Att ge “hemliga identiteter” till upphovsrättsskyddade animerade tecken

Ny forskning från Kina erbjuder ett icke-invasivt sätt att skydda upphovsrättsskyddade animerade tecken genom att “injicera” generiska substitut under inferenstiden. Men kan denna metod besegra listigheten hos prompt-hackers?

Med tanke på omfattningen av upphovsrättsskyddat material som finns i hyperskala dataset (på grund av den ren kostnaden för att ta bort sådana brott), tenderar modeller som tränats på dem att kunna reproduceras upphovsrättsskyddade tecken.

Direkt redigering av den tränade modellen, eller användning av filter för att interceptera nyckelord när modellen åtkomst via API, kan ofta besegras genom att beskriva det upphovsrättsskyddade elementet elliptiskt:

Ett upphovsrättsskyddat tecken som producerats av en populär AI-chattbot, tydligen utan direkt anrop av teckennamn. Källa

I en stark och beständig forskningssträng, har modell-modifiering-tekniker försökt att ändra parametrar i en tränad modell, med varierande resultat:

Från 2023 års paper ‘Ablating Concepts in Text-to-Image Diffusion Models’, fotorealistiska representationer av skådespelerskan Brie Larson som ‘Captain Marvel’ – bakat in i en populär diffusionsmodell – omvandlas till löst relaterade teckningar när användaren begär det. Källa

Men ablation är vanligtvis en skadlig och oexakt process, och en som kan frekvent påverka andra egenskaper hos den tränade modellen; för att inte tala om att det finns flera sätt runt det.

Den andra populära metoden är ‘negativ prompting’, där en extra ‘anti-prompt’ skickas till modellen, designad för att begränsa utdata. När modeller åtkomst via API (som alla frontier-modeller är, till exempel), kan en ‘hemlig’ negativ prompt skickas tillsammans med den kända användarprompten, bestående av en rubrik designad för att förhindra att modellen tillhandahåller förbjudet material till användaren. Denna metod, även om populär som ett upphovsrättskyddsväktor, fungerar inte alltid heller.

De flesta arbeten kring post-facto-inferenscensur är upptagen med den bredare frågan om att se till att modeller inte producerar CSAM, eller någon form av NSFW-material, trots de stora mängder sådant material sannolikt har funnits i träningsdata för en stor modell. Sådana initiativ kan påverka hela klasser av innehåll, snarare än specifika instanser, och saknar vanligtvis den nödvändiga nyansen för att hantera upphovsrättsinnehavares bekymmer om att undertrycka specifika identiteter.

Kroppsdubblare

Med detta i åtanke, föreslår en ny artikel från Kina att upphovsrättsskyddade animerade tecken ersätts med inlärda generiska substitut – ‘dubblare’ som behåller tillräckligt av tecknets form och struktur för att bevara den omgivande scenen, samtidigt som de tar bort alla distinkta detaljer som är associerade med det skyddade tecknet:

'Anonymiserade' representationer av upphovsrättsskyddat material som annars finns och är tillgängligt i en tränad modell, uppnådd genom den nya inbäddningsmetoden. Källa

Det är avgörande att denna ingrepp sker under generation utan att modifiera eller finjustera den underliggande diffusionsmodellen, och kan justeras för att bestämma hur omfattande det ursprungliga tecknet utplånas.

Tillvägagångssättet erkänner underförstått att modellmodifiering är en dålig metod för detta syfte, och istället injicerar skapade inbäddningar i inferensprocessen – inbäddningar designade för att ‘omstrukturera’ snarare än ablera (nollställa, ta bort) det upphovsrättsskyddade tillgången. Processen påverkar inte direkt eller modifierar den underliggande modellen alls, och kan därför återanvändas eller anpassas över en mängd olika modeller.

Även om metoden testades av författarna på den äldre Stable Diffusion-serien av modeller, testades den också effektivt på den betydligt senare Z-Image-arkitekturen, vilket tyder på att författarnas koncept är tillämpligt över en mängd generativa arkitekturer.

Artikeln hävdar:

‘[Vi] föreslår en kontrollerbar metod som fungerar på modellens kontinuerliga textrepresentation för att utplåna måltecken under generation. Vi [optimerar] en ankare-inbäddning via strukturerade och detaljerade begränsningar för att fungera som en teckensurrogat, sedan [ersätter] målrelaterade inbäddningar med ankaret via en strukturmedveten adaptiv strategi.

‘Experiment visar att vår metod uppnår state-of-the-art-utplåningseffektivitet och bevarar bildtrohet, samtidigt som den stöder kontrollerbar utplåning, flera målborttagningar och modellöverförbarhet.

‘Dessutom är våra optimerade ankare plug-and-play med nuvarande modellmodifieringsbaslinjer för att förbättra deras utplåningsprestanda.’

Den nya metoden sträcker sig över olika arkitekturer och erbjuder granulär kontroll, enligt författarna.

Den nya artikeln är titlad Utplåna men bevara: Kontrollerbar borttagning av upphovsrättsskyddade animerade tecken via optimerade semantiska ankare, och kommer från sju författare över Institute of Information Engineering vid Chinese Academy of Sciences, och University of Chinese Academy of Sciences i Peking.

Metod

Den centrala idén bakom den nya metoden, som visas nedan, är att skapa en substitut för varje upphovsrättsskyddat tecken som bevarar dess breda form och struktur, samtidigt som den avlägsnar de distinkta visuella detaljerna som gör tecknet igenkännligt – och sedan använda denna substitut under bildgeneration när det skyddade tecknet begärs.

Schema för det nya tillvägagångssättet.

Substituten, som författarna kallar en ankare, är designad för att bevara tillräckligt av det ursprungliga tecknets form och struktur för att passa naturligt in i samma scen, samtidigt som den avlägsnar detaljerna som gör tecknet distinkt.

För att åstadkomma detta, jämför systemet grov strukturerad information som genereras för det ursprungliga tecknet med den som genereras för den utvecklande ankaret, och trycker de två mot en liknande övergripande form. En referensbild av det upphovsrättsskyddade tecknet används sedan för det motsatta syftet, för att trycka ankaret bort från dess igenkännliga finare detaljer:

Metod för att konstruera en icke-intrångsersättning för ett upphovsrättsskyddat tecken. Tecknets breda struktur bevaras samtidigt som dess distinkta visuella detaljer undertrycks, vilket resulterar i en optimerad ‘ankare’ för användning under generation.

Den resulterande ankaret befinner sig därför i en medvetet konstruerad mittfält mellan att bevara den begärda kompositionen och att avlägsna det skyddade identiteten.

Ankare bort

När dessa egenskaper har etablerats, behöver ankaret översättas till något som diffusionsmodellen kan förstå. Plats-hållartermen Ankare* [sic] ges därför sin egen inlärbara representation inom CLIP-textkodaren, vilket effektivt skapar ett nytt konstgjort ord/entitet, vars betydelse kan formas utan att ändra den underliggande bildgenereringsmodellen.

Denna nya representation justeras upprepade gånger enligt de strukturerade och detaljerade målen som beskrivs ovan, och lär Ankare* att betyda något som är bredt format som det skyddade tecknet, men berövat dess identifierande utseende.

Resten av textkodaren förblir frusen under denna process, medan de vanliga start-, slut- och utfyllnadstoken som omger Ankare* tillhandahåller den kontext som behövs för att omvandla denna nyinlärda pseudo-ord till de slutliga inbäddningar som används under generation.

Adaptiv ersättning

Under generation (inferens) söker algoritmen efter termer i den kodade prompten som är associerade med det skyddade tecknet, och ersätter de inlärda ankare-inbäddningarna på deras plats, samtidigt som den justerar slut- och utfyllnadsembeddingarna som bär kontextinformation.

För att förbereda detta, tillåter systemet brusreducering att etablera den breda kompositionen av den begärda bilden, och övervakar förändringar i dess grova struktur för att bestämma när den layouten har börjat stabiliseras:

En representation av när ankare-ersättning sker under bildgeneration. Förändringar i grov bildstruktur spåras under brusreducering, med ersättning utlöst runt den punkt där den övergripande layouten stabiliseras, och finare detaljer börjar framträda.

I bilden ovan ser vi denna övergång ske runt tidssteg 720, där den uppmätta strukturella förändringen når sin topp, och sedan börjar sjunka. Vid denna punkt har den breda arrangementen av bilden i stor utsträckning bildats, vilket tillåter ankaret att ersätta det skyddade tecknet, samtidigt som risken för att störa den etablerade kompositionen minskas.

Data och tester

Författarna jämförde sitt tillvägagångssätt med fem promptbaserade baslinjer: Säker latent diffusion (SLD); STG; SAFREE; TraSCE; och Negativ prompting (NP).

De optimerade ankare-inbäddningarna integrerades också i fyra befintliga modellmodifieringsmetoder: MACE; UCE; ESD-u; och AC. Detta gjordes för att testa om dessa kunde förbättra den föreslagna modellen i fråga om teckenborttagning.

För utvärdering samlades en dataset på 80 animerade tecken, bestående av 36 antropomorfa tecken; 23 djurformade tecken; och 21 från diverse kategorier – med alla valda tecken valda för att de kunde tillförlitligt reproduceras av diffusionsmodeller.

Hundra bilder genererades sedan för varje tecken, med hjälp av prompter producerade av GPT-4o.

Stable Diffusion v1.4 användes för de huvudsakliga experimenten, med överförbarhet testad ytterligare på ytterligare Stable Diffusion-versioner v1.5; V2; v2.1; XL base 1.0; och också den betydligt senare DiT-baserade Z-Image. Inga modellfinjusteringar utfördes, vilket lämnade parametrarna för varje förtränad modell oförändrade.

För mått, LLaVA-1.5 och BLIP-3 mätte om det måltecknet fortfarande var igenkännligt, med lägre identifieringsnoggrannhet som indikerade mer komplett borttagning; Strukturell likhetsindex (SSIM) mätte strukturell bevarande; Lärd perceptuell likhetsmätning (LPIPS) mätte perceptuell skillnad; och Estetisk predictor V2-poäng bedömde den visuella kvaliteten på den ändrade bilden.

Fréchet Inception Distance (FID) och CLIP-poäng beräknades också från orelaterade prompter i COCO-30K, för att mäta om normal bildgeneration hade påverkats:

Testresultat som jämför teckenborttagning över 80 animerade tecken. De två första kolumnerna mäter hur ofta det så kallat utplånade tecknet fortfarande kunde identifieras, så lägre poäng indikerar bättre borttagning. De återstående kolumnerna mäter hur väl den ursprungliga bilden och orelaterad generation bevarades. Pilar visar om högre eller lägre poäng är att föredra; fetstil indikerar det bästa resultatet och understrykning det näst bästa.

Av dessa initiala resultat för kvantitativ jämförelse, hävdar författarna:

‘Jämfört med alla baslinjer uppnår bilder som utplånats med vår metod de lägsta noggrannheterna för framgångsrik målidentifiering med både LLaVA-1.5 (6.0%) och BLIP-3 (4.0%), med minskningar på 3.5% respektive 1.7% jämfört med den näst lägsta, respectively.

‘Detta visar vår metods utplåningseffektivitet, eftersom den effektivt [lurar] multimodala stora modeller.’

För bildtrohet producerade författarnas metod den högsta SSIM-poängen, på 0.467, och den lägsta LPIPS-poängen på 0.505 – vilket indikerar den starkaste bevarandet av orelaterat innehåll och bakgrundsstruktur bland de testade metoderna. Den uppnådde också den högsta Estetisk predictor V2-poängen bland teckenborttagningarna, på 5.18, vilket tyder på att denna bevarande inte sker på bekostnad av den övergripande visuella kvaliteten.

En kvalitativ test följde:

Testresultat som jämför teckenborttagning över fem animerade tecken. Varje rad visar resultat från en annan metod, med de ursprungliga Stable Diffusion v1.4-generationerna överst och den föreslagna metoden underst. Den föreslagna metoden ersätter mer konsekvent måltecknen samtidigt som den bevarar den omgivande scenen. Vänligen se den ursprungliga käll-PDF eller projektwebbplatsen för något bättre upplösning.

Enligt artikeln visar exemplen särskilt tydliga skillnader för tecken med mer komplexa former och attribut, med Donald Duck och Super Mario som exempel:

‘[Vår] metod uppnår smidig utplåning av animerade tecken genom optimerade ankare, medan promptbaserade baslinjer ofta misslyckas—särskilt för tecken med komplexa former och attribut (t.ex. Donald Duck och Super Mario).

‘Dessutom uppnår vår metod bakgrundsconsistens utan suddnings- eller krökningseffekter, vilket stöder iterativa kreativa arbetsflöden.’

Granulär kontroll

Ett kontinuerligt inbäddningsspace tillåter också att styrkan hos teckenborttagning justeras, snarare än att behandla utplåning som en allt-eller-ingenting-proposition. Genom att interpolera mellan den optimerade ankaret och det ursprungliga målinbäddningen, kan metoden progressivt återställa mer av tecknet, samtidigt som den behåller den omgivande bildstrukturen:

Testbilder som visar olika grader av teckenborttagning. De tre första kolumnerna visar det ursprungliga tecknet, den utplånade versionen och de visuella funktionerna som togs bort; de återstående kolumnerna visar mellanliggande inställningar vid α=0.25, 0.5 och 0.75. Högre α-värden bevarar progressivt mer av det ursprungliga tecknet. Vänligen se den ursprungliga käll-PDF eller projektwebbplatsen för något bättre upplösning.

Som visas ovan, testade författarna också denna kontroll på tecknen Winnie the Pooh; Olaf; Minnie Mouse; och Stitch. Strukturell likhet förblev relativt stabil medan restaureringsstyrkan ändrades, medan igenkänning av LLaVA-1.5 och BLIP-3 ökade när mer av varje tecken återställdes.

Winnie the Pooh och Stitch blev igenkännliga över relativt smala områden; Olaf och Minnie Mouse ändrades mer gradvis; och Minnie Mouse blev igenkännlig med relativt lite restaurering, vilket visar att den lämpliga utplåningsstyrkan beror på det tecken som målas.

Ytterligare experiment för att ersätta flera mål i ett svep genomfördes framgångsrikt, och vi hänvisar läsaren till den ursprungliga artikeln för mer information om detta, samt för ytterligare supplementära resultat och material.

Slutsats

Som alltid är denna senaste vridning på upphovsrättsliga säkerhetsåtgärder ekvivalent med att säkra den stabila dörren efter att hästen har sprungit ut.

I de sällsynta fall där forskare och företag har sökt att undertrycka en modells förmåga att producera nakenhet och/eller pornografi, genom att faktiskt skära av intern åtkomst till ‘NSFW’-material i datasetet (eftersom det fortfarande är för dyrt att kurera ut det), har det visat sig att modellen inte längre kunde förstå mänsklig anatomi ordentligt.

Den nya metoden som föreslås här är, kan man hävda, ekvivalent med att excidera/genericera en specifik porrstjärna, i ett fall där en NSFW-filter byggdes för en modell tränad på ostrukturerat skrapat webbinnehåll. För den nya metoden, att skapa en ‘generisk dubbel’ för ett upphovsrättsskyddat tecken måste nödvändigtvis lämna superhjälte-domänen intakt i modellens latenta utrymme; och ju viktigare det målade upphovsrättsskyddade tecknet är, desto mer definierar det sin domän i det tränade utrymmet.

Därför är att ta bort dem som att försöka ta bort socker från kaffe, när det väl har rörts om.

Så medan denna metod kan uppnå en viss framgång om den läggs till frontier-modellers allt växande API-brandväggar, tyder den sammanflätade naturen av en GenAI-modell, historiskt sett, på att det upphovsrättsskyddade materialet som denna metod riktar sig mot kan förbli tillgängligt genom den sedvanliga listigheten hos promptare.

Publicerad första gången fredag, 14 augusti 2026