Anti-I2V: Safeguarding your photos from malicious image-to-video generation

Resumen Técnico: Anti-I2V

1. El Problema

Los avances recientes en modelos de difusión para generación de video (VDMs), como CogVideoX y OpenSora, permiten crear videos realistas y coherentes a partir de una sola imagen de referencia y un prompt de texto. Sin embargo, esta capacidad plantea un riesgo significativo de mal uso: la creación de deepfakes o contenido dañino utilizando la foto de una persona específica.

Aunque existen técnicas de ataque adversarial para proteger imágenes contra la generación de imágenes estáticas (Text-to-Image), estas son insuficientes para la generación de video (Image-to-Video, I2V) debido a:

• Complejidad Temporal: El desafío principal no es solo degradar una imagen, sino romper la coherencia temporal entre los frames generados.
• Arquitecturas Robustas: Los modelos modernos utilizan arquitecturas como Diffusion Transformers (DiT) y mecanismos de atención avanzados que son más resistentes al ruido adversarial tradicional.
• Limitaciones de Espacio: La mayoría de los métodos existentes optimizan perturbaciones solo en el espacio de color RGB, lo que las hace fáciles de eliminar durante el proceso de eliminación de ruido (denoising) de los modelos de video.

2. Metodología: Anti-I2V

El authors proponen Anti-I2V, un marco de defensa diseñado para prevenir el uso no autorizado de imágenes en modelos de difusión de imagen a video. La metodología se basa en dos pilares principales:

A. Perturbación de Doble Espacio (Dual-Space Perturbation - DSP)
En lugar de modificar solo los píxeles en el espacio RGB, Anti-I2V opera en dos dominios complementarios para crear perturbaciones más robustas e imperceptibles:

1. Espacio de Color L*a*b*: Se aplican perturbaciones específicamente en los canales a* (verde-rojo) y b* (azul-amarillo). Estos canales están decorrelacionados de la luminancia (brillo), lo que permite alterar la percepción del color sin afectar significativamente el brillo, haciéndolo menos perceptible para el ojo humano pero efectivo para engañar al modelo.
2. Dominio de Frecuencia (DCT): Se analiza la Transformada Discreta del Coseno (DCT) de la imagen. En lugar de modificar píxeles aleatorios, se introduce ruido en los coeficientes de baja frecuencia (esquina superior izquierda de la DCT), que contienen la información estructural y textural más importante de la imagen. Esto asegura que la perturbación afecte la representación fundamental de la imagen en lugar de solo valores superficiales de píxeles.

B. Objetivos de Pérdida para Disrupción de Representaciones Internas
Para atacar modelos grandes, es necesario interrumpir el flujo de características a través de las capas de la red. Anti-I2V introduce dos funciones de pérdida personalizadas que actúan sobre las representaciones semánticas internas del modelo (tanto en el VAE como en los módulos de denoising):

1. Pérdida de Colapso de Representación Interna (IRC - Inter Representation Collapse):

   • Objetivo: Forzar a las capas profundas del modelo (que contienen alta información semántica) a comportarse como las capas tempranas (que contienen poca información semántica y solo características estructurales básicas).
   • Mecanismo: Se minimiza la distancia euclidiana entre las mapas de características de las capas profundas (ej. últimas 3 capas) y las de una capa temprana (ej. la 3ª capa). Esto "colapsa" la capacidad del modelo para extraer detalles semánticos ricos, degradando la fidelidad de la generación.

2. Pérdida de Ancla de Representación Interna (IRA - Inter Representation Anchor):

   • Objetivo: Disruptir la extracción de características dentro de cada capa individual.
   • Mecanismo: Se minimiza la distancia entre las características ocultas generadas al condicionar la imagen perturbada y las generadas al condicionar una imagen objetivo no relacionada (o la misma imagen en ataques no dirigidos). Esto impide que el modelo mantenga la identidad del sujeto a través de las capas.

C. Función de Objetivo Final
La función de pérdida total combina IRC, IRA, pérdidas auxiliares (CLIP y LPIPS para mantener la imperceptibilidad visual) y la pérdida de denoising estándar, optimizada mediante el algoritmo de Descenso de Gradiente Proyectado (PGD).

3. Contribuciones Clave

• Primera defensa específica para I2V: Anti-I2V es uno de los primeros enfoques diseñados explícitamente para atacar modelos de difusión de imagen a video, abordando el desafío de la coherencia temporal.
• Optimización en Espacio Dual: Es la primera vez que se actualizan perturbaciones simultáneamente en el espacio de color L*a*b* y en el dominio de frecuencia (DCT), demostrando una mayor robustez frente a transformaciones y purificación.
• Disrupción de Capas Intermedias: A diferencia de métodos anteriores que solo atacan la salida final, Anti-I2V introduce objetivos de disrupción semántica en capas intermedias del VAE y del módulo de denoising (IRC e IRA), afectando la propagación de características en todo el proceso.
• Versatilidad de Arquitectura: El método es efectivo contra diversos backbones, incluidos modelos basados en UNet (DynamiCrafter), DiT (CogVideoX) y MMDiT (OpenSora).

4. Resultados Experimentales

Los autores evaluaron Anti-I2V en dos conjuntos de datos: CelebV-Text (rostros) y UCF101 (acciones corporales completas), comparándolo con baselines como SDS, AdvDM, MIST y VGMShield.

• Degradación de Identidad: Anti-I2V logró los puntajes más bajos en Identity Score Matching (ISM) y CLIP-FIQA, indicando una reducción drástica en la similitud de la identidad entre la imagen de referencia y el video generado. Por ejemplo, en DynamiCrafter, redujo el ISM de 0.528 (limpio) a 0.151.
• Calidad del Video y Coherencia Temporal: Los modelos atacados con Anti-I2V mostraron una severa degradación en la calidad visual (medida por Q-Align) y en la coherencia temporal (medida por DINO). Los videos generados presentaban artefactos severos, distorsiones de color y pérdida de la estructura del sujeto.
• Robustez: El método demostró ser más resistente que las perturbaciones RGB tradicionales frente a transformaciones comunes como compresión JPEG, desenfoque gaussiano y ruido, así como frente a técnicas de purificación (DiffPure, GrIDPure).
• Transferibilidad: Las perturbaciones generadas en un modelo (ej. CogVideoX) se transfirieron eficazmente a otros modelos (OpenSora, DynamiCrafter), demostrando una fuerte capacidad de generalización.

5. Significado e Impacto

El trabajo Anti-I2V representa un avance crucial en la seguridad de la IA generativa. A medida que los modelos de video se vuelven más potentes y accesibles, la capacidad de proteger la privacidad de las personas contra la creación de deepfakes es urgente.

• Defensa Proactiva: Proporciona una herramienta práctica para que los usuarios protejan sus fotos antes de que sean utilizadas por modelos maliciosos.
• Insights Arquitectónicos: El estudio revela que atacar las representaciones semánticas en capas intermedias y operar en espacios de color/frecuencia no-RGB es fundamental para superar la robustez de los modernos modelos DiT.
• Estándar de Referencia: Establece un nuevo estado del arte (SOTA) en la protección de imágenes contra la generación de video, superando significativamente a las técnicas existentes que estaban diseñadas principalmente para imágenes estáticas.

En resumen, Anti-I2V demuestra que es posible defenderse eficazmente contra la generación de video maliciosa mediante una estrategia de perturbación inteligente que explota las vulnerabilidades en la extracción y propagación de características semánticas dentro de los modelos de difusión.