Dare ‘Identità Segrete’ ai Personaggi di Animazione Protetti da Copyright

Nuove ricerche dalla Cina offrono un metodo non invasivo per proteggere i personaggi di animazione protetti da copyright, ‘iniettando’ sostituti generici durante il tempo di inferenza. Ma questo metodo può sconfiggere l’ingegno dei prompt-hacker?

Considerata la portata del materiale protetto da copyright presente in dataset iperscalari dataset (a causa del costo elevato di eliminare tali violazioni), i modelli addestrati su di essi tendono a essere in grado di riprodurre personaggi protetti da copyright.

La modifica diretta del modello addestrato, o l’uso di filtri per intercettare parole chiave quando il modello è accessibile tramite API, può spesso essere superata descrivendo l’elemento protetto da copyright ellitticamente:

Un personaggio protetto da copyright prodotto da un popolare chatbot AI, apparentemente senza invocazione diretta del nome del personaggio. Fonte

In una forte e persistente linea di ricerca, le tecniche di modifica del modello hanno tentato di alterare i parametri in un modello addestrato, con risultati vari:

Dal paper del 2023 ‘Ablating Concepts in Text-to-Image Diffusion Models’, rappresentazioni fotorealistiche dell’attrice Brie Larson come ‘Captain Marvel’ – incorporate in un modello di diffusione popolare – sono trasformate in immagini a fumetto correlate quando richieste dall’utente. Fonte

Tuttavia, l’ablazione è generalmente un processo dannoso e impreciso, e può frequentemente influenzare altre caratteristiche del modello addestrato; inoltre, ci sono molteplici modi per aggirarla.

L’altro approccio popolare è il ‘prompting negativo’, in cui viene inviato un prompt aggiuntivo ‘anti-prompt’ al modello, progettato per limitare l’output. Quando i modelli vengono accessi tramite API, un prompt ‘segreto’ negativo può essere inviato insieme al prompt noto all’utente, comprendente una rubrica progettata per impedire al modello di fornire materiale vietato all’utente. Questo approccio, sebbene popolare come vettore di protezione del copyright, non funziona sempre.

La maggior parte del lavoro su post-facto censura dell’inferenza è occupata con il problema più ampio di garantire che i modelli non producano CSAM o qualsiasi tipo di materiale NSFW, nonostante le elevate quantità di tale materiale probabilmente presenti nei dati di addestramento di un modello importante. Tali iniziative possono influenzare interi gruppi di contenuti, piuttosto che istanze specifiche, e di solito mancano della necessaria sottigliezza per affrontare le preoccupazioni dei titolari del copyright che cercano di sopprimere identità specifiche.

Body Doubles

Con questo in mente, un nuovo paper dalla Cina propone di sostituire i personaggi di animazione protetti da copyright durante la generazione di immagini con sostituti generici appresi – ‘doppi’ che conservano abbastanza della forma e della struttura del personaggio per preservare la scena circostante, mentre rimuovono i dettagli distintivi associati al personaggio protetto:

Rappresentazioni ‘anonimizzate’ di materiale protetto da copyright altrimenti presente e accessibile in un modello addestrato, ottenute con il nuovo metodo di incorporamento. Fonte

Crucialmente, questo intervento si verifica durante la generazione senza modificare o ritoccare il modello di diffusione sottostante, e può essere regolato per determinare quanto estensivamente il personaggio originale viene cancellato.

L’approccio riconosce tacitamente che la modifica del modello è un metodo povero per questo scopo, e invece inietta incorporamenti appresi nel processo di inferenza – incorporamenti progettati per ‘riorganizzare’ piuttosto che ablatire (azzerare, rimuovere) l’asset protetto da copyright. Il processo non influenza direttamente o modifica il modello di base in alcun modo, e quindi può essere riutilizzato o adattato in una varietà di modelli.

Sebbene il metodo sia stato testato dagli autori sul più vecchio Stable Diffusion di modelli, è stato anche efficacemente provato sull’architettura Z-Image molto più recente, suggerendo che il concetto degli autori è applicabile in una gamma di architetture generative.

Il paper afferma:

‘[Noi] proponiamo un metodo controllabile che opera sulla rappresentazione testuale continua del modello per cancellare i personaggi target durante la generazione. [Ottimizziamo] un incorporamento di ancoraggio tramite vincoli strutturali e dettagliati per servire come surrogato del personaggio, poi [sostituiamo] gli incorporamenti relativi al target con l’ancoraggio tramite una strategia adattiva consapevole della struttura.

‘Gli esperimenti mostrano che il nostro metodo raggiunge un’efficacia di cancellazione e una preservazione della fedeltà dell’immagine di stato dell’arte, mentre supporta un grado di cancellazione controllabile, la rimozione di più target e la trasferibilità del modello.

‘Inoltre, i nostri ancoraggi ottimizzati sono plug-and-play con le linee di base di modifica del modello attuali per migliorare le loro prestazioni di cancellazione.’

Il nuovo metodo si estende su architetture diverse e offre un controllo granulare, secondo gli autori.

Il nuovo paper è intitolato Erase but Preserve: Controllable Removal of Copyrighted Animation Characters via Optimized Semantic Anchors, e proviene da sette autori dell’Istituto di Ingegneria dell’Informazione dell’Accademia Cinese delle Scienze e dell’Università dell’Accademia Cinese delle Scienze a Pechino.

Metodo

L’idea centrale dietro il nuovo metodo, come illustrato di seguito, è creare un sostituto per ogni personaggio protetto da copyright che conservi la sua forma e struttura generale, mentre elimina i dettagli visivi distintivi che rendono il personaggio riconoscibile – e poi utilizzare questo sostituto durante la generazione di immagini ogni volta che il personaggio protetto viene richiesto.

Schema per il nuovo approccio.

Il sostituto, che gli autori definiscono un ancoraggio, è progettato per conservare abbastanza della forma e della struttura del personaggio originale per adattarsi naturalmente nella stessa scena, mentre elimina i dettagli che rendono il personaggio distintivo.

Per fare ciò, il sistema confronta le informazioni strutturali grezze generate per il personaggio originale con quelle generate per l’ancoraggio in via di sviluppo, spingendo i due verso una forma generale simile. Un’immagine di riferimento del personaggio protetto da copyright viene poi utilizzata per lo scopo opposto, spingendo l’ancoraggio lontano dai suoi dettagli riconoscibili più fini:

Metodo per costruire un sostituto non contraffatto per un personaggio protetto da copyright. La struttura generale del personaggio viene conservata mentre i dettagli visivi distintivi vengono soppressi, producendo un ‘ancoraggio’ ottimizzato per l’uso durante la generazione.

Il risultante ancoraggio occupa quindi un terreno di mezzo deliberatamente progettato tra la conservazione della composizione richiesta e la rimozione dell’identità protetta.

Anchor Away

Una volta stabilite queste proprietà, l’ancoraggio deve essere tradotto in qualcosa che il modello di diffusione possa comprendere. Il termine Anchor* [sic] riceve quindi una rappresentazione apprendibile all’interno del encoder di testo CLIP, creando efficacemente una nuova entità artificiale, il cui significato può essere plasmato senza cambiare il modello di generazione di immagini sottostante.

Questa nuova rappresentazione viene regolata ripetutamente in base agli obiettivi strutturali e di dettaglio descritti sopra, insegnando a Anchor* di significare qualcosa di ampiamente modellato come il personaggio protetto, ma privo della sua apparenza distintiva.

Il resto dell’encoder di testo rimane congelato durante questo processo, mentre i token di inizio, fine e di padding che circondano Anchor* forniscono il contesto necessario per trasformare questo nuovo pseudo-parola appreso in incorporamenti finali utilizzati durante la generazione.

Rimpiazzo Adattivo

Durante la generazione (inferenza), l’algoritmo cerca nel prompt codificato i termini associati al personaggio protetto e sostituisce gli incorporamenti dell’ancoraggio appreso al loro posto, regolando anche gli incorporamenti di fine e di padding che trasportano informazioni di contesto.

Per preparare questo, il sistema consente prima alla denoising di stabilire la composizione generale dell’immagine richiesta, monitorando i cambiamenti nella sua struttura grezza per determinare quando quel layout ha iniziato a stabilizzarsi:

Rappresentazione di quando si verifica il rimpiazzo dell’ancoraggio durante la generazione di immagini. I cambiamenti nella struttura dell’immagine grezza vengono tracciati durante la denoising, con il rimpiazzo attivato intorno al punto in cui la disposizione generale si stabilizza e i dettagli più fini iniziano a emergere.

Nell’immagine sopra vediamo questo passaggio avvenire intorno al passo temporale 720, dove il cambiamento strutturale misurato raggiunge il suo picco e poi inizia a diminuire. A questo punto, l’arrangiamento generale dell’immagine si è largamente formato, consentendo all’ancoraggio di sostituire il personaggio protetto, riducendo il rischio di disturbare la composizione stabilita.

Dati e Test

Gli autori hanno confrontato il loro approccio con cinque linee di base basate su prompt: Safe Latent Diffusion (SLD); STG; SAFREE; TraSCE; e Prompting Negativo (NP).

Gli incorporamenti dell’ancoraggio ottimizzato sono stati anche integrati in quattro metodi di modifica del modello esistenti: MACE; UCE; ESD-u; e AC. Ciò è stato fatto per testare se questi potessero migliorare il modello proposto in termini di rimozione del personaggio.

Per la valutazione, è stato assemblato un set di dati di 80 personaggi di animazione, comprendente 36 personaggi antropomorfi; 23 personaggi a forma di animale; e 21 di categorie varie – con tutti i personaggi selezionati perché potevano essere riprodotti in modo affidabile dai modelli di diffusione.

Sono state generate 100 immagini per ogni personaggio, utilizzando prompt prodotti da GPT-4o.

Stable Diffusion v1.4 è stato utilizzato per gli esperimenti principali, con la trasferibilità testata anche su ulteriori versioni di Stable Diffusion v1.5; V2; v2.1; XL base 1.0; e anche l’architettura DiT-based Z-Image più recente. Non è stato eseguito alcun ritoccare del modello, lasciando invariati i parametri di ciascun modello pre-addestrato.

Per le metriche, LLaVA-1.5 e BLIP-3 hanno misurato se il personaggio target rimaneva riconoscibile, con un’accuratezza di identificazione inferiore che indica una rimozione più completa; Structural Similarity Index (SSIM) ha misurato la preservazione strutturale; Learned Perceptual Similarity Metrics (LPIPS) ha misurato la differenza percettiva; e Aesthetic Predictor V2 Score ha valutato la qualità visiva dell’immagine alterata.

Fréchet Inception Distance (FID) e CLIP Score sono stati inoltre calcolati da prompt non correlati in COCO-30K, per misurare se la generazione di immagini normali era stata influenzata:

Risultati dei test che confrontano i metodi di rimozione del personaggio su 80 personaggi di animazione. Le prime due colonne misurano quanto spesso il personaggio cancellato poteva ancora essere riconosciuto, quindi punteggi più bassi indicano una rimozione migliore. Le colonne rimanenti misurano quanto bene l’immagine originale e la generazione non correlata sono state preservate. Le frecce mostrano se punteggi più alti o più bassi sono preferibili; il grassetto indica il miglior risultato e il sottolineato il secondo migliore.

Di questi risultati iniziali per il confronto quantitativo, gli autori affermano:

‘In confronto a tutte le linee di base, le immagini cancellate utilizzando il nostro metodo raggiungono le accuratezze più basse per l’identificazione del target riuscita da parte di LLaVA-1.5 (6.0%) e BLIP-3 (4.0%), con riduzioni del 3.5% e 1.7% rispetto al secondo più basso, rispettivamente.

‘Ciò dimostra l’efficacia di cancellazione del nostro metodo, poiché esso inganna efficacemente i modelli multimodali di grandi dimensioni.’

Per la fedeltà dell’immagine, il metodo degli autori ha prodotto il punteggio SSIM più alto, a 0.467, e il punteggio LPIPS più basso a 0.505 – indicando la preservazione più forte del contenuto non correlato e della struttura di sfondo tra i metodi testati. Ha anche raggiunto il punteggio Aesthetic Predictor V2 più alto tra i metodi di rimozione del personaggio, a 5.18, suggerendo che questa preservazione non avviene a scapito della qualità visiva generale.

Un test qualitativo ha seguito:

Risultati dei test che confrontano la rimozione del personaggio su cinque personaggi di animazione. Ogni riga mostra i risultati di un metodo diverso, con le generazioni originali di Stable Diffusion v1.4 in alto e il metodo proposto in basso. Il metodo proposto sostituisce più costantemente i personaggi target mentre preserva la scena circostante. Si prega di fare riferimento al PDF originale o al sito del progetto per una risoluzione leggermente migliore.

Secondo il paper, gli esempi mostrano differenze particolarmente chiare per personaggi con forme e attributi più complessi, con Paperino e Super Mario citati come esempi:

‘[Il nostro] metodo raggiunge una cancellazione senza soluzione di continuità dei personaggi di animazione attraverso ancoraggi ottimizzati, mentre le linee di base basate su prompt spesso falliscono—particolarmente per personaggi con forme e attributi complessi (ad esempio Paperino e Super Mario).

‘Inoltre, [il nostro] metodo raggiunge la coerenza dello sfondo senza artefatti di sfocatura o distortione, supportando flussi di lavoro creativi iterativi.’

Controllo Granulare

Uno spazio di incorporamento continuo consente anche di regolare la forza della rimozione del personaggio, anziché trattare la cancellazione come una proposizione tutto-o-nulla. Interpolando tra l’ancoraggio ottimizzato e l’incorporamento del target originale, il metodo può progressivamente ripristinare più del personaggio, conservando la struttura dell’immagine circostante:

Immagini di test che mostrano gradi diversi di rimozione del personaggio. Le prime tre colonne mostrano il personaggio originale, la versione cancellata e le caratteristiche visive rimosse; le colonne rimanenti mostrano impostazioni intermedie a α=0.25, 0.5 e 0.75. Valori α più alti conservano progressivamente più del personaggio originale. Si prega di fare riferimento al PDF originale o al sito del progetto per una risoluzione leggermente migliore.

Come mostrato sopra, gli autori hanno anche testato questo controllo sui personaggi Winnie the Pooh; Olaf; Minnie Mouse; e Stitch. La somiglianza strutturale è rimasta relativamente stabile mentre la forza del ripristino cambiava, mentre il riconoscimento da parte di LLaVA-1.5 e BLIP-3 è aumentato mentre più del personaggio veniva ripristinato.

Winnie the Pooh e Stitch sono diventati riconoscibili su intervalli relativamente stretti; Olaf e Minnie Mouse sono cambiati più gradualmente; e Minnie Mouse è diventata riconoscibile con una quantità relativamente piccola di ripristino, dimostrando che la forza di cancellazione appropriata dipende dal personaggio target.

Sono stati condotti ulteriori esperimenti per sostituire più target in un’unica operazione, e si rimanda il lettore al paper originale per maggiori dettagli su questo e per ulteriori risultati supplementari e materiali.

Conclusione

Come sempre, questo ultimo sviluppo sulle ‘barriere di protezione’ del copyright è equivalente a chiudere la porta della stalla dopo che il cavallo è già scappato.

In quei rari casi in cui i ricercatori e le aziende hanno cercato di sopprimere la capacità di un modello di produrre nudità e/o pornografia, tagliando effettivamente l’accesso interno al materiale ‘NSFW’ nel set di dati (perché è ancora troppo costoso curarlo), si è scoperto che il modello non poteva comprendere correttamente l’anatomia umana.

Il nuovo approccio proposto qui è, a suo modo, equivalente a escindere/genericizzare una particolare star del porno, in un caso in cui un filtro NSFW stava venendo costruito per un modello addestrato su tonnellate di contenuto web indiscriminatamente raccolto. Per il nuovo metodo, creare un ‘doppio generico’ per un personaggio protetto da copyright deve necessariamente lasciare il dominio dei supereroi intatto nello spazio latente del modello; e più importante è il personaggio protetto da copyright target, più definisce il suo dominio nello spazio addestrato.

Pertanto, rimuoverlo è come cercare di rimuovere lo zucchero dal caffè, una volta che è stato mescolato.

Quindi, mentre questo approccio potrebbe godere di un successo limitato se aggiunto ai firewall API sempre più grandi dei modelli di frontiera, la natura interconnessa di un modello GenAI suggerisce, storicamente, che il materiale protetto da copyright che questo metodo targetta potrebbe rimanere accessibile attraverso l’ingegno consueto dei prompter.

Pubblicato per la prima volta venerdì, 14 agosto 2026