💻 computer science

CGCE: Classifier-Guided Concept Erasure in Generative Models

Este artículo presenta el Borrado de Conceptos Guiado por Clasificador (CGCE, por sus siglas en inglés), un marco de trabajo plug-and-play que mejora la robustez y la seguridad de los modelos generativos contra ataques adversarios mediante el uso de un clasificador ligero para refinar las incrustaciones de texto inseguras durante la inferencia, borrando así eficazmente los conceptos indeseables sin comprometer la calidad generativa original del modelo.

Autores originales: Viet Nguyen, Vishal M. Patel

Publicado 2026-07-23

📖 7 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Viet Nguyen, Vishal M. Patel

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que acabas de construir un estudio de arte mágico donde puedes escribir unas pocas palabras y, de repente, aparece una imagen impresionante o un video corto. Este es el mundo de la IA generativa, una rama de la informática donde las máquinas aprenden a crear nuevo contenido desde cero. Estos artistas digitales son increíblemente talentosos, pero tienen un hábito difícil: como aprendieron de todo el internet, a veces también adquieren malos hábitos. Pueden dibujar accidentalmente cosas inapropiadas, violentas o simplemente extrañas cuando pides un simple "gato". Para solucionar esto, los científicos han estado tratando de enseñar a estos modelos a "olvidar" ciertas ideas malas, un proceso llamado eliminación de conceptos. Piensa en ello como intentar enseñarle a un perro a dejar de perseguir ardillas. Algunos entrenadores intentan reconfigurar el cerebro del perro de forma permanente (ajuste fino o fine-tuning), lo cual es un trabajo duro y podría hacer que el perro olvide cómo traer su pelota favorita. Otros intentan simplemente gritar "¡No!" cada vez que el perro mira una ardilla (filtrado), pero una ardilla astuta podría simplemente pasar de largo si no se ve exactamente como las que el perro fue entrenado para temer. La gran pregunta es: ¿Podemos detener las malas ideas sin arruinar la capacidad del artista para crear imágenes hermosas y seguras?

Este artículo presenta un truco ingenioso llamado Eliminación de Conceptos Guiada por Clasificadores (CGCE, por sus siglas en inglés). En lugar de intentar reconfigurar permanentemente el cerebro de la IA o solo gritar "¡No!" en el momento equivoco, los autores construyeron un guardia de seguridad diminuto y súper inteligente que se para justo en la puerta del estudio de arte. Este guardia no toca las herramientas del artista; simplemente revisa las notas que escribes antes de que lleguen al artista. Si tu nota dice algo seguro, como "un gato en una alfombra", el guardia la deja pasar instantáneamente. Pero si tu nota dice algo inseguro, el guardia no solo la bloquea; edita suavemente tu nota antes de que el artista la vea. Utiliza un tipo especial de matemáticas para reescribir las partes peligrosas de tu oración en algo seguro, manteniendo el resto de tu idea exactamente igual.

Los autores descubrieron que este método es un cambio de juego porque funciona como un dispositivo "conectar y usar" (plug-and-play). No necesitas reconstruir todo el estudio de arte para usarlo; solo lo conectas. Lo probaron en muchos generadores de arte modernos, incluyendo aquellos que crean imágenes y aquellos que crean videos. Los resultados fueron impresionantes: el guardia de seguridad logró detener a la IA de dibujar contenido inapropiado, incluso cuando la gente intentaba engañarla con oraciones de forma sutil y complicada. Al mismo tiempo, la IA siguió creando imágenes de alta calidad y hermosas, demostrando que no tienes que sacrificar la creatividad por la seguridad.

El problema con los viejos trucos

Para entender por qué este nuevo método es tan genial, veamos cómo la gente intentaba solucionar este problema antes. Imagina que tienes una biblioteca gigante de libros (los datos de entrenamiento de la IA) que incluye algunas historias de miedo.

El enfoque de "Reconfigurar el Cerebro": Algunos científicos intentaron cambiar permanentemente el cerebro de la IA reentrenándola para olvidar las historias de miedo. Esto es como tomarse todo un año para reentrenar a un perro. Es costoso, toma mucho tiempo y, a menudo, hace que el perro olvide otros trucos geniales, como sentarse o darse la vuelta. La IA podría dejar de dibujar "personas desnudas", pero también podría empezar a dibujar "gatos desnudos" o simplemente hacer imágenes borrosas y feas de todo lo demás.
El enfoque de "Gritar No": Otros métodos intentaban actuar como un portero de un club. Miraban tu petición y, si veían una "mala palabra", la bloqueaban. Pero esto es como un portero que solo conoce los nombres de las malas palabras. Si dices: "Una persona sin ropa", el portero podría no darse cuenta porque no usaste la palabra específica "desnudo". O, si la mala idea está escondida dentro de una historia larga y complicada, el portero se confunde y deja pasar lo malo.

Los autores de este artículo notaron que estos métodos antiguos tenían un gran defecto: eran o demasiado pesados (rompiendo la creatividad de la IA) o muy fáciles de engañar (dejando pasar cosas malas). Querían una solución que fuera ligera, rápida y realmente buena para detectar el significado de una oración, no solo las palabras.

El Guardia de Seguridad Mágico: CGCE

Los autores crearon CGCE, que actúa como un guardia de seguridad inteligente e invisible. Así es como funciona, paso a paso:

Paso 1: El Entrenamiento (Enseñando al Guardia)
Primero, los autores enseñaron a su guardia de seguridad cómo detectar problemas. No usaron imágenes reales y aterradoras (lo cual sería desagradable e innecesario). En su lugar, usaron un robot de lenguaje súper inteligente (un LLM) para escribir miles de pares de oraciones. Una oración en el par era segura (por ejemplo, "Una niña sentada en una cama") y la otra era la misma oración pero con un giro malo (por ejemplo, "Una niña sentada en una cama, desnuda"). El guardia aprendió a mirar el significado de estas oraciones y decidir: "¿Es esto seguro o no?". Aprendió a ver el panorama completo, no solo las palabras individuales.

Paso 2: La Verificación (La Salvaguarda)
Cuando escribes un prompt en la IA, tus palabras se convierten en un código secreto (llamado embedding) que la IA entiende. El guardia de CGCE mira este código. Si el código parece seguro, el guardia dice: "¡Todo despejado!" y deja que la IA haga lo suyo. La IA entonces dibuja tu imagen exactamente como la pediste, sin cambios. Esto es crucial porque significa que el talento original de la IA nunca se daña.

Paso 3: El Arreglo (El Refinador)
Si el guardia ve algo inseguro, no solo te bloquea. Actúa como un "refinador". Toma tu código secreto y utiliza un truco matemático especial para ajustarlo. Imagina que tu oración es una bola de arcilla. Si la arcilla tiene una forma peligrosa, el guardia la moldea y la reajusta suavemente solo en la parte peligosa hasta que sea segura, dejando el resto de la bola exactamente igual. Lo hace mirando qué partes de tu oración están causando problemas y empujándolas lejos de las ideas "malas". Sigue haciendo este pequeño empuje una y otra vez hasta que el código es completamente seguro.

Por qué esto es importante

Los autores probaron este método contra muchas otras formas de intentar detener el arte malo de la IA. Utilizaron una serie de pruebas complicadas donde la gente intentaba engañar a la IA con prompts astutos (como usar historias largas o palabras extrañas para esconder la mala idea).

Es Resistente: El guardia de CGCE fue mucho más difícil de engañar que los métodos antiguos. Incluso cuando la gente intentaba colar ideas malas usando oraciones complejas, el guardia las atrapaba. En las pruebas, redujo la tasa de éxito de estos "ataques de engaño" a casi cero para muchos tipos diferentes de modelos de IA.
Es Gentil: Debido a que el guardia solo cambia el código cuando es absolutamente necesario, la capacidad de la IA para hacer imágenes hermosas y seguras se mantuvo perfecta. Cuando los autores le pidieron a la IA que dibujara un "atardecer" o un "perro", los resultados fueron tan buenos como antes. Los métodos antiguos a menudo hacían que las imágenes se vieran borrosas o extrañas, pero CGCE mantuvo la calidad alta.
Funciona en Todas Partes: Lo mejor es que este guardia no le importa qué tipo de estudio de arte tengas. Los autores demostraron que funciona en muchos modelos de IA modernos, incluyendo los que crean imágenes y los que crean videos. Es como tener una identificación de seguridad universal que funciona en cualquier puerta.

La Conclusión

Este artículo sugiere que no tenemos que elegir entre seguridad y creatividad. Al usar un guardia inteligente y ligero que revisa y arregla tus peticiones antes de que la IA comience a dibujar, podemos detener lo malo sin romper lo bueno. Los autores demostraron que este método es rápido, efectivo y funciona en todo tipo de IA moderna. Es una forma práctica de asegurar que nuestros estudios de arte mágicos sigan siendo divertidos y seguros para todos, sin necesidad de reconstruir toda la máquina cada vez que queremos añadir una nueva regla.

Resumen Técnico: Borrado de Conceptos Guiado por Clasificador (CGCE)

Declaración del Problema

Los modelos generativos a gran escala, particularmente los sistemas de Texto-a-Imagen (T2I) y Texto-a-Video (T2V), han alcanzado una fidelidad notable pero heredan riesgos de seguridad significativos de los datos de entrenamiento extraídos de la web, incluyendo la generación de contenido NSFW (no apto para el trabajo), estilos con derechos de autor y objetos dañinos. Los métodos existentes de borrado de conceptos enfrentan un compromiso crítico entre seguridad y utilidad:

Los enfoques de ajuste fino (fine-tuning) (p. ej., ESD, DUO) alteran permanentemente los pesos del modelo para borrar conceptos, pero a menudo degradan la capacidad del modelo para generar contenido seguro y no relacionado, además de ser computacionalmente costosos.
Los métodos de edición de modelos (p. ej., UCE, MACE) utilizan soluciones de forma cerrada para modificar los pesos, pero siguen siendo vulnerables a ataques adversarios que regeneran los conceptos borrados.
Los métodos sin entrenamiento (training-free) en la inferencia (p. ej., SLD, SAFREE) dirigen la generación en el momento de la inferencia sin modificar los pesos. Sin embargo, a menudo dependen de proyecciones lineales a nivel de token. Estos métodos tienen dificultades con los codificadores de texto modernos (como T5) donde el significado semántico se distribuye de manera holística a través de la oración en lugar de estar aislado en tokens específicos. En consecuencia, fallan al borrar conceptos expresados de forma implícita o contextual, y son ineficaces en modelos con destilación de guía (como FLUX) que omiten los mecanismos de prompting negativo.

El artículo identifica la necesidad de un marco robusto, "plug-and-play", que logre un borrado de conceptos de alta fidelidad contra ataques adversarios sin comprometer la utilidad generativa del modelo base ni requerir modificaciones de pesos.

Metodología: Borrado de Conceptos Guiado por Clasificador (CGCE)

CGCE es un marco ligero y "plug-and-play" que opera enteramente en la etapa de inferencia sobre el espacio de los embeddings de texto. No altera los pesos originales del modelo generativo. El método consta de tres etapas:

1. Generación de Datos Sintéticos

Utilizando Modelos de Lenguaje Extensos (LLMs), los autores generan un conjunto de datos de prompts emparejados para conceptos específicos (p. ej., desnudez, estilos artísticos, objetos). Cada par consiste en:

Un prompt inseguro ( $p_u$ ) que contiene el concepto objetivo.
Un prompt seguro ( $p_s$ ) que preserva la estructura semántica y el contenido de $p_u$ pero excluye el concepto objetivo.
Esta estructura emparejada permite al modelo aislar las características semánticas específicas del concepto no deseado.

2. Entrenamiento de un Clasificador Ligero

Se entrena un clasificador ligero sobre los embeddings de texto de estos pares de prompts.

Arquitectura: El clasificador toma el embedding del prompt ( $\varepsilon_p$ ) y el embedding del concepto objetivo ( $\varepsilon_c$ ) como entrada. Utiliza una capa de atención cruzada multi-cabezal donde los tokens del prompt actúan como consultas (queries) y los tokens del concepto actúan como claves/valores (keys/values). Este diseño permite al modelo identificar qué tokens específicos en el prompt están semánticamente alineados con el concepto dañino.
Salida: El clasificador produce una puntuación de probabilidad que indica la verosimilitud de que el prompt contenga el concepto objetivo y genera puntuaciones de importancia de tokens ( $s$ ) para cada token basándose en los pesos de atención.
Entrenamiento: El modelo se entrena de extremo a extremo utilizando una pérdida de Entropía Cruzada Binaria.

3. Inferencia: Salvaguarda y Refinamiento

En el momento de la inferencia, el clasificador entrenado actúa como un módulo de doble función:

Salvaguarda (Safeguard): Inspecciona el embedding del prompt de entrada. Si la probabilidad de contener el concepto objetivo es inferior a un umbral $\tau$ , el embedding se pasa al modelo generativo sin cambios, preservando la utilidad total.
Refinador (Refiner): Si se detecta el concepto, el clasificador guía un proceso de refinamiento iterativo. El embedding del prompt se actualiza mediante el descenso de gradiente para minimizar la probabilidad de salida del clasificador.
- Gradiente Ponderado: Crucialmente, el paso de actualización utiliza las puntuaciones de importancia de tokens ( $s$ ) para ponderar los gradientes ( $g = s \odot \nabla f_\theta$ ). Esto asegura que las actualizaciones se apliquen principalmente a los tokens semánticamente relacionados con el concepto dañino, minimizando la distorsión de las partes benignas del prompt.
- Escalado de Norma: El gradiente se escala por la norma del embedding para asegurar una convergencia estable.
- Terminación: El proceso itera hasta que la predicción del clasificador cae por debajo del umbral o se alcanza un número máximo de pasos. El embedding refinado se pasa entonces al modelo T2I o T2V.

Contribuciones Clave

Marco Plug-and-Play: CGCE es el primer método que proporciona un borrado de conceptos robusto a través de diversas arquitecturas T2I y T2V (incluyendo modelos DiT y VAR) sin modificar los pesos del modelo base.
Refinamiento Semántico Holístico: A diferencia de los métodos previos de proyección a nivel de token, CGCE aprovecha un clasificador entrenado con pares de prompts para comprender el contexto semántico holístico. Esto le permite borrar eficazmente conceptos incluso cuando están distribuidos a lo largo de la oración o expresados de forma implícita.
Superioridad en el Compromiso Seguridad-Utilidad: Al refinar selectivamente solo los embeddings inseguros y preservar los seguros, CGCE mantiene la calidad generativa (puntuaciones FID y CLIP) del modelo base mientras logra una robustez de vanguardia contra ataques de red-teaming.
Versatilidad Multimodal: El marco se demuestra con éxito tanto en la generación de imágenes (SD-v1.4, SD-v3, FLUX, Switti-AR, Infinity-2B) como en la generación de video (CogVideoX, HunyuanVideo).

Resultados Experimentales

Los autores evaluaron CGCE contra nueve líneas base (incluyendo ESD, UCE, STEREO, SLD y SAFREE) a través de múltiples tareas: eliminación de desnudez, eliminación de estilo artístico (Van Gogh) y eliminación de objetos (iglesia).

Robustez: CGCE logró una Tasa de Éxito de Ataque (ASR) de vanguardia o altamente competitiva en seis benchmarks de red-teaming (I2P, SixCD, P4D, RAB, MMAD, UDA). Por ejemplo, en el backbone SD-v1.4, CGCE logró un ASR de 4.62 en I2P y 2.47 en SixCD, superando a la mayoría de los métodos de ajuste fino y sin entrenamiento.
Generalización: En arquitecturas modernas como FLUX (que carece de prompting negativo), SAFREE falló significativamente (ASR > 87% en RAB), mientras que CGCE redujo el ASR a 0.70. Se observó un rendimiento superior similar en SD-v3, Switti-AR y varios modelos T2V.
Preservación de la Utilidad: CGCE mantuvo puntuaciones FID y CLIP casi idénticas al modelo base original, demostrando que no degrada la generación de contenido seguro. En contraste, los métodos de ajuste fino a menudo mostraron caídas significativas en la utilidad.
Estudios de Ablación: Los autores confirmaron que la ponderación de la importancia de los tokens es crítica; eliminarla llevó a actualizaciones indiscriminadas y degradó la utilidad. También se demostró que el método es robusto a las variaciones en el umbral de detección $\tau$ .
Prompts Complejos: CGCE superó significativamente a las líneas base en prompts largos e implícitos, de estilo narrativo, donde los conceptos dañinos eran evocados sin vocabulario tóxico explícito.

Significado y Reivindicaciones

El artículo afirma que CGCE establece un nuevo estándar para la IA generativa segura al resolver el difícil compromiso entre seguridad y rendimiento. Su principal significancia radica en su capacidad para servir como un salvaguarda agnóstico al generador. Al operar en el espacio de los embeddings de texto en lugar de en los pesos del modelo, CGCE puede integrarse sin problemas en una amplia gama de modelos modernos de T2I y T2V, incluyendo aquellos con arquitecturas (como VAR o modelos con guía destilada) donde los métodos de borrado previos fallan.

Los autores posicionan a CGCE no como un reemplazo para las medidas de seguridad en el tiempo de entrenamiento, sino como una solución de inferencia altamente eficiente, robusta y práctica que garantiza la generación segura sin el costo computacional del reentrenamiento o la degradación de la utilidad asociada con la modificación de pesos. El método se presenta como un paso práctico hacia el despliegue responsable de modelos generativos en diversas aplicaciones.