Å gi “hemmelige identiteter” til opphavsrettslige animasjonskarakterer

Ny forskning fra Kina tilbyr en ikke-invasiv måte å beskytte opphavsrettslige animasjonskarakterer, ved å “injicere” generiske erstattere under inferens. Men kan denne metoden beseire ingeniøriteten til prompt-hakkere?

Med tanke på omfanget av opphavsrettslig materiale som er til stede i hyperskala datasett (på grunn av den enorme kosten med å fjerne slike overtredelser), modeller som er trent på dem, har en tendens til å kunne reprodusere opphavsrettslige karakterer.

Direkte redigering av den trente modellen, eller bruk av filtre for å intercepte nøkkelord når modellen aksesseres via API, kan ofte bli forhindret ved å beskrive det opphavsrettslige elementet elliptisk:

En opphavsrettslig karakter produsert av en populær AI-chatbot, tilsynelatende uten direkte invokasjon av karakternavn. Kilde

I en sterk og varig forskningsretning, har modell-modifisering-teknikker forsøkt å endre parametere i en trent modell, med varierende resultater:

Fra 2023-papiret ‘Ablating Concepts in Text-to-Image Diffusion Models’, fotorealistiske representasjoner av skuespillerinnen Brie Larson som ‘Captain Marvel’ – innbakt i en populær diffusjonsmodell – blir omgjort til løst relaterte tegnefilmer når de blir bedt om av brukeren. Kilde

Imidlertid er ablasjon vanligvis en skadelig og upresis prosess, og en som kan ofte påvirke andre karakteristika ved den trente modellen; for å boot, er det multiple måter å gå rundt det.

Den andre populære tilnærmingen er ‘negativ prompting’, hvor en ekstra ‘anti-prompt’ blir sendt til modellen, designet for å begrense utdata. Når modeller aksesseres via API (som alle frontier-modeller er, for eksempel), kan en ‘hemmelig’ negativ prompt bli sendt sammen med den kjente bruker-prompten, bestående av en rubrik designet for å forhindre at modellen leverer forbudt materiale til brukeren. Denne tilnærmingen, selv om populær som et opphavsrettslig beskyttelsesvektor, fungerer ikke alltid heller.

Det meste av arbeidet rundt post-facto inferens-censur er opptatt av den bredere problemstillingen med å sikre at modeller ikke produserer CSAM, eller noe annen type NSFW-materiale, til tross for de høye mengdene av slike materialer sannsynligvis har vært til stede i treningdataene til en stor modell. Slike initiativer kan påvirke hele klasser av innhold, snarere enn spesifikke eksempler, og mangler vanligvis den nødvendige nuansen for å møte bekymringene til opphavsrettsinnehavere som søker å undertrykke spesifikke identiteter.

Kroppsdobbelganger

Med dette i mente, foreslår en ny papir fra Kina å erstatte opphavsrettslige animasjonskarakterer under bildegenerering med lærte generiske erstattere – ‘dobbeltgjengere’ som beholder nok av karakterens form og struktur til å bevare den omkringliggende scenen, mens de fjerner enhver distinkt detalj forbundet med den beskyttede karakteren:

'Anonymiserte' representasjoner av opphavsrettslig materiale som ellers er til stede og tilgjengelig i en trent modell, oppnådd ved den nye innleggsmetoden. Kilde

Kritisk er at denne inngripenen skjer under generering uten å modifisere eller finjustere den underliggende diffusjonsmodellen, og kan justeres for å bestemme hvor omfattende den opprinnelige karakteren fjernes.

Tilnærmingen erkjenner implisitt at modell-modifisering er en dårlig metode for dette formålet, og injiserer i stedet lærte innlegg i inferensprosessen – innlegg designet for å ‘omstrukturere’ snarere enn å ablatere (nullstille, fjerne) det opphavsrettslige aktivumet. Prosessen påvirker ikke direkte eller modifiserer den underliggende modellen i det hele tatt, og kan derfor gjenbrukes eller tilpasses over en rekke modeller.

Selv om metoden ble testet av forfatterne på den eldre Stable Diffusion-rekken av modeller, ble den også effektivt prøvd på den langt nyere Z-Image-arkitekturen, hvilket antyder at forfatternes konsept er anvendbart over en rekke generative arkitekturer.

Papiret slår fast:

‘[Vi] foreslår en kontrollerbar metode som opererer på modellens kontinuerlige tekstlige representasjon for å slette målkarakterer under generering. Vi [optimerer] en anchor-innlegg via strukturelle og detaljerte begrensninger for å fungere som en karakter-erstatter, deretter [erstatter] mål-relaterte innlegg med ankret via en struktur-bevisst adaptiv strategi.

‘Eksperimenter viser at vår metode oppnår stat-of-the-art-slettingseffektivitet og bilde-trofasthet, samtidig som den støtter kontrollerbar sletting, multi-mål-fjerning og modell-overførbarhet.

‘I tillegg er våre optimerte ankere plug-and-play med nåværende modell-modifisering-baselinjer for å forbedre deres sletting-prestasjon.’

Den nye metoden spenner over diverse arkitekturer og tilbyr granulert kontroll, ifølge forfatterne.

Den nye papiren har tittelen Slett, men behold: Kontrollerbar fjerning av opphavsrettslige animasjonskarakterer via optimerte semantiske ankere, og kommer fra syv forfattere over Institute of Information Engineering ved Chinese Academy of Sciences, og University of Chinese Academy of Sciences i Beijing.

Metode

Den sentrale ideen bak den nye metoden, som vist nedenfor, er å skape en erstatter for hver opphavsrettslig karakter som beholder den brede formen og strukturen, mens den fjerner de distinkte visuelle detaljene som gjør karakteren gjenkjennelig – og deretter å bruke denne erstatteren under bildegenerering når den beskyttede karakteren blir bedt om.

Skjema for den nye tilnærmingen.

Erstatteren, som forfatterne betegner som en anchor, er designet for å beholde nok av den opprinnelige karakterens form og struktur til å passe naturlig inn i samme scenen, mens den fjerner detaljene som gjør karakteren distinkt.

For å oppnå dette, sammenligner systemet grove strukturelle informasjoner generert for den opprinnelige karakteren med de genererte for den utviklingsskritt-ankeren, og driver de to mot en lignende overordnet form. En referansebilde av den opphavsrettslige karakteren blir deretter brukt for det motsatte formålet, og driver ankret bort fra dens gjenkjennelige finere detaljer:

Metode for å konstruere en ikke-krenkende erstatter for en opphavsrettslig karakter. Karakterens brede struktur beholdes, mens dens distinkte visuelle detaljer undertrykkes, og produserer en optimert ‘anchor’ for bruk under generering.

Den resulterende ankren befinner seg derfor i en bevisst konstruert midterposisjon mellom å bevare den bedte komposisjonen og å fjerne den beskyttede identiteten.

Anchor Away

Når disse egenskapene er etablert, må ankret oversettes til noe diffusjonsmodellen kan forstå. Stedfortreder-begrepet Anchor* [sic] får derfor sin egen lærbar representasjon innen CLIP-tekst-encoderen, og skaper effektivt en ny kunstig ord/enhet, hvis mening kan formasjoneres uten å endre den underliggende bilde-genereringsmodellen.

Denne nye representasjonen blir gjentatte ganger justert i henhold til de strukturelle og detalj-objektive som beskrevet ovenfor, og lærer Anchor* å bety noe som er bredt formet som den beskyttede karakteren, men fratatt dens identifiserende utseende.

Resten av tekst-encoderen forblir frosset under denne prosessen, mens de vanlige start-, slutt- og padding- tokenene som omgir Anchor* gir den konteksten som trengs for å omdanne denne ny-lærte pseudo-ordet til de endelige innleggene som brukes under generering.

Adaptiv Erstatter

Under generering (inferens), søker algoritmen gjennom den kodifiserte prompten etter termer assosiert med den beskyttede karakteren, og erstatter de lærte anchor-innleggene i deres sted, samt justerer slutt- og padding-innleggene som bærer kontekstuell informasjon.

For å forberede dette, tillater systemet først denoising å etablere den brede komposisjonen av det bedte bildet, og overvåker endringer i dens grove struktur for å bestemme når denne layouten har begynt å stabilisere:

En representasjon av når anchor-erstatter skjer under bildegenerering. Endringer i grove bilde-struktur blir sporet gjennom denoising, med erstatter utløst rundt punktet hvor den overordnede layouten stabiliseres, og finere detaljer begynner å dukke opp.

I bildet over ser vi denne overgangen skje rundt tidssteg 720, hvor den målte strukturelle endringen når sitt høydepunkt, og deretter begynner å falme. På dette punktet har den overordnede arrangementen av bildet i stor grad dannet seg, og tillater ankret å erstatte den beskyttede karakteren, samtidig som den reduserer risikoen for å forstyrre den etablerte komposisjonen.

Data og Tester

Forfatterne sammenlignet sin tilnærming med fem prompt-baserte baselinjer: Safe Latent Diffusion (SLD); STG; SAFREE; TraSCE; og Negative Prompting (NP).

De optimerte anchor-innleggene ble også integrert i fire eksisterende modell-modifisering-metoder: MACE; UCE; ESD-u; og AC. Dette ble gjort for å teste om disse kunne forbedre den foreslåtte modellen med hensyn til karakter-fjerning.

For evaluering, ble et datasett på 80 animasjonskarakterer samlet, bestående av 36 antropomorfe karakterer; 23 dyre-form-karakterer; og 21 fra diverse kategorier – med alle valgte karakterer valgt fordi de kunne bli pålitelig reprodusert av diffusjonsmodeller.

Hundre bilder ble deretter generert for hver karakter, ved hjelp av prompter produsert av GPT-4o.

Stable Diffusion v1.4 ble brukt for hoved-eksperimentene, med overførbarhet testet på ytterligere Stable Diffusion-versjoner v1.5; V2; v2.1; XL base 1.0; og også den langt nyere DiT-baserte Z-Image. Ingen modell finjustering ble utført, og parametrene til hver forhånds-trent modell forble uendret.

For målinger, LLaVA-1.5 og BLIP-3 målte om den målkarakteren fortsatt var gjenkjennelig, med lavere identifiseringsnøyaktighet som indikerte mer fullstendig fjerning; Structural Similarity Index (SSIM) målte strukturell bevarelse; Lærte Perseptuelle Likhet-målinger (LPIPS) målte perseptuell forskjell; og Estetisk Predictor V2 Score vurderte den visuelle kvaliteten til den endrede bildet.

Fréchet Inception Distance (FID) og CLIP Score ble også beregnet fra uavhengige prompter i COCO-30K, for å måle om normal bilde-generering hadde blitt påvirket:

Testresultater som sammenligner karakter-fjerningsmetoder over 80 animasjonskarakterer. De to første kolonnene måler hvor ofte den angivelig fjernede karakteren fortsatt kunne bli gjenkjent, så lavere poeng teller bedre fjerning. De gjenværende kolonnene måler hvor godt det opprinnelige bildet og uavhengig generering ble bevart. Piler viser om høyere eller lavere poeng er foretrukket; fet skrift indikerer beste resultat og understreking andre beste.

Av disse initielle resultater for kvantitativ sammenligning, slår forfatterne fast:

‘I sammenligning med alle baselinjer, bilder fjernet ved vår metode oppnår lavest nøyaktighet for vellykket målkarakter-gjenkjenning av både LLaVA-1.5 (6.0%) og BLIP-3 (4.0%), med reduksjoner på 3.5% og 1.7% sammenlignet med den nest laveste, henholdsvis.

‘Dette demonstrerer vår metodes fjernings-effektivitet, da den effektivt [bedrar] multi-modale store modeller.’

For bilde-trofasthet, produserte forfatternes metode den høyeste SSIM-poengsummen, på 0.467, og den laveste LPIPS-poengsummen på 0.505 – indikerende den sterkeste bevarelse av uavhengig innhold og bakgrunnsstruktur blant de testede metodene. Den oppnådde også den høyeste Estetisk Predictor V2 Score blant karakter-fjerningsmetodene, på 5.18, hvilket antyder at denne bevarelse ikke kommer på bekostning av den overordnede visuelle kvaliteten.

En kvalitativ test fulgte:

Testresultater som sammenligner karakter-fjerning over fem animasjonskarakterer. Hver rad viser resultater fra en annen metode, med de opprinnelige Stable Diffusion v1.4-genereringer øverst og den foreslåtte metoden nederst. Den foreslåtte metoden erstatter mer konsekvent målkarakterer samtidig som den bevare omkringliggende scenen. Vennligst se den opprinnelige kilde-PDF eller prosjekt-siden for en litt bedre oppløsning.

Ifølge papiret, viser eksemplene særlig tydelige forskjeller for karakterer med mer komplekse former og attributter, med Donald Duck og Super Mario som eksempler:

‘[Vår] metode oppnår sømløs fjerning av animasjonskarakterer via optimerte ankere, mens prompt-baserte baselinjer ofte feiler—spesielt for karakterer med komplekse former og attributter (f.eks. Donald Duck og Super Mario).

‘I tillegg oppnår vår metode bakgrunns-konsistens uten den blurring eller forvrengnings-artefakter, som støtter iterative kreative arbeidsflyter.’

Granulert Kontroll

Et kontinuerlig innlegg-rom tillater også at styrken til karakter-fjerning kan justeres, snarere enn å behandle fjerning som en enten-eller-proporsjon. Ved å interpolere mellom den optimerte ankret og den opprinnelige målkarakter-innlegget, kan metoden progressivt gjenopprette mer av karakteren, samtidig som den beholder den omkringliggende bildets struktur:

Testbilder som viser forskjellige grader av karakter-fjerning. De tre første kolonnene viser den opprinnelige karakteren, den fjernede versjonen og de visuelle funksjonene som ble fjernet; de gjenværende kolonnene viser mellomliggende innstillinger ved α=0.25, 0.5 og 0.75. Høyere α-verdier beholder progressivt mer av den opprinnelige karakteren. Vennligst se den opprinnelige kilde-PDF eller prosjekt-siden for en litt bedre oppløsning.

Som vist ovenfor, testet forfatterne også denne kontrollen på karakterene Winnie the Pooh; Olaf; Minnie Mouse; og Stitch. Strukturell likhet forble relativt stabil mens styrken til gjenoppretting endret seg, mens gjenkjenning av LLaVA-1.5 og BLIP-3 økte mens mer av hver karakter ble gjenopprettet.

Winnie the Pooh og Stitch ble gjenkjennelige over relativt smale områder; Olaf og Minnie Mouse endret seg mer gradvis; og Minnie Mouse ble gjenkjennelig med relativt liten gjenoppretting, hvilket demonstrerer at den passende fjernings-styrken avhenger av karakteren som mål.

Ytterligere eksperimenter for å erstatte multiple mål i ett steg ble utført, og vi henviser leseren til kilde-papiret for mer informasjon om dette, samt tilleggs-supplerende resultater og materiale.

Konklusjon

Som alltid, er denne siste vendingen på opphavsrettslige guardrails likeverdig med å sikre stall-døren etter at hesten har boltet.

I de sjeldne tilfeller hvor forskere og selskaper har søkt å undertrykke en modells evne til å produsere nakenhet og/eller pornografi, ved å faktisk kutte av intern tilgang til ‘NSFW’-materiale i datasettet (fordi det fortsatt er for dyrt å kuratere det ut), har det vist seg at modellen ikke lenger kan forstå menneskekropps-anatomi ordentlig.

Den nye tilnærmingen foreslått her, er, kan man si, ekvivalent med å fjernet/generisere en bestemt pornostjerne, i et tilfelle hvor en NSFW-filtre ble bygget for en modell trent på uhensiktlig skrapet tonnevis av web-innhold. For den nye metoden, å lage en ‘generisk dobbelt’ for en opphavsrettslig karakter, må nødvendigvis la superhelten-domenet intakt i modellens latente rom; og jo mer viktig den målkarakteren er, jo mer definerer den sitt domene i det trente rommet.

Derfor er fjerning av den like å prøve å fjerne sukker fra kaffe, en gang det har blitt rørt inn.

Så mens denne tilnærmingen kan nyte en begrenset suksess hvis den legges til frontier-modellers voksende API-brannmurer, antyder den sammenkoblede naturen til en GenAI-modell, historisk sett, at det opphavsrettslige materialet denne metoden målretter kan fortsatt være tilgjengelig gjennom den vanlige ingeniøriteten til promptere.

Først publisert fredag, 14. august 2026