<<<<<<< HEAD

OWASP Model Card Security Standard

स्थिति: ड्राफ़्ट — इनक्यूबेटिंग OWASP प्रोजेक्ट
यह मानक सक्रिय विकास के अधीन है। योगदान और प्रतिक्रिया का स्वागत है।

यह क्या है?

जब आप HuggingFace या किसी अन्य रिपॉज़िटरी से प्री-ट्रेंड मॉडल डाउनलोड करते हैं, तो आप मूल रूप से एक ब्लैक बॉक्स पर भरोसा कर रहे होते हैं। आप नहीं जानते कि उसे किस डेटा पर प्रशिक्षित किया गया, क्या उस डेटा में व्यक्तिगत जानकारी थी, एडवर्सेरियल हमलों के लिए उसका परीक्षण कैसे किया गया, या उसके ज्ञात विफलता मोड क्या हैं। अधिकांश शौकिया प्रोजेक्ट्स के लिए यह ठीक है। वास्तविक उपयोगकर्ताओं, विनियमित उद्योगों, या संवेदनशील डेटा से जुड़ी किसी भी चीज़ के लिए — यह वास्तव में ठीक नहीं है।

मॉडल कार्ड कुछ समय से मौजूद हैं, और वे एक अच्छा विचार हैं। लेकिन मौजूदा प्रारूप लगभग पूरी तरह से प्रदर्शन मेट्रिक्स और निष्पक्षता संबंधी विचारों पर केंद्रित हैं। सुरक्षा अधिकांशतः एक गौण विचार मात्र है, अगर है भी तो।

यह प्रोजेक्ट यही ठीक करने की कोशिश कर रहा है। हम एक खुला मानक बना रहे हैं जो परिभाषित करता है कि मॉडल कार्ड में सुरक्षा से संबंधित कौन सी जानकारी होनी चाहिए — जैसे प्रशिक्षण डेटा की उत्पत्ति, PII जोखिम की संभावना, ज्ञात कमज़ोरियाँ, सप्लाई चेन विवरण, और विनियामक अनुपालन स्थिति। ऐसी चीज़ जिसे एक सुरक्षा टीम वास्तव में उपयोग कर सके जब यह आकलन किया जाए कि मॉडल तैनात करना सुरक्षित है या नहीं।

अब यह क्यों मायने रखता है?

कुछ चीज़ें एक साथ आ गई हैं:

• EU AI Act AI पारदर्शिता और दस्तावेज़ीकरण के इर्द-गिर्द वास्तविक अनुपालन दायित्व बना रहा है
• GDPR और समान कानून वैध प्रश्न उठाते हैं कि क्या व्यक्तिगत डेटा प्रशिक्षण सेट में पहुँच गया, और इसके बारे में क्या किया गया
• सुरक्षा समुदाय तेजी से जागरूक हो रहा है कि मॉडल स्वयं एक हमले की सतह हैं — प्रॉम्प्ट इंजेक्शन, डेटा पॉइज़निंग, मॉडल चोरी — लेकिन दस्तावेज़ीकरण मानक उसके साथ नहीं रहे हैं
• संगठन बड़े पैमाने पर तृतीय-पक्ष मॉडल तैनात कर रहे हैं, जबकि उन्हें इस बात की बहुत कम दृश्यता है कि वे वास्तव में क्या चला रहे हैं

एक सुरक्षा-केंद्रित मॉडल कार्ड मानक डेवलपर्स, ऑडिटरों और प्रोक्योरमेंट टीमों को एक साझा भाषा और एक चेकलिस्ट देता है जिस पर वे वास्तव में कार्रवाई कर सकते हैं।

एक त्वरित उदाहरण

इस मानक के अंतर्गत एक सुरक्षा-केंद्रित मॉडल कार्ड कैसा दिखता है, इसका एक अंदाज़ यहाँ है:

model_card_version: "0.1"
model_name: "example-text-classifier"
model_version: "1.2.0"

training_data:
  sources:
    - name: "Common Crawl (filtered)"
      pii_assessment: "Presidio scan applied; residual risk: low"
      license: "CC0"
  pii_removal_method: "Microsoft Presidio + manual review on 5% sample"
  data_cutoff_date: "2024-01-01"

security:
  known_vulnerabilities: []
  adversarial_testing: "Red-teamed against prompt injection; results in /security/redteam-report.md"
  supply_chain:
    base_model: "bert-base-uncased"
    base_model_source: "https://huggingface.co/bert-base-uncased"

compliance:
  eu_ai_act_risk_tier: "Limited"
  gdpr_considerations: "No personal data retained post-training"

यह एक सरलीकृत अंश है। पूर्ण स्कीमा घटना इतिहास, आउटपुट फ़िल्टरिंग, तैनाती बाधाओं, और अधिक के लिए अतिरिक्त फ़ील्ड्स को कवर करती है।

इस रिपॉज़िटरी में क्या है

/
├── README.md                          ← you are here
├── standard/
│   └── OWASP-Modelcard-Standard-Proposal.md   ← the specification
├── templates/
│   └── model-card-template.md            ← blank template to copy and fill in
├── examples/
│   └── llm-example.md                    ← worked example for a large language model
├── schema/
│   └── model-card-schema.json            ← machine-readable JSON schema
├── mappings/
│   └── owasp-nist-euaiact-mapping.md     ← how this standard relates to other frameworks
├── CONTRIBUTING.md                    ← how to get involved
├── CHANGELOG.md
└── LICENSE                            ← CC BY 4.0

यह अन्य मानकों और फ्रेमवर्क से कैसे संबंधित है

यह मानक मौजूदा कार्य को बदलने के लिए नहीं, बल्कि उसका पूरक बनने के लिए डिज़ाइन किया गया है:

योगदान कैसे करें

यह एक प्रारंभिक चरण का प्रोजेक्ट है और इसे किस दिशा में ले जाना है, इसके लिए काफी गुंजाइश है। योगदान देने के कुछ तरीके:

• ड्राफ़्ट मानक की समीक्षा करें और यदि फ़ील्ड्स गायब, गलत, या अस्पष्ट हैं तो मुद्दे उठाएँ
• अपने स्वयं के कार्य से मॉडल कार्ड के उदाहरण साझा करें (अनामीकृत होना ठीक है) ताकि हम स्कीमा को वास्तविकता के विरुद्ध परख सकें
• OWASP Slack पर #ai-ml-security में चर्चा में शामिल हों
• पुल रिक्वेस्ट सबमिट करें — मार्गदर्शन के लिए CONTRIBUTING.md देखें

यदि आप निश्चित नहीं हैं कि कहाँ से शुरू करें, तो good first issue लेबल वाले खुले मुद्दे देखने के लिए एक उचित स्थान हैं।

प्रोजेक्ट स्थिति

यह प्रोजेक्ट वर्तमान में OWASP नई प्रोजेक्ट प्रक्रिया से गुज़र रहा है। स्वीकृत होने पर यह github.com/OWASP/owasp-model-card-security-standard पर OWASP GitHub संगठन में स्थानांतरित हो जाएगा।

लाइसेंस

यह मानक Creative Commons Attribution 4.0 International (CC BY 4.0) के अंतर्गत प्रकाशित है। आप इसे उपयोग, अनुकूलित और पुनर्वितरित करने के लिए स्वतंत्र हैं — वाणिज्यिक रूप से भी — बशर्ते आप उचित श्रेय दें।

इस रिपॉज़िटरी में कोई भी टूलिंग Apache 2.0 के अंतर्गत लाइसेंस प्राप्त है।

OWASP-Model-Card-Security-Standard

owasp/main