💻 computer science

Projected Gradient Unlearning for Text-to-Image Diffusion Models: Defending Against Concept Revival Attacks

Die Arbeit stellt eine auf Projektionsgradienten basierende Nachbearbeitungsmethode für Text-zu-Bild-Diffusionsmodelle vor, die durch die Projektion von Gradientenupdates in den orthogonalen Komplementraum der Merkmalsaktivierungen verhindert, dass gelöschte Konzepte durch nachfolgendes Fine-Tuning wiederhergestellt werden.

Ursprüngliche Autoren: Aljalila Aladawi, Mohammed Talha Alam, Fakhri Karray

Veröffentlicht 2026-04-24

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Aljalila Aladawi, Mohammed Talha Alam, Fakhri Karray

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das Problem: Der „Geist", der aus dem Flaschengeist zurückkehrt

Stell dir vor, du hast einen sehr talentierten Maler-KI (wie Stable Diffusion), der alles malen kann, was man ihm sagt. Aber dieser Maler hat ein Problem: Er hat illegale oder private Bilder gelernt (z. B. das Kunstwerk eines bestimmten Künstlers oder ein Foto einer Person), die er nicht mehr zeigen darf.

Normalerweise versucht man, diese KI zu „reparieren", indem man ihr beibringt, diese Bilder zu vergessen. Das nennt man „Unlearning" (Vergessen).

Das Problem: Es funktioniert oft nur kurzzeitig. Sobald man die KI später ein bisschen weiter trainiert (z. B. um sie für neue Aufgaben anzupassen), kommt das verbotene Bild plötzlich wieder zurück.

Die Analogie: Stell dir vor, du wischst eine Tafel sauber, auf der ein verbotenes Bild stand. Aber wenn du die Tafel nur leicht abstaubst (weiteres Training), erscheint das Bild wieder, als wäre es nie weg gewesen. Die KI „erinnert" sich daran, wie man es malt, auch wenn sie es offiziell nicht mehr darf.

Die Lösung: Der „Projektions-Schild" (PGU)

Die Autoren dieses Papers haben eine neue Methode entwickelt, die PGU (Projected Gradient Unlearning) heißt. Sie nennen es eine „Härtung" (Hardening) der KI.

Wie funktioniert das? (Die Analogie des Schachbretts)

Stell dir das Gehirn der KI als ein riesiges Schachbrett vor, auf dem die KI lernt, Bilder zu malen.

Der Angriff: Wenn man die KI weiter trainiert, schieben die neuen Lernaufgaben die Figuren auf dem Brett so, dass das verbotene Bild wieder entsteht.
Die neue Methode (PGU): Bevor die KI einen neuen Zug macht, schaut PGU auf das Brett und sagt: „Achtung! Wenn du in diese Richtung ziehst, kommt das verbotene Bild wieder zurück. Du darfst dich nur in die andere Richtung bewegen."
Der Trick: PGU baut eine Art unsichtbaren Schild (einen mathematischen Raum), der genau die Bewegungen blockiert, die das verbotene Bild wiederherstellen würden. Alles andere darf passieren.

Das Besondere dabei: PGU muss nicht die ganze KI neu erfinden. Es ist wie ein Nachrüst-Set, das man einfach über die bereits „bereinigte" KI legt. Es kostet nur wenige Minuten Rechenzeit (ca. 6 Minuten), im Gegensatz zu anderen Methoden, die Stunden dauern und riesige Computer brauchen.

Wichtige Entdeckungen der Forscher

Die Forscher haben zwei spannende Dinge herausgefunden, die wie eine Art „Rezept" für den besten Schutz funktionieren:

1. Was man zum Vergessen hilft (Der „Retain"-Trick)
Um den Schild zu bauen, braucht die KI Beispiele von Dingen, die sie behalten soll.

Falscher Weg: Man sagt der KI: „Behalte alle Sportbälle." (Semantisch ähnlich).
Richtiger Weg: Man sagt der KI: „Behalte Dinge, die rund, weiß und glatt sind." (Visuell ähnlich).
Warum? Wenn man den Schutz gegen einen Golfball aufbauen will, helfen andere Sportbälle (wie Tennisbälle) wenig, weil sie anders aussehen. Aber Dinge wie Perlen, Eier oder Marmeladen helfen sehr, weil sie die Form teilen. Die KI lernt dann, alle runden, weißen Formen zu behalten, aber den Golfball spezifisch zu vergessen.
Vergleich: Es ist wie beim Schutz vor einem Dieb. Wenn du weißt, dass der Dieb rote Autos mag, hilft es nicht, alle Autos rot zu streichen. Du musst die spezifischen Merkmale des roten Autos blockieren.

2. Zwei verschiedene Schutzarten für zwei verschiedene Probleme
Die Forscher haben zwei Methoden verglichen: ihre neue PGU und eine alte, sehr teure Methode namens Meta-Unlearning.

Für Kunststile (z. B. Van Gogh): PGU ist super. Stile sind wie ein Gewebe aus vielen Fäden im Gehirn der KI. PGU fängt alle diese Fäden ab.
Für konkrete Objekte (z. B. ein Golfball): Die alte Methode (Meta-Unlearning) ist manchmal besser, weil Objekte oft nur an einer ganz bestimmten Stelle im Gehirn gespeichert sind.
Der beste Rat: Wenn du nicht weißt, was du schützen willst, nutze PGU. Es ist schnell, billig und schützt die meisten Fälle sehr gut.

Zusammenfassung in einem Satz

Diese Forschung bietet einen schnellen und cleveren „Sicherheitsgurt" für KI-Künstler: Sie verhindert, dass verbotene Bilder, die man aus der KI entfernt hat, durch einfaches Weitertrainieren wieder zurückkehren – und zwar, indem sie die KI daran hindert, in die falschen Richtungen zu lernen, während sie alles andere normal weitermachen lässt.

1. Problemstellung

Text-to-Image-Diffusionsmodelle (z. B. Stable Diffusion) werden auf riesigen, aus dem Web gescrapten Datensätzen trainiert, was ethische und rechtliche Probleme (z. B. Urheberrecht, Privatsphäre) aufwirft. Der „Recht auf Vergessenwerden" (GDPR/CCPA) erfordert das selektive Entfernen unerwünschter Konzepte aus trainierten Modellen ohne kostspieliges Neutrainieren.

Das zentrale Problem, das in diesem Paper adressiert wird, ist die Verwundbarkeit gegenüber „Concept Revival" (Wiederbelebung von Konzepten):

Aktuelle Unlearning-Methoden (z. B. ESD, UCE, Receler) entfernen Konzepte erfolgreich.
Sobald das Modell jedoch für eine nachgelagerte Aufgabe (Fine-Tuning) auf neuen Daten angepasst wird – selbst wenn diese Daten nichts mit dem gelöschten Konzept zu tun haben –, kehrt das gelöschte Konzept zurück.
Dies gefährdet die rechtliche Compliance, da die Löschung durch nachfolgende Anpassungen unwirksam wird.
Bestehende Sicherheitsmechanismen evaluieren diese Robustheit gegenüber benignem Fine-Tuning kaum.

2. Methodik: Projected Gradient Unlearning (PGU) für Diffusion

Die Autoren adaptieren die Projected Gradient Unlearning (PGU)-Methode, ursprünglich aus dem Klassifikationsbereich, als post-hoc-Härtungsschritt für Diffusionsmodelle. Das Ziel ist nicht das eigentliche Unlearning, sondern die Sicherstellung, dass das bereits gelöschte Konzept durch zukünftiges Fine-Tuning nicht wiederhergestellt werden kann.

Kernidee:
Die Methode nutzt eine geometrische Projektion, um Gradientenupdates während des Fine-Tunings so zu steuern, dass sie keine Richtungen einschlagen, die das gelöschte Konzept wiederherstellen könnten.

Schlüsselkomponenten der Adaptation:

Core Gradient Space (CGS):
- Anstatt des gesamten Retain-Datensatzes werden wenige Retain-Prompts (Texteingaben) ausgewählt, die visuell dem gelöschten Konzept ähneln (z. B. andere Gemälde im Van-Gogh-Stil, wenn Van-Gogh gelöscht wurde).
- Die Aktivierungen des U-Net (die Schichten des Diffusionsmodells) für diese Prompts werden gesammelt.
- Durch eine Singulärwertzerlegung (SVD) der Kovarianzmatrix dieser Aktivierungen wird ein Unterraum (CGS) definiert, der die Gradientenrichtungen abdeckt, die für die Generierung des gelöschten Konzepts relevant sind.
Projektion der Gradienten:
- Während des Fine-Tunings werden die berechneten Gradienten auf den orthogonalen Komplementraum des CGS projiziert.
- Dies verhindert, dass Parameterupdates in Richtungen erfolgen, die die visuellen Merkmale des gelöschten Konzepts reaktivieren.
Anpassungen an Diffusionsmodelle:
- Verlustfunktion: Angepasst an den Denoising-Zweck (z. B. Nutzung von ESD-Leitlinien oder Standard-Denoising-Loss).
- SVD über Aktivierungen: Die SVD wird auf den U-Net-Aktivierungen (nicht nur Layer-Ausgaben) berechnet, um den Raum zu erfassen, in dem SGD-Updates operieren. Dies reduziert den Speicherbedarf von $O(nd)$ auf $O(d^2)$ .
- Hyperparameter $\gamma$ : Der Schwellenwert für die Varianz des CGS wurde neu kalibriert. Während Klassifikatoren oft $\gamma \in [0.9, 0.95]$ nutzen, sind für Diffusionsmodelle niedrigere Werte optimal ( $\gamma \in [0.5, 0.7]$ für Stile, $\gamma \in [0.7, 0.9]$ für Objekte), da Diffusionsmodelle durch Skip-Connections und Cross-Attention eine breitere Feature-Verteilung aufweisen.

Algorithmus-Ablauf:

Phase 1 (Einmalig): Konstruktion des CGS durch Forward-Passes mit Retain-Prompts und Berechnung der Projektionsmatrizen.
Phase 2 (Während Fine-Tuning): Berechnung des Loss, Backward-Pass, Projektion der Gradienten auf den orthogonalen Raum, Optimierungsstep.

3. Wichtige Beiträge

Erste Adaptation von PGU: Übertragung der PGU-Methode auf Text-to-Image-Diffusionsmodelle als post-hoc-Härtung.
Modulare Verteidigung: Die Methode ist effizient und kompatibel mit beliebigen Basis-Unlearning-Methoden (ESD, UCE, Receler).
Validierung unter verschiedenen Bedingungen: Testung in drei Szenarien:
- Verwundbar: Löschung erfolgreich, aber Revival ohne Schutz.
- Robust: Löschung bleibt ohne Schutz bestehen.
- Gescheitert: Initiale Löschung war unzureichend.
Erkenntnis zur Auswahl von Retain-Konzepten: Es wurde empirisch bewiesen, dass visuelle Ähnlichkeit (Form, Textur, Farbe) bei der Auswahl der Retain-Prompts entscheidend ist, nicht semantische Gruppierung.

4. Ergebnisse und Analyse

Leistung gegen Concept Revival:

Stilkonzepte (z. B. Van Gogh): PGU eliminiert das Revival vollständig. Bei ESD-U (Van Gogh) sank die maximale Klassifikator-Genauigkeit von 71,4 % auf 28,6 % (unter der Revival-Schwelle von 30 %).
Objektkonzepte (z. B. Golfball): PGU verzögert das Revival signifikant (z. B. von Checkpoint C1 auf C4 bei ESD-U), erreicht aber bei bestimmten Architekturen (ESD-X) eine „Bodengrenze" (Floor), da die Text-Visual-Mapping-Struktur anders angegriffen wird.
Robuste Modelle: PGU schadet bereits robusten Modellen nicht („Does no harm") und kann die Sicherheitsmargen sogar leicht erhöhen.
Gescheiterte Löschung: Wenn die initiale Löschung fehlschlägt (z. B. UCE Golfball mit 80 % Genauigkeit), hilft PGU nicht. Es ist eine Verteidigungsschicht, kein Unlearning-Algorithmus.

Vergleich mit Meta-Unlearning:
Die beiden Methoden sind komplementär:

PGU: Besser für verteilte Stilkonzepte (Multi-Layer-Feature-Korrelationen). Es blockiert Gradientenrichtungen geometrisch effektiv.
- Ressourcen: ~6 Minuten Laufzeit, ~12 GB VRAM.
Meta-Unlearning: Besser für kompakte Objektkonzepte (hohe Schichten). Es simuliert Angriffe während des Trainings, ist aber rechenintensiv.
- Ressourcen: ~2 Stunden Laufzeit, >40 GB VRAM.

Hyperparameter $\gamma$ und Retain-Auswahl:

$\gamma$ : Für Stile ist ein mittlerer Wert ( $\gamma=0.7$ ) optimal; für Objekte sind höhere Werte ( $\gamma=0.9$ ) besser.
Retain-Konzepte: Visuell ähnliche Konzepte (z. B. Perlen, Eier für einen Golfball) bieten einen 2-fachen Schutzvorteil gegenüber semantisch ähnlichen Konzepten (z. B. andere Sportbälle), da sie überlappende Feature-Räume im U-Net aktivieren.

5. Bedeutung und Fazit

Das Paper adressiert eine kritische Lücke in der Sicherheit von KI-Modellen: die Instabilität von Unlearning gegenüber nachgelagerten Anpassungen.

Praktische Relevanz: PGU bietet eine schnelle, ressourcenschonende Lösung, um die rechtliche Compliance von Modellen auch nach Fine-Tuning zu gewährleisten.
Strategische Einsicht: Die Wahl der Verteidigungsmethode sollte von der Art des zu löschenden Konzepts abhängen (Stil vs. Objekt).
Limitationen: Die Studie beschränkt sich auf SD v1.4 und zeigt bei bestimmten Objektkonzepten (ESD-X) eine fundamentale architektonische Grenze (C4-Floor).

Zusammenfassend stellt PGU einen effizienten, geometrisch fundierten Mechanismus dar, der die Lücke zwischen selektiver Löschung und nachfolgender Modelladaptation schließt, wobei die visuelle Feature-Ähnlichkeit als Schlüsselkriterium für die Wirksamkeit identifiziert wurde.