🤖 AI

Bypassing Copyright Protection in Diffusion-based Customization via Two-Stage Latent Feature Optimization

यह शोध पत्र TS-LFO को प्रस्तुत करता है, जो एक दो-चरणीय लेटेंट फीचर ऑप्टिमाइज़ेशन हमला है जो लेटेंट डिनोइजिंग और पुनर्निर्माण के माध्यम से बाधित इनपुट-टू-लेटेंट मैपिंग को बहाल करके डिफ्यूजन-आधारित अनुकूलन (कस्टमाइजेशन) में मौजूदा कॉपीराइट सुरक्षा प्रणालियों को प्रभावी ढंग से दरकिनार करता है।

मूल लेखक: Ziang Xu, Wenbo Yu, Hongyao Yu, Hao Fang, Jiawei Kong, Bin Chen, Hao Wu, Shu-Tao Xia, Zhiyong Wu

प्रकाशित 2026-06-10

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Ziang Xu, Wenbo Yu, Hongyao Yu, Hao Fang, Jiawei Kong, Bin Chen, Hao Wu, Shu-Tao Xia, Zhiyong Wu

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ सरल भाषा और रचनात्मक उपमाओं (analogies) का उपयोग करके शोध पत्र (paper) का विवरण दिया गया है।

बड़ी तस्वीर: एक डिजिटल ताला बनाने वाला बनाम एक डिजिटल ताला खोलने वाला (Digital Picklock)

कल्पना कीजिए कि आपके पास केक की एक बहुत ही खास, अद्वितीय रेसिपी है (आपकी इमेज/चित्र)। आप एक रोबोट शेफ (AI) को यह सिखाना चाहते हैं कि इस विशिष्ट केक को कैसे बनाया जाता है ताकि वह इसके जैसे और भी केक बना सके।

हालाँकि, आपको डर है कि कोई और आपकी रेसिपी चुरा सकता है और केक बेच सकता है। इसे रोकने के लिए, आप अपनी रेसिपी बुक में थोड़ा सा, अदृश्य "ज़हर" (adversarial perturbation) छिड़कने का निर्णय लेते हैं। यह ज़हर इंसान के लिए केक के रूप में दिखने वाले स्वरूप को नहीं बदलता, लेकिन यह रोबोट शेफ को भ्रमित कर देता है। जब रोबोट आपकी किताब से सीखने की कोशिश करता है, तो उसे चक्कर आने लगते हैं और अंत में वह एक भयानक, अपरिचित कचरा बना देता है। वर्तमान कॉपीराइट सुरक्षा (copyright protection) इसी तरह काम करती है।

यह पेपर एक नई विधि पेश करता है जिसे TS-LFO कहा जाता है। इसे एक मास्टर डिजिटल पिकलॉक (ताला खोलने वाला) के रूप में समझें। लेखकों ने एक तरीका खोजा है जिससे वे आपकी "ज़हरीली" रेसिपी बुक को देख सकते हैं, यह पता लगा सकते हैं कि ज़हर रोबोट को ठीक कैसे भ्रमित कर रहा है, और फिर निर्देशों को बस इतना "साफ़" कर सकते हैं कि रोबोट आपकी रेसिपी को फिर से सीख सके, ज़हर को नज़रअंदाज़ करते हुए।

वर्तमान बचाव कैसे काम करते हैं (द "ज़हर")

पेपर बताता है कि वर्तमान सुरक्षा विधियाँ उस कनेक्शन को बिगाड़कर काम करती हैं जो आपके चित्र और उस "गुप्त कोड" (latent space) के बीच होता है जिसका उपयोग AI उसे समझने के लिए करता है।

उपमा: कल्पना कीजिए कि आप रोबोट को बिल्ली की एक तस्वीर दिखाते हैं। रोबط उस तस्वीर को एक गुप्त कोड में अनुवाद करने की कोशिश करता है। "ज़हर" रोबोट को "बिल्ली" को एक ऐसे कोड में अनुवाद करने के लिए मजबूर करता है जो "टोस्टर" जैसा दिखता है।
परिणाम: जब रोबोट उस कोड के आधार पर केक बनाने की कोशिश करता है, तो वह बिल्ली के केक के बजाय टोस्टर के आकार का केक बनाता है। सुरक्षा इसलिए काम करती है क्योंकि रोबोट सही अवधारणा (concept) को नहीं सीख पाता।

समस्या जो लेखकों ने पाई

शोधकर्ताओं ने कुछ दिलचस्प देखा: "ज़हर" उच्च-आवृत्ति वाले विवरणों (high-frequency details - बारीक, शोर वाला हिस्सा) को बिखेरने में बहुत अच्छा है, लेकिन यह निम्न-आवृत्ति वाले विवरणों (low-frequency details - मुख्य आकार और संरचना) को लगभग सुरक्षित छोड़ देता है।

उपमा: यदि आप बिल्ली की एक स्पष्ट फोटो लेते हैं और उसमें बहुत सारा स्टैटिक शोर (static noise) जोड़ देते हैं, तो आप अभी भी बता सकते हैं कि वह बिल्ली है, भले ही उसके बाल धुंधले दिख रहे हों। वर्तमान बचाव उस धुंधलेपन पर निर्भर करते हैं ताकि रोबोट की सीखने की क्षमता को तोड़ा जा सके।

समाधान: टू-स्टेज लेटेंट फीचर ऑप्टिमाइज़ेशन (TS-LFO)

लेखकों ने "ज़हरीले" कोड को ठीक करने और रोबोट को वास्तविक छवि फिर से सीखने देने के लिए एक दो-चरणीय प्रक्रिया बनाई है।

चरण 1: "डिनोइजिंग" चरण (सिग्नल की सफाई)

इस चरण में, विधि "गुप्त कोड" को ठीक करने की कोशिश करती है ताकि रोबोट इसे फिर से समझ सके।

उपमा: कल्पना कीजिए कि रोबोट एक गाना सुनने की कोशिश कर रहा है, लेकिन कमरे में तेज़ शोर (ज़हर) है।
- चरण A (एलाइनमेंट): विधि रोबोट को गाना और बोल दोनों एक साथ सुनने के लिए मजबूर करती है ताकि यह सुनिश्चित हो सके कि वे मेल खाते हैं।
- चरण B (डिफ्यूजन लॉस): विधि रोबोट को शोर (static noise) को नज़रअंदाज़ करना सिखाती है, जैसा कि रोबोट आमतौर पर शोर वाले संकेतों को साफ़ करने के लिए सीखता है।
जादू: वे एक विशेष "ट्यूनिंग नॉब" का उपयोग करते हैं जो प्रक्रिया के दौरान बदलता रहता है। शुरुआत में, वे तेज़ शोर को हटाने पर ध्यान केंद्रित करते हैं। बाद में, वे इस बात पर ध्यान केंद्रित करते हैं कि गाना सही सुनाई दे। यह रोबोट को ज़हर को नज़रअंदाज़ करने और संगीत पर ध्यान केंद्रित करने में मदद करता है।

चरण 2: "रिकंस्ट्रक्शन" चरण (तस्वीर को पॉलिश करना)

पहले चरण के बाद, कोड बेहतर होता है, लेकिन तस्वीर अभी भी थोड़ी धुंधली या अजीब दिख सकती है क्योंकि पहले "ज़हर" का प्रभाव था।

उपमा: रोबोट के पास सही रेसिपी है, लेकिन सामग्री थोड़ी गलत है। यह चरण एक सख्त शेफ की तरह काम करता है जो कहता है, "अंतिम केक मूल फोटो के बिल्कुल समान होना चाहिए, त्रुटि की एक बहुत छोटी सीमा के भीतर।"
परिणाम: यह अंतिम छवि को वापस एक तेज़, स्पष्ट आकार में लाने के लिए मजबूर करता है जो मूल से मेल खाता है, जिससे सुरक्षा द्वारा छोड़ी गई कोई भी शेष धुंधलापन दूर हो जाता है।

उन्होंने क्या पाया (परिणाम)

लेखकों ने अपने पिकलॉक का परीक्षण वर्तमान में उपलब्ध सर्वश्रेष्ठ "तालों" (कॉपीराइट बचाव) के खिलाफ किया, जैसे कि AdvDM, SimAC, और DisDiff।

परिणाम: उनकी विधि ने उन सभी को सफलतापूर्वक बायपास कर दिया।
तुलना: उन्होंने अपनी विधि की तुलना अन्य "पिकलॉक्स" (जैसे DiffPure और GrIDPure) से की। उनकी विधि इमेज की पहचान चुराने में बेहतर थी।
- फेस टेस्ट: जब किसी चेहरे को चुराने की कोशिश की गई, तो उनकी विधि ने अन्य विधियों की तुलना में मूल व्यक्ति जैसा दिखने वाला चेहरा बनाया।
- क्वालिटी टेस्ट: जनरेट की गई छवियां अधिक स्पष्ट और सटीक थीं।

यह क्यों मायने रखता है (पेपर के अनुसार)

पेपर का तर्क है कि वर्तमान कॉपीराइट बचाव बहुत नाजुक हैं। वे एक विशिष्ट ट्रिक (कोड को बिखेरना) पर निर्भर करते है जिसे यह नई विधि आसानी से उलट सकती है।

चेतावनी: लेखक कहते हैं कि यह साबित करता है कि वर्तमान बचाव पर्याप्त मजबूत नहीं हैं। वे आशा करते हैं कि यह शोध वैज्ञानिकों को बेहतर, अधिक मजबूत ताले बनाने के लिए मजबूर करेगा जिन्हें इतनी आसानी से नहीं खोला जा सके।
ट्रेड-ऑफ: विधि को एक छवि को प्रोसेस करने में लगभग 6 मिनट लगते हैं। लेखक तर्क देते हैं कि यह स्वीकार्य है क्योंकि AI को इमेज सीखने के लिए प्रशिक्षित करने में उससे कहीं अधिक समय (15 से 30 मिनट) लगता है।

सारांश

यह पेपर "ज़हरीले" को हटाने के लिए एक चतुर दो-चरणीय तकनीक प्रस्तुत करता है जिसे कॉपीराइट रक्षक छवियों पर लगाते हैं। पहले AI की आंतरिक समझ को साफ़ करके और फिर अंतिम तस्वीर को मूल से मेल खाने के लिए मजबूर करके, वे लगभग सभी वर्तमान सुरक्षा उपायों को बायपास कर सकते हैं और AI को कॉपीराइट की गई इमेज को पूरी तरह से जनरेट करने में सक्षम बना सकते हैं।

तकनीकी सारांश: दो-चरणीय लेटेंट फीचर ऑप्टिमाइज़ेशन के माध्यम से डिफ्यूजन-आधारित अनुकूलन में कॉपीराइट सुरक्षा को बायपास करना

समस्या विवरण
डिफ्यूजन-आधारित जनरेटिव मॉडल्स, विशेष रूप से ड्रीमबूथ (DreamBooth) और टेक्स्टुअल इनवर्जन (Textual Inversion) जैसी अनुकूलन तकनीकों के माध्यम से, की तीव्र प्रगति ने महत्वपूर्ण बौद्धिक संपदा जोखिमों को जन्म दिया है। दुर्भावनापूर्ण कर्ता कॉपीराइट छवियों पर इन मॉडल्स को फाइन-ट्यून करके दृश्य सामग्री या नकली पहचान बनाने के लिए इनका उपयोग कर सकते हैं। इसके जवाब में, शोधकर्ताओं ने रक्षात्मक तंत्र विकसित किए हैं (जैसे AdvDM, SimAC, DisDiff) जो इनपुट छवियों में लक्षित गड़बड़ी (perturbations) इंजेक्ट करते हैं। इन गड़बड़ियों का उद्देश्य मॉडल की व्यक्तिगत अवधारणाओं को सीखने की क्षमता को बाधित करना है, जिससे अनधिकृत पीढ़ी को रोका जा सके। हालाँकि, लेखक यह देखते हैं कि ये रक्षा प्रणालियाँ एक विशिष्ट भेद्यता (vulnerability) पर निर्भर करती हैं: वे इनपुट छवियों और उनके लेटेंट स्पेस प्रतिनिधित्व के बीच स्थिर सिमेंटिक मैपिंग को बाधित करती हैं। ये रक्षा प्रणालियाँ उच्च-आवृत्ति वाले शोर (high-frequency noise) को पेश करती हैं और लेटेंट फीचर्स को दूषित करती हैं, जिससे एक लक्षित बायपास का अवसर बनता है।

कार्यप्रणाली: दो-चरणीय लेटेंट फीचर ऑप्टिमाइज़ेशन (TS-LFO)
पेपर में TS-LFO प्रस्तावित किया गया है, जो एक हमला फ्रेमवर्क है जिसे स्टेट-ऑफ-द-आर्ट (SOTA) कॉपीराइट रक्षाओं को बहाल करने और उन्हें बायपास करने के लिए डिज़ाइन किया गया है। यह विधि व्हाइट-बॉक्स थ्रेट मॉडल के तहत कार्य करती है जहाँ हमलावर के पास संरक्षित छवि ( $x_{adv}$ ) और LDM (VAE और Unet) की आर्किटेक्चर तक पहुँच होती है, लेकिन मूल स्वच्छ छवि ( $x$ ) या विशिष्ट रक्षा मापदंडों तक नहीं।

यह फ्रेमवर्क दो क्रमिक अनुकूलन चरणों से बना है:

लेटेंट डिनोइजिंग चरण (Latent Denoising Stage):
मुख्य लक्ष्य उच्च-आवृत्ति वाली एडवरसैरियल गड़बड़ी को हटाना और अनुकूलित लेटेंट फीचर और इनपुट इमेज के बीच सिमेंटिक निरंतरता को बहाल करना है। लेखक एक संयुक्त अनुकूलन उद्देश्य पेश करते हैं:

लेटेंट-इमेज अलाइनमेंट लॉस ( $\mathcal{L}_{align}$ ): यह लॉस VAE डिकोडर के माध्यम से अनुकूलित लेटेंट फीचर ( $z$ ) के पुनर्निर्माण और संरक्षित छवि ( $x_{adv}$ ) के बीच विसंगति को कम करता है। आश्चर्यजनक रूप से, लेखक पाते हैं कि इस संदर्भ में पारंपरिक मीन स्क्वेर्ड एरर (MSE), LPIPS या SSIM जैसे परसेप्चुअल मेट्रिक्स से बेहतर प्रदर्शन करता है, क्योंकि उन्नत मेट्रिक्स एडवरसैरियल गड़बड़ी को वैध फीचर्स के रूप में गलत समझ सकते हैं।
लेटेंट डिफ्यूजन लॉस ( $\mathcal{L}_{DM}$ ): यह लॉस डाउनस्ट्रीम Unet की ट्रेनिंग डायनेमिक्स का अनुकरण करता है। यह अनुकूलित लेटेंट फीचर के नॉइजी वर्जन को प्रोसेस करते समय एक फ्रोजन, प्री-ट्रेंड Unet के नॉइज़ प्रेडिक्शन एरर को कम करता है। इस प्रॉक्सी ट्रेनिंग लॉस को कम करके, हमला यह सुनिश्चित करता है कि लेटेंट फीचर डिफ्यूजन मॉडल के लिए "सीखने में आसान" हो।
टाइमस्टेप-वेरिंग वेटिंग (Timestep-Varying Weighting): इन दोनों लॉस को संतुलित करने के लिए, लेखक डिफ्यूजन टाइमस्टेप पर निर्भर एक रैखिक रूप से परिवर्तनशील वेट फैक्टर ( $\lambda_t$ ) का उपयोग करते हैं। यह सुनिश्चित करता है कि अनुकूलन डिफ्यूजन प्रक्षेपवक्र (trajectory) के विभिन्न चरणों में एक लॉस टर्म को दूसरे पर प्राथमिकता न दे।

लेटेंट रिकंस्ट्रक्शन चरण (Latent Reconstruction Stage):
डिनोइजिंग चरण के बाद, अनुकूलित लेटेंट फीचर में अभी भी उच्च-निष्ठा वाले संरचनात्मक विवरणों की कमी हो सकती है या इसमें अवशिष्ट गड़बड़ी हो सकती है। यह चरण लेटेंट प्रतिनिधित्व को परिष्कृत करने के लिए पिक्सेल-स्तरीय बाधाएं लागू करता है:

लेटेंट फीचर को इमेज स्पेस में डिकोड किया जाता है, मूल संरक्षित छवि के आसपास एक छोटे रेंज ( $\epsilon_{rec}$ ) के भीतर क्लैंप किया जाता है ताकि सिमेंटिक निष्ठा बनी रहे, और फिर इसे पुन: एनकोड किया जाता है। यह चरण लो-फ्रीक्वेंसी सिमेंटिक जानकारी को पुनः प्राप्त करता है और यह सुनिश्चित करता है कि अंतिम लेटेंट फीचर स्रोत सामग्री से बहुत अधिक विचलित हुए बिना उच्च-गुणवत्ता वाली पीढ़ी के लिए उपयुक्त है।

प्रमुख योगदान

नवीन हमला फ्रेमवर्क: पेपर TS-LFO पेश करता है, जो एक दो-चरणीय हमला है जो विशेष रूप से उस तंत्र को लक्षित करता है जिसके द्वारा कॉपीराइट रक्षाएँ लेटेंट-इमेज मैपिंग को बाधित करती हैं। यह मैपिंग को बहाल करने के लिए अलाइनमेंट और डिफ्यूजन लॉस के संयोजन का उपयोग करता है।
मैकेनिस्टिक विश्लेषण: लेखक एक सैद्धांतिक और अनुभवजन्य विश्लेषण प्रदान करते हैं जो प्रदर्शित करता है कि मौजूदा रक्षा प्रणालियाँ एनकोडर के लेटेंट प्रतिनिधित्व को दूषित करके और Unet के ट्रेनिंग लॉस को बढ़ाकर काम करती हैं। TS-LFO को विशेष रूप से इन प्रभावों को उलटने के लिए डिज़ाइन किया गया है।
व्यापक मूल्यांकन: अध्ययन कई SOTA रक्षाओं (Anti-DreamBooth, AdvDM, SimAC, DisDiff, PhotoGuard) के विरुद्ध TS-LFO का मूल्यांकन करता है और उन्नत अटैक बेसलाइन्स (DiffPure, GrIDPure, IMPRESS) के साथ इसके प्रदर्शन की तुलना करता है।

प्रायोगिक परिणाम
व्यापक प्रयोगों से पता चलता है कि TS-LFO मौजूदा कॉपीराइट हमला विधियों को लगातार पीछे छोड़ देता है:

डिफेंस बायपास: TS-LFO SOTA रक्षाओं की प्रभावशीलता को काफी कम कर देता है। उदाहरण के लिए, टेक्स्टुअल इनवर्जन प्रयोगों में, यह विधि FID स्कोर (जेनरेशन क्वालिटी का एक माप) को बेसलाइन स्तर के करीब ले आती है, जबकि बिना हमले वाले डिफेंडेड मॉडल्स महत्वपूर्ण गिरावट दिखाते हैं।
बेसलाइन्स पर श्रेष्ठता: DiffPure, GrIDPure और IMPRESS की तुलना में, TS-LFO कम FID (बेहतर गुणवत्ता), उच्च CLIP इमेज सिमिलरिटी, और फेस डेटासेट्स पर बेहतर आइडेंटिटी कंसिस्टेंसी (ISM द्वारा मापा गया) प्राप्त करता है।
सामान्यीकरण (Generalization): विधि विभिन्न इमेज डिस्ट्रीब्यूशन (चेहरे, बिल्लियाँ, भेड़ें) और विभिन्न अनुकूलन तकनीकों (DreamBooth और Textual Inversion) में प्रभावी सिद्ध होती है।
एब्लेशन स्टडीज: लेखक प्रत्येक घटक की आवश्यकता को प्रमाणित करते हैं, यह दिखाते हुए कि टाइमस्टेप-वेरिंग वेट्स और अलाइनमेंट लॉस के लिए विशिष्ट MSE का चुनाव इष्टतम प्रदर्शन के लिए महत्वपूर्ण है। वे यह भी नोट करते हैं कि हालांकि TS-LFO को प्रति छवि लगभग 6 मिनट की आवश्यकता होती है, यह वास्तविक अनुकूलन प्रशिक्षण के लिए आवश्यक 15-30 मिनट की तुलना में स्वीकार्य है।

महत्व और दावे
पेपर का दावा है कि TS-LFO वर्तमान एडवरसैरियल कॉपीराइट प्रोटेक्शन रणनीतियों की मजबूती के लिए एक महत्वपूर्ण चुनौती है। लेटेंट-स्पेस व्यवधान की विशिष्ट भेद्यता का फायदा उठाकर, लेखक प्रदर्शित करते हैं कि उच्च-निष्ठा वाली अनधिकृत पीढ़ी प्राप्त करने के लिए वर्तमान रक्षाओं को व्यवस्थित रूप से बायपास किया जा सकता है।

लेखक इस कार्य को कॉपीराइट उल्लंघन के समर्थन के रूप में नहीं, बल्कि क्षेत्र के लिए एक आवश्यक 'स्ट्रेस टेस्ट' के रूप में प्रस्तुत करते हैं। उनका तर्क है कि सुरक्षा शोधकर्ता अक्सर पारंपरिक हमलों पर ध्यान केंद्रित करते हैं और TS-LFO जैसे उन्नत, लक्षित हमलों के खिलाफ मजबूती को अनदेखा कर देते हैं। फलस्वरूप, पेपर अधिक परिष्कृत रक्षा तंत्र विकसित करने का आह्वान करता है जो लेटेंट स्पेस में फीचर भेद्यताओं को ध्यान में रखते हैं और जेनरेटिव AI में ओपन इनोवेशन के साथ कॉपीराइट संरक्षण को संतुलित करने के लिए नैतिक ढांचे की आवश्यकता पर जोर देता है। लेखक अपने शोध को आगे बढ़ाने के लिए अपना सोर्स कोड सार्वजनिक रूप से उपलब्ध कराते हैं।