The Linear Geometry of Interpretable Tokens: Jailbreaking Attacks and Defenses for Unlearned Diffusion Models

Sintesi Tecnica: La Geometria Lineare dei Token Interpretabili nei Modelli di Diffusione "Unlearned"

Problematica
I modelli di diffusione (DM), in particolare i modelli Text-to-Image (T2I), eccellono nella generazione di contenuti di alta qualità ma pongono rischi per la sicurezza poiché possono memorizzare e riprodurre concetti dannosi (ad esempio, nudità, stili protetti da copyright o oggetti specifici). I metodi di Machine Unlearning (MU) sono stati sviluppati per "cancellare" questi concetti dai modelli pre-addestrati tramite fine-tuning, senza dover riaddestrare il modello da zero. Tuttavia, i metodi di unlearning esistenti faticano a rimuovere completamente i concetti dannosi mantenendo al contempo la qualità della generazione sui contenuti sicuri. Di conseguenza, i modelli sottoposti a unlearning rimangono vulnerabili agli attacchi di jailbreaking, in cui gli avversari manipolano i prompt per rigenerare i concetti cancellati.

Gli attuali approcci di jailbreaking (ad esempio, l'ottimizzazione dei prompt avversari o gli attacchi basati su embedding) si affidano spesso a perturbazioni basate sull'ottimizzazione e non interpretabili. Sebbene efficaci, questi metodi offrono una visione limitata su come i concetti dannosi persistano all'interno dello stato interno del modello. Questa mancanza di interpretabilità ostacola lo sviluppo di strategie di difesa mirate e robuste. Inoltre, i meccanismi di difesa post-hoc leggeri che operano su modelli già sottoposti a unlearning rimangono meno esplorati rispetto agli approcci di ri-addestramento avversario.

Metodologia
Gli autori propongono che i concetti cancellati non scompaiano del tutto, ma persistano come un sottospazio lineare coerente e interpretabile all'interno dello spazio degli embedding dei token del codificatore testuale CLIP utilizzato dai Latent Diffusion Models (LDM). Sulla base di questa ipotesi, introducono due metodi complementari: SubAttack e SubDefense.

1. SubAttack (Attacco al Sottospazio):

   • Obiettivo: Identificare ed esplorare il sottospazio residuo di un concetto dannoso.
   • Meccanismo: Il metodo apprende un insieme di embedding dei token di attacco ortogonali $\{v_{att, k}\}$ che spaziano il sottospazio residuo. Ogni embedding è vincolato a essere una combinazione lineare non negativa di embedding di token esistenti del vocabolario ($v_{att} = \sum \alpha_i v_i, \alpha_i \geq 0$).
   • Ottimizzazione: Una rete MLP viene addestrata per ottimizzare i coefficienti $\alpha_i$ al fine di minimizzare la perdita di denoising quando l'immagine generata contiene il target concetto dannoso.
   • Deflazione: Per apprendere molteplici embedding ortogonali, gli autori utilizzano una strategia di deflazione. Dopo aver appreso $v_{att, k}$, proiettano l'intero vocabolario ortogonalmente a $v_{att, k}$ prima di apprendere l'embedding successivo. Ciò garantisce diversità e cattura l'intero sottospazio del concetto residuo.
   • Interpretabilità: Poiché gli embedding sono combinazioni lineari di token esistenti, i token con il peso maggiore possono essere estratti e analizzati (ad esempio, tramite WordClouds) per rivelare i componenti semantici (ad esempio, "schiavo", "anche", "capezzolo") che il modello unlearned associa ancora al concetto cancellato.

2. SubDefense (Difesa dal Sottospazio):

   • Obiettivo: Neutralizzare il sottospazio residuo identificato da SubAttack.
   • Meccanismo: Una volta identificato il sottospazio di attacco $V_{att}$ (spaziato dagli embedding dei token appresi), SubDefense proietta gli embedding dei token del vocabolario del modello unlearned sul nucleo (nullspace) di $V_{att}$.
   • Regola di Aggiornamento: Per ogni embedding di token $v_i$ nel vocabolario, la difesa aggiorna l'embedding come $v_{def, i} = v_i - \text{Proj}_{V_{att}}(v_i)$.
   • Plug-and-Play: Questa operazione è leggera e non richiede il riaddestramento dei pesi del modello di diffusione. Può essere applicata a qualsiasi modello unlearned, inclusi quelli che hanno subito un fine-tuning avversario.

Contributi Chiave

• Identificazione di Sottospazi Residui Interpretabili: Il documento dimostra che i concetti dannosi nei modelli di diffusione unlearned persistono come un sottospazio lineare nello spazio degli embedding dei token, composto da elementi testuali interpretabili dall'uomo.
• SubAttack: Un nuovo attacco di jailbreaking interpretabile che apprende embedding di token ortogonali per spaziare questo sottospazio. Supera le baseline esistenti in termini di Attack Success Rate (ASR) e dimostra un'alta trasferibilità tra diversi prompt, rumori iniziali e modelli unlearned.
• SubDefense: Un meccanismo di difesa robusto e leggero che proietta fuori il sottospazio residuo identificato. Migliora la robustezza contro diversi attacchi di jailbreaking (inclusi prompt avversari ed attacchi di embedding) preservando meglio la qualità della generazione sicura rispetto alle difese esistenti come RECE.
• Intuizioni sui Limiti dell'Unlearning: Il lavoro rivela che l'unlearning spesso sopprime le parole chiave superficiali ma non riesce a eliminare le associazioni implicite più profonde (ad esempio, "bidone" per "camion della spazzatura" o "schiavo" per "nudità"), che sono catturate dal sottospazio lineare.

Risultati Sperimentali

• Performance dell'Attacco: SubAttack ha ottenuto un ASR significativamente più alto rispetto alle baseline (UnlearnDiff e CCE) su molteplici concetti (nudità, stile Van Gogh, chiesa) e modelli unlearned (ESD, FMN, UCE, SPM). Ad esempio, sul concetto di "nudità" attraverso ESD, FMN, UCE e SPM, SubAttack ha raggiunto ASR rispettivamente del 97,56%, 100%, 81,67% e 74,89%, superando CCE e UnlearnDiff.
• Trasferibilità: Gli embedding di attacco appresi su un modello unlearned (ad esempio, ESD) si sono trasferiti efficacemente su altri (FMN, SPM, UCE) e persino sul modello originale Stable Diffusion, con ASR costantemente superiori all'80%.
• Performance della Difesa: SubDefense ha ridotto significativamente l'ASR per vari attacchi. Ad esempio, difendendo UCE contro SubAttack sul concetto "Van Gogh", l'ASR è sceso dal 98,33% al 29,44%. Ha inoltre ridotto l'ASR per gli attacchi UnlearnDiff e CCE.
• Preservazione della Qualità: A differenza di alcune difese che degradano la qualità dell'immagine, SubDefense ha mantenuto o migliorato i punteggi FID e CLIP su prompt sicuri (dataset MSCOCO-10k) rispetto alla baseline di difesa RECE.
• Complementarità: È stato dimostrato che SubDefense è efficace anche quando applicato sopra modelli sottoposti a fine-tuning avversario come STEREO, riducendo ulteriormente l'ASR dal 21,67% al 6,67%, indicando che affronta una vulnerabilità diversa (residuo lineare) rispetto all'addestramento avversario.

Significatività e Rivendicazioni
Il documento afferma che la persistenza dei concetti dannosi nei modelli unlearned non è rumore casuale, ma un fenomeno strutturato e lineare che può essere sia sfruttato che mitigato. Inquadrando il problema attraverso la lente della geometria lineare negli embedding dei token, gli autori forniscono un quadro unificato per comprendere le vulnerabilità (SubAttack) e costruire difese (SubDefense).

La significatività risiede nello spostamento del paradigma da attacchi opachi basati sull'ottimizzazione ad analisi basate su sottospazi e interpretabili. Questo approccio non solo espone vulnerabilità più profonde nelle attuali tecniche di unlearning, ma offre anche una strategia di difesa pratica e agnostica rispetto al modello che non richiede riaddestramento. Gli autori sottolineano che, sebbene la proiezione lineare non possa catturare i residui non lineari (un limite che riconoscono), affrontare il sottospazio residuo lineare rappresenta un primo passo critico verso meccanismi di sicurezza più robusti e interpretabili per l'IA generativa.