💻 computer science

TrajShield: Trajectory-Level Safety Mediation for Defending Text-to-Video Models Against Jailbreak Attacks

TrajShield ist ein trainingsfreies Verteidigungsframework zur Laufzeit, das Jailbreak-Angriffe und zeitlich emergente Risiken in Text-zu-Video-Modellen abschwächt, indem es Prompt-Trajektorien simuliert, um unsichere Inhalte kausal zu lokalisieren und minimal umzuschreiben, während die semantische Treue gewahrt bleibt.

Ursprüngliche Autoren: Quanchen Zou, Nizhang Li, Wenxin Zhang, Jiaye Lin, Yangchen Zeng, Xiangzheng Zhang, Zonghao Ying

Veröffentlicht 2026-05-05

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Quanchen Zou, Nizhang Li, Wenxin Zhang, Jiaye Lin, Yangchen Zeng, Xiangzheng Zhang, Zonghao Ying

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich einen magischen Geschichtenerzähler-Roboter vor, der Ihre geschriebenen Sätze in kurze Filme verwandeln kann. Dieser Roboter ist außerordentlich talentiert darin, Szenen nahtlos von einem Moment zum nächsten fließen zu lassen, wie in einem echten Film. Es gibt jedoch ein Problem: Manchmal, wenn Sie ihm einen Satz geben, der harmlos klingt, aber auf Schwierigkeiten hindeutet, lässt sich der Roboter von seinem Geschichtenerzählen hinreißen. Er könnte mit einem harmlosen Streit zwischen zwei Personen beginnen und in seinem Bestreben, die Geschichte dramatisch und kohärent zu gestalten, sie zu einer gewalttätigen Schlägerei eskalieren lassen, die Sie eigentlich nie angefordert haben.

Dies ist das Kernproblem, das TrajShield löst.

Das Problem: Die „Rutschige Ebene" des Geschichtenerzählens

Bestehende Sicherheitsvorkehrungen für diese Roboter funktionieren wie ein Türsteher an einem Club-Eingang. Sie prüfen Ihr Ticket (den Text-Prompt) auf böswortige Wörter wie „Bombe" oder „Messer". Wenn sie ein solches Wort sehen, lassen sie Sie nicht herein.

Dieser Ansatz hat jedoch eine Blindstelle. Er versteht Geschichtenerzählen über die Zeit nicht.

Der alte Weg: Wenn Sie sagen „Zwei Männer, die auf einem Parkplatz streiten", sieht der Türsteher keine Waffen und lässt Sie herein.
Der Fehler des Roboters: Der Roboter, der versucht, einen guten Film zu machen, denkt: „Okay, Streitereien führen normalerweise zu Schubsen, und Schubsen führt zu Schlägereien." Also generiert er ein Video einer brutalen Schlägerei.
Das Ergebnis: Sie haben einen Streit angefordert, aber Sie haben einen gewalttätigen Film erhalten. Der „schlechte" Teil war nicht in Ihren Worten; er lag in der Vorstellung des Roboters, wie sich die Geschichte hätte entwickeln sollen.

Die Lösung: TrajShield (Der „Drehbuchredakteur")

Die Autoren dieses Papers haben TrajShield entwickelt, ein neues Sicherheitssystem, das nicht nur das Ticket prüft; es fungiert wie ein Drehbuchredakteur, der die Geschichte bevor der Film gedreht wird, liest.

So funktioniert es, unter Verwendung eines einfachen dreistufigen Prozesses:

1. Aufschlüsselung der Geschichte (Entkopplung von Bewegung und Semantik)

Stellen Sie sich den Prompt des Roboters als einen verwickelten Wollknäuel vor. TrajShield entwirrt ihn in drei unterschiedliche Teile:

Die Umgebung (Statisch): Wer ist da? Wo sind sie? Wie sieht es aus? (z. B. „Zwei Männer, ein Parkplatz, Nachtzeit.")
Die Handlung (Dynamisch): Was passiert als Nächstes? (z. B. „Sie streiten, dann...")
Das Ziel (Absicht): Was versucht der Benutzer tatsächlich zu zeigen? (z. B. „Eine angespannte Szene.")

Indem es die Umgebung von der Handlung trennt, stellt das System sicher, dass es beim Korrigieren der Geschichte die Charaktere oder den Ort nicht versehentlich verändert. Es berührt nur die Handlung.

2. Simulation der Zukunft (Temporale Risikopropagation)

Bevor der Roboter tatsächlich das Video erstellt, führt TrajShield eine „mentale Simulation" durch. Es fragt: „Wenn ich mit diesem Streit beginne, was ist die wahrscheinlichste nächste Szene? Und die danach?"

Es erstellt eine „Risikokarte" der Zukunft der Geschichte. Es sucht nach dem genauen Moment, in dem die Geschichte beginnt, in Gefahr abzugleiten.

Beispiel: Es erkennt, dass „Streit" $\rightarrow$ „Schreien" $\rightarrow$ „Schubsen" ein gefährlicher Pfad ist.
Es identifiziert den Auslösepunkt: Den genauen Moment, in dem die Geschichte von „sicher" zu „unsicher" übergeht (z. B. der Moment, in dem das Schreien zum Schubsen wird).

3. Die minimale Umschreibung (Temporalkonsistente sichere Umschreibung)

Sobald es den Auslösepunkt gefunden hat, führt TrajShield eine „Operation" an der Geschichte durch. Es löscht nicht den ganzen Film. Stattdessen schreibt es nur den gefährlichen Teil der Handlung um, um sie zurück in die Sicherheit zu lenken, während alles andere genau gleich bleibt.

Originaler gefährlicher Pfad: Streit $\rightarrow$ Schreien $\rightarrow$ Kämpfen (Unsicher!)
TrajShield's Umschreibung: Streit $\rightarrow$ Schreien $\rightarrow$ Wütend davonstürmen (Sicher!)

Das Ergebnis ist ein Video, das sich immer noch wie die ursprüngliche Idee des Benutzers anfühlt (angespannt, dramatisch, zwei Männer auf einem Parkplatz), aber es stoppt, bevor es gewalttätig wird. Die „Geschichte" fließt natürlich, nur in eine sichere Richtung.

Warum das wichtig ist

Das Paper testete dieses System gegen 14 verschiedene Arten von Sicherheitsrisiken (wie Gewalt, illegale Handlungen oder verstörende Inhalte) und über 6 verschiedene Videogenerierungsmodelle hinweg.

Das Ergebnis: TrajShield stoppte etwa 52 % mehr unsichere Videos als frühere Methoden.
Die Qualität: Entscheidend ist, dass es die guten Videos nicht ruinierte. Wenn ein sicherer Prompt gegeben wurde, sah das resultierende Video immer noch genau so aus, wie der Benutzer es wollte. Es verwandelte eine friedliche Szene nicht in eine langweilige; es verhinderte lediglich den „Rutsch" in die Gefahr.

Das Fazit

Denken Sie an TrajShield als ein Sicherheitsnetz, das eine Geschichte bevor sie von einer Klippe fällt, auffängt. Anstatt nur Wörter zu verbieten, versteht es, dass Geschichten eine Richtung haben. Es beobachtet, wie sich die Geschichte im Kopf des Roboters entfaltet, erkennt den Moment, in dem sie kurz davor ist, aus dem Ruder zu laufen, und lenkt sie sanft zurück auf einen sicheren Pfad, ohne dabei die Kulisse oder die Charaktere zu verändern.

Technische Zusammenfassung: TrajShield

1. Problemstellung

Text-zu-Video-Modelle (T2V) haben bei der Erzeugung zeitlich kohärenter Videos aus natürlichen Sprachprompts erhebliche Fortschritte gemacht. Die bestehenden Sicherheitsmechanismen, die weitgehend aus dem Bereich Text-zu-Bild (T2I) übernommen wurden, sind jedoch für T2V unzureichend. Aktuelle Verteidigungsmaßnahmen operieren primär auf der lexikalischen Oberfläche des Eingabeprompts (z. B. Keyword-Schwarze Listen, oberflächliche Klassifikatoren oder generische LLM-Umschreibungen). Diese Methoden versagen angesichts eines fundamentalen Unterschieds zwischen statischen Bildern und dynamischen Videos: des zeitlich emergenten Risikos.

Bei der T2V-Generierung kann ein scheinbar harmloser Prompt (z. B. „zwei Männer, die auf einem Parkplatz streiten") zwar keine offenkundig schädlichen Keywords enthalten, dennoch jedoch durch die zeitliche Extrapolation des Modells hin zu narrativer Kohärenz zu unsicheren Inhalten führen (z. B. körperliche Gewalt). Das Risiko ist auf Prompt-Ebene unsichtbar und materialisiert sich erst, wenn der Generator die Szene im Zeitverlauf entfaltet. Darüber hinaus versagen bestehende Verteidigungen oft gegen ausgefeilte Jailbreak-Angriffe, die schädliche Absichten durch Umformulierung oder adversariales Prompting verschleiern. Die Kernherausforderung besteht darin, die zeitliche Trajektorie vorherzusagen, die ein T2V-Modell produzieren wird, die kausale Ursache entstehender Risiken zu identifizieren und mit minimaler semantischer Störung einzugreifen, bevor ein einziger Frame gerendert wird.

2. Methodik: TrajShield

Die Autoren schlagen TrajShield vor, ein training-freies Verteidigungsframework zur Laufzeit, das T2V-Sicherheit als Problem kausaler Intervention innerhalb eines zeitlich strukturierten semantischen Raums neu formuliert. Anstatt den Roh-Text basierend auf lexikalischen Mustern zu modifizieren, simuliert TrajShield die implizierte Trajektorie des Prompts, um Risiken zu neutralisieren, während sicherheitsirrelevante Semantik erhalten bleibt. Das Framework besteht aus drei sequenziellen Stufen:

A. Bewegungs-Semantik-Entkopplung (MSD)

Um eine kollaterale semantische Drift zu verhindern (bei der die Neutralisierung eines Risikos unbeabsichtigt die Identität oder den Stil der Szene verändert), zerlegt TrajShield den Eingabeprompt $P$ in drei bedingt unabhängige Komponenten:

Invarianter räumlicher Kontext ( $E$ ): Erfasst zeitlich stationäre Elemente, einschließlich Beschreibungen von Subjekten, Umgebungssettings und filmischen Stilmitteln. Dies dient als gefrorener Anker, um sicherzustellen, dass die Subjektidentität und der visuelle Ton unverändert bleiben.
Aktionstrajektorie ( $T$ ): Eine diskretisierte, zeitlich geordnete Sequenz von Szenenzuständen (z. B. Anfang, Mitte, Ende), die den durch den Prompt implizierten dynamischen Fortschritt erfasst. Das System führt eine implizite Dynamik-Extrapolation durch, um plausible zeitliche Bögen abzuleiten, selbst wenn der Benutzerprompt unvollständig spezifiziert ist.
Intentionsanker ( $I$ ): Eine prägnante Destillation des kreativen Kernziels des Benutzers, abstrahiert von potenziell schädlichen Details, die während der Umschreibung als semantischer Regularisierer dient.

B. Zeitliches Risikopropagationsgraph (TRPG)

Dieses Modul operiert vollständig im semantischen Raum, um die Trajektorie zu simulieren und die kausale Ursache des Risikos zu lokalisieren, ohne Videoframes zu rendern.

Trajektorien-Rollout: Die Aktionstrajektorie wird als kontextbedingte Markov-Kette modelliert, die auf Basis des aktuellen Zustands und des räumlichen Kontexts nachfolgende Zustände vorhersagt.
Hierarchische Risikobewertung: An jedem zeitlichen Anker wird das Risiko entlang dreier Dimensionen bewertet:
- Inhaltsrisiko: Enthält der momentane Zustand schädliche Inhalte (statisches Risiko)?
- Übergangsrisiko: Stellt der Wechsel zwischen Zuständen eine kausale Eskalation hin zu Schaden dar (dynamisches Risiko)?
- Prospektives Risiko: Würde das ungehinderte Fortsetzen der Trajektorie zu einem unsicheren Endzustand führen?
Kausale Zuschreibung: Das System identifiziert den frühesten Auslösepunkt ( $t_r$ ), an dem das kombinierte Risiko einen Sicherheitsschwellenwert überschreitet. Daraufhin wird eine Sichere Einschränkung ( $C$ ) abgeleitet, eine deklarative Direktive, die festlegt, was geändert werden muss (Neutralisierung des unsicheren Musters) und was erhalten bleiben muss (der harmlose Präfix und die Intention).

C. Zeitlich konsistente sichere Umschreibung (TCSR)

Die letzte Stufe synthetisiert einen sicheren Prompt $P^*$ durch:

Verankerung des invarianten Kontexts: Das Festsetzen des räumlichen Kontexts $E$ , um semantische Drift bei Subjekten oder Umgebung zu verhindern.
Eingeschränkte kontrafaktische Trajektorien-Substitution: Generierung einer alternativen Aktionstrajektorie $T^*$ , die die sichere Einschränkung $C$ erfüllt, den harmlosen Präfix (Zustände vor $t_r$ ) bewahrt, die Nähe von Aktion und Semantik wahrt (z. B. Ersetzung körperlicher Gewalt durch eine verbale Konfrontation) und am Intentionsanker $I$ festhält.
Prompt-Zusammenstellung: Zusammensetzung des eingefrorenen Kontexts mit der kontrafaktischen Trajektorie zu einem fließenden natürlichen Sprachprompt.

3. Hauptbeiträge

Die Arbeit skizziert drei primäre Beiträge:

Identifikation zeitlich emergenter Risiken: Die Autoren definieren eine bisher übersehene Bedrohungskategorie in T2V, bei der harmlose Prompts durch zeitliche Extrapolation unsichere Inhalte erzeugen und bestehende lexikalische Verteidigungen systematisch umgehen.
TrajShield-Framework: Ein einheitlicher, training-freier Verteidigungsmechanismus, der explizite unsichere Prompts, Jailbreak-Angriffe und zeitlich emergente Risiken durch Trajektoriensimulation, kausale Risikolokalisierung und minimal-invasive kontrafaktische Umschreibung behandelt.
Empirische Validierung: Umfassende Experimente zeigen, dass TrajShield über 14 Sicherheitskategorien und mehrere T2V-Backends hinweg State-of-the-Art-Verteidigungsleistung erzielt und dabei eine hohe semantische Fidelity bewahrt.

4. Experimentelle Ergebnisse

Die Autoren bewerteten TrajShield auf dem Benchmark T2VSafetyBench (14 Sicherheitskategorien) und dem Datensatz SafeWatch (unsichere Prompts aus der realen Welt) unter Verwendung von sechs T2V-Modellen (darunter Pixverse, Hailuo, Kling, Seedance, Veo und Sora).

Sicherheitsleistung: TrajShield reduzierte die Attack Success Rate (ASR) über alle Modelle und Kategorien hinweg im Durchschnitt um 52,44 %. Konkret sank die durchschnittliche ASR von 70,00 % (ursprüngliche Modelle) auf 15,64 % (verteidigte Modelle).
Vergleich mit Baselines: Die Methode übertraf bestehende Verteidigungen erheblich, darunter Keyword-Schwarze Listen, Semantische Analyse (Toxic-BERT) und LLM-Umschreibungen. Beispielsweise reduzierte TrajShield beim Sora-Modell die ASR auf 20,86 %, während LLM-Umschreibungen nur 51,57 % erreichten.
Robustheit: Die Verteidigung blieb gegen diverse Jailbreak-Angriffe (RAB, DACA, SceneSplit, SPARK) wirksam und reduzierte die ASR unabhängig von der Angriffsstrategie auf einen engen Bereich von 6 %–21 %.
Semantische Fidelity: Bei harmlosen Prompts (MSVD-Datensatz) behielt TrajShield hohe CLIP-Ähnlichkeitswerte (CS) und Werte für zeitliche Konsistenz (TC) bei, die mit der Baseline vergleichbar waren, was darauf hindeutet, dass die Verteidigung die Qualität sicherer Generierungen nicht verschlechtert.
Ablationsstudien: Das Entfernen eines der drei Kernmodule (MSD, TRPG oder TCSR) führte zu einer signifikanten Leistungsverschlechterung, was bestätigt, dass die Entkopplung von Bewegung und Semantik, die Identifikation kausaler Risikotrigger und die eingeschränkte Umschreibung für die Wirksamkeit des Systems unverzichtbar sind.

5. Bedeutung und Behauptungen

Die Arbeit behauptet, dass TrajShield einen Paradigmenwechsel in der T2V-Sicherheit darstellt, der von einer statischen, lexikalischen Filterung hin zu einer Sicherheitsvermittlung auf Trajektorienebene führt. Die Autoren argumentieren, dass eine effektive Verteidigung für generative Videomodelle mit der zeitlichen und kompositorischen Natur der Videoerzeugung übereinstimmen muss. Durch das Eingreifen im „latenten Video-Intentionsraum" vor der Generierung adressiert TrajShield die strukturelle Blindecke aktueller Verteidigungen: die Unfähigkeit, Risiken zu erkennen, die erst durch den kausalen Fortschritt der Zeit entstehen.

Die Autoren schließen, dass ihr Ansatz ein besseres Trade-off zwischen Sicherheit und Fidelity bietet als konkurrierende Baselines, und validieren die Notwendigkeit einer zeitbewussten Sicherheitsvermittlung für generative Modelle, bei denen Schädlichkeit durch latente Strukturen entsteht. Sie räumen Einschränkungen ein und stellen fest, dass die aktuelle grobe Diskretisierung der Trajektorie hochkomplexe Dynamiken mit langem Horizont möglicherweise nicht vollständig erfassen kann, und schlagen vor, die Kombination dieser prägenerativen Verteidigung mit einer postgenerativen Moderation als Richtung für zukünftige Arbeiten zu betrachten.