AEGIS: Adversarial Target-Guided Retention-Data-Free Robust Concept Erasure from Diffusion Models

1. El Problema: La Compensación Robustez-Retención en la Borrado de Conceptos

Los Modelos de Difusión (DMs), como Stable Diffusion, son potentes generadores de imágenes, pero su entrenamiento con datos sesgados puede producir contenido dañino (ej. desnudez, estilos artísticos con derechos de autor, objetos específicos). La borrado de conceptos (concept erasure) busca eliminar estas capacidades indeseadas ajustando el modelo.

Sin embargo, los métodos actuales enfrentan un dilema fundamental conocido como la compensación robustez-retención (robustness–retention trade-off):

• Robustez: La capacidad del modelo para resistir la reactivación del concepto borrado, incluso ante ataques de prompts adversarios (APAs) o variaciones semánticas no vistas durante el entrenamiento.
• Retención: La capacidad de preservar la utilidad del modelo para conceptos no relacionados (ej. que al borrar "desnudez" no se degrade la generación de "paisajes").

Limitaciones de los métodos existentes:

1. Objetivos de borrado inadecuados: La mayoría de los métodos mapean un prompt de borrado (ej. "nudity") a un objetivo fijo (ej. un prompt vacío o genérico). Si el prompt elegido está lejos del "centro semántico" de la clase de conceptos (que incluye sinónimos como "naked", "sexual"), la información no se elimina completamente. Esto permite que los atacantes reactiven el concepto usando prompts cercanos al centro semántico.
2. Conflicto de gradientes: Al intentar mejorar la robustez (borrado fuerte), se suele degradar la calidad de generación de otros conceptos. Los métodos que usan conjuntos de datos de retención (retention datasets) sufren de sesgo de datos y no cubren todos los conceptos preservados.

2. Metodología: AEGIS

El paper propone AEGIS (Adversarial Erasure with Gradient-Informed Synergy), un marco de trabajo que no requiere datos de retención auxiliares y mejora simultáneamente la robustez y la retención. Se compone de dos componentes principales:

A. Objetivo de Borrado Adversario (AET - Adversarial Erasure Target)

Para abordar la vulnerabilidad de los objetivos fijos, AEGIS introduce un objetivo dinámico y optimizable.

• Hipótesis: Los prompts adversarios que reactivan conceptos suelen estar cerca del centro semántico de la clase de conceptos borrados.
• Mecanismo: En lugar de usar un objetivo fijo, AEGIS optimiza iterativamente un embedding de prompt ($c'$) para aproximar el centro semántico de la clase de conceptos a borrar.
• Funcionamiento: El modelo se ajusta para minimizar la diferencia entre el ruido predicho para el concepto borrado ($c_e$) y el ruido predicho para este nuevo objetivo adversario ($c'$). Esto empuja la representación del concepto borrado lejos de todo el espacio semántico relacionado, no solo de una instancia específica, endureciendo el modelo contra variaciones semánticas y ataques adversarios.

B. Proyección de Regularización de Gradiente (GRP - Gradient Regularization Projection)

Para resolver la compensación entre robustez y retención sin usar datos adicionales, AEGIS emplea GRP.

• Regularización de Parámetros (PR): En lugar de usar un conjunto de datos de retención, AEGIS penaliza la desviación de los parámetros del modelo ajustado ($\theta$) respecto al modelo original ($\theta_0$). Esto actúa como una restricción suave que preserva la utilidad general.
• Rectificación de Gradiente Direccional (DGR): Se observa que el gradiente de borrado ($g_e$) y el gradiente de retención ($g_r$) a menudo entran en conflicto (similitud coseno negativa).
  • Si los gradientes no entran en conflicto, se optimizan ambos.
  • Si hay conflicto, DGR proyecta ortogonalmente el componente destructivo de $g_r$ sobre $g_e$. Es decir, elimina la parte del gradiente de retención que iría en dirección opuesta al borrado.
• Actualización Dinámica ($\omega$): Un parámetro $\omega$ controla la fuerza de esta proyección. Comienza en 0 (priorizando el borrado inicial) y aumenta dinámicamente a medida que avanza el entrenamiento, permitiendo que la restricción de retención se fortalezca gradualmente sin interferir con la convergencia del borrado.

3. Contribuciones Clave

1. Análisis de Vulnerabilidad: Demostraron teórica y empíricamente que la vulnerabilidad de los métodos actuales proviene de elegir objetivos de aprendizaje inadecuados que no cubren el centro semántico de la clase de conceptos, dejando remanentes explotables por ataques.
2. Marco AEGIS: Propusieron un marco sin datos de retención que sintetiza un AET para guiar la eliminación de información a nivel de clase y utiliza una proyección de gradiente para equilibrar la robustez y la retención.
3. Análisis Teórico: Proporcionaron garantías teóricas (Teoremas 4.1 y 4.2) que demuestran que GRP asegura la convergencia hacia un punto estacionario alineado con el objetivo de borrado y que preserva (o mejora) la calidad generativa en comparación con actualizaciones no proyectadas.

4. Resultados Experimentales

Los autores evaluaron AEGIS en tres categorías de conceptos: desnudez (contenido sensible), estilo artístico (Van Gogh) y objetos (Iglesia), utilizando modelos Stable Diffusion v1.4 y v2.1.

• Robustez contra Ataques (ASR - Tasa de Éxito del Ataque):
  • AEGIS superó significativamente a los métodos más avanzados (SOTA) como AdvUnlearn, ESD y SalUn.
  • Ejemplo (Desnudez): Redujo la tasa de éxito del ataque (ASR) en un ~5.31% bajo el ataque P4D y un ~24% bajo UnlearnDiffAtk en comparación con métodos base, logrando una ASR final de solo 8.45% (vs. 64.79% de AdvUnlearn).
  • Ejemplo (Estilo Van Gogh): Redujo la ASR en un 12% y 18% frente a P4D y UnlearnDiffAtk respectivamente, en comparación con AdvUnlearn.
• Retención (Calidad de Generación):
  • AEGIS mantuvo o mejoró las métricas de utilidad (FID y CLIP Score) en comparación con los baselines.
  • Mientras que métodos agresivos de borrado degradaban drásticamente el FID (ej. +16 puntos), AEGIS logró un FID de 17.43 (muy cercano al modelo base de 16.70), demostrando que la eliminación de conceptos no destruye la capacidad generativa del modelo.
• Eficiencia: Aunque AEGIS requiere un tiempo de entrenamiento ligeramente superior al método ESD básico (debido a la generación de AET), es significativamente más eficiente que los métodos que requieren conjuntos de datos de retención grandes y costosos.

5. Significado e Impacto

El trabajo AEGIS es significativo porque:

1. Rompe la compensación (Trade-off): Logra un borrado robusto contra ataques adversarios sin sacrificar la calidad de las imágenes generadas para conceptos no relacionados, un problema que ha sido central y no resuelto en la literatura.
2. Elimina la dependencia de datos: Al no requerir conjuntos de datos de retención auxiliares, evita el sesgo de selección de datos y los costos computacionales asociados a la gestión de grandes volúmenes de datos de preservación.
3. Seguridad Práctica: Ofrece una solución más segura para la alineación de IA, asegurando que los modelos de difusión no puedan ser "jailbreakeados" fácilmente mediante prompts semánticamente relacionados o adversarios, lo cual es crucial para la implementación comercial y ética de estas tecnologías.

En resumen, AEGIS establece un nuevo estándar en la eliminación de conceptos en modelos de difusión, combinando un objetivo de borrado adversario inteligente con una estrategia de optimización de gradientes que protege la utilidad del modelo.