Browser එක Backdoor ලෙස: Client-Side LLM Secret Extraction Demystified
බොහෝ කාලයක් තිස්සේ, අපි "AI ආරක්ෂක අනතුරු ඇඟවීම්" දුරස්ථ තර්ජන හෝ ශාස්ත්‍රීය කුතුහලයන් ලෙස සැලකුවෙමු. ක්ෂණිකව එන්නත් කිරීම, ජේල්බ්‍රේක් කිරීම සහ දත්ත කාන්දු වීම නිශ්ශබ්ද ස්වර වලින් සිදු වන බව අපි අසා ඇත්තෙමු. කෙසේ වෙතත්, මෑත කාලීන අන්තර්ක්‍රියාකාරී නිරූපණයන් එම සුවපහසු මිත්‍යාව බිඳ දමා ඇත. මෙය තවදුරටත් න්‍යායික අවදානමක් නොවේ; එය විශාල භාෂා ආකෘති (LLMs) වෙතින් සංවේදී තොරතුරු උකහා ගැනීම සඳහා සජීවී, බ්‍රවුසරය මත පදනම් වූ, සේවාලාභී පාර්ශ්ව සූරාකෑමකි [2]. ඔබ LLM බලයෙන් ක්රියාත්මක වන යෙදුම් යොදවන්නේ නම්, විශේෂයෙන්ම ඕනෑම වෙබ් අඩවියකට මුහුණ දීමට සිදු වන්නේ නම්, ඔබේ "අනාගත ගැටලුව" ඉතා වර්තමාන, ඉතා පොදු, සහ ඉතා ලැජ්ජා සහගත වගකීමක් බවට පත් විය.
මෙය තවත් සාමාන්‍ය "AI අවදානම් සහිතයි" සිරස්තලයක් නොවේ. මෙය අනිෂ්ට නළුවෙකුට, ඔවුන්ගේ බ්‍රවුසරය පමණක් භාවිතා කරමින්, සංවේදී තොරතුරු හෙළි කිරීමට ඔබේ LLM වෙත බල කළ හැකි ආකාරය පිළිබඳ නිශ්චිත, ප්‍රත්‍යක්ෂ නිරූපණයකි. එය මොහොතකට සලකා බලන්න. එය සංකීර්ණ සේවාදායක පාර්ශ්ව ප්‍රහාර හෝ ගැඹුරු ආකෘති අභ්‍යන්තර පරීක්‍ෂණයක් ගැන නොවේ. එය අන්තර්ක්‍රියා ස්තරය - ඔබේ යෙදුමේ ඉදිරිපස දොර - ප්‍රවේශමෙන් සකසන ලද අක්ෂර කිහිපයක් සමඟ සූරාකෑම ගැන ය. එය ඔබගේ ආරක්ෂිත යැයි කියනු ලබන චැට්බෝට් වෙත යමෙකු නිවැරදි වාක්‍ය ඛණ්ඩය සැකසීමට ඩිජිටල් සමාන වන අතර, එය බොහෝ විට ටිකෙන් ටික විවේචනාත්මක දත්ත භාර දෙයි.
ආදර්ශ ආරක්ෂාව පිළිබඳ මායාව
බොහෝ ව්‍යවසායන් "සුරක්ෂිත" LLMs සඳහා විශාල වශයෙන් ආයෝජනය කර ඇත, එක්කෝ සියුම්-සුසර කිරීමේ හිමිකාර මාදිලි හෝ ආරක්ෂක වැටවල් සහිත ව්‍යවසාය ශ්‍රේණියේ API මත රඳා පවතී. ව්‍යංග උපකල්පනය නම්, ආකෘතියම ශක්තිමත් නම්, එය මත ගොඩනගා ඇති යෙදුමට එම ආරක්ෂාව උරුම වන බවයි. මෑත කාලීන පෙලපාලි මෙය භයානක වැරදි වැටහීමක් ලෙස හෙලිදරව් කරයි. අවදානම ඇත්තේ ආකෘතියේ මූලික බුද්ධියේ හෝ එහි පුහුණු දත්තවල නොවේ; එය අප එය වටා ගොඩනගා ගන්නා *අතුරු මුහුණතෙහි ඇත [1]. එය සම්භාව්‍ය "ශක්තිමත් සුරක්ෂිතාගාරය, දුර්වල ඉදිරිපස දොර" ගැටලුවයි. ඔබට ලෝකයේ වඩාත්ම දියුණු, දැඩි වූ LLM තිබිය හැක, නමුත් ඔබේ යෙදුමේ ආදාන විග්‍රහකය බොළඳ නම් හෝ ඔබේ ප්‍රතිදාන පෙරහන නොපවතියි නම්, ඔබ අත්‍යවශ්‍යයෙන්ම ඕනෑම කෙනෙකුට සොයා ගැනීමට තීරනාත්මක තොරතුරු නිරාවරණය කර තබයි.
මෙම "ක්ෂණික එන්නත් කිරීමේ" තාක්‍ෂණය විශේෂයෙන් සැලකිලිමත් වන්නේ එය LLM හි ආවේනික ස්වභාවය උත්තේජනය කරන බැවිනි: උපදෙස් සහ සම්පූර්ණ රටාවන් අනුගමනය කිරීමේ හැකියාව. පරිශීලනය කරන ලද උපසර්ගයක් පරිශිලකයාගේ ආදානයට ඇතුල් කිරීමෙන්, ප්‍රහාරකයාට ආකෘතියේ අභ්‍යන්තර තත්වය හැසිරවිය හැක, එය කිසිදා බලාපොරොත්තු නොවූ තොරතුරු හෙළි කිරීමට බල කරයි [3]. "එක-බිට්" හෝ පුනරාවර්තන අංගය මෙහි තීරණාත්මක වේ. එය ව්‍යාකූල දත්ත ඩම්ප් එකක් පමණක් නොව ක්‍රමානුකූල, පාලිත පිටකිරීමක් අදහස් කරයි. "රහසයේ පළමු චරිතය 'A' ද?" යනුවෙන් ප්‍රහාරකයෙකු පුනරුච්චාරණයෙන් අසන බව සිතන්න. එවිට "ඒ 'බී' ද?" සහ යනාදි. එය මන්දගාමීයි, ඔව්, නමුත් එය ඇදහිය නොහැකි තරම් ඵලදායී වන අතර ඔබ එය විශේෂයෙන් සොයන්නේ නැතිනම් හඳුනා ගැනීමට අපහසුය.
ඔබේ බ්‍රව්සරය, ඔවුන්ගේ ආයුධය
මෙය බ්‍රවුසරය මත පදනම් වූ සූරාකෑමක් වීම ක්‍රීඩාව සම්පූර්ණයෙන්ම වෙනස් කරයි. එහි තේරුම:
- ඇතුළත් වීමට අඩු බාධක: මූලික වෙබ් සංවර්ධන කුසලතා සහ බ්‍රවුසරයක් ඇති ඕනෑම කෙනෙකුට මෙය උත්සාහ කළ හැක. විශේෂිත මෙවලම් හෝ ගැඹුරු AI දැනුමක් අවශ්‍ය නොවේ.
- සේවාලාභී පාර්ශ්ව ක්රියාත්මක කිරීම: ප්‍රහාරය ආරම්භ වන්නේ පරිශීලකයාගේ යන්ත්‍රයෙන් වන අතර, ජාල කෙළවරේ නීත්‍යානුකූල පරිශීලක ආදානයෙන් වෙන්කර හඳුනා ගැනීම අපහසු වේ.
- ක්ෂණික තර්ජනය: ඔබේ LLM යෙදුම සජීවීව සහ වෙබ් අතුරු මුහුණතක් හරහා ප්රවේශ විය හැකි නම්, එය දැනටමත් මෙම දෛශිකයට ගොදුරු විය හැක. මෙය අනාගත පැච් එකක් නොවේ; එය වර්තමාන හදිසි අවස්ථාවක්.
ඇඟවුම් සලකා බලන්න: හිමිකාර කේත කොටස්, අභ්‍යන්තර ලේඛන, පාරිභෝගික දත්ත, API යතුරු, හෝ වැරදි තොරතුරු පතුරුවා හැරීමට හෝ හානිකර අන්තර්ගතයන් උත්පාදනය කිරීමට ඔබේ LLM හැසිරීම සියුම් ලෙස හැසිරවීම. මේ සියල්ල සරල පෙළ පෙට්ටියක් හරහා වෙහෙස මහන්සි වී ටිකක් උපුටා ගැනීමට හෝ බලපෑම් කිරීමට හැකිය.
වගකීම ඔබ සතුයි
OpenAI හෝ Google වැනි ආකෘති සපයන්නන් හට ඔවුන්ගේ මීළඟ මාදිලියේ යාවත්කාලීනයේදී නිවැරදි කිරීමට මෙය ගැටළුවක් නොවේ. මෙය යෙදුම් ආරක්ෂණ ගැටලුවක් වන අතර, අවම කිරීමේ වගකීම මෙම පද්ධති යොදවන සංවර්ධකයින්, ආරක්ෂක කණ්ඩායම් සහ CTOsගේ උරහිස් මත සම්පූර්ණයෙන්ම වැටේ. ඔබේ LLM යනු බලවත්, නමුත් අවසානයේ බොළඳ එන්ජිමකි. පෙනෙන පරිදි අහිංසක පරිශීලක ආදානය තුළ එම උපදෙස් සඟවා තිබුණද, එය පවසන දේ කරනු ඇත.
ඉතින්, ඔබ දැන් * කරන්නේ කුමක්ද?
ක්ෂණික ප්‍රතිවිරෝධතා:
- ** ආක්‍රමණශීලී ආදාන සනීපාරක්ෂාව:** මෙය SQL එන්නත් හෝ XSS වැළැක්වීමෙන් ඔබ්බට යයි. ඔබ ඔබේ LLM වෙත ඇතුළු වන සෑම චරිතයක්ම පරීක්ෂා කර බැලිය යුතුය. ඉක්මන් එන්නත් කිරීම, අසාමාන්‍ය චරිත අනුපිළිවෙලවල් හෝ අපේක්ෂිත සංවාද ප්‍රවාහයන්ගෙන් මිදීමට උත්සාහ කරන රටා සොයන්න [4]. මෙය "නරක වචන" අවහිර කිරීම ගැන නොවේ; එය විරුද්ධවාදී විමසුම් හඳුනා ගැනීමයි. මූලික රෙජෙක්ස් සහ හූරිස්ටික් විශ්ලේෂණයෙන් ඔබ්බට, ද්වේෂසහගත චේතනාව හඳුනා ගැනීමට අර්ථකථන විශ්ලේෂණය ක්රියාත්මක කරන්න. විෂම ආදාන රටා හඳුනා ගැනීමට ටෝකනීකරණය සහ කාවැද්දීම විශ්ලේෂණය භාවිතා කරන්න. ඉක්මන් එන්නත් කිරීමේ උත්සාහයන් හඳුනා ගැනීම සඳහා විශේෂයෙන් පුහුණු කරන ලද ද්විතියික, කුඩා LLM හෝ රීති මත පදනම් වූ පද්ධතියක් භාවිතා කිරීම සලකා බලන්න. භූමිකාව රඟ දැක්වීමේ උපදෙස්, පැහැදිලි දත්ත උපුටා ගැනීමේ ඉල්ලීම් හෝ පෙර උපදෙස් මඟ හැරීමට උත්සාහ කිරීම වැනි රටා සොයන්න.
- ශක්තිමත් ප්‍රතිදාන පෙරීම සහ වලංගුකරණය: LLM හි ප්‍රතිදානය ව්‍යංගයෙන් විශ්වාස නොකරන්න. ඕනෑම LLM-උත්පාදනය කරන ලද පෙළ පරිශීලකයෙකුට දර්ශනය වීමට හෝ වෙනත් පද්ධතියක් භාවිතා කිරීමට පෙර, එය *දැඩි වලංගුකරණ ස්ථරයක් හරහා ගමන් කළ යුතුය. එහි සංවේදී මූල පද අඩංගුද? එය අපේක්ෂිත ආකෘති වලට ගැලපේද? එය කේතය ක්රියාත්මක කිරීමට හෝ අභ්‍යන්තර පද්ධති විමසීම් හෙළි කිරීමට උත්සාහ කරයිද? ඔබගේ LLM ලේඛනයක් සාරාංශ කිරීමට නියමිත නමුත්, එය ගොනු මාර්ග ලැයිස්තුගත කිරීම ආරම්භ කරන්නේ නම්, ඔබට ගැටලුවක් තිබේ.
- ස්ථර කඩිනම් ඉංජිනේරුකරණය: සම්පූර්ණ විසඳුමක් නොවුනත්, හොඳින් සැලසුම් කරන ලද පද්ධති විමසුම් සහ කෙටි-වෙඩි උදාහරණ මඟින් අපේක්ෂිත හැසිරීම ශක්තිමත් කිරීමට සහ ප්‍රහාරකයෙකුට ආකෘතිය පැහැර ගැනීම දුෂ්කර කිරීමට උපකාරී වේ. කෙසේ වෙතත්, ඉක්මන් ඉංජිනේරු විද්යාව පමණක් ප්රමාණවත් නොවන බව තේරුම් ගන්න; එය ගැඹුරු ආරක්ෂාවක් මිස ප්‍රාථමික පලිහක් නොවේ.
- LLM අන්තර්ක්‍රියා සඳහා අවම වරප්‍රසාද: ඔබේ LLM හට හෙළිදරව් කිරීමට පොළඹවනු ලැබිය හැකි සෑම දත්තයකටම ප්‍රවේශය අවශ්‍යද? දැඩි ප්රවේශ පාලනයන් ක්රියාත්මක කරන්න. LLM විසින් පොදු ලියකියවිලි පිළිබඳ ප්‍රශ්නවලට පිළිතුරු දීමට පමණක් අදහස් කරන්නේ නම්, එයට අභ්‍යන්තර දත්ත සමුදායන් හෝ සංවේදී API සඳහා ක්‍රමලේඛන ප්‍රවේශයක් නොමැති බවට සහතික වන්න.
- අධීක්‍ෂණය සහ විෂමතා හඳුනාගැනීම: ඔබ අසාමාන්‍ය LLM හැසිරීම් සඳහා ක්‍රියාකාරීව සෙවිය යුතුය. නිශ්චිත ආකාරයේ විමසුම්වල කරල්, සාමාන්‍ය රටාවලින් බැහැර වන ප්‍රතිදානයන් හෝ තොරතුරු උකහා ගැනීමට නැවත නැවත උත්සාහ කිරීම ක්ෂණික ඇඟවීම් අවුලුවාලිය යුතුය.
මෙය තවදුරටත් පුළුල් "AI ආරක්ෂාව" ගැන නොවේ. මෙය ඔබගේ LLM යෙදුම්වල අන්තර්ක්‍රියා ස්තරය විශේෂිත, නිරූපිත සහ ක්ෂණිකව සූරාකෑමට ලක්විය හැකි ප්‍රහාරක දෛශිකයකට එරෙහිව සුරක්ෂිත කිරීමකි. අපි මෙම ඇදහිය නොහැකි, බලවත් පද්ධති ගොඩනඟමින් සිටිමු, බොහෝ විට අතුරු මුහුණතේ ප්රමාණවත් ආරක්ෂක පියවරයන් නොමැත. මෙම හිඩැස් සූරාකෑම කොතරම් පහසුද යන්න මෑත කාලීන නිදර්ශන අපට පෙන්වා දී ඇත. න්‍යායික සාකච්ඡා සඳහා කාලය ගෙවී ගොස් ඇත. LLM යෙදුම් සුරක්ෂිත කිරීම සඳහා ක්ෂණික ක්‍රියාමාර්ග අවශ්‍ය වේ.
මූලාශ්‍ර
[1] විශාල භාෂා ආකෘති යෙදුම් සඳහා OWASP Top 10 — https://owasp.org/www-project-top-10-for-large-language-model-applications/ [2] Lakera Gandalf: An Interactive Prompt Injection අභියෝගයක් — https://gandalf.lakera.ai/ [3] ක්ෂණික එන්නත් ප්‍රහාර | වෙබ් ආරක්ෂණ ඇකඩමිය - https://portswigger.net/web-security/llm-attacks/prompt-injection [4] ක්ෂණික එන්නත් කිරීම යනු කුමක්ද සහ එය වළක්වා ගන්නේ කෙසේද? — https://www.tenable.com/blog/what-is-prompt-injection-and-how-to-prevent-it