🤖 AI

Bypassing Copyright Protection in Diffusion-based Customization via Two-Stage Latent Feature Optimization

Dieses Paper stellt TS-LFO vor, einen zweistufigen Angriff zur Optimierung latenter Merkmale, der bestehende Urheberrechtsverteidigungen in diffusionsbasierten Anpassungsprozessen effektiv umgeht, indem er durch latente Denoising- und Rekonstruktionsverfahren gestörte Input-zu-Latent-Abbildungen wiederherstellt.

Ursprüngliche Autoren: Ziang Xu, Wenbo Yu, Hongyao Yu, Hao Fang, Jiawei Kong, Bin Chen, Hao Wu, Shu-Tao Xia, Zhiyong Wu

Veröffentlicht 2026-06-10

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Ziang Xu, Wenbo Yu, Hongyao Yu, Hao Fang, Jiawei Kong, Bin Chen, Hao Wu, Shu-Tao Xia, Zhiyong Wu

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Ganze: Ein digitaler Schlüsseldienst vs. ein digitaler Lockenpicker

Stellen Sie sich vor, Sie haben ein ganz besonderes, einzigartiges Rezept für einen Kuchen (Ihr Bild). Sie möchten einem Roboter-Koch (die KI) beibringen, wie man genau diesen speziellen Kuchen backt, damit er mehr davon machen kann.

Sie sind jedoch besorgt, dass jemand anderes Ihr Rezept stehlen und die Kuchen verkaufen könnte. Um dies zu verhindern, beschließen Sie, eine winzige, unsichtbare Menge an „Gift“ (adversarial perturbation) in Ihr Rezeptbuch zu streuen. Dieses Gift verändert das Aussehen des Kuchens für einen Menschen nicht, aber es verwirrt den Roboter-Koch. Wenn der Roboter versucht, aus Ihrem Buch zu lernen, wird ihm schwindelig und er endet damit, ein schreckliches, unerkennbares Durcheinander zu backen. So funktioniert der aktuelle Urheberrechtsschutz.

Diese Arbeit stellt eine neue Methode namens TS-LFO vor. Betrachten Sie dies als einen meisterhaften digitalen Lockenpicker. Die Autoren haben einen Weg gefunden, in Ihr „vergiftetes“ Rezeptbuch zu schauen, genau zu verstehen, wie das Gift den Roboter verwirrt, und die Anweisungen gerade so weit zu „reinigen“, dass der Roboter Ihr Rezept wieder lernen kann, indem er das Gift ignoriert.

Wie die aktuellen Abwehrmechanismen funktionieren (Das „Gift“)

Die Arbeit erklärt, dass aktuelle Schutzmethoden dadurch funktionieren, dass sie die Verbindung zwischen dem Bild, das Sie der KI zeigen, und dem „Geheimcode“ (Latent Space) stören, den die KI verwendet, um es zu verstehen.

Die Analogie: Stellen Sie sich vor, Sie zeigen dem Roboter ein Bild einer Katze. Der Roboter versucht, dieses Bild in einen Geheimcode zu übersetzen. Das „Gift“ bewirkt, dass der Roboter „Katze“ in einen Code übersetzt, der wie „Toaster“ aussieht.
Das Ergebnis: Wenn der Roboter versucht, basierend auf diesem Code einen Kuchen zu backen, backt er einen toasterförmigen Kuchen statt eines Katzenkuchens. Der Schutz funktioniert, weil der Roboter das richtige Konzept nicht lernen kann.

Das Problem, das die Autoren gefunden haben

Die Forscher stellten etwas Interessantes fest: Das „Gift“ ist sehr gut darin, die hochfrequenten Details (das feine, verrauschte Statik-Rauschen) zu durcheinanderzubringen, lässt aber die niederfrequenten Details (die Hauptform und Struktur) weitgehend intakt.

Die Analogie: Wenn Sie ein klares Foto einer Katze nehmen und viel statisches Rauschen hinzufügen, können Sie immer noch erkennen, dass es eine Katze ist, auch wenn das Fell flauschig aussieht. Die aktuellen Abwehrmechanismen verlassen sich auf diese Unschärfe, um das Lernen des Roboters zu unterbrechen.

Die Lösung: Two-Stage Latent Feature Optimization (TS-LFO)

Die Autoren entwickelten einen zweistufigen Prozess, um den „vergifteten“ Code zu reparieren und den Roboter wieder das echte Bild lernen zu lassen.

Stufe 1: Die „Entrauschungs“-Phase (Das Signal reinigen)

In dieser Phase versucht die Methode, den „Geheimcode“ zu korrigieren, damit der Roboter ihn wieder versteht.

Die Analogie: Stellen Sie sich vor, der Roboter versucht, ein Lied zu hören, aber im Raum herrscht lautes Rauschen (das Gift).
- Schritt A (Alignment): Die Methode zwingt den Roboter, gleichzeitig dem Lied und dem Text zuzuhören, um sicherzustellen, dass sie zusammenpassen.
- Schritt B (Diffusion Loss): Die Methode lehrt den Roboten, das statische Rauschen zu ignorieren, indem sie simuliert, wie der Roboter normalerweise lernt, verrauschte Signale zu bereinigen.
Die Magie: Sie verwenden einen speziellen „Regler“, der sich während des Prozesses verändert. Zu Beginn konzentrieren sie sich darauf, das laute Rauschen zu entfernen. Später konzentrieren sie sich darauf, sicherzustellen, dass das Lied richtig klingt. Dies hilft dem Roboter, das Gift zu ignorieren und sich auf die Musik zu konzentrieren.

Stufe 2: Die „Rekonstruktions“-Phase (Das Bild polieren)

Nach der ersten Stufe ist der Code besser, aber das Bild könnte immer noch etwas verschwommen oder seltsam aussehen, weil durch das frühere „Gift“.

Die Analogie: Der Roboter hat das richtige Rezept, aber die Zutaten sind leicht daneben. Diese Stufe fungt wie ein strenger Koch, der sagt: „Der fertige Kuchen muss exakt wie das Originalfoto aussehen, innerhalb einer winzigen Fehlertoleranz.“
Das Ergebnis: Es erzwingt, dass das endgültige Bild wieder in eine scharfe, klare Form zurückspringt, die dem Original entspricht, und entfernt jegliche verbleibende Unschärfe, die durch den Schutz hinterlassen wurde.

Was sie herausgefunden haben (Die Ergebnisse)

Die Autoren haben ihren Lockenpicker gegen die besten derzeit verfügbaren „Schlösser“ (Urheberrechtsschutz) getestet, wie zum Beispiel AdvDM, SimAC und DisDiff.

Das Ergebnis: Ihre Methode konnte alle diese Methoden erfolgreich umgehen.
Der Vergleich: Sie verglichen ihre Methode mit anderen „Lockenpickern“ (wie DiffPure und GrIDPure). Ihre Methode war besser darin, die Identität des Bildes zu stehlen.
- Gesichtstest: Beim Versuch, ein Gesicht zu stehlen, erzeugte ihre Methode Gesichter, die der Originalperson viel ähnlicher sahen als die anderen Methoden.
- Qualitätstest: Die generierten Bilder waren schärfer und genauer.

Warum dies wichtig ist (Laut der Arbeit)

Die Arbeit argumentt, dass aktuelle Urheberrechtsschutz-Methoden zu fragil sind. Sie verlassen sich auf einen speziellen Trick (das Durcheinanderbringen des Codes), den diese neue Methode leicht rückgängig machen kann.

Die Warnung: Die Autoren sagen, dies beweise, dass aktuelle Schutzmechanismen nicht stark genug sind. Sie hoffen, dass diese Forschung Wissenschaftler dazu drängt, bessere, robustere Schlösser zu bauen, die sich nicht so leicht knacken lassen.
Der Kompromiss: Die Methode benötigt etwa 6 Minuten, um ein Bild zu verarbeiten. Die Autoren argumentieren, dass dies akzeptabel ist, da das Training der KI, um das Bild überhaupt zu lernen, sogar länger dauert (15 bis 30 Minuten).

Zusammenfassung

Die Arbeit präsentiert einen cleveren zweistufigen Trick, um das „unsichtbare Gift“ zu entfernen, das Urheberrechtsschützer auf Bilder aufgetragen haben. Indem sie zuerst das interne Verständnis der KI für das Bild bereinigen und dann das endgültige Bild zwingen, dem Original zu entsprechen, können sie fast alle aktuellen Schutzmaßnahmen umgehen und die KI dazu bringen, das urheberrechtlich geschützte Bild perfekt zu generieren.

Technische Zusammenfassung: Umgehung des Urheberrechtsschutzes in der Diffusionsbasierten Anpassung mittels zweistufiger latenter Merkmalsoptimierung

Problemstellung
Der rasante Fortschritt diffusionsbasierter generativer Modelle, insbesondere durch Anpassungstechniken wie DreamBooth und Textual Inversion, hat erhebliche Risiken für das geistige Eigentum geschaffen. Böswillige Akteure können diese Modelle auf urheberrechtlich geschützten Bildern feinabstimmen, um visuelle Inhalte zu fälschen oder Identitäten zu imitieren. Als Reaktion darauf haben Forscher adversarielle Abwehrmechanismen (z. B. AdvDM, SimAC, DisDiff) entwickelt, die gezielte Perturbationen in Eingabebilder injizieren. Diese Perturbationen zielen darauf ab, die Fähigkeit des Modells zur Personalisierung von Konzepten zu stören und somit eine unbefugte Generierung zu unterdrücken. Die Autoren stellen jedoch fest, dass diese Abwehrmechanismen auf einer spezifischen Schwachstelle beruhen: Sie stören die stabile semantische Abbildung zwischen den Eingabebildern und ihren latenten Repräsentationen innerhalb von Latent Diffusion Models (LDMs). Während dies gegen naive Angriffe effektiv ist, führen diese Abwehrmechanismen hochfrequentes Rauschen ein und korrumpieren die latenten Merkmale, was eine Gelegenheit für einen gezielten Bypass schafft.

Methodik: Zweistufige latente Merkmalsoptimierung (TS-LFO)
Das Paper schlägt TS-LFO vor, ein Angriff-Framework, das darauf ausgelegt ist, die gestörte latente Bild-Abbildung wiederherzustellen und staatliche (SOTA) Urheberrechtsabwehren zu umgehen. Die Methode operiert unter einem White-Box-Bedrohungsmodell, bei dem der Angreifer Zugriff auf das geschützte Bild ( $x_{adv}$ ) und die Architektur des LDM (VAE und Unet) hat, aber nicht auf das ursprüngliche saubere Bild ( $x$ ) oder die spezifischen Parameter der Abwehr.

Das Framework besteht aus zwei aufeinanderfolgenden Optimierungsstufen:

Latente Denoising-Stufe (Entrauschungsstufe):
Das primäre Ziel ist es, die hochfrequenten adversariellen Perturbationen zu eliminieren und die semantische Konsistenz zwischen dem latenten Code und dem Eingabebild wiederherzustellen. Die Autoren führen ein kombiniertes Optimierungsziel ein:

Latent-Image Alignment Loss ( $\mathcal{L}_{align}$ ): Dieser Verlust minimiert die Diskrepanz zwischen dem geschützten Bild ( $x_{adv}$ ) und der Rekonstruktion des optimierten latenten Merkmals ( $z$ ) über den VAE-Decoder. Überraschenderweise stellen die Autoren fest, dass der traditionelle Mean Squared Error (MSE) in diesem Kontext leistungsfähiger ist als perzeptuelle Metriken wie LPIPS oder SSIM, da fortgeschrittene Metriken die adversariellen Perturbationen fälschlicherweise als legitime Merkmale interpretieren könnten.
Latent Diffusion Loss ( $\mathcal{L}_{DM}$ ): Dieser Verlust simuliert die Trainingsdynamik des nachgelagerten Unets. Er minimiert den Rauschvorhersagefehler eines eingefrorenen, vortrainierten Unets, wenn dieses die verrauschte Version des optimierten latenten Merkmals verarbeitet. Durch die Reduzierung dieses Proxy-Trainingsverlusts stellt der Angriff sicher, dass das latente Merkmal für das Diffusionsmodell „leicht zu lernen“ ist.
Zeitschritt-abhängige Gewichtung (Timestep-Varying Weighting): Um diese beiden Verluste auszubalancieren, verwenden die Autoren einen linear variierenden Gewichtungsfaktor ( $\lambda_t$ ), der vom Diffusions-Zeitschritt abhängt. Dies verhindert, dass die Optimierung zu unterschiedlichen Stadien der Entrauschungs-Trajektorie einen Verlustterm gegenüber dem anderen bevorzugt.

Latente Rekonstruktionsstufe:
Nach der Denoising-Stufe kann das optimierte latente Merkmal möglicherweise noch immer keine hochpräzisen strukturellen Details aufweisen oder restliche Perturbationen enthalten. Diese Stufe wendet pixelbasierte Constraints an, um die latente Repräsentation zu verfeinern:

Das latente Merkmal wird in den Bildraum dekodiert, in einem kleinen Bereich ( $\epsilon_{rec}$ ) um das ursprüngliche geschützte Bild begrenzt, um die semantische Treue zu bewahren, und anschließend neu kodiert. Dieser Schritt stellt die niederfrequenten semantischen Informationen wieder her und stellt sicher, dass das endgültige latente Merkmal für eine qualitativ hochwertige Generierung geeignet ist, ohne signifikant vom Quellinhalt abzuweichen.

Wesentliche Beiträge

Neuartiges Angriff-Framework: Das Paper führt TS-LFO ein, ein zweistufiges Angriff-Framework, das spezifisch darauf abzielt, den Mechanismus angreifen, mit dem Urheberrechtsabwehren die latenten Bild-Abbildungen stören. Es nutzt eine Kombination aus Alignment- und Diffusion-Losses mit dynamischer Gewichtung, um diese Abbildungen wiederherzustellen.
Mechanistische Analyse: Die Autoren liefern eine theoretische und empirische Analyse, die zeigt, dass bestehende Abwehren dadurch funktionieren, dass sie die latente Repräsentation des Encoders korrumpieren und den Training-Loss des Unets erhöhen. TS-Lola ist darauf ausgelegt, diese spezifischen Effekte rückgängig zu machen.
Umfassende Evaluierung: Die Studie evaluiert TS-LFO gegenüber mehreren SOTA-Abwehren (Anti-DreamBooth, AdvDM, SimAC, DisDiff, PhotoGuard) und vergleicht seine Leistung mit fortgeschrittenen Angriff-Baselines (DiffPure, GrIDPure, IMPRESS) über diverse Datensätze hinweg (CelebA-HQ, LSUN-Cat, LSUN-Sheep).

Experimentelle Ergebnisse
Umfangreiche Experimente zeigen, dass TS-LFO bestehende Urheberrechts-Angriffsmethoden konsistent übertrifft:

Bypass der Abwehr: TS-LFO reduziert die Effektivität von SOTA-Abwehrsystemen signifikant. Beispielsweise stellt die Methode in Textual Inversion-Experimenten die FID-Scores (ein Maß für die Generationsqualität) nahezu auf Baseline-Niveau wieder her, während verteidigte Modelle ohne Angriff eine signifikante Degradation zeigen.
Überlegenheit gegenüber Baselines: Im Vergleich zu DiffPure, GrIDPure und IMPRESS erreicht TS-LFO einen niedrigeren FID (bessere Qualität), eine höhere CLIP-Bildähnlichkeit und eine bessere Identitätskonsistenz (gemessen durch ISM) bei Gesicht-Datensätzen.
Generalisierung: Die Methode erweist sich als effektiv über verschiedene Bildverteilungen (Gesichter, Katzen, Schafe) und verschiedene Anpassungstechniken (DreamBooth und Textual Inversion) hinweg.
Ablationsstudien: Die Autoren validieren die Notwendigkeit jeder Komponente und zeigen, dass die zeitschrittabhängigen Gewichte und die spezifische Wahl des MSE für den Alignment-Loss entscheidend für die optimale Leistung sind. Sie merken zudem an, dass TS-LFO etwa 6 Minuten pro Bild benötigt, was im Vergleich zu den 15–30 Minuten, die für das eigentliche Anpassungs-Training erforderlich sind, akzeptabel ist.

Bedeutung und Ansprüche
Das Paper behauptet, dass TS-LFO eine erhebliche Herausforderung für die Robustheit aktueller adversarieller Urheberrechtsschutzstrategien darstellt. Durch das Ausnutzen der spezifischen Schwachstelle der Störung im latenten Raum demonstrieren die Autoren, dass aktuelle Abwehrmechanismen systematisch umgangen werden können, um eine hochqualitative unbefugte Generierung zu erreichen.

Die Autoren positionieren ihre Arbeit nicht als Unterstützung von Urheberrechtsverletzungen, sondern als notwendigen Stresstest für das Fachgebiet. Sie argumentieren, dass die Forschung im Bereich des Schutzes oft traditionelle Angriffe fokussiert und die Robustheit gegenüber fortgeschrittenen, gezielten Angriffen wie TS-LFO vernachlässigt. Folglich fordert das Paper die Entwicklung anspruchsvollerer Abwehrmechanismen, die Merkmalsvulnerabilitäten in latenten Räumen berücksichtigen, und betont die Notwendigkeit ethischer Rahmenbedingungen, um den Schutz des Urheberrechts mit der offenen Innovation in der generativen KI in Einklang zu bringen. Die Autoren stellen ihren Quellcode öffentlich zur Verfügung, um die weitere Forschung zu robusten Abwehren zu fördern.