“Geheime Identitäten” für urheberrechtlich geschützte Animationscharaktere

Neue Forschungsergebnisse aus China bieten eine nicht-invasive Methode, um urheberrechtlich geschützte Animationscharaktere zu schützen, indem sie generische Substitute während der Bildgenerierung einsetzen. Aber kann diese Methode die Erfindungsgabe von Prompt-Hackern besiegen?

Angesichts der Umfang von urheberrechtlich geschütztem Material in hyperskaligen Datasets (aufgrund der enormen Kosten für die Entfernung solcher Verstöße), neigen Modelle, die auf ihnen trainiert werden, dazu, urheberrechtlich geschützte Charaktere zu reproduzieren.

Die direkte Bearbeitung des trainierten Modells oder die Verwendung von Filtern, um Schlüsselwörter abzufangen, wenn das Modell über eine API zugegriffen wird, kann oft durch die elliptische Beschreibung des urheberrechtlich geschützten Elements ausgehebelt werden:

Ein urheberrechtlich geschützter Charakter, der von einem beliebten AI-Chatbot ohne direkte Invocation von Charakternamen erstellt wurde. Quelle

In einer starken und anhaltenden Forschungsrichtung haben Modell-Modifizierung-Techniken versucht, Parameter in einem trainierten Modell zu ändern, mit unterschiedlichen Ergebnissen:

Aus dem 2023er-Papier Ablating Concepts in Text-to-Image Diffusion Models, photorealistische Darstellungen der Schauspielerin Brie Larson als 'Captain Marvel' – in einem beliebten Diffusionsmodell verankert – werden in lose verwandte Cartoon-Bilder umgewandelt, wenn sie vom Benutzer angefordert werden. Quelle

Die Ablation ist jedoch in der Regel ein schädlicher und ungenauer Prozess, der häufig andere Eigenschaften des trainierten Modells beeinflussen kann; außerdem gibt es mehrere Möglichkeiten, dies zu umgehen.

Der andere beliebte Ansatz ist die “Negative Prompting”, bei der ein zusätzlicher “Anti-Prompt” an das Modell gesendet wird, der darauf ausgelegt ist, die Ausgabe zu beschränken. Wenn Modelle über eine API zugegriffen werden (wie alle Frontier-Modelle), kann ein “geheimer” negativer Prompt zusammen mit dem bekannten Benutzer-Prompt gesendet werden, der ein Rubrik enthält, das Ziel hat, zu verhindern, dass das Modell verbotenes Material an den Benutzer liefert. Dieser Ansatz, obwohl beliebt als Urheberrechts-Schutzvektor, funktioniert nicht immer.

Die meisten Arbeiten rund um die post-facto-Inferenz-Zensur beschäftigen sich mit dem breiteren Problem, sicherzustellen, dass Modelle keine CSAM oder jedes andere unangemessene Material ausgeben, trotz der hohen Mengen solchen Materials, die wahrscheinlich in den Trainingsdaten eines großen Modells vorhanden sind. Solche Initiativen können ganze Klassen von Inhalten beeinflussen, anstatt spezifische Instanzen, und verfügen in der Regel nicht über die notwendige Nuancen, um die Bedenken von Urheberrechtsinhabern zu berücksichtigen, die bestimmte Identitäten unterdrücken möchten.

Körperdoppel

Mit diesem Hintergrund schlägt ein neues Papier aus China vor, urheberrechtlich geschützte Animationscharaktere während der Bildgenerierung durch gelernte generische Substitute zu ersetzen – “Doppelgänger”, die genug von der Form und Struktur des Charakters bewahren, um die umgebende Szene zu erhalten, während sie die charakteristischen Details, die den Charakter eindeutig machen, entfernen:

'Anonymisierte' Darstellungen von urheberrechtlich geschütztem Material, das normalerweise in einem trainierten Modell vorhanden und zugänglich ist, erreicht durch die neue Einbettungsmethode. Quelle

Wesentlich ist, dass diese Intervention während der Generierung ohne Modifizierung oder Feinabstimmung des zugrunde liegenden Diffusionsmodells erfolgt und so angepasst werden kann, dass bestimmt wird, wie umfassend der ursprüngliche Charakter gelöscht wird.

Der Ansatz geht stillschweigend davon aus, dass die Modell-Modifizierung eine schlechte Methode für diesen Zweck ist und stattdessen gefertigte Einbettungen in den Inferenzprozess einfügt – Einbettungen, die darauf ausgelegt sind, den urheberrechtlich geschützten Vermögenswert zu “refaktorisieren” und nicht zu löschen (auf Null zu setzen, zu entfernen). Der Prozess beeinflusst oder modifiziert das Basis-Modell nicht direkt und kann daher wiederverwendet oder an verschiedene Modelle angepasst werden.

Obwohl die Methode von den Autoren auf der älteren Stable-Diffusion-Reihe von Modellen getestet wurde, wurde sie auch effektiv auf der viel neueren Z-Image-Architektur ausprobiert, was darauf hindeutet, dass das Konzept der Autoren auf eine Vielzahl von generativen Architekturen anwendbar ist.

Das Papier besagt:

‘[Wir] schlagen eine kontrollierbare Methode vor, die auf der kontinuierlichen textuellen Darstellung des Modells operiert, um Ziel-Charaktere während der Generierung zu löschen. Wir [optimieren] eine Anker-Einbettung über strukturelle und detaillierte Einschränkungen, um als Charakter-Surrogat zu dienen, dann [ersetzen] Ziel-bezogene Einbettungen mit dem Anker über eine struktur-bewusste adaptive Strategie.

‘Experimente zeigen, dass unsere Methode eine Spitzenleistung bei der Löschung und Bildtreue bewahrt, während sie eine kontrollierbare Löschungsstufe, Multi-Ziel-Entfernung und Modell-Übertragbarkeit unterstützt.

‘Darüber hinaus sind unsere optimierten Anker plug-and-play mit aktuellen Modell-Modifizierungs-Baselines, um ihre Löschleistung zu verbessern.’

Die neue Methode überbrückt diverse Architekturen und bietet eine granulare Kontrolle, so die Autoren.

Die neue Studie trägt den Titel Löschen und Bewahren: Kontrollierte Entfernung von urheberrechtlich geschützten Animationscharakteren über optimierte semantische Anker und stammt von sieben Autoren aus dem Institute of Information Engineering an der Chinesischen Akademie der Wissenschaften und der Universität der Chinesischen Akademie der Wissenschaften in Peking.

Methode

Die zentrale Idee hinter der neuen Methode, wie unten dargestellt, besteht darin, für jeden urheberrechtlich geschützten Charakter einen Ersatz zu erstellen, der dessen breite Form und Struktur bewahrt, während er die charakteristischen visuellen Details, die den Charakter erkennbar machen, entfernt – und dann diesen Ersatz während der Bildgenerierung zu verwenden, wenn der geschützte Charakter angefordert wird:

Schema für den neuen Ansatz.

Der Ersatz, den die Autoren Anker nennen, ist so konzipiert, dass er genug von der ursprünglichen Form und Struktur des Charakters bewahrt, um sich natürlicherweise in dieselbe Szene einfügen zu können, während er die Details, die den Charakter eindeutig machen, entfernt.

Um dies zu erreichen, vergleicht das System grobe strukturelle Informationen, die für den ursprünglichen Charakter generiert wurden, mit denen, die für den sich entwickelnden Anker generiert wurden, und drängt die beiden dazu, eine ähnliche Gesamtform anzunehmen. Ein Referenzbild des urheberrechtlich geschützten Charakters wird dann für den gegenteiligen Zweck verwendet, den Anker von seinen erkennbaren feineren Details wegzutreiben:

Methode zur Konstruktion eines nicht verletzenden Ersatzes für einen urheberrechtlich geschützten Charakter. Die breite Struktur des Charakters wird bewahrt, während seine charakteristischen visuellen Details unterdrückt werden, um einen optimierten 'Anker' für die Verwendung während der Generierung zu erstellen.

Der resultierende Anker bewohnt somit ein bewusst konstruiertes Mittelfeld zwischen der Bewahrung der angeforderten Komposition und der Entfernung der geschützten Identität.

Anker Weg

Sobald diese Eigenschaften etabliert wurden, muss der Anker in etwas umgewandelt werden, das das Diffusionsmodell verstehen kann. Der Platzhalter-Term Anker* [sic] erhält somit seine eigene lernbare Darstellung innerhalb des CLIP-Text-Encoders, was effektiv ein neues künstliches Wort/Objekt erstellt, dessen Bedeutung geformt werden kann, ohne das zugrunde liegende Bild-Generierungsmodell zu ändern.

Diese neue Darstellung wird wiederholt entsprechend den oben beschriebenen strukturellen und Detail-Zielen angepasst, um Anker* zu lehren, etwas zu bedeuten, das in etwa der Form des geschützten Charakters entspricht, aber seine identifizierende Erscheinung verloren hat.

Der Rest des Text-Encoders bleibt eingefroren während dieses Prozesses, während die normalen Start-, End- und Padding-Tokens um Anker* herum den Kontext liefern, der notwendig ist, um dieses neu gelernte Pseudo-Wort in die endgültigen Einbettungen umzuwandeln, die während der Generierung verwendet werden.

Adaptive Ersetzung

Während der Generierung (Inferenz) sucht der Algorithmus den kodierten Prompt nach Begriffen, die mit dem geschützten Charakter in Verbindung stehen, und ersetzt die gelernten Anker-Einbettungen an deren Stelle, während er auch die End- und Padding-Einbettungen anpasst, die Kontext-Informationen tragen.

Um sich darauf vorzubereiten, ermöglicht das System zunächst die Denoising, um die grobe Zusammensetzung des angeforderten Bildes zu etablieren, wobei Änderungen in seiner groben Struktur überwacht werden, um zu bestimmen, wann diese Anordnung zu stabilisieren beginnt:

Darstellung davon, wann die Anker-Ersetzung während der Bildgenerierung erfolgt. Änderungen in der groben Bildstruktur werden während des Denoisings verfolgt, wobei die Ersetzung ausgelöst wird, wenn die Gesamtlayout stabil wird und feinere Details beginnen, hervorzutreten.

In dem Bild oben sehen wir, dass dieser Übergang etwa bei Zeitschritt 720 auftritt, wo die gemessene strukturelle Änderung ihren Höhepunkt erreicht und dann beginnt, abzufallen. Zu diesem Zeitpunkt hat sich die breite Anordnung des Bildes weitgehend gebildet, was es dem Anker ermöglicht, den geschützten Charakter zu ersetzen, während das Risiko, die etablierte Komposition zu stören, verringert wird.

Daten und Tests

Die Autoren verglichen ihren Ansatz mit fünf prompt-basierten Baselines: Safe Latent Diffusion (SLD); STG; SAFREE; TraSCE; und Negative Prompting (NP).

Die optimierten Anker-Einbettungen wurden auch in vier bestehende Modell-Modifizierungs-Methoden integriert: MACE; UCE; ESD-u; und AC. Dies wurde getan, um zu testen, ob diese Methoden die vorgeschlagene Methode hinsichtlich der Charakter-Entfernung verbessern können.

Für die Bewertung wurde ein Datensatz von 80 Animations-Charakteren zusammengestellt, der 36 anthropomorphe Charaktere; 23 Tier-Form-Charaktere; und 21 aus verschiedenen Kategorien umfasst – mit allen ausgewählten Charakteren, die aufgrund ihrer Fähigkeit, von Diffusionsmodellen zuverlässig reproduziert zu werden, ausgewählt wurden.

Dann wurden 100 Bilder für jeden Charakter generiert, unter Verwendung von Prompts, die von GPT-4o erstellt wurden.

Stable Diffusion v1.4 wurde für die Haupt-Experimente verwendet, wobei die Übertragbarkeit zusätzlich auf weiteren Stable-Diffusion-Versionen v1.5; V2; v2.1; XL-Basis 1.0; und auch die viel neueren DiT-basierten Z-Image. Keine Modell-Feinabstimmung wurde durchgeführt, wodurch die Parameter jedes vorgefertigten Modells unverändert blieben.

Als Metriken wurden LLaVA-1.5 und BLIP-3 verwendet, um zu messen, ob der Ziel-Charakter noch erkennbar war, wobei ein niedrigerer Identifizierungs-Genauigkeitswert eine effektivere Entfernung anzeigte; Strukturelle Ähnlichkeits-Index (SSIM) maß die strukturelle Bewahrung; Gelernte Wahrnehmungs-Ähnlichkeitsmetriken (LPIPS) maß die wahrnehmbare Differenz; und Ästhetik-Vorhersage-V2-Score bewertete die visuelle Qualität des geänderten Bildes.

Fréchet-Inception-Distanz (FID) und CLIP-Score wurden zusätzlich aus nicht verwandten Prompts in COCO-30K berechnet, um zu messen, ob die normale Bild-Generierung beeinträchtigt wurde:

Test-Ergebnisse, die Charakter-Entfernungs-Methoden über 80 Animations-Charaktere vergleichen. Die ersten beiden Spalten messen, wie oft der vermeintlich gelöschte Charakter noch erkennbar war, sodass niedrigere Werte eine bessere Entfernung anzeigen. Die verbleibenden Spalten messen, wie gut das ursprüngliche Bild und die unabhängige Generierung bewahrt wurden. Pfeile zeigen an, ob höhere oder niedrigere Werte bevorzugt werden; fettgedruckt zeigt das beste Ergebnis an und unterstrichen das zweitbeste.

Von diesen anfänglichen Ergebnissen für den quantitativen Vergleich sagen die Autoren:

‘Im Vergleich zu allen Baselines erreichen Bilder, die mit unserer Methode gelöscht wurden, die niedrigsten Genauigkeitswerte für die erfolgreiche Ziel-Identifizierung durch LLaVA-1.5 (6,0%) und BLIP-3 (4,0%), mit Reduzierungen von 3,5% bzw. 1,7% im Vergleich zum zweitbesten Ergebnis.

‘Dies zeigt die Effektivität unserer Methode bei der Entfernung, da sie effektiv große multimodale Modelle täuscht.’

Für die Bild-Treue erzielte die Methode der Autoren den höchsten SSIM-Wert von 0,467 und den niedrigsten LPIPS-Wert von 0,505 – was die stärkste Bewahrung von nicht verwandtem Inhalt und Hintergrund-Struktur unter den getesteten Methoden anzeigt. Sie erzielte auch den höchsten Ästhetik-Vorhersage-V2-Score unter den Charakter-Entfernungs-Methoden, mit 5,18, was darauf hindeutet, dass diese Bewahrung nicht auf Kosten der Gesamt-Visuellen-Qualität geht.

Ein qualitativer Test folgte:

Test-Ergebnisse, die Charakter-Entfernung über fünf Animations-Charaktere vergleichen. Jede Zeile zeigt Ergebnisse aus einer anderen Methode, wobei die ursprünglichen Stable-Diffusion-v1.4-Generierungen oben und die vorgeschlagene Methode unten stehen. Die vorgeschlagene Methode ersetzt den Ziel-Charakter konsistenter, während die umgebende Szene bewahrt wird. Bitte beachten Sie die Original-Quelle oder die Projekt-Website für eine leicht bessere Auflösung.

Laut dem Papier zeigen die Beispiele besonders deutliche Unterschiede für Charaktere mit komplexeren Formen und Attributen, wobei Donald Duck und Super Mario als Beispiele genannt werden:

‘[Unsere] Methode erreicht eine nahtlose Entfernung von Animations-Charakteren durch optimierte Anker, während prompt-basierte Baselines oft versagen – insbesondere für Charaktere mit komplexen Formen und Attributen (z.B. Donald Duck und Super Mario).

‘Darüber hinaus erreicht unsere Methode eine Hintergrund-Konsistenz ohne die Verwischungs- oder Verzerrungs-Artefakte, was iterative kreative Workflows unterstützt.’

Granulare Kontrolle

Ein kontinuierlicher Einbettungs-Raum ermöglicht es auch, die Stärke der Charakter-Entfernung anzupassen, anstatt die Entfernung als eine alles-oder-nichts-Option zu behandeln. Durch Interpolation zwischen dem optimierten Anker und der ursprünglichen Ziel-Einbettung kann die Methode schrittweise mehr des Charakters wiederherstellen, während die umgebende Bild-Struktur bewahrt wird:

Test-Bilder, die verschiedene Grade der Charakter-Entfernung zeigen. Die ersten drei Spalten zeigen den ursprünglichen Charakter, die gelöschte Version und die entfernten visuellen Merkmale; die verbleibenden Spalten zeigen Zwischen-Einstellungen bei α=0,25, 0,5 und 0,75. Höhere α-Werte bewahren schrittweise mehr des ursprünglichen Charakters. Bitte beachten Sie die Original-Quelle oder die Projekt-Website für eine leicht bessere Auflösung.

Wie oben gezeigt, testeten die Autoren diese Kontrolle auch auf den Charakteren Winnie the Pooh; Olaf; Minnie Mouse; und Stitch. Die strukturelle Ähnlichkeit blieb relativ stabil, während die Wiedererkennung durch LLaVA-1.5 und BLIP-3 zunahm, wenn mehr des Charakters wiederhergestellt wurde.

Winnie the Pooh und Stitch wurden über relativ enge Bereiche hinweg erkennbar; Olaf und Minnie Mouse änderten sich allmählicher; und Minnie Mouse wurde mit verhältnismäßig wenig Wiederherstellung erkennbar, was zeigt, dass die geeignete Entfernungs-Stärke vom zu entfernenden Charakter abhängt.

Weitere Experimente zur gleichzeitigen Entfernung mehrerer Ziele wurden erfolgreich durchgeführt, und wir verweisen den Leser auf die Quell-Studie für weitere Details dazu und für zusätzliche ergänzende Ergebnisse und Material.

Schlussfolgerung

Wie immer ist diese neueste Wendung in den Urheberrechts-Schutzäulen gleichbedeutend damit, die Stalltür zu sichern, nachdem das Pferd bereits ausgebrochen ist.

In den seltenen Fällen, in denen Forscher und Unternehmen versucht haben, die Fähigkeit eines Modells, Nacktheit und/oder Pornografie zu produzieren, zu unterdrücken, indem sie tatsächlich den internen Zugriff auf “NSFW”-Material in der Datenmenge abschneiden (weil es immer noch zu teuer ist, es tatsächlich zu kuratieren), hat es sich herausgestellt, dass das Modell nicht länger die menschliche Anatomie richtig verstehen kann.

Der neue Ansatz, der hier vorgeschlagen wird, ist, argumentativ gesehen, gleichbedeutend mit der Entfernung/Generisierung eines bestimmten Pornostars, in einem Fall, in dem ein NSFW-Filter für ein Modell erstellt wird, das auf unzureichend gefilterten Web-Inhalten trainiert wurde. Für die neue Methode muss die Erstellung eines “generischen Doppelgängers” für einen urheberrechtlich geschützten Charakter notwendigerweise den Superhelden-Bereich im latenten Raum des Modells intakt lassen; und je wichtiger der zu entfernende urheberrechtlich geschützte Charakter ist, desto mehr definiert er seinen Bereich im trainierten Raum.

Daher ist die Entfernung ähnlich wie das Versuch, Zucker aus Kaffee zu entfernen, nachdem er bereits umgerührt wurde.

Während dieser Ansatz möglicherweise einen begrenzten Erfolg haben kann, wenn er zu den immer größer werdenden API-Feuerwänden der Frontier-Modelle hinzugefügt wird, legt die vernetzte Natur eines GenAI-Modells nahe, dass das urheberrechtlich geschützte Material, das diese Methode zum Ziel hat, möglicherweise weiterhin durch die übliche Erfindungsgabe der Prompter zugänglich bleibt.

Erstveröffentlichung am Freitag, den 14. August 2026