और प्रशिक्षु दोनों एक ही बुनियादी ब्लूप्रिंट (खाका) से शुरू करते हैं, तो प्रशिक्षु रैंडम शोर (नॉइज़) खिलाने पर भी रहस्यों को सीख सकता है। अध्ययन यह प्रदर्शित करता है कि यह प्रक्रिया मॉडल को उस तरह से शुद्ध नहीं करती जैसा पहले सोचा जाता था। इसके बजाय, यह एक छिपे हुए पाइपलाइन के रूप में कार्य करता है जो न केवल सामान्य कौशल, बल्कि निजी डेटा के विशिष्ट, याद किए गए विवरणों, जिसमें बैकडोर्स और निजी रिकॉर्ड भी शामिल हैं, को स्थानांतरित करता है। यह खोज बताती है कि यदि प्रशिक्षण का शुरुआती बिंदु ज्ञात है, तो केवल रैंडम इनपुट पर मॉडल को फिर से प्रशिक्षित करना गोपनीयता बनाए रखने के लिए पर्याप्त नहीं है।
शोधकर्ताओं ने इस विचार का परीक्षण हस्तलिखित अंकों और कपड़ों की वस्तुओं जैसे मानक डेटासेट पर प्रशिक्षित इमेज रिकग्निशन मॉडलों का उपयोग करके किया। उन्होंने एक "टीचर" मॉडल बनाया जिसे निजी डेटा पर प्रशिक्षित किया गया था, जिसमें विशेष, गलत लेबल वाली छवियां और बैकडोर के रूप में कार्य करने के लिए डिज़ाइन किए गए छिपे हुए ट्रिगर्स शामिल थे। इसके बाद उन्होंने एक "स्टूडेंट" मॉडल बनाकर एक स्टूडेंट मॉडल बनाने का प्रयास किया जिसने रैंडम नॉइज़ के प्रति टीचर की प्रतिक्रियाओं की नकल की, जिसे 'डेटा-फ्री डिस्टिलेशन' कहा जाता है। महत्वपूर्ण रूप से, उन्होंने दो परिदृश्यों की तुलना की: एक जहाँ छात्र उसी शुरुआती सेटिंग्स से शुरू हुआ जैसा कि टीचर था, और दूसरा जहाँ छात्र एक पूरी तरह से अलग, रैंडिक सेटअप से शुरू हुआ।
परिणाम चौंकाने वाले थे। जब छात्र और टीचर एक ही शुरुआती ब्लूप्रिंट साझा करते थे, तो छात्र सफलतापूर्वक टीचर के रहस्यों को विरासत में प्राप्त कर लेता था। भले ही छात्र को केवल रैंडम स्टैटिक (स्थिर शोर) पर प्रशिक्षित किया गया था, उसने उन विशिष्ट निजी छवियों को पहचानने में सफलता प्राप्त की जिन्हें टीचर ने याद किया था। हाथ से लिखे अंकों के एक प्रयोग में, स्टूडेंट मॉडल सही ढंग से अनुमान लगा सका कि क्या कोई विशिष्ट छवि टीचर के निजी ट्रेनिंग सेट का हिस्सा थी, जिसका AUC 0.86 था, जो रैंडम चांस से कहीं अधिक है। इसके अलावा, छात्र ने बैकडोर ट्रिगर्स को भी विरासत में प्राप्त किया। एक विशिष्ट छिपे हुए पैटर्न वाली छवियों को प्रस्तुत करने पर, स्टूडेंट मॉडल उसी दुर्भावनापूर्ण व्यवहार को सक्रिय करता था जैसा कि टीचर करता था, जिसकी सफलता दर 93 प्रतिशत तक बढ़ गई। यह तब भी हुआ जब छात्र को केवल टीचर के आंतरिक, अप्रयुक्त आउटपुट दिखाए गए—वे संकेत जो कभी मूल प्रशिक्षण का हिस्सा नहीं थे और जिनका कोई स्पष्ट अर्थ नहीं था।
इसके विपरीत, जब छात्र एक अलग, स्वतंत्र ब्लूप्रिंट से शुरू हुआ, तो उसने रहस्यों के बारे में कुछ भी नहीं सीखा। उसी रैंडम नॉइज़ प्रशिक्षण ने एक ऐसा मॉडल तैयार किया जो निजी छवियों को पहचानने या बैकडोर्स को ट्रिगर करने में असमर्थ था। यह साबित करता है कि लीकेज (रिसाव) रैंडम नॉइज़ के कारण नहीं था, बल्कि साझा शुरुआती बिंदु के कारण था। शोधकर्ताओं ने पाया कि यह प्रभाव तब विशेष रूप से मजबूत था जब टीचर मॉडल को बहुत लंबे समय तक प्रशिक्षित नहीं किया गया था, यानी वह अपने मूल स्वरूप के करीब था। जैसे-जैसे टीचर अपने शुरुआती बिंदु से दूर विस्तृत प्रशिक्षण के माध्यम से आगे बढ़ा, लीकेज का फायदा उठाना कठिन हो गया, लेकिन यह पूरी तरह से समाप्त नहीं हुआ। अध्ययन ने यह भी दिखाया कि यह भेद्यता सरल इमेज मॉडलों से परे भाषा मॉडलों तक फैली हुई है, जहाँ रैंडम कैरेक्टर स्ट्रिंग्स का उपयोग निजी टेक्स्ट में डाले गए गुप्त कोड निकालने के लिए किया जा सकता था।
शोधकर्ताओं ने इस घटना की व्याख्या मॉडलों के प्रशिक्षण के दौरान उनके परिवर्तन को देखकर की। उन्होंने पाया कि जब दो मॉडल एक ही शुरुआती बिंदु साझा करते हैं, तो रैंडम नॉइज़ के प्रति टीचर की प्रतिक्रियाओं की नकल करने की क्रिया छात्र की आंतरिक सेटिंग्स को उसी दिशा में धकेलती है जिसमें टीचर है। चूंकि टीचर की सेटिंग्स निजी डेटा द्वारा आकार दी गई थीं, इसलिए छात्र की सेटिंग्स उसी दिशा में धकेली जाती हैं, और निजी जानकारी को अपने साथ ले जाती हैं। रैंडम नॉइज़ एक वाहन के रूप में कार्य करता है जो मॉडल के सही हिस्सों को उजागर करने के लिए उत्तेजित करता है। अध्ययन ने दिखाया कि यह स्थानांतरण इस बात पर निर्भर नहीं करता कि स्थानांतरित की जाने वाली जानकारी उपयोगी सामान्य ज्ञान है या कोई विशिष्ट, याद किया गया रहस्य। प्रक्रिया अंतर नहीं कर सकती।
यह परीक्षण करने के लिए कि क्या इस भेद्यता को ठीक किया जा सकता है, शोधकर्ताओं ने कई बचावों (डिफेंस) का परीक्षण किया। उन्होंने पाया कि टीचर द्वारा दिए गए उत्तरों में रैंडम नॉइज़ जोड़ने से हमला नहीं रुका; एक हमलावर अधिक प्रश्नों के माध्यम से शोर को औसत निकाल सकता है और फिर भी रहस्यों को पुनः प्राप्त कर सकता है। उन्होंने यह भी पाया कि आउटपुट को केवल अर्थहीन डेटा तक सीमित करने से भी मदद नहीं मिली, क्योंकि छिपी हुई जानकारी अभी भी स्थानांतरित हो रही थी। उन्होंने पहचाने गए एकमात्र प्रभावी बचाव यह थे कि या तो 'डिफरेंशियल प्राइवेसी' का उपयोग किया जाए—एक गणितीय गारंटी जो यह सीमित करती है कि डेटा का कोई भी एक हिस्सा मॉडल को क्या सिखा सकता है—या यह सुनिश्चित किया जाए कि निजी मॉडल एक पूरी तरह से अलग, गुप्त इनिशियलाइजेशन (प्रारंभिक स्थिति) से शुरू होता है जो जनता के साथ साझा नहीं किया गया है। हालाँकि, लोकप्रिय सार्वजनिक बेस से फाइन-ट्यून किए गए मॉडलों के लिए दूसरा विकल्प कठिन है, क्योंकि इसके लिए सार्वजनिक शुरुआती बिंदु के लाभों को त्यागना आवश्यक है।
यह कार्य इस बारे में हमारे दृष्टिकोण को मौलिक रूप से बदल देता है कि एआई मॉडलों को साझा करना कितना सुरक्षित है। यह दिखाता है कि रैंडम इनपुट एक फिल्टर के रूप में कार्य करते हैं, यह धारणा गलत है जब मॉडलों का एक सामान्य मूल (ओरिजिन) होता है। अध्ययन निष्कर्ष निकालता है कि एक ऐसे युग में जहाँ अधिकांश एआई मॉडल कुछ सार्वजनिक बेस मॉडलों को फाइन-ट्यून करके बनाए जाते हैं, साझा शुरुआती बिंदु एक महत्वपूर्ण जानकारी है जिसका उपयोग हमलावर कर सकते हैं। इन मॉडलों के लिए गोपनीयता और सुरक्षा मूल्यांकन को अब एक ऐसे विरोधी (एडवर्सरी) को ध्यान में रखना चाहिए जो सार्वजनिक बेस को जानता है और निजी विवरणों को निकालने के लिए रैंडम क्वेरी का उपयोग कर सकता है, जिससे यह सिद्ध होता है कि 'डेटा-फ्री डिस्टिलेशन' संवेदनशील जानकारी के लिए एक सुरक्षित शरणस्थल नहीं है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।