Erased, But Not Forgotten: Erased Rectified Flow Transformers Still Remain Unsafe Under Concept Attack

Titolo

Erased, But Not Forgotten: I Trasformatori a Flusso Rettificato Cancellati Rimangono Insicuri Sotto Attacchi di Concetto

1. Il Problema

I modelli di generazione di immagini da testo (T2I) basati su diffusione, in particolare le nuove generazioni come la famiglia Flux (basata su Rectified Flow Transformers), hanno dimostrato capacità generative superiori rispetto ai precedenti modelli come Stable Diffusion (SD). Tuttavia, questi modelli ereditano rischi di sicurezza derivanti dai dati di addestramento, potendo generare contenuti dannosi (NSFW, violenza, ecc.).
Per mitigare questi rischi, è stata sviluppata la cancellazione dei concetti (concept erasure), una tecnica che mira a disabilitare selettivamente la capacità del modello di generare specifici concetti indesiderati.
Il problema centrale affrontato dal paper è che le tecniche di cancellazione e le relative valutazioni di sicurezza sono state progettate principalmente per l'architettura U-Net di Stable Diffusion. Quando queste tecniche vengono applicate ai nuovi modelli Flux, la loro efficacia è sconosciuta e non esiste un benchmark affidabile per valutarne la robustezza. Gli autori si chiedono: Gli attuali metodi di cancellazione su Flux sono realmente sicuri o possono essere bypassati?

2. Metodologia: ReFlux

Gli autori introducono ReFlux, il primo metodo di attacco di concetto progettato specificamente per valutare la robustezza della cancellazione nei modelli T2I basati su rectified flow.

Osservazioni Chiave e Analisi

• Differenze Architetturali: A differenza di SD (che usa CLIP e U-Net), Flux utilizza l'encoder T5 (basato su Transformer) e meccanismi di flow matching. Gli autori scoprono che, nonostante le differenze, la cancellazione su Flux avviene ancora attraverso la localizzazione dell'attenzione (attention localization): i metodi di difesa sopprimono i pesi di attenzione associati a specifici token del testo.
• Fallimento degli Attacchi Esistenti: I metodi di attacco tradizionali (come Ring-A-Bell o ottimizzazioni PGD basate su prompt) falliscono su Flux perché:
  1. T5 cattura la semantica a livello di frase, rendendo inefficaci gli attacchi sensibili alle singole parole.
  2. Le dimensioni degli embedding di T5 sono molto più grandi, rendendo l'ottimizzazione dei prompt computazionalmente proibitiva.
  3. Un semplice potenziamento dell'attenzione porta a una divergenza e a immagini distorte.

Il Framework ReFlux

ReFlux è una strategia di fine-tuning leggera e mirata che ripristina i concetti cancellati riattivando i segnali di attenzione soppressi. Si basa su tre componenti principali:

1. Perdita di Riattivazione dell'Attenzione (Attention Reactivation Loss):
   • Utilizza un processo di ottimizzazione inversa per aumentare i pesi di attenzione sui token target cancellati.
   • Per evitare la divergenza (che porta a immagini rotte), introduce due regolarizzatori:
     • Un termine L2 per limitare la grandezza degli aggiornamenti.
     • Un termine di Entropia per mantenere la distribuzione dell'attenzione stabile e evitare picchi eccessivi.
2. Perdita di Velocità Guidata dall'Attacco (Attack-Guided Velocity Loss):
   • Sfrutta la dinamica del flow matching per guidare la traiettoria di generazione verso il concetto target.
   • Modifica il campo vettoriale predetto dal modello per rafforzare la probabilità di generare il concetto cancellato, agendo direttamente sul processo di denoising.
3. Perdita di Coerenza LoRA (LoRA Consistency Loss):
   • Utilizza l'adattamento a basso rango (LoRA) sui parametri del testo (specificamente le proiezioni Q e K nei blocchi dual-stream) per un totale di soli 3.57 MB di parametri aggiuntivi.
   • Questa perdita garantisce che, mentre il concetto target viene ripristinato, la struttura generale dell'immagine, lo stile e i contenuti non correlati rimangano intatti, prevenendo distorsioni globali.

3. Contributi Principali

1. Analisi del Meccanismo Interno di Flux: Dimostrano che i metodi di cancellazione su Flux si basano sulla soppressione localizzata dell'attenzione, rendendo vulnerabili i modelli a un attacco mirato alla riattivazione di questi segnali.
2. Sviluppo di ReFlux: Un metodo di attacco efficiente e leggero che combina riattivazione dell'attenzione, regolarizzazione, ottimizzazione guidata dalla velocità e vincoli di coerenza.
3. Primo Benchmark di Robustezza: Stabiliscono il primo framework sistematico per valutare la sicurezza della cancellazione dei concetti su modelli rectified flow, coprendo categorie diversificate (NSFW, stili artistici, entità, astrazioni, relazioni e celebrità).

4. Risultati Sperimentali

Gli autori hanno testato ReFlux su diverse categorie di concetti cancellati utilizzando modelli come Flux.1 [dev] e [schnell], confrontandolo con metodi di cancellazione avanzati (ESD, AC, EA, MACE, CP) e altri attacchi (Ring-A-Bell, UnlearnDiffAtk).

• Efficacia (ASR - Attack Success Rate): ReFlux ha ottenuto i tassi di successo più alti in quasi tutte le configurazioni.
  • Su concetti NSFW (nudità e violenza), ha raggiunto un ASR del 100% su modelli non attaccati e ha superato tutti gli altri metodi di attacco su modelli cancellati (es. 87.16% contro 85.32% per UnlearnDiffAtk sulla nudità con cancellazione AC).
  • Su stili artistici (Van Gogh, Picasso), ha superato le baseline in 8 su 12 impostazioni di valutazione.
  • Su concetti astratti e relazionali, ha mostrato una superiorità significativa, dimostrando capacità di recupero anche per concetti complessi.
• Efficienza: A differenza dei metodi PGD che richiedono minuti per prompt (fino a 20+ minuti), ReFlux richiede un solo fine-tuning per concetto (circa 0.5 minuti di generazione) e può essere riutilizzato per tutti i prompt relativi a quel concetto.
• Qualità e Coerenza: ReFlux ripristina i concetti cancellati con alta fedeltà visiva, preservando layout, posture e sfondi. Al contrario, altri metodi (come UnlearnDiffAtk) spesso producono immagini collassate o distorte.
• Studio Utenti e VLM: Valutazioni umane e tramite modelli Vision-Language (GPT-5) confermano che ReFlux offre il miglior equilibrio tra riattivazione del concetto, allineamento al prompt e qualità dell'immagine.

5. Significato e Implicazioni

Il lavoro rivela una vulnerabilità fondamentale nei modelli T2I di nuova generazione: la cancellazione dei concetti su Flux è spesso solo una soppressione superficiale dei segnali di attenzione, non una rimozione profonda della semantica.

• "Cancellati, ma non dimenticati": I concetti rimangono latenti nel modello e possono essere riattivati con precisione utilizzando la giusta strategia di ottimizzazione.
• Impatto sulla Sicurezza: Questo studio evidenzia che le attuali tecniche di sicurezza non sono sufficienti per i modelli basati su Transformer e flow matching.
• Direzione Futura: Gli autori sottolineano la necessità di sviluppare nuove strategie di cancellazione che vadano oltre la semplice localizzazione dei token, richiedendo vincoli di coerenza multi-livello e architetture più robuste. ReFlux fornisce il benchmark necessario per testare queste future difese.

In sintesi, il paper dimostra che i modelli Flux, nonostante le loro avanzate capacità, rimangono vulnerabili agli attacchi di concetto se non protetti da meccanismi di cancellazione più profondi e robusti, e fornisce gli strumenti per misurare tale vulnerabilità.