At giver ‘hemmelige identiteter’ til ophavsretligt beskyttede animationskarakterer

Nyt forskning fra Kina tilbyder en ikke-invasiv måde at beskytte ophavsretligt beskyttede animationskarakterer på, ved at ‘indføre’ generiske erstatninger under slutningen af genereringen. Men kan denne metode besejre prompt-hackernes snilde?

Med tanke på omfanget af ophavsretligt materiale i hyperskala datasets (på grund af den enorme omkostning ved at fjerne sådanne overtrædelser), tenderer modeller, der er trænet på dem, til at kunne reproducerer ophavsretligt beskyttet indhold.

Direkte redigering af den trænede model eller brug af filtre til at aflytte nøgleord, når modellen tilgås via API, kan ofte være blevet omgået ved at beskrive det ophavsretligt beskyttede element elliptisk:

En ophavsretligt beskyttet karakter produceret af en populær AI-chatbot, åbenbart uden direkte invocation af karakternavne. Kilde

I en stærk og vedvarende forskningsretning har model-modifikation-teknikker forsøgt at ændre parametre i en trænet model, med varierende resultater:

Fra 2023-papiret ‘Ablating Concepts in Text-to-Image Diffusion Models’, fotorealistiske repræsentationer af skuespilleren Brie Larson som ‘Captain Marvel’ – indlejret i en populær diffusion-model – er blevet omdannet til løst relaterede tegnefilm-billeder, når brugeren anmoder om det. Kilde

Imidlertid er ablation normalt en skadelig og upræcis proces, og en, der kan ofte påvirke andre karakteristika af den trænede model; foruden at der er flere måder at omgå det.

Den anden populære tilgang er ‘negativ prompting’, hvor en ekstra ‘anti-prompt’ sendes til modellen, designet til at begrænse outputtet. Når modeller tilgås via API (som alle frontier-modeller er, for eksempel), kan en ‘hemmelig’ negativ prompt sendes sammen med den kendte bruger-prompt, bestående af en rubrik designet til at forhindre, at modellen leverer forbudt materiale til brugeren. Denne tilgang, selvom populær som et ophavsretligt beskyttelsesværktøj, fungerer ikke altid heller.

Det meste af arbejdet omkring post-facto-inference-censur er beskæftiget med det bredere spørgsmål om at sikre, at modeller ikke producerer CSAM eller nogen form for NSFW-materiale, på trods af de store mængder af sådant materiale, der sandsynligvis har været til stede i træningsdataene for en stor model. Sådanne initiativer kan påvirke hele klasser af indhold, snarere end specifikke eksempler, og mangler normalt den nødvendige nuance til at imødekomme ophavsretshavernes bekymringer om at undertrykke specifikke identiteter.

Kroppsdobbelte

Med dette i mente foreslår et nyt papir fra Kina at erstatte ophavsretligt beskyttede animationskarakterer under billedgenerering med lærte generiske erstatninger – ‘dobbeltgængere’, der bevarende nok af karakterens form og struktur til at bevare den omgivende scene, mens de fjerner enhver karakteristisk detalje, der er forbundet med den beskyttede karakter:

'Anonymiserede' repræsentationer af ophavsretligt beskyttet materiale, der ellers er til stede og tilgængeligt i en trænet model, opnået ved den nye indlejringsmetode. Kilde

Det væsentlige er, at denne intervention sker under generering uden at ændre eller finjustere den underliggende diffusion-model, og kan justeres for at bestemme, hvor omfattende den originale karakter fjernes.

Tilgangen antyder implicit, at model-modifikation er en dårlig metode til dette formål, og i stedet indfører tilpassede indlejninger i slutningsprocessen – indlejninger designet til at ‘omstrukturere’ snarere end at fjerne (nulstille, fjerne) det ophavsretligt beskyttede aktiv. Processen påvirker ikke direkte eller ændrer den grundlæggende model overhovedet, og kan derfor genbruges eller tilpasses til en række modeller.

Selvom metoden blev testet af forfatterne på den ældre Stable Diffusion-række af modeller, blev den også effektivt prøvet på den langt mere aktuelle Z-Image-arkitektur, hvilket antyder, at forfatternes koncept er anvendeligt på tværs af en række generative arkitekturer.

Papiret fastslår:

‘[Vi] foreslår en kontrollerbar metode, der fungerer på modellens kontinuerte tekstuelle repræsentation for at slette mål-karakterer under generering. Vi [optimerer] en anchor-indlejring via strukturelle og detaljerede begrænsninger for at fungere som en karakter-surrogat, derefter [erstatter] mål-relaterede indlejninger med ankret via en struktur-bevidst adaptiv strategi.

‘Eksperimenter viser, at vores metode opnår stat-of-the-art-sletningseffektivitet og billedtroværdighedsbevarelse, samtidig med at den understøtter kontrollerbar sletningsgrad, multi-mål-fjernelse og model-overførbarhed.

‘Desuden er vores optimerede ankere plug-and-play med nuværende model-modifikations-baselines for at forbedre deres sletningspræstation.’

Den nye metode stræber over diverse arkitekturer og tilbyder granuleret kontrol, ifølge forfatterne.

Den nye papir har titlen Slet, men bevare: Kontrollerbar fjernelse af ophavsretligt beskyttede animationskarakterer via optimerede semantiske ankere og kommer fra syv forfattere på tværs af Institute of Information Engineering ved Chinese Academy of Sciences og University of Chinese Academy of Sciences i Beijing.

Metode

Den centrale idé bag den nye metode, som illustreret nedenfor, er at skabe en erstatning for hver ophavsretligt beskyttet karakter, der bevarende nok af karakterens form og struktur til at bevare den omgivende scene, mens den fjerner enhver karakteristisk detalje, der gør karakteren genkendelig – og derefter at bruge denne erstatning under billedgenerering, hver gang den beskyttede karakter anmodes om.

Schema for den nye tilgang.

Erstatningen, som forfatterne kalder en anker, er designet til at bevare nok af den originale karakters form og struktur til at passe naturligt ind i samme scene, mens den fjerner de detaljer, der gør karakteren genkendelig.

Til dette formål sammenligner systemet grove strukturelle oplysninger, der genereres for den originale karakter, med dem, der genereres for den udviklede anker, og presser de to mod en lignende overordnet form. En referencebillede af den ophavsretligt beskyttede karakter bruges herefter til det modsatte formål, nemlig til at presse ankret away from its recognizable finer details:

Metode til at konstruere en ikke-infringende erstatning for en ophavsretligt beskyttet karakter. Karakterens brede struktur bevares, mens dens karakteristiske visuelle detaljer undertrykkes, og der produceres en optimeret 'anker' til brug under generering.

Den resulterende anker befinder sig derfor i en bevidst konstrueret midterposition mellem at bevare den anmodede komposition og at fjerne den beskyttede identitet.

anker væk

Når disse egenskaber er blevet fastlagt, skal ankret oversættes til noget, som diffusion-modellen kan forstå. Den midlertidige betegnelse anker* [sic] får herefter sin egen lærbar repræsentation i CLIP-tekst-encoderen, og skaber effektivt en ny kunstig enhed, hvis betydning kan formas uden at ændre den underliggende billedgenereringsmodel.

Denne nye repræsentation justeres gentagne gange i overensstemmelse med de strukturelle og detaljerede mål, der er beskrevet ovenfor, og lærer anker* at betyde noget, der bredt set ligner den beskyttede karakter, men er berøvet dens identificerende udseende.

Resten af tekst-encoderen forbliver frosset under denne proces, mens de almindelige start-, slut- og padding- tokens, der omgiver anker*, giver den kontekst, der er nødvendig for at omdanne dette nyligt lærte pseudo-ord til de endelige indlejninger, der bruges under generering.

Adaptiv erstatning

Under generering (slutning) søger algoritmen efter kodificerede prompt-termer, der er forbundet med den beskyttede karakter, og erstatter de lærte anker-indlejninger på deres plads, samtidig med at den justerer slut- og padding-indlejringerne, der bærer kontekst-information.

Til dette formål tillader systemet først denoising at etablere den brede komposition af den anmodede billed, og overvåger ændringer i dens grove struktur for at bestemme, hvornår denne layout er begyndt at stabilisere sig:

En repræsentation af, hvornår anker-erstatning sker under billedgenerering. Ændringer i billedets grove struktur spores hele vejen igennem denoising, med erstatning udløst omkring det punkt, hvor den overordnede layout stabilisere sig, og finere detaljer begynder at dukke op.

I billedet ovenfor ser vi denne overgang ske omkring tidssteg 720, hvor den målte strukturelle ændring når sit højeste punkt og derefter begynder at falde. På dette tidspunkt har den overordnede billedkomposition i høj grad dannet sig, og ankret kan erstatte den beskyttede karakter, mens risikoen for at forstyrre den etablerede komposition reduceres.

Data og tests

Forfatterne sammenlignede deres tilgang med fem prompt-baserede baseline-metoder: Safe Latent Diffusion (SLD); STG; SAFREE; TraSCE; og Negative Prompting (NP).

De optimerede anker-indlejninger blev også integreret i fire eksisterende model-modifikationsmetoder: MACE; UCE; ESD-u; og AC. Dette blev gjort for at teste, om disse kunne forbedre den foreslåede model i forhold til karakter-fjernelse.

Til evaluering blev der samlet en dataset på 80 animationskarakterer, bestående af 36 antropomorfe karakterer; 23 dyreformer-karakterer; og 21 fra diverse kategorier – med alle valgte karakterer valgt, fordi de kunne pålideligt reproduceres af diffusion-modeller.

Herefter blev der genereret 100 billeder for hver karakter, ved hjælp af prompt-termer produceret af GPT-4o.

Stable Diffusion v1.4 blev brugt til de primære eksperimenter, og overførbarhed blev yderligere testet på yderligere Stable Diffusion-versioner v1.5; V2; v2.1; XL base 1.0; og også den langt mere aktuelle DiT-baserede Z-Image. Der blev ikke udført nogen model-finjustering, og parametrene for hver forudtrænet model forblev uændrede.

Til metrics blev LLaVA-1.5 og BLIP-3 brugt til at måle, om den mål-karakter stadig var genkendelig, med lavere identifikationsnøjagtighed, der indikerer mere komplet fjernelse; Structural Similarity Index (SSIM) målte strukturel bevarelse; Lærte Perceptuelle Lighedsmål (LPIPS) målte perceptuel forskel; og Æstetisk Prædiktor V2-Score vurderede den visuelle kvalitet af det ændrede billede.

Fréchet Inception Distance (FID) og CLIP Score blev yderligere beregnet fra ikke-relaterede prompt-termer i COCO-30K, for at måle, om normal billedgenerering var blevet påvirket:

Testresultater, der sammenligner karakter-fjernelsesmetoder på tværs af 80 animationskarakterer. De første to kolonner måler, hvor ofte den angiveligt slettede karakter stadig kan genkendes, så lavere score indikerer bedre fjernelse. De resterende kolonner måler, hvor godt det originale billede og ikke-relateret generering blev bevaret. Pile viser, om højere eller lavere score er at foretrække; fed skrift angiver den bedste resultat, og underlining angiver den næstbedste.

Af disse initielle resultater for kvantitativ sammenligning fastslår forfatterne:

‘I sammenligning med alle baseline-metoder opnår billeder, der er slettet ved hjælp af vores metode, de laveste nøjagtigheder for successfuldt mål-identifikation ved både LLaVA-1.5 (6.0%) og BLIP-3 (4.0%), med reduceringer på 3.5% og 1.7% i forhold til den næstbedste, henholdsvis.

‘Dette demonstrerer vores metodes fjernelseseffektivitet, da den effektivt [forvirrer] multi-modale store modeller.’

For billedtroværdighed opnåede forfatternes metode den højeste SSIM-score på 0,467, og den laveste LPIPS-score på 0,505 – hvilket indikerer den stærkeste bevarelse af ikke-relateret indhold og baggrundstruktur blandt de testede metoder. Den opnåede også den højeste Æstetisk Prædiktor V2-Score blandt karakter-fjernelsesmetoderne, på 5,18, hvilket antyder, at denne bevarelse ikke kommer på bekostning af den overordnede visuelle kvalitet.

En kvalitativ test fulgte:

Testresultater, der sammenligner karakter-fjernelse på tværs af fem animationskarakterer. Hver række viser resultater fra en anden metode, med de originale Stable Diffusion v1.4-generationer øverst og den foreslåede metode nederst. Den foreslåede metode erstatter mere konsekvent mål-karaktererne, mens den omgivende scene bevares. Se venligst den originale kilde-PDF eller projektets website for en lidt bedre opløsning.

Ifølge papiret viser eksemplerne særligt tydelige forskelle for karakterer med mere komplekse former og attributter, med Donald Duck og Super Mario som eksempler:

‘[Vores] metode opnår en næsten perfekt fjernelse af animationskarakterer via optimerede ankere, mens prompt-baserede baseline-metoder ofte fejler—især for karakterer med komplekse former og attributter (f.eks. Donald Duck og Super Mario).

‘Desuden opnår vores metode baggrundskonsistens uden den udviskning eller forvrængning, der ses hos andre metoder, og understøtter iterative kreative arbejdsprocesser.’

Granuleret kontrol

En kontinuert indlejringsspace tillader også, at styrken af karakter-fjernelse kan justeres, snarere end at behandle fjernelse som en enten-eller-sag. Ved at interpolere mellem den optimerede anker og den originale mål-indlejring kan metoden gradvist genskabe mere af karakteren, mens den bevarende den omgivende billedstruktur:

Testbilleder, der viser forskellige grader af karakter-fjernelse. De første tre kolonner viser den originale karakter, den slettede version og de visuelle funktioner, der er fjernet; de resterende kolonner viser mellemstadier ved α=0,25, 0,5 og 0,75. Højere α-værdier bevareer mere af den originale karakter. Se venligst den originale kilde-PDF eller projektets website for en lidt bedre opløsning.

Som vist ovenfor testede forfatterne også denne kontrol på karaktererne Winnie the Pooh; Olaf; Minnie Mouse; og Stitch. Strukturel lighed forblev relativt stabil, mens genkendelse af LLaVA-1.5 og BLIP-3 øgedes, efterhånden som mere af hver karakter blev genskabt.

Winnie the Pooh og Stitch blev genkendelige over relativt snævre områder; Olaf og Minnie Mouse ændrede sig mere gradvist; og Minnie Mouse blev genkendelig med relativt lidt genskabning, hvilket viser, at den passende fjernelsesstyrke afhænger af den pågældende karakter.

Yderligere eksperimenter til at erstatte multiple mål på én gang blev gennemført med succes, og vi henviser læseren til kilde-papiret for flere detaljer om dette og for yderligere supplerende resultater og materiale.

Konklusion

Som altid er denne seneste vending på ophavsretlige sikkerhedsforanstaltninger lig med at sikre den stabile dør efter, at hesten er stukket af.

I de sjældne tilfælde, hvor forskere og virksomheder har søgt at undertrykke en models evne til at producere nøgenhed og/eller pornografi ved at afskære internt adgang til ‘NSFW’-materiale i datasettet (fordi det stadig er for dyrt at kuraterer det ud), er det blevet klart, at modellen ikke længere kan forstå menneskekroppens anatomi ordentligt.

Den nye tilgang, der her foreslås, er, kan man sige, lig med at fjerne/en generificere en bestemt pornostjerne, i et tilfælde, hvor en NSFW-filter var under opbygning til en model, der var trænet på uhæmmet webindhold. For den nye metode må skabelsen af en ‘generisk dobbeltgænger’ for en ophavsretligt beskyttet karakter nødvendigvis efterlade superhelmedomænet intakt i modellens latente rum; og jo vigtigere den mål-rettede ophavsretligt beskyttede karakter er, jo mere definerer den sit domæne i det trænede rum.

Derfor er fjernelse af den lig med at forsøge at fjerne sukker fra kaffe, efter at det er blevet rørt ind.

Så selvom denne tilgang kan nyde en vis begrænset succes, hvis den tilføjes til frontier-modellernes stadigt voksende API-brandmure, så antyder den sammenhængende natur af en GenAI-model, historisk set, at det ophavsretligt beskyttede materiale, som denne metode sigter mod, kan forblive tilgængeligt gennem prompternes sædvanlige snilde.

Først udgivet fredag, den 14. august 2026