‘Geheime identiteiten’ geven aan beschermde animatiekarakters

Nieuw onderzoek uit China biedt een niet-invasieve manier om beschermde animatiekarakters te beschermen door ‘generieke vervangers’ in te voeren tijdens de inferentie – maar kan deze methode de ingenieuze prompt-hackers verslaan?

Gezien de omvang van beschermde materialen in hyperschaal datasets (vanwege de hoge kosten van het verwijderen van dergelijke inbreuken), zijn modellen die op deze datasets zijn getraind, in staat om beschermde karakters te reproduceren.

Directe bewerking van het getrainde model of het gebruik van filters om trefwoorden te onderscheppen wanneer het model via API wordt benaderd, kan vaak worden omzeild door het beschermde element elliptisch te beschrijven:

Een beschermde karakter gegenereerd door een populaire AI-chatbot, ogenschijnlijk zonder directe aanroeping van karakternamen. Bron

In een sterke en aanhoudende onderzoekslijn zijn model-modificatie-technieken uitgevoerd om parameters in een getraind model te wijzigen, met uiteenlopende resultaten:

Uit het artikel uit 2023 Ablating Concepts in Text-to-Image Diffusion Models, worden fotorealistische voorstellingen van actrice Brie Larson als ‘Captain Marvel’ – ingebed in een populaire diffusiemodel – omgezet in losjes verwante cartoonbeelden wanneer deze door de gebruiker worden aangevraagd. Bron

Echter, ablatie is meestal een schadelijk en onnauwkeurig proces, en een dat vaak andere kenmerken van het getrainde model kan beïnvloeden; bovendien zijn er meerdere manieren om dit te omzeilen.

De andere populaire aanpak is ‘negatieve prompting’, waarbij een extra ‘anti-prompt’ naar het model wordt gestuurd, ontworpen om de uitvoer te beperken. Wanneer modellen via API worden benaderd (zoals alle frontier-modellen), kan een ‘geheime’ negatieve prompt samen met de bekende gebruikersprompt worden gestuurd, bestaande uit een rubric ontworpen om te voorkomen dat het model verboden materiaal aan de gebruiker levert. Deze aanpak, hoewel populair als een vector voor auteursrechtbescherming, werkt niet altijd.

Het meeste werk rond post-facto-inferentiecensuur is bezighouden met het bredere probleem van het ervoor zorgen dat modellen geen CSAM of enige vorm van NSFW-materiaal produceren, ondanks de grote hoeveelheden van dergelijk materiaal waarschijnlijk aanwezig in de trainingsgegevens van een groot model. Dergelijke initiatieven kunnen hele klassen van inhoud beïnvloeden, in plaats van specifieke instanties, en ontbreken meestal de nodige nuances om de bezorgdheden van auteursrechthouders die specifieke identiteiten proberen te onderdrukken aan te pakken.

Body Doubles

Met dit in gedachten, stelt een nieuw artikel uit China voor om beschermde animatiekarakters tijdens beeldgeneratie te vervangen door geleerde generieke vervangers – ‘dubbels’ die genoeg van de vorm en structuur van het karakter behouden om de omliggende scène te behouden, terwijl alle distinctieve details die het karakter herkenbaar maken worden verwijderd:

'Geanonimiseerde' voorstellingen van beschermde materialen die anders aanwezig en toegankelijk zijn in een getraind model, behaald door de nieuwe embedmethode. Bron

Het belangrijkste punt is dat deze interventie plaatsvindt tijdens generatie zonder de onderliggende diffusiemodel te modificeren of fijn af te stemmen, en kan worden aangepast om te bepalen hoe uitgebreid het oorspronkelijke karakter wordt gewist.

De benadering erkent impliciet dat modelmodificatie een slechte methode voor dit doel is en voegt in plaats daarvan gecraftede embeddings toe aan het inferentieproces – embeddings ontworpen om te ‘herstructureren’ in plaats van te ‘ablateren’ (uit te schakelen, te verwijderen) het beschermde actief. Het proces beïnvloedt of wijzigt het basismodel niet direct en kan dus opnieuw worden gebruikt of aangepast voor een breed scala aan modellen.

Hoewel de methode door de auteurs is getest op de oudere Stable Diffusion-reeks modellen, is deze ook effectief getest op de veel recentere Z-Image-architectuur, wat suggereert dat het concept van de auteurs toepasbaar is op een breed scala aan generatieve architectuur.

Het artikel vermeldt:

‘[We] stellen een controleerbare methode voor die werkt op de continue tekstuele representatie van het model om doelkarakters tijdens generatie uit te wissen. We [optimaliseren] een anker-embedding via structurele en gedetailleerde beperkingen om als karakter-surrogaat te dienen, vervolgens [vervangen] doelgerelateerde embeddings met het anker via een structuurbewuste adaptieve strategie.

‘Experimenten laten zien dat onze methode een state-of-the-art-wisingseffectiviteit en beeldfideliteitsbehoud bereikt, terwijl deze controleerbare wisningsgraad, meervoudige doelverwijdering en modeloverdraagbaarheid ondersteunt.

‘Bovendien zijn onze geoptimaliseerde ankers plug-and-play met huidige modelmodificatie-baselines om hun wisningsprestaties te verbeteren.’

De nieuwe methode overspant diverse architectuur en biedt granulaire controle, volgens de auteurs.

Het nieuwe artikel heet Erase but Preserve: Controllable Removal of Copyrighted Animation Characters via Optimized Semantic Anchors en komt van zeven auteurs uit het Institute of Information Engineering van de Chinese Academy of Sciences en de University of Chinese Academy of Sciences in Beijing.

Methode

Het centrale idee achter de nieuwe methode, zoals hieronder weergegeven, is om een vervanger voor elk beschermde karakter te creëren dat de brede vorm en structuur van het karakter behoudt, terwijl de distinctieve visuele details die het karakter herkenbaar maken worden verwijderd – en vervolgens deze vervanger te gebruiken tijdens beeldgeneratie wanneer het beschermde karakter wordt aangevraagd.

Schema voor de nieuwe benadering.

De vervanger, die de auteurs een anker noemen, is ontworpen om genoeg van de oorspronkelijke vorm en structuur van het karakter te behouden om natuurlijk in dezelfde scène te passen, terwijl de details die het karakter distinctief maken worden verwijderd.

Om dit te doen, vergelijkt het systeem grove structurele informatie gegenereerd voor het oorspronkelijke karakter met die gegenereerd voor het ontwikkelende anker, waarbij de twee naar een vergelijkbare algemene vorm worden geduwd. Een referentiebeeld van het beschermde karakter wordt vervolgens voor het tegenovergestelde doel gebruikt, waarbij het anker weg wordt geduwd van zijn herkenbare fijne details:

Methode voor het construeren van een niet-inbreukmakende vervanger voor een beschermde karakter. De brede structuur van het karakter wordt behouden, terwijl de distinctieve visuele details worden onderdrukt, waardoor een geoptimaliseerd 'anker' voor gebruik tijdens generatie ontstaat.

Het resulterende anker neemt dus een bewust geconstrueerd middengebied in tussen het behouden van de aangevraagde compositie en het verwijderen van de beschermde identiteit.

Anchor Away

Zodra deze eigenschappen zijn vastgesteld, moet het anker worden omgezet in iets dat het diffusiemodel kan begrijpen. De tijdelijke aanduiding Anchor* [sic] krijgt dus zijn eigen leerbare representatie in de CLIP-tekstencoder, waardoor effectief een nieuw kunstmatig woord/entity wordt gecreëerd, waarvan de betekenis kan worden gevormd zonder het onderliggende beeldgeneratiemodel te wijzigen.

Deze nieuwe representatie wordt herhaaldelijk aangepast volgens de structurele en detaildoelstellingen zoals hierboven beschreven, waarbij Anchor* wordt geleerd om iets breed te betekenen dat op het beschermde karakter lijkt, maar ontdaan is van zijn identificerende verschijning.

De rest van de tekstencoder blijft bevroren tijdens dit proces, terwijl de gewone start-, eind- en paddingtokens rond Anchor* de context bieden die nodig is om deze nieuw geleerde pseudo-woord om te zetten in de definitieve embeddings die tijdens generatie worden gebruikt.

Adaptive Replacement

Tijdens generatie (inferentie) zoekt het algoritme de gecodeerde prompt af naar termen die zijn geassocieerd met het beschermde karakter en vervangt de geleerde anker-embeddings door deze, terwijl ook de eind- en padding-embeddings die contextuele informatie dragen worden aangepast.

Om dit voor te bereiden, laat het systeem eerst denoising toe om de brede compositie van het aangevraagde beeld vast te stellen, waarbij veranderingen in de grove structuur van het beeld worden gevolgd om te bepalen wanneer de lay-out is begonnen te stabiliseren:

Een voorstelling van wanneer ankervervanging plaatsvindt tijdens beeldgeneratie. Veranderingen in de grove beeldstructuur worden gevolgd tijdens denoising, met vervanging geactiveerd rond het punt waar de algehele lay-out is gestabiliseerd en fijne details beginnen te verschijnen.

In het bovenstaande beeld zien we deze overgang plaatsvinden rond tijdstap 720, waarbij de gemeten structurele verandering zijn piek bereikt en vervolgens begint te dalen. Op dit punt is de brede opstelling van het beeld grotendeels gevormd, waardoor het anker het beschermde karakter kan vervangen, terwijl het risico van verstoring van de gevestigde compositie wordt verminderd.

Gegevens en tests

De auteurs hebben hun benadering vergeleken met vijf prompt-gebaseerde baselines: Safe Latent Diffusion (SLD); STG; SAFREE; TraSCE; en Negative Prompting (NP).

De geoptimaliseerde anker-embeddings werden ook geïntegreerd in vier bestaande modelmodificatiemethoden: MACE; UCE; ESD-u; en AC. Dit werd gedaan om te testen of deze methoden de voorgestelde model konden verbeteren wat betreft karakterverwijdering.

Voor de evaluatie werd een dataset van 80 animatiekarakters samengesteld, bestaande uit 36 antropomorfe karakters; 23 dierlijke vormen; en 21 uit diverse categorieën – met alle geselecteerde karakters gekozen omdat ze betrouwbaar konden worden gegenereerd door diffusiemodellen.

Honderd beelden werden vervolgens gegenereerd voor elk karakter, met prompts gegenereerd door GPT-4o.

Stable Diffusion v1.4 werd gebruikt voor de hoofdexperimenten, met overdraagbaarheid bovendien getest op verdere Stable Diffusion-versies v1.5; V2; v2.1; XL base 1.0; en ook de veel recentere DiT-gebaseerde Z-Image. Geen model fijnafstemming werd uitgevoerd, waardoor de parameters van elk vooraf getraind model ongewijzigd bleven.

Als metrics werden LLaVA-1.5 en BLIP-3 gebruikt om te meten of het doelkarakter nog steeds herkenbaar was, met lagere identificatie-accuraatheid die een effectievere verwijdering aangaf; Structural Similarity Index (SSIM) mat de structurele behoud; Learned Perceptual Similarity Metrics (LPIPS) mat de perceptuele verschillen; en Aesthetic Predictor V2 Score beoordeelde de visuele kwaliteit van het gewijzigde beeld.

Fréchet Inception Distance (FID) en CLIP Score werden bovendien berekend vanuit ongerelateerde prompts in COCO-30K, om te meten of de normale beeldgeneratie was beïnvloed:

Testresultaten die karakterverwijderingsmethoden vergelijken over 80 animatiekarakters. De eerste twee kolommen meten hoe vaak het verwijderde karakter nog steeds kon worden herkend, dus lagere scores geven een betere verwijdering aan. De overige kolommen meten hoe goed het oorspronkelijke beeld en ongerelateerde generatie werden behouden. Pijlen geven aan of hogere of lagere scores de voorkeur hebben; vetgedrukt geeft de beste score aan en onderstreept de tweede beste.

Van deze initiële resultaten voor kwantitatieve vergelijking, vermelden de auteurs:

‘In vergelijking met alle baselines bereiken beelden die met onze methode zijn gewist de laagste accuraties voor succesvolle doelidentificatie door zowel LLaVA-1.5 (6,0%) als BLIP-3 (4,0%), met verminderingen van 3,5% en 1,7% ten opzichte van de tweede laagste, respectievelijk.

‘Dit toont de effectiviteit van onze methode aan, aangezien deze effectief grote multimodale modellen [misleidt].’

Voor beeldfideliteit produceerde de methode van de auteurs de hoogste SSIM-score, op 0,467, en de laagste LPIPS-score, op 0,505 – wat aangaf dat de sterkste behoud van ongerelateerde inhoud en achtergrondstructuur onder de geteste methoden werd bereikt. Het behaalde ook de hoogste Aesthetic Predictor V2 Score onder de karakterverwijderingsmethoden, op 5,18, wat suggereert dat deze behoud niet ten koste gaat van de algehele visuele kwaliteit.

Een kwalitatieve test volgde:

Testresultaten die karakterverwijdering vergelijken over vijf animatiekarakters. Elke rij toont resultaten van een andere methode, met de oorspronkelijke Stable Diffusion v1.4-generaties bovenaan en de voorgestelde methode onderaan. De voorgestelde methode vervangt het doelkarakter meer consistent, terwijl de omliggende scène wordt behouden. Raadpleeg de oorspronkelijke bron-PDF of de projectsite voor een iets betere resolutie.

Volgens het artikel laten de voorbeelden vooral duidelijke verschillen zien voor karakters met complexere vormen en attributen, met Donald Duck en Super Mario als voorbeelden:

‘[Onze] methode bereikt naadloze verwijdering van animatiekarakters via geoptimaliseerde ankers, terwijl prompt-gebaseerde baselines vaak falen—vooral voor karakters met complexe vormen en attributen (bijv. Donald Duck en Super Mario).

‘Bovendien bereikt onze methode achtergrondconsistentie zonder de vervaagde of vertekende artefacten, waardoor iteratieve creatieve workflows worden ondersteund.’

Granulaire controle

Een continue embedruimte maakt het ook mogelijk de sterkte van karakterverwijdering aan te passen, in plaats van verwijdering als een alles-of-niets-benadering te behandelen. Door te interpoleren tussen het geoptimaliseerde anker en de oorspronkelijke doel-embedding, kan de methode het karakter progressief herstellen, terwijl de omliggende beeldstructuur wordt behouden:

Testbeelden die verschillende gradaties van karakterverwijdering laten zien. De eerste drie kolommen tonen het oorspronkelijke karakter, de gewiste versie en de visuele kenmerken die zijn verwijderd; de overige kolommen tonen tussenliggende instellingen bij α=0,25, 0,5 en 0,75. Hogere α-waarden behouden progressief meer van het oorspronkelijke karakter. Raadpleeg de oorspronkelijke bron-PDF of de projectsite voor een iets betere resolutie.

Zoals hierboven weergegeven, hebben de auteurs deze controle ook getest op de karakters Winnie de Poeh; Olaf; Minnie Mouse; en Stitch. Structurele overeenkomst bleef relatief stabiel toen de sterkte van herstel veranderde, terwijl herkenning door LLaVA-1.5 en BLIP-3 toenam toen meer van elk karakter werd hersteld.

Winnie de Poeh en Stitch werden herkenbaar over relatief smalle bereiken; Olaf en Minnie Mouse veranderden meer geleidelijk; en Minnie Mouse werd herkenbaar met relatief weinig herstel, wat aantoont dat de passende verwijderingssterkte afhankelijk is van het karakter dat wordt gericht.

Verdere experimenten om meerdere doelen in één keer te vervangen werden met succes uitgevoerd, en wij verwijzen de lezer naar het bronartikel voor meer details hierover en voor aanvullende resultaten en materiaal.

Conclusie

Zoals altijd is deze laatste wending in auteursrechtelijke beveiligingsmaatregelen gelijk aan het beveiligen van de staldeur nadat het paard is ontsnapt.

In die zeldzame gevallen waarin onderzoekers en bedrijven hebben gezocht om de mogelijkheid van een model om naaktheid en/of pornografie te produceren te onderdrukken, door daadwerkelijk de interne toegang tot ‘NSFW’-materiaal in de dataset af te snijden (omdat het nog steeds te duur is om het daadwerkelijk te cureren), is gebleken dat het model niet langer de menselijke anatomie goed kon begrijpen.

De nieuwe benadering die hier wordt voorgesteld, is, in zekere zin, gelijk aan het verwijderen van één specifieke pornoster in een geval waarin een NSFW-filter voor een model werd gebouwd dat was getraind op ongedifferentieerd gescrapte webinhoud. Voor de nieuwe methode moet het creëren van een ‘generieke dubbel’ voor een beschermde karakter noodzakelijkerwijs de superheld-domein intact laten in de latent space van het model; en hoe belangrijker het gerichte beschermde karakter is, hoe meer het definieert zijn domein in de getrainde ruimte.

Dus, terwijl deze benadering enige beperkte succes kan hebben als deze wordt toegevoegd aan de steeds groter wordende API-brandmuren van frontier-modellen, suggereert de onderling verbonden aard van een GenAI-model historisch gezien dat het beschermde materiaal dat deze methode als doelwit heeft, mogelijk nog steeds toegankelijk blijft via de gebruikelijke ingenieuze prompts.

Publicatie op vrijdag 14 augustus 2026