Nadawanie “tajnych tożsamości” postaciom z prawem autorskim

Nowe badania z Chin oferują nieinwazyjny sposób ochrony postaci z prawem autorskim, “wprowadzając” generyczne substytuty w czasie inferencji. Czy ta metoda może pokonać pomysłowość hakerów promptów?

Biorąc pod uwagę zakres materiałów objętych prawem autorskim obecnych w hiperskali zbiorów danych (ze względu na ogromny koszt usuwania takich naruszeń), modele trenowane na nich mają tendencję do reprodukowania postaci z prawem autorskim.

Bezpośrednia edycja wytrenowanego modelu lub użycie filtrów do przechwytywania słów kluczowych, gdy model jest dostępny za pośrednictwem API, może być często pokonane przez opis elementu eliptycznie:

Postać z prawem autorskim wygenerowana przez popularny czatbot AI, wydaje się bez bezpośredniego odwołania do nazwy postaci. Źródło

W silnej i wytrwałej gałęzi badań, techniki modyfikacji modelu próbowały zmienić parametry w wytrenowanym modelu, z różnymi wynikami:

Z artykułu z 2023 roku ‘Ablating Concepts in Text-to-Image Diffusion Models’, fotorealistyczne przedstawienia aktorki Brie Larson jako ‘Captain Marvel’ – wbudowane w popularny model dyfuzyjny – są przekształcane w luźno związane z nimi obrazy kreskówkowe, gdy są żądane przez użytkownika. Źródło

Jednak ablację często charakteryzuje proces uszkadzający i niedokładny, który może często wpływać na inne cechy wytrenowanego modelu; poza tym istnieją wiele sposobów, aby ją ominąć.

Inny popularny podejście to “negatywne promptowanie”, w którym dodatkowy “anty-prompt” jest wysyłany do modelu, zaprojektowany w celu ograniczenia wyjścia. Gdy modele są dostępne za pośrednictwem API (jak wszystkie modele frontier), “tajny” negatywny prompt może być wysłany wraz z znanym promptem użytkownika, składając się z rubryki zaprojektowanej w celu zapobiegania dostarczaniu przez model zabronionych materiałów użytkownikowi. To podejście, chociaż popularne jako wektor ochrony praw autorskich, nie zawsze działa.

Większość pracy wokół post-facto cenzury inferencji zajmuje się szerszym problemem zapewnienia, że modele nie generują treści CSAM lub jakiejkolwiek treści NSFW, pomimo dużych ilości takich materiałów prawdopodobnie obecnych w danych szkoleniowych dużego modelu. Takie inicjatywy mogą wpływać na całe klasy treści, a nie na konkretnych przypadków, i zwykle brakuje im niezbędnej subtelności, aby rozwiązać problemy posiadaczy praw autorskich, którzy chcą tłumić konkretnych tożsamości.

Sobowtóry

Mając to na uwadze, nowy artykuł z Chin proponuje zastąpienie postaci z prawem autorskim podczas generowania obrazów za pomocą nauczonych generycznych substytutów – “sobowtórów”, które zachowują kształt i strukturę postaci, a jednocześnie usuwają charakterystyczne szczegóły związane z chronioną postacią:

'Uanonimizowane' przedstawienia materiałów objętych prawem autorskim, osiągnięte za pomocą nowej metody osadzania. Źródło

Kluczowe jest to, że interwencja ta występuje podczas generacji bez modyfikowania lub dostrojenia podstawowego modelu dyfuzyjnego i może być dostosowana do określenia, w jakim stopniu oryginalna postać zostanie usunięta.

Podejście to implicite przyznaje, że modyfikacja modelu jest słabą metodą do tego celu i zamiast tego wprowadza wykonane osadzania do procesu inferencji – osadzania zaprojektowanych w celu “przebudowy” a nie ablację (wyzerowanie, usunięcie) chronionego aktywu. Proces ten nie wpływa bezpośrednio na podstawowy model i może być ponownie wykorzystany lub dostosowany do różnych modeli.

Chociaż metoda ta została przetestowana przez autorów na starszym modelu Stable Diffusion, została również skutecznie wypróbowana na znacznie nowszym modelu Z-Image, co sugeruje, że koncepcja autorów jest stosowalna w różnych architekturach generatywnych.

Artykuł stwierdza:

‘[My] proponujemy kontrolowaną metodę działającą na ciągłej tekstowej reprezentacji modelu, aby usunąć celowe postacie podczas generacji. [Optymalizujemy] kotwicę osadzania za pomocą strukturalnych i szczegółowych ograniczeń, aby służyć jako substytut postaci, a następnie [zastępujemy] powiązane z celem osadzania za pomocą strategii świadomej struktury.

‘Eksperymenty pokazują, że nasza metoda osiąga najwyższą skuteczność usuwania i zachowania wierności obrazu, przy jednoczesnym wspieraniu kontrolowanego stopnia usuwania, usuwania wielu celów i przenoszenia modelu.

‘Ponadto, nasze zoptymalizowane kotwice są gotowe do użycia z bieżącymi metodami modyfikacji modelu, aby poprawić ich wydajność usuwania.’

Nowa metoda przechodzi przez różne architektury i oferuje kontrolę granularną, według autorów.

Nowy artykuł nosi tytuł Usuń, ale zachowaj: Kontrolowane usuwanie postaci z prawem autorskim za pomocą zoptymalizowanych kotwic semantycznych i pochodzi od siedmiu autorów z Instytutu Inżynierii Informacyjnej Chińskiej Akademii Nauk i Uniwersytetu Chińskiej Akademii Nauk w Pekinie.

Metoda

Centralną ideą nowej metody, jak pokazano poniżej, jest stworzenie substytutu dla każdej postaci z prawem autorskim, który zachowuje ogólny kształt i strukturę, a jednocześnie usuwa charakterystyczne wizualne szczegóły, które sprawiają, że postać jest rozpoznawalna – a następnie użycie tego substytutu podczas generacji obrazu, gdy chroniona postać jest żądana.

Schemat nowego podejścia.

Substytut, który autorzy nazywają kotwicą, jest zaprojektowany w celu zachowania wystarczającej ilości kształtu i struktury oryginalnej postaci, aby naturalnie wpasować się w tę samą scenę, a jednocześnie usuwa szczegóły, które sprawiają, że postać jest rozpoznawalna.

Aby to osiągnąć, system porównuje grube informacje strukturalne wygenerowane dla oryginalnej postaci z tymi wygenerowanymi dla rozwijającej się kotwicy, popychając obie ku podobnej ogólnej formie. Odniesienie do obrazu postaci z prawem autorskim jest następnie używane do odwrotnej funkcji, popychając kotwicę z dala od jej rozpoznawalnych szczegółów:

Metoda konstruowania nie naruszającego praw autorskich substytutu postaci z prawem autorskim. Struktura postaci jest zachowana, a jej charakterystyczne wizualne szczegóły są tłumione, wytwarzając zoptymalizowaną ‘kotwicę’ do użycia podczas generacji.

Wynikowa kotwica zajmuje więc celowo zaprojektowaną pozycję pośrednią między zachowaniem żądanej kompozycji a usunięciem chronionej tożsamości.

Odsuń kotwicę

Gdy te właściwości zostały ustalone, kotwica musi zostać przetłumaczona na coś, co model dyfuzyjny może zrozumieć. Termin Kotwica* [sic] jest więc nadany własną uczalną reprezentacją wewnątrz kodera tekstu CLIP, efektywnie tworząc nowe sztuczne słowo/jednostkę, którego znaczenie może być kształtowane bez zmiany podstawowego modelu generującego obrazy.

Ta nowa reprezentacja jest wielokrotnie dostosowywana zgodnie z opisanymi powyżej celami strukturalnymi i szczegółowymi, ucząc Kotwicę*, aby oznaczała coś ogólnie kształtem podobnym do chronionej postaci, ale pozbawionym jej identyfikującego wyglądu.

Pozostała część kodera tekstu pozostaje zamrożona podczas tego procesu, a zwykłe tokeny startowe, końcowe i wypełniające otaczające Kotwicę* zapewniają kontekst niezbędny do przekształcenia tego nowo nauczonego pseudo-słowa w końcowe osadzania używane podczas generacji.

Adaptacyjna zamiana

Podczas generacji (inferencji) algorytm wyszukuje w zakodowanym prompcie terminy związane z chronioną postacią i zastępuje nauczone osadzania kotwicy, a także dostosowuje osadzania końcowe i wypełniające, które przenoszą informacje kontekstowe.

Aby to przygotować, system pozwala denoising ustalić ogólną kompozycję żądanego obrazu, monitorując zmiany w jego grubej strukturze, aby określić, kiedy ta układ zaczął się stabilizować:

Przedstawienie, kiedy następuje zamiana kotwicy podczas generacji obrazu. Zmiany w strukturze obrazu są śledzone w trakcie denoising, z wyzwalaczem zamiany wokół punktu, w którym ogólny układ się stabilizuje, a szczegóły zaczynają pojawiać się.

Na powyższym obrazie widzimy, że ta transformacja występuje mniej więcej w kroku 720, gdzie zmierzona zmiana strukturalna osiąga swój szczyt, a następnie zaczyna spadać. W tym momencie ogólny układ obrazu w dużej mierze ukształtował się, pozwalając kotwicy zastąpić chronioną postać, a jednocześnie redukując ryzyko zakłócenia ustanowionej kompozycji.

Dane i testy

Autorzy porównali swoje podejście z pięcioma podstawowymi promptami: Bezpieczna dyfuzyjna (SLD); STG; SAFREE; TraSCE; i Negatywne promptowanie (NP).

Zoptymalizowane osadzania kotwicy zostały również zintegrowane z czterema istniejącymi metodami modyfikacji modelu: MACE; UCE; ESD-u; i AC. To zostało zrobione, aby przetestować, czy mogą one poprawić proponowany model w odniesieniu do usuwania postaci.

Do oceny zbudowano zestaw danych 80 postaci animowanych, składający się z 36 antropomorficznych postaci; 23 postaci w formie zwierząt; i 21 z kategorii różnych – wszystkie wybrane postacie zostały wybrane, ponieważ mogą być wiernie odtwarzane przez modele dyfuzyjne.

Następnie wygenerowano 100 obrazów dla każdej postaci, używając promtów wyprodukowanych przez GPT-4o.

Stabilna dyfuzyjna wersja 1.4 została użyta do głównych eksperymentów, a przenoszalność dodatkowo przetestowano na dalszych wersjach Stabilnej dyfuzyjnej v1.5; V2; v2.1; XL base 1.0; oraz bardziej niedawne Z-Image. Nie przeprowadzono żadnego dostrojenia modelu, pozostawiając parametry każdego wstępnie wytrenowanego modelu niezmienione.

Do pomiarów LLaVA-1.5 i BLIP-3 mierzyły, czy celowa postać pozostaje rozpoznawalna, z niższą dokładnością identyfikacji wskazującą na bardziej kompletnie usunięcie; Wskaźnik podobieństwa strukturalnego (SSIM) mierzył zachowanie struktury; Nauczona miara podobieństwa percepcyjnego (LPIPS) mierzył różnicę percepcyjną; i Wynik przewidywania estetyki V2 oceniał jakość wizualną zmienionego obrazu.

Odległość Frécheta (FID) i Wynik CLIP zostały dodatkowo obliczone z niezwiązanych promtów w COCO-30K, aby zmierzyć, czy normalna generacja obrazu została wpłynięta:

Wyniki testów porównujące metody usuwania postaci w 80 postaciach animowanych. Dwie pierwsze kolumny mierzą, jak często usunięta postać nadal może być rozpoznana, więc niższe wyniki wskazują na lepsze usunięcie. Pozostałe kolumny mierzą, jak dobrze oryginalny obraz i niezwiązana generacja zostały zachowane. Strzałki wskazują, czy wyższe czy niższe wyniki są preferowane; pogrubienie wskazuje najlepszy wynik, a podkreślenie drugi najlepszy.

Z tych początkowych wyników porównawczych, autorzy stwierdzają:

‘W porównaniu z wszystkimi bazami, obrazy usunięte przy użyciu naszej metody osiągają najniższe dokładności identyfikacji celu przez LLaVA-1.5 (6.0%) i BLIP-3 (4.0%), z redukcją o 3.5% i 1.7% w porównaniu z drugim najniższym wynikiem, odpowiednio.

‘To demonstruje skuteczność naszej metody usuwania, ponieważ skutecznie [wprowadza w błąd] duże modele multimodalne.’

Dla wierności obrazu metoda autorów wyprodukowała najwyższy wynik SSIM, na poziomie 0,467, i najniższy wynik LPIPS, na poziomie 0,505 – wskazując na najmocniejsze zachowanie treści niezwiązanych i struktury tła wśród przetestowanych metod. Osiągnęła również najwyższy wynik przewidywania estetyki V2 wśród metod usuwania postaci, na poziomie 5,18, co sugeruje, że to zachowanie nie następuje kosztem ogólnej jakości wizualnej.

Przeprowadzono test jakościowy:

Wyniki testów porównujące usuwanie postaci w pięciu postaciach animowanych. Każdy wiersz pokazuje wyniki z różnych metod, z oryginalnymi generacjami Stabilnej dyfuzyjnej wersji 1.4 na górze i proponowaną metodą na dole. Proponowana metoda bardziej konsekwentnie zastępuje postacie docelowe, zachowując otaczającą scenę. Proszę odnieść się do oryginalnego źródła PDF lub strony projektu, aby uzyskać nieco lepszą rozdzielczość.

Zgodnie z artykułem, przykłady pokazują szczególnie wyraźne różnice dla postaci o bardziej złożonych kształtach i atrybutach, z Donaldem Duckiem i Super Mario cytowanymi jako przykłady:

‘[Nasza] metoda osiąga bezproblemowe usuwanie postaci animowanych za pomocą zoptymalizowanych kotwic, podczas gdy metody oparte na prompcie często zawodzą – szczególnie w przypadku postaci o złożonych kształtach i atrybutach (np. Donald Duck i Super Mario).

‘Ponadto, nasza metoda osiąga spójność tła bez artefaktów rozmycia lub zniekształcenia, wspierając iteracyjne procesy twórcze.’

Kontrola granularna

Przestrzeń osadzania ciągłego również pozwala na dostosowanie stopnia usuwania postaci, a nie traktowanie go jako wszystko-lub-nic. Przez interpolację między zoptymalizowaną kotwicą a oryginalnym osadzaniem celu, metoda może stopniowo przywracać więcej postaci, a jednocześnie zachowując strukturę otaczającego obrazu:

Obrazy testowe pokazujące różne stopnie usuwania postaci. Trzy pierwsze kolumny pokazują oryginalną postać, wersję usuniętą i usunięte cechy wizualne; pozostałe kolumny pokazują ustawienia pośrednie przy α=0,25, 0,5 i 0,75. Wyższe wartości α zachowują coraz więcej oryginalnej postaci. Proszę odnieść się do oryginalnego źródła PDF lub strony projektu, aby uzyskać nieco lepszą rozdzielczość.

Jak pokazano powyżej, autorzy dodatkowo przetestowali tę kontrolę na postaciach Winnie the Pooh; Olaf; Minnie Mouse; i Stitch. Podobieństwo strukturalne pozostało stosunkowo stabilne, gdy stopień przywracania się zmienił, a rozpoznawalność przez LLaVA-1.5 i BLIP-3 wzrosła, gdy więcej postaci zostało przywrócone.

Winnie the Pooh i Stitch stały się rozpoznawalne w stosunkowo wąskim zakresie; Olaf i Minnie Mouse zmieniły się bardziej stopniowo; i Minnie Mouse stała się rozpoznawalna z relatywnie niewielką ilością przywrócenia, co dowodzi, że odpowiedni stopień usuwania zależy od postaci, która jest celem.

Przeprowadzono dalsze eksperymenty w celu usunięcia wielu celów w jednym przejściu, które zostały przeprowadzone pomyślnie, i odsyłamy czytelnika do oryginalnego artykułu, aby uzyskać więcej informacji na ten temat, a także dodatkowe wyniki i materiały.

Podsumowanie

Jak zawsze, ta najnowsza odsłona barier ochronnych jest równoznaczna z zabezpieczeniem drzwi stajni po ucieczce konia.

W tych rzadkich przypadkach, w których badacze i firmy starały się stłumić zdolność modelu do generowania treści NSFW, poprzez odcięcie wewnętrznego dostępu do “treści NSFW” w zbiorze danych (ponieważ nadal jest to zbyt drogie, aby je wykurzyć), okazało się, że model nie mógł już właściwie zrozumieć anatomii ludzkiej.

Nowe podejście proponowane tutaj jest, można powiedzieć, równoznaczne z usunięciem/genericzacją konkretnej gwiazdy porno, w przypadku, w którym filtr NSFW jest budowany dla modelu wytrenowanego na niezróżnicowanych tonach zawartości internetowej. Dla nowej metody tworzenie “generycznego sobowtóra” dla postaci z prawem autorskim musi koniecznie pozostawić domek superbohatera w przestrzeni latentnej modelu; a im ważniejsza jest celowa postać z prawem autorskim, tym definiuje swoją domenę w przestrzeni wytrenowanego modelu.

Usunięcie jej jest więc jak usunięcie cukru z kawy, gdy już została wymieszana.

Więc chociaż podejście to może odnieść pewien ograniczony sukces, jeśli zostanie dodane do rosnących zapór API modeli frontier, natura połączona modelu GenAI sugeruje, historycznie, że materiał objęty prawem autorskim, na którym skupia się ta metoda, może pozostać dostępny za pomocą zwyczajnej pomysłowości prompterów.

Pierwotnie opublikowane w piątek, 14 sierpnia 2026