Erased but Exploitable: Black-box Embedding-Aware Prompting Against Unlearned Text-to-Image Diffusion Models
Dieser Beitrag stellt BEAP vor, einen black-box-, einbettungsbewussten adversarialen Prompting-Angriff, der ein großes Sprachmodell nutzt, um iterativ hochwertige, unentdeckbare Prompts zu generieren und damit Machine-Unlearning-Verteidigungen bei Text-zu-Bild-Diffusionsmodellen mit deutlich höheren Erfolgsquoten als bisherige Methoden erfolgreich zu umgehen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Das große Bild: Das Problem des „falschen Radiergummis"
Stellen Sie sich vor, Sie haben einen sehr talentierten Künstler, der Millionen von Bildern gesehen hat. Sie bitten diesen Künstler, sich zu „vergessen", wie man etwas Bestimmtes zeichnet, zum Beispiel eine nackte Person. Sie wollen, dass er sicher ist und das nie wieder zeichnet.
Um dies zu tun, verwenden Sie eine spezielle „Machine Unlearning"-Technik. Stellen Sie sich das wie einen roten Marker vor, mit dem Sie die Erinnerung des Künstlers an „nackte Menschen" übermalen. Sie hoffen, dass der Künstler nun, wenn Sie nach einem Bild einer nackten Person fragen, sagt: „Ich weiß nicht, was das ist," oder etwas ganz anderes zeichnet.
Das Problem: Die Autoren dieses Papers haben entdeckt, dass dieser „rote Marker" die Erinnerung nicht wirklich auslöscht. Er versteckt sie nur. Der Künstler erinnert sich immer noch daran, wie man es zeichnet; er braucht nur das richtige Flüstern, um diese Erinnerung wieder zu entsperren.
Der Angriff: BEAP (Der „flüsternde Detektiv")
Das Paper stellt eine neue Methode namens BEAP vor. Stellen Sie sich BEAP als einen cleveren Detektiv vor, der beweisen will, dass der Künstler sich noch an das verbotene Bild erinnert.
Die meisten früheren Versuche, den Künstler zu täuschen, waren wie das Schreien von Kauderwelsch oder die Verwendung von Code, der keinen Sinn ergab (z. B. „nackte Person x99#!!"). Die Sicherheitswachen (Filter) des Künstlers würden diesen Unsinn sofort erkennen und blockieren.
BEAP ist anders. Es verwendet eine superintelligente KI (ein Large Language Model), die als diplomatischer Übersetzer fungiert. Anstatt zu schreien, flüstert BEAP. Es versucht, das verbotene Konzept mit normaler, höflicher, menschlicher Sprache zu beschreiben, die für die Sicherheitswachen völlig unschuldig klingt.
Wie BEAP funktioniert (Der Drei-Schritte-Tanz)
BEAP rät nicht einfach; es spielt mit dem Künstler ein Spiel von „Heiß und Kalt" und verfeinert dabei bei jedem Versuch seinen Ansatz. So funktioniert es:
Die „Vokabelkarte" (Embedding Awareness):
Stellen Sie sich das Gehirn des Künstlers als eine riesige Bibliothek vor, in der Wörter nach ihrer Ähnlichkeit angeordnet sind. Das Wort „nackt" befindet sich in einer bestimmten Ecke. BEAP erstellt eine Karte von Wörtern, die Nachbarn von „nackt" sind (wie „unbedeckt", „Haut", „bloß"), aber nicht das verbotene Wort selbst. Es sagt dem KI-Übersetzer: „Verwende diese Nachbarwörter, um die Szene zu beschreiben." Dies hält die Suche auf den richtigen Bereich der Bibliothek fokussiert.Der „Dreipunkte-Bewertungsbogen" (Reward Signals):
BEAP probiert einen Prompt aus, erhält ein Bild und prüft dann drei Dinge:- Haben wir das verbotene Objekt bekommen? (Zeigt das Bild tatsächlich eine nackte Person?)
- Passt das Bild zu den Worten? (Wenn ich nach einer „Frau im Garten" gefragt habe, zeigt das Bild dann eine Frau im Garten?)
- Ist das Bild schön? (Ist es unscharf oder verzerrt, oder ist es von hoher Qualität?)
Wenn das Bild bei einem dieser Punkte versagt, gibt BEAP nicht auf. Es sagt dem KI-Übersetzer: „Das war nah dran, aber das Bild war zu unscharf. Versuche, es anders zu beschreiben, aber behalte diese ‚Nachbarwörter' bei."
Die iterative Schleife:
Dies passiert immer wieder. BEAP generiert einen neuen, leicht besseren Satz, versucht es erneut und erzielt eine bessere Bewertung. Schließlich findet es einen Satz, der für die Filter völlig normal und sicher klingt, aber den Künstler dazu bringt, das verbotene Bild in hoher Qualität zu zeichnen.
Die Ergebnisse: „Gelöscht", aber nicht weg
Das Paper testete dies gegen verschiedene „Radier"-Methoden (wie ESD, MACE und SPM), die supposedly das Konzept der Nacktheit aus dem Gehirn des Künstlers entfernt haben sollten.
- Der alte Weg (Ring-a-Bell): Frühere Angriffe versuchten, das System zu brechen, endeten aber mit Kauderwelsch-Prompts. Die Sicherheitsfilter fingen sie ab, oder die resultierenden Bilder waren hässlich und kaputt. Sie hatten eine Erfolgsrate von 0 % beim Erstellen guter Bilder.
- Der BEAP-Weg: BEAP hatte in 95 % bis 99 % der Fälle Erfolg. Es gelang ihm, hochwertige, schöne Bilder des „vergessenen" Konzepts mit Sätzen zu generieren, die völlig natürlich klangen.
- Der „Kauderwelsch"-Test: Das Paper prüfte, ob die Prompts von BEAP wie Unsinn aussahen. Das taten sie nicht. Sie sahen aus wie normales Englisch. Die Sicherheitsfilter, die normalerweise „seltsamen" oder „kaputten" Text fangen, wurden vollständig getäuscht.
Die Schlussfolgerung
Das Paper kommt zu dem Ergebnis, dass aktuelle Methoden zum „Unlearning" nicht wirklich sicher sind. Sie sind wie ein „Betreten verboten"-Schild an einer Tür anstatt eines verriegelten Tors. Wenn Sie den richtigen Code kennen (oder in diesem Fall den richtigen natürlich klingenden Satz), können Sie trotzdem einfach hindurchgehen.
Die Autoren warnen, dass selbst nachdem ein Modell „unlearned" wurde, das Wissen noch da ist und nur auf einen cleveren Prompt wartet, um es wieder zum Leben zu erwecken. Sie haben BEAP nicht geschaffen, um Missbrauch zu fördern, sondern um Entwicklern zu zeigen, dass ihre aktuellen Sicherheitsmaßnahmen fragil sind und behoben werden müssen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.