The Linear Geometry of Interpretable Tokens: Jailbreaking Attacks and Defenses for Unlearned Diffusion Models
Diese Arbeit zeigt auf, dass gelöschte Konzepte in unlearned Diffusion-Modellen als kohärente lineare Unterräume innerhalb der Token-Embeddings bestehen bleiben, was zur Entwicklung von SubAttack führt, einer leistungsstarken Jailbreaking-Methode, die diese Struktur ausnutzt, sowie von SubDefense, einem leichtgewichtigen Mechanismus, der den Unterraum herausprojiziert, um verbleibende schädliche Konzepte robust zu unterdrücken und gleichzeitig die Generationsqualität zu bewahren.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich eine Welt vor, in der Computer Bilder malen können, indem sie einfach nur auf Ihre Worte hören. Sie sagen: „eine Katze mit einem Hut“, und puf, erscheint ein perfektes Bild. Diese werden Diffusionsmodelle genannt, und sie sind wie digitale Künstler, die gelernt haben zu erschaffen, indem sie Millionen von Fotos studiert haben. Aber manchmal werden diese Künstler ein wenig zu gut darin, Dinge zu sich zu merken, die sie nicht sollten. Wenn Sie sie bitten, etwas Gefährliches oder Urheberrechtlich Geschütztes zu zeichnen, tun sie es vielleicht trotzdem. Um dies zu beheben, haben Wissenschaftler einen Prozess namens „Unlearning“ (Verlernen) erfunden. Denken Sie an einen Lehrer, der versucht, einem Schüler einen bestimmten Fakt vergessen zu lassen, wie etwa die Hauptstadt eines Landes, ohne dass dieser dabei vergisst, wie man rechnet oder liest. Das Ziel ist es, die „schlechte Idee“ aus dem Gehirn des Computers zu „löschen“, während er gleichzeitig seine Fähigkeit behält, alles andere zu zeichnen. Aber hier liegt der knifflige Teil: Selbst wenn der Lehrer sagt: „Vergiss diesen Fakt“, hat der Schüler vielleicht immer noch eine geheime Art, sich daran zu erinnern, die auf eine Weise verborgen ist, die wir nicht leicht sehen können. Dieses Paper taucht in dieses Geheimnis ein und fragt: Wenn wir glauben, eine schlechte Idee gelöscht zu haben, wo versteckt sie sich eigentlich, und wie können wir sie endlich endgültig loswerden?
Die Forscher in diesem Paper entdeckten, dass ein Diffusionsmodell, wenn es versucht, ein schädliches Konzept zu „verlernen“ (wie Nacktheit oder den Stil eines bestimmten Künstlers), dieses nicht tatsächlich löscht. Stattdessen versteckt sich das Konzept in einem geheimen, linearen Unterraum innerhalb des Speichers des Computers. Um eine Metapher zu verwenden: Stellen Sie sich vor, das Gehirn des Computers ist eine riesige Bibliothek voller Wörter. Wenn wir versuchen, das Buch über „Nacktheit“ zu entfernen, verbrennt der Computer das Buch nicht. Stattdessen schreddert er die Seiten und versteckt die Schnipsel in einer speziellen, unsichtbaren Schublade in der Bibliothek. Das Paper zeigt, dass diese Schnipsel immer noch in einer ordentlichen, vorhersehbaren Linie organisiert sind. Die Autoren nennen diese versteckte Schublade einen „Residual-Unterraum“ (residual subspace).
Um dies zu beweisen, entwickelte das Team ein neues Werkzeug namens SubAttack. Anstatt zu versuchen, den Computer mit zufälligen Wörtern zu täuschen (was so ist, wie bisherige Hacker versuchten), agiert SubAttack wie ein meisterhafter Bibliothekar, der genau weiß, wo sich diese unsichtbare Schublade befindet. Er lernt einen speziellen Satz von „magischen Schlüsseln“ (welche im Grunde Kombinationen aus normalen Wörtern sind), die die Schublade entriegeln. Als sie diese Schlüssel verwendeten, begann der „verlernte“ Computer sofort wieder, die schädlichen Bilder zu zeichnen, was bewies, dass das Konzept nie wirklich verschwunden war. Was faszinierend ist: Diese Schlüssel bestehen aus Wörtern, die wir verstehen können. Um beispielsweise den Computer dazu zu bringen, wieder eine „nackte“ Person zu zeichnen, könnten die Schlüssel eine Mischung aus Wörtern wie „Sklave“, „Hüfte“ und „Haut“ sein. Dies zeigt, dass der Computer die schlechte Idee immer noch mit diesen verwandten, verborgenen Hinweisen verknüpft.
Das Paper fand auch heraus, dass diese geheime Schublade nicht nur in einem Computer existiert, sondern in vielen verschiedenen „verlernten“ Modellen. Wenn man den Schlüssel für ein Modell findet, funktioniert er oft auch bei anderen. Dies deutet darauf hin, dass die Art und Weise, wie diese Computer „vergessen“, flächendeckend auf eine sehr ähnliche Weise fehlerhaft ist. Sie löschen das Gedächtnis nicht; sie verstecken es nur auf eine Weise, die einer geraden, vorhersehbaren Linie folgt.
Doch die Geschichte endet nicht mit dem Hack. Weil die Forscher genau verstanden haben, wie das Konzept sich versteckt, bauten sie einen Schutzschild namens SubDefense. Wenn SubAttack der Schlüssel ist, der die Schublade öffnet, dann ist SubDefense eine schwere Metallplatte, die diese Schublade fest verschweißt. Es funktioniert, indem es die gesamte Bibliothek der Wörter des Computers nimmt und sie mathematisch von dieser geheimen Schublade weg „projiziert“. Es ist, als würde man dem Bibliothekar sagen: „Egal welches Wort du benutzt, stelle sicher, dass es niemals in Richtung dieser spezifischen, verborgenen Schublade zeigt.“
Die Ergebnisse waren beeindruckend. Als sie SubDefense einsetzten, wurde der Computer viel schwerer zu täuschen. Selbst wenn Hacker versuchten, die alten Methoden oder die neuen SubAttack-Schlüssel zu verwenden, weigerte sich der Computer, die schädlichen Bilder zu zeichnen. Gleichzeitig verlor der Computer nicht seine Fähigkeit, sichere, schöne Bilder zu zeichnen. Tatsächlich waren die Bilder, die er nach der Verteidigung zeichnete, qualitativ genauso hochwertig wie zuvor. Das Paper legt nahe, dass wir das Konzept zwar noch nicht perfekt löschen können, aber zumindest den spezifischen Pfad blockieren können, den es nutzt, um heimlich zurückzuschleichen. Dies gibt uns einen neuen, klaren Weg zu verstehen, warum das „Verlernen“ so schwierig ist, und bietet eine praktische, Plug-and-Play-Lösung, um diese digitalen Künstler für alle sicherer zu machen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.