Resumen Técnico: La Memorización en Stable Diffusion Está Impulsada Inesperadamente por los Embeddings de CLIP

Declaración del Problema

Los modelos de difusión de texto a imagen, particularmente Stable Diffusion, exhiben un riesgo crítico de privacidad conocido como memorización, donde el modelo reproduce imágenes específicas de su conjunto de entrenamiento en respuesta a ciertos prompts. Esto plantea preocupaciones significativas en cuanto a violaciones de derechos de autor y la filtración de datos privados. Si bien investigaciones anteriores han estudiado la memorización mediante duplicación de conjuntos de datos, tokens desencadenantes y patrones de atención cruzada, el papel del espacio de embeddings de texto—específicamente cómo contribuyen diferentes componentes de la secuencia de embeddings a la memorización—sigue siendo poco explorado. Este artículo postula que la causa raíz de la memorización en Stable Diffusion v1.4 no reside meramente en los tokens en sí, sino en una desalineación estructural entre las dinámicas de entrenamiento del codificador de texto CLIP y los mecanismos de inferencia del modelo de difusión.

Metodología

Los autores realizan una investigación detallada de los vectores de embeddings de Stable Diffusion, categorizando los tokens de entrada en cuatro tipos: <startoftext> ($v_{sot}$), tokens de <prompt> ($v_{pr}$), <endoftext> ($v_{eot}$) y tokens de <pad> ($v_{pad}$).

1. Análisis Empírico de las Contribuciones de los Embeddings

El estudio emplea intervenciones controladas durante la inferencia para cuantificar la influencia de cada componente de embedding en los prompts memorizados. Los experimentos incluyen:

• Enmascaramiento y Reemplazo: Enmascarar o reemplazar sistemáticamente vectores de embedding específicos (por ejemplo, establecer $v_{pr}$ o $v_{pad}$ como vectores cero, o reemplazarlos con $v_{eot}$).
• Evaluación de Métricas: Utilizar SSCD (Distancia Contrastiva Auto-supervisada) para medir la memorización (similitud con la imagen original de entrenamiento), CLIPScore para la alineación texto-imagen y Puntuación Estética para la calidad visual.
• Curación del Conjunto de Datos: Los autores recopilaron un conjunto robusto de 458 prompts "Verbatim Coincidentes" (MV) de Webster [35] y Membench [13], filtrando casos inestables o degradados para garantizar un análisis fiable.

2. Análisis Comparativo (v1.4 vs. v2.1)

El artículo compara Stable Diffusion v1.4 (que utiliza el codificador de texto CLIP original) con v2.1 (que utiliza OpenCLIP). Los autores hipotetizan que las diferencias en cómo estos modelos manejan los tokens de relleno explican la variación en las tasas de memorización entre versiones.

3. Estrategias de Mitigación

Basándose en los hallazgos, se proponen dos estrategias de mitigación durante la inferencia:

1. Solución a Nivel de Tokenizador: Reemplazar el token <pad> predeterminado (que es <eot> en v1.4) con un token semánticamente neutral (por ejemplo, !) antes de la codificación, y enmascarar el único $v_{eot}$.
2. Enmascaramiento Parcial: Enmascarar parcialmente los embeddings $v_{pad}$ (específicamente el 70%) para reducir la redundancia sin colapsar la calidad de generación.

Hallazgos Clave y Contribuciones

1. La Dominancia de los Embeddings de Relleno

Contrario a la suposición de que los tokens de prompt ($v_{pr}$) son los principales impulsores de la generación, los autores encuentran que $v_{pr}$ contribuyen mínimamente a la memorización. De hecho, enmascarar $v_{pr}$ o reemplazarlos con $v_{eot}$ preserva la estructura de la imagen generada. Por el contrario, los embeddings de relleno ($v_{pad}$) juegan un papel dominante. Cuando $v_{pad}$ se enmascaran, la generación colapsa, lo que indica que son críticos para reproducir contenido memorizado.

2. Duplicación Estructural de $v_{eot}$

El mecanismo central identificado es la duplicación estructural del embedding <endoftext>.

• En Stable Diffusion v1.4, los prompts más cortos que la longitud fija (77 tokens) se rellenan repitiendo el token <eot>.
• Dado que CLIP se entrena mediante aprendizaje contrastivo para optimizar $v_{eot}$ como representante de la semántica a nivel de oración, los tokens <eot> repetidos resultan en múltiples vectores $v_{eot}$ casi idénticos (como $v_{pad}$).
• Esta duplicación no intencionada amplifica la influencia de $v_{eot}$ durante el proceso de difusión, provocando que el modelo dependa en exceso de este embedding específico y conduciendo a la memorización.

3. Explicación del Comportamiento de Stable Diffusion v2.1

El artículo señala que Stable Diffusion v2.1 exhibe tasas de memorización significativamente más bajas. Los autores atribuyen esto no a la eliminación de duplicados en el conjunto de datos, sino al uso de OpenCLIP, que utiliza un token neutral ! para el relleno en lugar de duplicar <eot>. Este cambio estructural elimina la amplificación de $v_{eot}$, reduciendo así la memorización.

4. Estrategias de Mitigación Propuestas

Los autores proponen dos estrategias efectivas, plug-and-play, que no requieren reentrenamiento del modelo:

• Estrategia 1: Reemplazar el <pad> predeterminado del tokenizador con un token neutral (!) y enmascarar el $v_{eot}$ original. Esto desacopla $v_{pad}$ de $v_{eot}$.
• Estrategia 2: Enmascarar parcialmente el 70% de los embeddings $v_{pad}$.
  Ambos métodos reducen significativamente las puntuaciones SSCD (lo que indica una reducción de la memorización) mientras mantienen altas puntuaciones CLIPScore y Estéticas, restaurando efectivamente la diversidad entre diferentes semillas aleatorias.

Resultados

• Supresión de la Memorización: Los métodos propuestos reducen las puntuaciones SSCD de ~0.5 (indicando memorización) a ~0.08–0.10, previniendo efectivamente la reproducción de imágenes de entrenamiento.
• Preservación de la Calidad: A diferencia de métodos anteriores (por ejemplo, Ren et al. [24], Wen et al. [36]) que a menudo degradan la calidad visual o no logran suprimir la memorización consistentemente, las estrategias propuestas mantienen la alineación con el prompt y la calidad de la imagen.
• Eficiencia: La mitigación añade una sobrecarga computacional insignificante, con tiempos de inferencia casi idénticos a la generación estándar.
• Robustez: Los métodos funcionan consistentemente tanto en prompts memorizados como no memorizados, sin mostrar una degradación significativa en la calidad general de generación.

Significado y Afirmaciones

El artículo afirma cambiar la perspectiva sobre la memorización desde los interiores del modelo (por ejemplo, patrones de atención cruzada) hacia las propiedades estructurales de los embeddings de texto. Argumenta que la discrepancia entre el objetivo de entrenamiento de CLIP (optimizar solo $v_{eot}$) y la inferencia del modelo de difusión (condicionarse en toda la secuencia, incluyendo $v_{eot}$ duplicada) crea un sesgo estructural que impulsa la memorización.

La importancia radica en identificar un mecanismo previamente pasado por alto: la amplificación no intencionada del embedding <endoftext> debido al diseño del tokenizador. Al abordar esta falla estructural, los autores proporcionan soluciones simples, efectivas y desplegables que mitigan la memorización sin necesidad de filtrado de conjuntos de datos, ajuste de prompts o reentrenamiento del modelo. Los hallazgos sugieren que los futuros modelos de difusión deben considerar cuidadosamente las estrategias de tokens de relleno para evitar sesgos estructurales similares.