Resumen Técnico: Borrado pero Explotable (BEAP)

Declaración del Problema

El olvido de máquina (machine unlearning) busca eliminar selectivamente conceptos específicos (por ejemplo, contenido NSFW, estilos con derechos de autor) de modelos de difusión texto-a-imagen (T2I) preentrenados sin reentrenar desde cero. Aunque se han propuesto métodos como ESD, SPM y MACE para "olvidar" estos conceptos, estudios recientes sugieren que son vulnerables a rastros residuales. Los ataques adversarios existentes diseñados para recuperar estos conceptos olvidados sufren limitaciones significativas en modelos de amenazas realistas:

1. Dependencia de caja blanca: Métodos como Generate-or-Not requieren acceso a los pesos o gradientes del modelo, lo cual es poco realista para sistemas desplegados.
2. Dependencia del codificador: Ataques como Ring-a-Bell y QF-Attack requieren acceso al codificador de texto específico del modelo objetivo para realizar búsquedas en el espacio de incrustaciones.
3. Detectabilidad: Los métodos de caja negra actuales a menudo generan prompts "sin sentido" (gibberish) semánticamente incoherentes y de alta perplejidad. Estos son fácilmente detectados y filtrados por salvaguardas basadas en reglas simples o detectores basados en perplejidad, lo que los vuelve ineficaces en escenarios del mundo real.

El problema central abordado es la falta de un ataque totalmente de caja negra, legible por humanos y indetectable que pueda explotar eficazmente el conocimiento residual en modelos de difusión olvidados.

Metodología: BEAP

Los autores proponen BEAP (Prompting Consciente de Incrustaciones de Caja Negra), un marco que aprovecha un Modelo de Lenguaje Grande (LLM) para generar iterativamente prompts adversarios efectivos en el espacio del lenguaje natural. BEAP opera sin acceso a pesos del modelo, gradientes o al codificador de texto del modelo objetivo.

1. Búsqueda Semántica Impulsada por LLM

BEAP trata al LLM como un optimizador iterativo. Comenzando con un prompt inicial que describe el concepto objetivo, el LLM genera un lote de prompts parafraseados diversos. Estos prompts se consultan contra el modelo de difusión olvidado ($M_u$). Las imágenes resultantes se evalúan y la retroalimentación se utiliza para refinar el siguiente lote de prompts. A diferencia de métodos anteriores que optimizan en el espacio de incrustaciones (lo que conduce a texto antinatural), BEAP busca directamente en la variedad del lenguaje natural, asegurando que los prompts generados permanezcan fluidos y legibles por humanos.

2. Guía de Recompensa de Múltiples Señales

Para guiar al LLM hacia ataques exitosos, BEAP emplea tres señales de recompensa complementarias para cada imagen generada:

• Puntuación de Detección de Concepto: Utiliza detectores (por ejemplo, NudeNet, DINOv2) para verificar la presencia del concepto olvidado.
• Alineación Texto-Imagen: Utiliza ImageReward para asegurar que la imagen generada coincida semánticamente con el prompt.
• Calidad de Imagen: Utiliza una Puntuación Estética para asegurar que la salida sea visualmente coherente y de alta calidad.

Un prompt se considera exitoso solo si satisface los umbrales de las tres señales, evitando el "hackeo de recompensas" donde el modelo optimiza una métrica a expensas de las demás.

3. Búsqueda de Similitud Consciente de Incrustaciones

Para cerrar la brecha entre el lenguaje natural y el concepto específico "olvidado" en el espacio latente del modelo, BEAP introduce un vocabulario de similitud adversaria:

• Construcción de Vectores: El sistema construye un vector de concepto ($c_{adv}$) promediando las diferencias de incrustación entre pares de prompts que contienen el concepto y sus contrapartes neutralizadas (por ejemplo, "persona desnuda" vs. "una persona").
• Selección de Vocabulario: Este vector se compara con un vocabulario de referencia (por ejemplo, Oxford 3000) utilizando similitud coseno. Se seleccionan las $k$ palabras más similares.
• Guía: Estas palabras se proporcionan al LLM como "pistas". Esto dirige al LLM hacia formulaciones que se encuentran en el vecindario conceptual del objetivo olvidado, guiando efectivamente la búsqueda hacia regiones donde el olvido es incompleto sin requerir acceso directo al codificador del modelo objetivo.

Contribuciones Clave

1. Primer Ataque LLM Totalmente de Caja Negra: BEAP es el primer marco que genera prompts adversarios legibles por humanos para modelos T2I utilizando únicamente acceso de caja negra, eliminando la necesidad de pesos del modelo o acceso al codificador.
2. Estrategia Iterativa Guiada por Recompensa: Los autores diseñan un bucle de retroalimentación de múltiples señales (presencia del concepto, alineación, calidad) que refina los prompts iterativamente, asegurando altas tasas de éxito sin sacrificar la calidad de la imagen.
3. Búsqueda Consciente de Incrustaciones: La introducción de un componente de similitud guiado por incrustaciones permite al LLM centrarse en vocabulario semánticamente relevante, mejorando significativamente la eficiencia y efectividad de la exploración del espacio de texto.
4. Demostración de Vulnerabilidad Fundamental: El trabajo proporciona evidencia empírica de que los métodos actuales de olvido no eliminan completamente el conocimiento, ya que siguen siendo susceptibles al prompting adversario en lenguaje natural.

Resultados Experimentales

Los autores evaluaron BEAP en modelos Stable Diffusion v1.4 olvidados utilizando cinco métodos diferentes (UCE, ESD, MACE, SPM, Receler) contra el benchmark I2P (200 prompts de alta desnudez).

• Tasa de Éxito del Ataque (ASR): BEAP supera significativamente a métodos anteriores. Mientras que Ring-a-Bell logró un ASR del 0% bajo criterios estrictos (requiriendo presencia del concepto, alineación y calidad), BEAP logró puntuaciones ASR entre 86% y 99% en todas las líneas base de olvido.
• Eficiencia: BEAP requiere un promedio de solo 15 prompts por ataque exitoso, demostrando una alta eficiencia de muestra.
• Indetectabilidad: A diferencia de Ring-a-Bell, que produjo sin sentido con una perplejidad de ~4736 y una tasa de detección de sin sentido del 100%, BEAP generó prompts con valores de perplejidad (569–653) cercanos al lenguaje natural (referencia I2P: 505) y una baja tasa de detección de sin sentido (26%).
• Calidad de Imagen: BEAP recuperó con éxito los conceptos olvidados manteniendo altas puntuaciones estéticas y de alineación, mientras que Ring-a-Bell produjo imágenes distorsionadas y de baja calidad.
• Generalizabilidad: El ataque también se probó en el olvido a nivel de objeto ("pelota de golf"), donde superó nuevamente a las líneas base, confirmando que la vulnerabilidad se extiende más allá de los conceptos sensibles a la seguridad.

Significado y Afirmaciones

El artículo afirma que las tuberías actuales de olvido de máquina son fundamentalmente insuficientes para garantizar la eliminación de conceptos de los modelos de difusión. Los autores argumentan que, aunque los métodos de olvido pueden suprimir rastros visuales explícitos, no eliminan las representaciones semánticas subyacentes, las cuales pueden reactivarse mediante prompts cuidadosamente elaborados en lenguaje natural.

El significado de este trabajo radica en exponer una brecha crítica entre las garantías teóricas del olvido y la realidad práctica de la seguridad del modelo. Al demostrar que los modelos olvidados pueden ser "jailbroken" utilizando prompts fluidos e indetectables, los autores destacan la necesidad urgente de enfoques más robustos, verificables y confiables para la eliminación de conceptos en la IA generativa. El trabajo sirve como una advertencia para los desarrolladores de modelos de que el filtrado post-hoc y las técnicas actuales de olvido no son defensas suficientes contra adversarios determinados.