Erased, But Not Forgotten: Erased Rectified Flow Transformers Still Remain Unsafe Under Concept Attack

1. El Problema

Los modelos de generación de imágenes texto-a-imagen (T2I) basados en difusión han avanzado rápidamente, pero también presentan riesgos significativos de seguridad, como la generación de contenido inapropiado o dañino (NSFW, violencia, etc.). Para mitigar esto, se ha desarrollado la eliminación de conceptos (concept erasure), una técnica que busca desactivar selectivamente la capacidad del modelo para generar ciertos conceptos.

Sin embargo, la mayoría de las investigaciones y evaluaciones de seguridad se han centrado en modelos basados en Stable Diffusion (SD) (arquitectura U-Net con DDPM/DDIM). Los nuevos modelos de vanguardia, como la familia Flux, utilizan una arquitectura fundamentalmente diferente basada en Transformadores de Flujo Rectificado (Rectified Flow Transformers) y codificadores de texto T5.

• La brecha: No existe un método fiable para evaluar la robustez de la eliminación de conceptos en Flux.
• La observación clave: Los métodos de ataque existentes (diseñados para SD) fallan estrepitosamente en Flux. Los autores identifican que esto se debe a diferencias arquitectónicas: Flux no tiene capas de atención cruzada explícitas, pero mantiene una relación directa entre las incrustaciones de texto y los mapas de atención a través de la concatenación de características. Las técnicas de eliminación actuales en Flux dependen de la localización de la atención (suprimir índices de tokens específicos), pero los ataques tradicionales no saben cómo revertir esto eficientemente en esta nueva arquitectura.

2. Metodología: ReFlux

Los autores proponen ReFlux, el primer método de ataque de concepto diseñado específicamente para evaluar la robustez de la eliminación en modelos basados en flujo rectificado. El enfoque no es un simple ajuste de prompts, sino un ajuste fino (fine-tuning) ligero utilizando LoRA (Low-Rank Adaptation) en los parámetros de texto del modelo.

El método se basa en tres componentes principales que trabajan en conjunto:

1. Pérdida de Reactivación de Atención (Attention Reactivation Loss):

   • Objetivo: Revertir la supresión de la atención sobre los tokens del concepto eliminado.
   • Mecanismo: En lugar de simplemente maximizar la atención (lo que causa divergencia e imágenes distorsionadas), ReFlux utiliza un proceso de optimización de "región de confianza".
   • Regularización: Incluye un término $L2$ para limitar el tamaño de las actualizaciones y un término de entropía para suavizar la distribución de la atención, evitando picos agudos y manteniendo la coherencia visual global.

2. Pérdida de Velocidad Guiada por el Ataque (Attack-Guided Velocity Loss):

   • Objetivo: Dirigir la trayectoria del flujo de generación (flow matching) hacia la reinstauración del concepto.
   • Mecanismo: Utiliza la dinámica del flujo rectificado para aumentar la probabilidad condicional de generar la imagen con el concepto objetivo. Esto "empuja" la trayectoria de generación lejos de la supresión impuesta por el modelo de defensa.

3. Pérdida de Consistencia LoRA (LoRA Consistency Loss):

   • Objetivo: Preservar el contenido no relacionado y la estructura general de la imagen.
   • Mecanismo: Asegura que el campo de velocidad predicho por el modelo ajustado permanezca cerca de la dinámica de generación original para prompts que contienen tanto el concepto objetivo como elementos irrelevantes. Esto evita distorsiones en el fondo, la postura o el estilo.

Eficiencia: El método solo ajusta 3.57 MB de parámetros (proyecciones Q y K en los bloques de doble flujo), lo que lo hace extremadamente ligero y eficiente en comparación con los métodos basados en PGD (Gradiente Descendente Proyectado) que requieren horas por prompt.

3. Contribuciones Clave

• Análisis del Mecanismo Interno de Flux: Demostraron que, a pesar de las diferencias arquitectónicas, la eliminación de conceptos en Flux sigue dependiendo de la localización de la atención. Esto explica por qué los ataques basados en prompts (como Ring-A-Bell) fallan: los embeddings de T5 son sensibles al contexto de la oración y no a la proximidad léxica de palabras individuales como en CLIP.
• Desarrollo de ReFlux: Un método de ataque eficiente, ligero y preciso que restaura conceptos suprimidos sin degradar la calidad de la imagen.
• Establecimiento de un Nuevo Benchmark: Crearon la primera evaluación sistemática de la robustez de la eliminación de conceptos en modelos de flujo rectificado, cubriendo categorías diversas: NSFW (nudez, violencia), estilos artísticos, entidades, abstracciones, relaciones y celebridades.

4. Resultados Experimentales

Los experimentos se realizaron sobre Flux.1 [dev] y se compararon con múltiples métodos de eliminación (ESD, AC, EA, MACE, etc.) y ataques existentes.

• Efectividad (Tasa de Éxito del Ataque - ASR): ReFlux superó consistentemente a todos los baselines.
  • En conceptos NSFW (nudez y violencia), logró tasas de éxito cercanas al 100% en la mayoría de los casos, mientras que otros métodos (como Ring-A-Bell) fallaron casi por completo.
  • En estilos artísticos (Van Gogh, Picasso) y conceptos abstractos, ReFlux mostró una ventaja significativa, restaurando patrones complejos que otros ataques no podían recuperar.
• Calidad y Consistencia: A diferencia de los ataques basados en PGD que a menudo producen imágenes colapsadas o con artefactos, ReFlux mantiene la fidelidad visual, la estructura del fondo y los elementos no relacionados (ej. si se elimina "rojo" de un coche, el coche y el fondo permanecen intactos).
• Eficiencia: Mientras que los métodos de optimización de prompts pueden tardar más de 20 minutos por imagen, ReFlux ajusta el modelo una vez (en minutos) y luego genera imágenes atacadas en el tiempo estándar de inferencia (~0.5 minutos).
• Estudio de Usuarios y VLM: Evaluaciones humanas y con modelos de visión-lingüística (GPT-5) confirmaron que ReFlux no solo reactiva el concepto, sino que lo hace con alta calidad y alineación con el prompt, superando a los métodos baselines en todas las métricas de percepción.

5. Significado e Implicaciones

• Inseguridad Persistente: El hallazgo más crítico es que la eliminación de conceptos en los modelos de nueva generación (Flux) es superficial. Aunque los modelos parecen "olvidar" un concepto, las señales semánticas profundas permanecen latentes y pueden ser reactivadas fácilmente con el ataque correcto.
• Advertencia de Seguridad: Las afirmaciones de seguridad basadas únicamente en la eliminación de conceptos en Flux son engañosas. La comunidad de seguridad debe adoptar nuevos benchmarks como ReFlux para evaluar verdaderamente la robustez de estas defensas.
• Futuro de la Defensa: El trabajo sugiere que las futuras estrategias de eliminación deben ir más allá de la supresión de tokens o atención local, requiriendo soluciones que aborden la consistencia semántica en múltiples capas de la red y en todo el proceso de flujo de generación.

En resumen, ReFlux demuestra que los modelos T2I de última generación, a pesar de sus defensas avanzadas, siguen siendo vulnerables a la reactivación de conceptos peligrosos, revelando una fragilidad fundamental en las técnicas actuales de "olvido" de IA.