🤖 AI

AEGIS: Adversarial Target-Guided Retention-Data-Free Robust Concept Erasure from Diffusion Models

यह शोध पत्र AEGIS को प्रस्तुत करता है, जो एक रिटेंशन-डेटा-मुक्त ढांचा है जो मौजूदा विधियों में निहित ट्रेड-ऑफ (समझौतों) को दूर करने के लिए एडवरसैरियल टारगेट-गाइडेड तंत्रों का लाभ उठाकर कॉन्सेप्ट इरेज़र के दौरान डिफ्यूजन मॉडल्स की मजबूती और रिटेंशन को एक साथ बढ़ाता है।

मूल लेखक: Fengpeng Li, Kemou Li, Qizhou Wang, Bo Han, Jiantao Zhou

प्रकाशित 2026-02-16

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Fengpeng Li, Kemou Li, Qizhou Wang, Bo Han, Jiantao Zhou

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपके पास Diffusion नामक एक जादुई कलाकार है। यह कलाकार अविश्वसनीय रूप से प्रतिभाशाली है और यह आपके द्वारा बताए गए कुछ भी को चित्रित कर सकता है, जैसे कि "स्केटबोर्ड पर एक बिल्ली" से लेकर "पेरिस के ऊपर एक सूर्यास्त" तक। हालाँकि, Diffusion को पूरे इंटरनेट पर प्रशिक्षित किया गया था, जिसका अर्थ है कि इसने कुछ बुरी आदतें भी सीखी हैं। कभी-कभी, यदि आप इससे कुछ थोड़ा अलग सा पूछते हैं, तो यह अनजाने में कुछ अनुचित, हिंसक या कॉपीराइट वाली चीज़ें बना सकता है (जैसे कि किसी जीवित कलाकार की सटीक शैली में बिना अनुमति के पेंट करना)।

इसे ठीक करने के लिए, शोधकर्ता Diffusion को इन बुरी आदतों को "भूलने" (unlearn) के लिए प्रशिक्षित करने की कोशिश करते हैं। इसे कॉन्सेप्ट इरेज़र (Concept Erasure) कहा जाता है। लेकिन समस्या यह है कि Diffusion को भूलना सिखाना एक सफेद शर्ट से दाग हटाने जैसा है, बिना पूरी शर्ट को ग्रे किए या उसमें छेद किए।

समस्या: "दाग" बनाम "शर्ट"

वर्तमान तरीके एक कठिन समझौते (trade-off) का सामना करते हैं:

मजबूती (Robustness - दाग): यदि आप "नग्नता" (nudity) की अवधारणा को हटाने की कोशिश करते हैं, तो आप चाहते हैं कि वह हमेशा के लिए चली जाए। लेकिन चालाक हमलावर मॉडल को धोखा देने के लिए समानार्थी शब्दों (जैसे "nudity" के बजाय "naked") या अजीब शब्दावली का उपयोग कर सकते हैं ताकि बुरी छवियां वापस आ सकें।
प्रतिधारण (Retention - शर्ट): यदि आप दाग को मिटाने के लिए बहुत अधिक प्रयास करते हैं, तो आप अनजाने में "लोग" या "कपड़े" बनाने की क्षमता को भी पूरी तरह से मिटा सकते हैं, जिससे कलाकार की कुछ भी चित्रित करने की क्षमता खराब हो सकती है।

मौजूदा तरीके आमतौर पर एक समस्या को ठीक करते हैं लेकिन दूसरी को बिगाड़ देते हैं। वे या तो दाग को दृश्यमान छोड़ देते हैं (robust नहीं होते) या शर्ट को खराब कर देते हैं (bad retention)।

समाधान: AEGIS

यह पेपर एक नई विधि पेश करता है जिसे AEGIS (Adversarial Erasure with Gradient-Informed Synergy) कहा जाता है। AEGIS को एक स्मार्ट, दो-चरणीय सफाई दल (cleaning crew) के रूप में समझें जो जानता है कि कपड़े को नुकसान पहुँचाए बिना ठीक से कैसे साफ करना है।

चरण 1: "स्मार्ट टारगेट" (Adversarial Erasure Target)

कल्पना कीजिए कि आप Diffusion को सिखाना चाहते हैं कि "नग्नता" बुरी है।

पुराना तरीका: आप मॉडल को नग्न व्यक्ति की एक तस्वीर दिखाते हैं और कहते हैं, "इसे मत बनाना।" मॉडल उस विशिष्ट तस्वीर से बचने के लिए सीख जाता है। लेकिन अगर कोई "बिना कपड़ों वाले व्यक्ति" के बारे में पूछेगा, तो मॉडल शायद अभी भी ऐसा करेगा क्योंकि उसने नग्नता के सामान्य विचार को नहीं सीखा, बल्कि केवल उस एक विशिष्ट छवि को सीखा था।
AEGIS का तरीका: AEGIS एक "सुपर-टारगेट" (Super-Target) बनाता है। यह केवल एक छवि नहीं चुनता; यह नग्नता की पूरी अवधारणा के लिए "गुरुत्वाकर्षण का केंद्र" (center of gravity) निकालता है। यह नग्नता के उस पूरे समूह के बिल्कुल बीच को खोजने जैसा है जो उस बुरे विचार से संबंधित हैं।
- उपमा: कलाकार को यह बताने के बजाय कि "यह विशेष लाल कार मत बनाओ," AEGIS कहता है, "कोई भी लाल कार मत बनाओ, और यहाँ 'लाल कार' अवधारणा का सटीक केंद्र है ताकि तुम्हें पता चल सके कि वास्तव में किससे बचना है।"
- इस "केंद्र" को लक्षित करके, AEGIS यह सुनिश्चित करता है कि भले ही कोई हमलावर समानार्थी शब्द या अजीब विवरण का उपयोग करे, मॉडल फिर भी "ना" कहना जानता हो। यह उन्मूलन को ट्रिक्स के खिलाफ मजबूत (robust) बनाता है।

चरण 2: "संतुलित ब्रश" (Gradient Regularization Projection)

अब, कल्पना कीजिए कि आप दाग को रगड़ रहे हैं। जैसे-जैसे आप जोर से रगड़ते हैं, आपका हाथ हिलने लगता है, और आप अनजाने में शर्ट के अच्छे हिस्सों (जैसे कॉलर या बटन) को भी रगड़ सकते हैं।

द्वंद्व (Conflict): "बुरे विचार को हटाने" का निर्देश मॉडल को एक दिशा में धकेलता है। "अच्छे विचारों को बनाए रखने" का निर्देश उसे दूसरी दिशा में धकेलता है। कभी-कभी, ये दो बल एक-दूसरे के खिलाफ लड़ते हैं।
AEGIS का तरीका: AEGIS ग्रेडिएंट रेगुलराइजेशन प्रोजेक्शन (Gradient Regularization Projection - GRP) नामक तकनीक का उपयोग करता है।
- उपमा: कल्पना कीजिए कि आप एक भारी बॉक्स (मॉडल) को बाईं ओर धकेल रहे हैं ताकि बुरा stuff हटाया जा सके। लेकिन आपको यह भी सुनिश्चित करना होगा कि बॉक्स बहुत अधिक बाईं ओर न खिसके और दीवार से न टकरा जाए (अच्छी चीजों को बर्बाद करना)।
- AEGIS एक स्मार्ट गाइड की तरह कार्य करता है। यह आपके धक्के को देखता है। यदि आपका बुरा चीज़ हटाने का धक्का अनजाने में अच्छी चीज़ों को भी दूर धकेल रहा है, तो AEGIS धीरे से आपके हाथ को पुनर्निर्देशित करता है। यह कहता है, "ठीक है, बुरा हटाने के लिए बाईं ओर धकेलो, लेकिन आगे की ओर मत धकेलो, क्योंकि इससे बटन खराब हो जाएंगे।"
- यह बिना "अच्छी" चीजों की अतिरिक्त तस्वीरें देखे यह सब करता है। यह बस यह जानने के लिए कि क्या रखना है, मॉडल की अपनी याददाश्त का उपयोग करता है कि सफाई शुरू करने से पहले वह कैसा था।

यह क्यों महत्वपूर्ण है

लेखकों ने कठिन अवधारणाओं जैसे "नग्नता," विशिष्ट कला शैलियों (जैसे वैन गॉग), और वस्तुओं (जैसे चर्च) पर AEGIS का परीक्षण किया।

परिणाम: AEGIS पिछले तरीकों की तुलना में बहुत अधिक कठिन था। हमलावर आसानी से बुरी छवियों को वापस नहीं ला सके।
बोनस: मॉडल ने अन्य चीजें बनाने की अपनी क्षमता नहीं खोई। "शर्ट" सफेद और बरकरार रही।

सारांश

AEGIS AI कलाकारों के लिए एक मास्टर क्लीनर की तरह है।

यह बुरे विचार के वास्तविक केंद्र को पाता है ताकि यह केवल एक विशिष्ट उदाहरण को नहीं, बल्कि पूरे विचार को हटा सके।
यह "अच्छी" चीजों को अनजाने में मिटाए बिना बुरे हिस्से को साफ करने के लिए एक स्मार्ट गाइड का उपयोग करता है, और यह सब "सुरक्षित" छवियों के संदर्भ पुस्तकालय की आवश्यकता के बिना करता है।

यह "अच्छे को हटाए बिना बुरे को कैसे डिलीट करें?" के पुराने सवाल को हल करता है—यह अधिक स्मार्ट तरीके से काम करता है कि क्या लक्षित करना है और मॉडल के मस्तिष्क को कैसे संचालित करना है।

यहाँ "AEGIS: Adversarial Target-Guided Retention-Data-Free Robust Concept Erasure from Diffusion Models" (ICLR 2026) का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

डिफ्यूजन मॉडल्स (DMs) शक्तिशाली टेक्स्ट-टू-इमेज जनरेटर हैं, लेकिन वे अक्सर अपने प्रशिक्षण डेटा से हानिकारक पूर्वाग्रह (जैसे, नग्नता, कॉपीराइट उल्लंघन, विशिष्ट वस्तुएं) विरासत में प्राप्त करते हैं। कॉन्सेप्ट इरेज़र (Concept Erasure) का उद्देश्य मॉडल को फाइन-ट्यून करके इन अवांछित अवधारणाओं को हटाना है। हालाँकि, मौजूदा विधियाँ एक महत्वपूर्ण रोबस्टनेस-रिटेंशन ट्रेड-ऑफ (robustness–retention trade-off) का सामना करती हैं:

रोबस्टनेस (Robustness): मिटाए गए मॉडल की एडवर्सरियल प्रॉम्प्ट हमलों (Adversarial Prompt Attacks - APAs) के विरुद्ध प्रतिरोध करने की क्षमता, जहाँ हमलावर मिटाए गए कॉन्सेप्ट को पुन: सक्रिय करने के लिए अर्थपूर्ण रूप से संबंधित या रूपक (metaphorical) प्रॉम्प्ट (जैसे, "nudity" के बजाय "naked") का उपयोग करते हैं।
रिटेंशन (Retention): असंबंधित अवधारणाओं (जैसे, यह सुनिश्चित करना कि "nudity" को मिटाने के बाद भी मॉडल अभी भी "landscapes" उत्पन्न कर सकता है) की पीढ़ी की गुणवत्ता को बनाए रखने की क्षमता।

वर्तमान सीमाएँ:

अपर्याप्त लक्ष्य (Inadequate Targets): अधिकांश विधियाँ एक मिटाए गए कॉन्सेप्ट (जैसे, "nudity") को एक निश्चित सुरक्षित लक्ष्य (जैसे, "एक फोटो") या एक खाली प्रॉम्प्ट से मैप करती हैं। यदि चुना गया उदाहरण कॉन्सेप्ट क्लास के सिमेंटिक सेंटर (semantic center) से दूर है, तो इरेज़र अधूरा रहता है। एडवर्सरियल प्रॉम्प्ट अक्सर इसी सिमेंटिक सेंटर को लक्षित करते हैं, जिससे इरेज़र विफल हो जाता है।
ग्रेडिएंट संघर्ष (Gradient Conflict): इरेज़र के लिए अनुकूलन (optimization) अक्सर रिटेंशन के अनुकूलन के साथ संघर्ष करता है। मौजूदा विधियाँ या तो रोबस्टनेस प्राप्त करने के लिए जनरेशन क्वालिटी को कम कर देती हैं या क्वालिटी बनाए रखने के लिए हमलों का विरोध करने में विफल रहती हैं।
डेटा निर्भरता (Data Dependency): कई रिटेंशन रणनीतियों को सहायक डेटासेट (auxiliary datasets) की आवश्यकता होती है, जो पूर्वाग्रह पेश कर सकते हैं या मूल मॉडल के ज्ञान की पूरी विविधता को कवर करने में विफल हो सकते हैं।

2. कार्यप्रणाली: AEGIS

लेखक AEGIS (Adversarial Erasure with Gradient-Informed Synergy) प्रस्तावित करते हैं, जो एक फ्रेमवर्क है जो बिना किसी सहायक डेटा के उच्च रोबस्टनेस और उच्च रिटेंशन दोनों प्राप्त करता है। इसमें दो मुख्य घटक शामिल हैं:

A. एडवर्सरियल इरेज़र टारगेट (Adversarial Erasure Target - AET)

एक निश्चित लक्ष्य के बजाय, AEGIS एक एडवर्सरियल इरेज़र टारगेट ( $c'$ ) को गतिशील रूप से अनुकूलित करता है ताकि मिटाए गए कॉन्सेप्ट क्लास के सिमेंटिक सेंटर का अनुमान लगाया जा सके।

तंत्र (Mechanism): AET एक अनुकूलन योग्य एम्बेडिंग है जिसे साझा टेक्स्ट-इमेज स्पेस में मिटाए गए कॉन्सेप्ट ( $c_e$ ) और AET के बीच की दूरी को अधिकतम करने के लिए पुनरावृत्ति (iteratively) के माध्यम से अपडेट किया जाता है।
लक्ष्य: मिटाए गए कॉन्सेप्ट को उस लक्ष्य के साथ संरेखित करके जो कॉन्सेप्ट क्लस्टर के "केंद्र" का प्रतिनिधित्व करता है (न कि केवल एक एकल उदाहरण का), यह विधि सुनिश्चित करती है कि सभी अर्थपूर्ण रूप से संबंधित वेरिएंट (एडवर्सरियल प्रॉम्प्ट सहित) मूल कॉन्सेप्ट स्पेस से दूर धकेल दिए जाएं।
अनुकूलन (Optimization): AET को AET के लिए मूल मॉडल के आउटपुट और मिटाए गए कॉन्सेप्ट के लिए फाइन-ट्यून्ड मॉडल के आउटपुट के बीच नॉइज़ प्रेडिक्शन की दूरी को अधिकतम करने के लिए ग्रेडिएंट एसेंट (gradient ascent) के माध्यम से अपडेट किया जाता है।

B. ग्रेडिएंट रेगुलराइजेशन प्रोजेक्शन (Gradient Regularization Projection - GRP)

बिना सहायक डेटा के इरेज़र और रिटेंशन के बीच के ट्रेड-ऑफ को हल करने के लिए, AEGIS एक डेटा-फ्री रिटेंशन रणनीति पेश करता है जो पैरामीटर रेगुलराइजेशन (Parameter Regularization - PR) और डायरेक्शनल ग्रेडिएंट रेक्टिफिकेशन (Directional Gradient Rectification - DGR) को जोड़ती है।

पैरामीटर रेगुलराइजेशन (PR): एक रिटेंशन डेटासेट का उपयोग करने के बजाय, AEGIS मूल मॉडल पैरामीटर्स ( $\theta_0$ ) से विचलन को $L_2$ लॉस का उपयोग करके दंडित करता है: $L_r = \frac{1}{2}\|\theta - \theta_0\|^2$ । यह डेटासेट बायस पेश किए बिना मॉडल के सामान्य ज्ञान को संरक्षित करता है।
डायरेक्शनल ग्रेडिएंट रेक्टिफिकेशन (DGR): इरेज़र ( $g_e$ $g_{e}$ ) और रिटेंशन ( $g_r$ $g_{r}$ ) के ग्रेडिएंट अक्सर संघर्ष करते हैं (नेगेटिव कोसाइन सिमिलैरिटी)। DGR इस संघर्ष का पता लगाता है और रिटेंशन ग्रेडिएंट को इरेज़र ग्रेडिएंट के ऑर्थोगोनल कॉम्प्लीमेंट (orthogonal complement) पर प्रोजेक्ट करता है।
- यदि $\cos(g_e, g_r) \geq 0$ , तो कोई संशोधन नहीं किया जाता है।
- यदि $\cos(g_e, g_r) < 0$ , तो रिटेंशन ग्रेडिएंट को उस घटक को हटाने के लिए समायोजित किया जाता है जो इरेज़र दिशा का विरोध करता है, यह सुनिश्चित करता है कि इरेज़र कार्य बाधित न हो।
डायनेमिक वेटिंग ( $\omega$ ): एक डायनेमिक पैरामीटर $\omega$ प्रोजेक्शन की शक्ति को नियंत्रित करता है। यह 0 से शुरू होता है (इरेज़र को प्राथमिकता देता है) और जैसे-जैसे प्रशिक्षण आगे बढ़ता है, यह बढ़ता जाता है, जिससे मॉडल पहले इरेज़र कार्य सीखता है और फिर धीरे-धीरे रिटेंशन बाधाओं को लागू करता है।

3. मुख्य योगदान

भेद्यता विश्लेषण (Vulnerability Analysis): पेपर पहचानता है कि वर्तमान इरेज़र विधियों की विफलता का कारण मिटाए गए इंस्टेंस को ऐसे लक्ष्यों से मैप करना है जो कॉन्सेप्ट क्लास के सिमेंटिक सेंटर से दूर हैं, जिससे अवशेष जानकारी (residual information) एडवर्सरियल प्रॉम्प्ट्स द्वारा शोषण योग्य रह जाती है।
नया फ्रेमवर्क (AEGIS): एक रिटेंशन-डेटा-फ्री फ्रेमवर्क प्रस्तावित करता है जो क्लास-लेवल रिमूवल को निर्देशित करने के लिए एडवर्सरियल इरेज़र टारगेट (AET) को सिंथेसाइज करता है और रोबस्टनेस एवं यूटिलिटी को संतुलित करने के लिए ग्रेडिएंट रेगुलराइजेशन प्रोजेक्शन (GRP) का उपयोग करता है।
सैद्धांतिक गारंटी (Theoretical Guarantees): यह सैद्धांतिक प्रमाण (Theorems 4.1 & 4.2) प्रदान करता है कि GRP विशिष्ट कर्वेचर स्थितियों के तहत रिटेंशन प्रदर्शन को बनाए रखते हुए (या सुधारते हुए) इरेज़र लॉस के लिए लोकल डिसेंट (local descent) सुनिश्चित करता है।
स्टेट-ऑफ-द-आर्ट प्रदर्शन: व्यापक प्रयोग दिखाते हैं कि AEGIS रोबस्टनेस और इमेज क्वालिटी दोनों में मौजूदा बेसलाइन्स (ESD, AdvUnlearn, SalUn, आदि) को काफी पीछे छोड़ देता है।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने तीन कॉन्सेप्ट श्रेणियों: Nudity, Artistic Style (Van Gogh), और Objects (Church) पर Stable Diffusion v1.4 और v2.1 पर AEGIS का मूल्यांकन किया।

रोबस्टनेस (Attack Success Rate - ASR):
- P4D और UnlearnDiffAtk हमलों के खिलाफ, AEGIS ने ASR को काफी कम कर दिया।
- उदाहरण (SD v1.4 पर Nudity): AEGIS ने UnlearnDiffAtk के खिलाफ 8.45% का ASR प्राप्त किया, जबकि AdvUnlearn के लिए यह 64.79% और ESD के लिए 73.24% था।
- उदाहरण (Van Gogh): AEGIS ने UnlearnDiffAtk के खिलाफ ASR को 12% तक कम कर दिया, जो कि अगले सर्वश्रेष्ठ मेथड (30%) की तुलना में एक बड़ा सुधार है।
रिटेंशन (FID & CLIP):
- AEGIS ने बेसलाइन्स की तुलना में इमेज क्वालिटी (FID) और प्रॉम्प्ट एलाइनमेंट (CLIP) को बनाए रखा या सुधारा।
- उन विधियों के विपरीत जो छोटे रिटेंशन डेटासेट पर निर्भर करती हैं (जो अक्सर सभी कॉन्सेप्ट्स को कवर करने में विफल रहती हैं), AEGIS का पैरामीटर रेगुलराइजेशन दृष्टिकोण मॉडल की उपयोगिता को अधिक प्रभावी ढंग से संरक्षित करता है, जिसमें FID स्कोर अक्सर प्रतिस्पर्धी विधियों की तुलना में बेस मॉडल के करीब होता है।
दक्षता (Efficiency): हालांकि AEGIS (AET जनरेशन के कारण) वैनिला इरेज़र की तुलना में थोड़ा अधिक समय लेता है, लेकिन यह बड़े पैमाने के रिटेंशन डेटासेट या जटिल मल्टी-स्टेज ट्रेनिंग की आवश्यकता वाली विधियों की तुलना में काफी तेज़ है।

5. महत्व

ट्रेड-ऑफ को तोड़ना: AEGIS प्रभावी रूप से उस प्रचलित ट्रेड-ऑफ को तोड़ता है जहाँ रोबस्टनेस बढ़ाने से अनिवार्य रूप से रिटेंशन कम हो जाता है। यह प्रदर्शित करता है कि मॉडल की सामान्य उपयोगिता से समझौता किए बिना रोबस्ट कॉन्सेप्ट इरेज़र संभव है।
डेटा-फ्री रिटेंशन: सहायक रिटेंशन डेटासेट की आवश्यकता को समाप्त करके, AEGIS विशिष्ट "सुरक्षित" डेटा को क्यूरेट करने से जुड़े पूर्वाग्रह और स्केलेबिलिटी मुद्दों से बचता है, जिससे यह विधि वास्तविक दुनिया के परिनियोजन (deployment) के लिए अधिक व्यावहारिक हो जाती है।
सुरक्षा निहितार्थ (Security Implications): यह कार्य सिमेंटिक प्रॉम्प्ट हमलों के माध्यम से डिफ्यूजन मॉडल्स को "जेलब्रेक" करने के विरुद्ध एक मजबूत रक्षा प्रदान करता है, जो सुरक्षित और अधिक विश्वसनीय जनरेटिव AI सिस्टम की ओर एक महत्वपूर्ण कदम है।
सामान्यीकरण (Generalizability): यह फ्रेमवर्क विभिन्न प्रकार के कॉन्सेप्ट्स (संवेदनशील सामग्री, स्टाइल, ऑब्जेक्ट्स) और विभिन्न मॉडल वर्शन्स पर लागू किया जा सकता है, जो जनरेटिव मॉडल्स में मशीन अनलर्निंग की व्यापक चुनौती के लिए एक मजबूत समाधान का सुझाव देता है।

संक्षेप में, AEGIS AI सुरक्षा के क्षेत्र में एक महत्वपूर्ण प्रगति का प्रतिनिधित्व करता है, जो गणितीय रूप से पुष्ट, कुशल और अत्यधिक प्रभावी तरीका प्रदान करता है जिससे डिफ्यूजन मॉडल्स से हानिकारक अवधारणाओं को स्थायी रूप रूप से हटाया जा सकता है और साथ ही उनकी रचनात्मक क्षमताओं को भी सुरक्षित रखा जा सकता है।