The Browser as a Backdoor: ڪلائنٽ سائڊ ايل ايل ايم سيڪريٽ ايڪسٽريشن ڊيميسٽفائيڊ
تمام گهڻي عرصي تائين، اسان علاج ڪيو آهي "AI سيڪيورٽي وارننگز" کي ڏورانهن خطرن يا علمي تجسس وانگر. اسان ٻڌو آهي تڪڙي انجيڪشن، جيل بريڪز، ۽ ڊيٽا ليڪ ٿيڻ جي باري ۾ خاموش آوازن ۾، اڪثر ڪري ڇڪڻ جي پٺيان ۽ "اسان ان کي حاصل ڪنداسين." بهرحال، تازو انٽرايڪٽو مظاهرين ان آرامده وهم کي ٽوڙي ڇڏيو آهي. هي هاڻي نظرياتي ڪمزوري نه آهي؛ اهو هڪ لائيو، برائوزر تي ٻڌل، ڪلائنٽ-سائيڊ استحصال آهي حساس معلومات کي ڪڍڻ لاءِ Large Language Models (LLMs) [2]. جيڪڏهن توهان LLM-طاقت تي هلندڙ ايپليڪيشنن کي ترتيب ڏئي رهيا آهيو، خاص طور تي ڪنهن به ويب کي منهن ڏيڻ، توهان جو "مستقبل جو مسئلو" صرف هڪ تمام موجود، تمام عوامي، ۽ امڪاني طور تي تمام شرمناڪ ذميواري بڻجي ويو آهي.
هي ٻيو عام نه آهي "AI خطرناڪ آهي" عنوان. هي هڪ مخصوص، مظبوط مظاهرو آهي ته ڪيئن هڪ بدسلوڪي اداڪار، صرف پنهنجو برائوزر استعمال ڪندي، توهان جي LLM کي حساس معلومات ظاهر ڪرڻ تي مجبور ڪري سگهي ٿو. هڪ لمحي لاءِ غور ڪريو. اهو پيچيده سرور-سائڊ حملن يا گہرے ماڊل انسپيڪشن بابت ناهي. اها ڳالهه ٻولهه واري پرت جي باري ۾ آهي - توهان جي ايپليڪيشن جو بلڪل سامهون دروازو - ڪجهه احتياط سان ترتيب ڏنل ڪردارن سان استحصال ڪيو پيو وڃي. اهو ڪنهن جي ڊجيٽل برابر آهي جيڪو صحيح جملي کي ترتيب ڏئي توهان جي مفروضي طور تي محفوظ چيٽ بٽ تي، ۽ اهو فرضي طور تي نازڪ ڊيٽا جي حوالي ڪري ٿو، اڪثر ڪري ٿورڙي دير سان.
ماڊل سيڪيورٽي جو برم
ڪيتريون ئي ادارا "محفوظ" LLMs ۾ وڏي پئماني تي سيڙپ ڪري چڪا آھن، يا ته فائن ٽيوننگ پراپرائيٽري ماڊلز يا انٽرپرائز گريڊ APIs تي ڀروسو ڪرڻ سان گڏ گارڊ ريلز. واضح مفروضو اهو آهي ته جيڪڏهن ماڊل پاڻ مضبوط آهي، ان جي مٿان ٺهيل ايپليڪيشن انهي سيڪيورٽي کي ورثي ۾ ملندي. تازو مظاهرا ان کي هڪ خطرناڪ غلط فڪر جي طور تي ظاهر ڪن ٿا. ڪمزوري ماڊل جي بنيادي انٽيليجنس يا ان جي تربيتي ڊيٽا ۾ نه آهي؛ اهو انٽرفيس ۾ آهي جيڪو اسان ان جي چوڌاري ٺاهيندا آهيون [1]. اهو کلاسک آهي "مضبوط والٽ، چمڪندڙ سامهون دروازو" مسئلو. توهان وٽ ٿي سگهي ٿو دنيا ۾ سڀ کان وڌيڪ ترقي يافته، سخت LLM، پر جيڪڏهن توهان جي ايپليڪيشن جو انپٽ پارسر بيڪار آهي، يا توهان جو آئوٽ پٽ فلٽر غير موجود آهي، توهان بنيادي طور تي نازڪ معلومات ڇڏي رهيا آهيو هر ڪنهن لاءِ ڳولڻ لاءِ.
هي "فوري انجيڪشن" ٽيڪنڪ خاص طور تي متعلق آهي ڇو ته اها LLM جي موروثي فطرت کي فائدو ڏئي ٿي: ان جي هدايتن ۽ مڪمل نمونن تي عمل ڪرڻ جي صلاحيت. هڪ صارف جي ان پٽ ۾ احتياط سان ٺهيل اڳياڙي کي انجڻ ڪندي، حملو ڪندڙ ماڊل جي اندروني حالت کي هٿي ڏئي سگهي ٿو، ان کي معلومات ظاهر ڪرڻ تي مجبور ڪري ٿو ته اهو ڪڏهن به ارادو نه هو [3]. "هڪ-بٽ" يا تکراري پاسو هتي اهم آهي. اهو هڪ طريقو، ڪنٽرول ٿيل خارج ڪرڻ جو مطلب آهي، نه صرف هڪ افراتفري ڊيٽا ڊمپ. تصور ڪريو ته هڪ حملي آور بار بار پڇي ٿو، "ڇا راز جو پهريون ڪردار 'A' آهي؟" پوء "ڇا اهو 'B' آهي؟" ۽ ايئن. اهو سست آهي، ها، پر اهو پڻ ناقابل اعتبار حد تائين اثرائتو آهي ۽ اهو ڳولڻ ڏکيو آهي ته توهان خاص طور تي ان کي ڳولي نه رهيا آهيو.
توهان جو برائوزر، انهن جو هٿيار
حقيقت اها آهي ته هي هڪ * برائوزر تي ٻڌل * استحصال آهي مڪمل طور تي راند کي تبديل ڪري ٿو. يعني:
- داخل ٿيڻ ۾ گھٽ رڪاوٽ: ڪو به ماڻھو جنھن وٽ بنيادي ويب ڊولپمينٽ صلاحيتن ۽ برائوزر ھيءَ ڪوشش ڪري سگھي ٿو. ڪو خاص اوزار يا گہرے AI علم جي ضرورت ناهي.
- ڪلائنٽ سائڊ ايگزيڪيوشن: حملو صارف جي مشين مان نڪرندو آهي، ان کي نيٽ ورڪ ايج تي جائز استعمال ڪندڙ ان پٽ کان فرق ڪرڻ ڏکيو بڻائيندو آهي.
- فوري خطرو: جيڪڏهن توهان جي LLM ايپليڪيشن لائيو آهي ۽ ويب انٽرفيس ذريعي رسائي لائق آهي، اهو اڳ ۾ ئي هن ویکٹر لاءِ خطرناڪ آهي. هي مستقبل جو پيچ نه آهي؛ اهو هڪ موجوده ايمرجنسي آهي.
اثرن تي غور ڪريو: ملڪيت جي ڪوڊ جا ٽڪرا، اندروني دستاويز، ڪسٽمر ڊيٽا، API چاٻيون، يا غلط ڄاڻ پکيڙڻ يا نقصانڪار مواد پيدا ڪرڻ لاءِ توهان جي LLM جي رويي جي اڃا به ذيلي ڦيرڦار. اهو سڀ ڪجهه ڪڍي سگهجي ٿو يا اثر انداز ٿي سگهي ٿو، ٿوري محنت سان، هڪ سادي ٽيڪسٽ باڪس ذريعي.
ذميواري توهان جي آهي
اهو مسئلو ناهي ماڊل فراهم ڪندڙن لاءِ جهڙوڪ OpenAI يا گوگل انهن جي ايندڙ ماڊل اپڊيٽ ۾ درست ڪرڻ لاءِ. هي هڪ ايپليڪيشن سيڪيورٽي مسئلو آهي، ۽ گھٽتائي جي ذميواري ڊولپرز، سيڪيورٽي ٽيمن، ۽ سي ٽي اوز جي ڪلهن تي آهي جيڪي انهن سسٽم کي ترتيب ڏئي رهيا آهن. توهان جو LLM هڪ طاقتور، پر آخرڪار بيوقوف، انجڻ آهي. اھو اھو ڪندو جيڪو اھو ٻڌايو ويو آھي، جيتوڻيڪ اھي ھدايتون لڪيل آھن بظاھر معصوم صارف ان پٽ ۾.
پوء، توهان ڇا ڪندا آهيو * هاڻي *؟
فوري جوابي تدبيرون:
- جارحانه ان پٽ صفائي: اهو SQL انجيڪشن يا XSS کي روڪڻ کان اڳتي آهي. توهان کي جاچڻ جي ضرورت آهي هر ڪردار توهان جي ايل ايل ايم ۾ داخل ٿيڻ. نمونن لاءِ ڏسو جيڪي اشاري جي اشاري سان، غير معمولي ڪردار جي ترتيب، يا متوقع گفتگو واري وهڪري کي ٽوڙڻ جي ڪوشش [4]. هي "خراب لفظن" کي بلاڪ ڪرڻ بابت ناهي؛ اهو دشمني جي اشارن جي سڃاڻپ بابت آهي. بنيادي ريجڪس ۽ هورسٽڪ تجزيي کان ٻاهر، بدسلوڪي ارادي کي ڳولڻ لاء سيمينٽڪ تجزيو لاڳو ڪريو. غير معمولي ان پٽ نمونن کي سڃاڻڻ لاءِ ٽوڪنائيزيشن ۽ ايمبيڊنگ تجزيو استعمال ڪريو. هڪ ثانوي، ننڍو LLM يا ضابطي تي ٻڌل سسٽم کي خاص طور تي فوري انجڻ جي ڪوششن کي ڳولڻ لاء تربيت ڏيڻ تي غور ڪريو. نمونن لاءِ ڏسو جيئن ڪردار ادا ڪرڻ جون هدايتون، واضح ڊيٽا ڪڍڻ جون درخواستون، يا پوئين هدايتن کي نظرانداز ڪرڻ جي ڪوشش.
- مضبوط آئوٽ پٽ فلٽرنگ ۽ تصديق: ڪڏهن به LLM جي آئوٽ پٽ تي واضح طور تي ڀروسو نه ڪريو. ان کان اڳ جو ڪو به LLM ٺاهيل ٽيڪسٽ صارف کي ڏيکاريو وڃي يا ڪنهن ٻئي سسٽم طرفان استعمال ڪيو وڃي، ان کي ضرور هڪ سخت تصديق واري پرت مان گذرڻو پوندو. ڇا اهو حساس لفظن تي مشتمل آهي؟ ڇا اهو متوقع فارميٽ سان ملندو آهي؟ ڇا اهو ڪوڊ تي عمل ڪرڻ جي ڪوشش ڪري ٿو يا اندروني سسٽم جي اشارن کي ظاهر ڪري ٿو؟ جيڪڏهن توهان جو LLM هڪ دستاويز کي اختصار ڪرڻ گهرجي، پر اهو شروع ٿئي ٿو لسٽنگ فائل رستا، توهان وٽ هڪ مسئلو آهي.
- ليئرڊ پرامپٽ انجنيئرنگ: جڏهن ته مڪمل حل نه آهي، سٺي طرح ٺهيل سسٽم پرامپٽس ۽ چند شاٽ مثال گهربل رويي کي مضبوط ڪرڻ ۾ مدد ڪري سگهن ٿا ۽ هڪ حملي آور لاءِ ماڊل کي هائي جيڪ ڪرڻ ڏکيو بڻائي سگهن ٿا. بهرحال، سمجھو ته فوري انجنيئرنگ اڪيلو ڪافي نه آهي؛ اهو هڪ دفاع جي کوٽائي ۾ آهي، نه هڪ بنيادي ڍال.
- ايل ايل ايم جي ڳالهين لاءِ گهٽ ۾ گهٽ استحقاق: ڇا توهان جي LLM کي واقعي ڊيٽا جي هر ٽڪڙي تائين رسائي جي ضرورت آهي جيڪا شايد ممڪن طور تي ظاهر ڪرڻ لاءِ چيو وڃي؟ سخت رسائي ڪنٽرول لاڳو ڪريو. جيڪڏهن LLM کي صرف عوامي دستاويزن بابت سوالن جا جواب ڏيڻ گهرجن، پڪ ڪريو ته ان کي اندروني ڊيٽابيس يا حساس APIs تائين ڪا به پروگرامي رسائي ناهي.
- مانيٽرنگ ۽ انوملي جي چڪاس: توهان کي فعال طور تي غير معمولي LLM رويي کي ڳولڻ جي ضرورت آهي. مخصوص قسم جي سوالن ۾ اسپائڪس، آئوٽ پُٽ جيڪي عام نمونن کان انحراف ڪن ٿا، يا معلومات ڪڍڻ جي بار بار ڪوششن کي فوري طور تي خبردار ڪرڻ گهرجي.
هي هاڻي وسيع "AI سيڪيورٽي" بابت ناهي. اهو توهان جي LLM ايپليڪيشنن جي رابطي واري پرت کي محفوظ ڪرڻ بابت آهي هڪ مخصوص، ظاهر ڪيل، ۽ فوري طور تي استحصالي حملي واري ویکٹر جي خلاف. اسان اهي ناقابل اعتماد، طاقتور سسٽم ٺاهي رهيا آهيون، اڪثر ڪري انٽرنيٽ تي ناکافي حفاظتي قدمن سان. تازو مظاهرن اسان کي ڏيکاريو آهي ته انهن خالن جو استحصال ڪرڻ ڪيترو آسان آهي. نظرياتي بحث جو وقت گذري چڪو آهي. ايل ايل ايم ايپليڪيشنن کي محفوظ ڪرڻ لاءِ فوري ڪارروائي جي ضرورت آهي.
ذريعا
[1] OWASP ٽاپ 10 وڏي ٻوليءَ جي ماڊل ايپليڪيشنن لاءِ — https://owasp.org/www-project-top-10-for-large-language-model-applications/ [2] Lakera Gandalf: An Interactive Prompt Injection Challenge — https://gandalf.lakera.ai/ [3] فوري انجيڪشن حملا | ويب سيڪيورٽي اڪيڊمي - https://portswigger.net/web-security/llm-attacks/prompt-injection [4] پرامپٽ انجيڪشن ڇا آهي ۽ ان کي ڪيئن روڪيو وڃي؟ — https://www.tenable.com/blog/what-is-prompt-injection-and-how-to-prevent-it