Riepilogo Tecnico: TrajShield

1. Enunciato del Problema

I modelli Text-to-Video (T2V) hanno fatto progressi significativi nella generazione di video temporalmente coerenti a partire da prompt in linguaggio naturale. Tuttavia, i meccanismi di sicurezza esistenti, in gran parte ereditati dai domini Text-to-Image (T2I), sono insufficienti per il T2V. Le difese attuali operano principalmente a livello lessicale superficiale del prompt di input (ad esempio, liste nere di parole chiave, classificatori a livello superficiale o riscrittura generica tramite LLM). Questi metodi non riescono ad affrontare una distinzione fondamentale tra immagini statiche e video dinamici: il rischio emergente temporale.

Nella generazione T2V, un prompt apparentemente benigno (ad esempio, "due uomini che litigano in un parcheggio") può mancare di parole chiave apertamente dannose e tuttavia portare a contenuti non sicuri (ad esempio, violenza fisica) attraverso l'estrapolazione temporale del modello verso la coerenza narrativa. Il rischio è invisibile a livello di prompt e si materializza solo mentre il generatore sviluppa la scena nel tempo. Inoltre, le difese esistenti spesso falliscono contro attacchi di jailbreak sofisticati che mascherano l'intento dannoso attraverso riformulazioni o prompt avversari. La sfida principale è anticipare la traiettoria temporale che un modello T2V produrrà, identificare l'origine causale dei rischi emergenti e intervenire con una perturbazione semantica minima prima che venga renderizzata una singola immagine.

2. Metodologia: TrajShield

Gli autori propongono TrajShield, un framework di difesa senza addestramento, eseguito al momento dell'inferenza, che riformula la sicurezza T2V come un problema di intervento causale all'interno di uno spazio semantico strutturato temporalmente. Invece di modificare il testo grezzo basato su pattern lessicali, TrajShield simula la traiettoria implicita del prompt per neutralizzare i rischi preservando al contempo la semantica irrilevante per la sicurezza. Il framework è composto da tre fasi sequenziali:

A. Decoupling Motivo-Semantico (MSD)

Per prevenire una deriva semantica collaterale (dove la neutralizzazione di un rischio altera involontariamente l'identità o lo stile della scena), TrajShield fattorizza il prompt di input $P$ in tre componenti condizionalmente indipendenti:

1. Contesto Spaziale Invariante ($E$): Cattura elementi stazionari nel tempo, inclusi descrizioni dei soggetti, ambientazioni e indicazioni di stile cinematografico. Questo funge da ancora congelata per garantire che l'identità del soggetto e il tono visivo rimangano invariati.
2. Traiettoria d'Azione ($T$): Una sequenza discretizzata e ordinata temporalmente di stati della scena (ad esempio, inizio, punto medio, conclusione) che cattura la progressione dinamica implicata dal prompt. Il sistema esegue un'estrapolazione implicita delle dinamiche per inferire archi temporali plausibili anche se il prompt dell'utente è sottodeterminato.
3. Ancora di Intento ($I$): Una distillazione concisa dell'obiettivo creativo principale dell'utente, astratta da dettagli potenzialmente dannosi, che funge da regolarizzatore semantico durante la riscrittura.

B. Grafo di Propagazione del Rischio Temporale (TRPG)

Questo modulo opera interamente nello spazio semantico per simulare la traiettoria e localizzare l'origine causale del rischio senza renderizzare immagini video.

1. Svolgimento della Traiettoria: La traiettoria d'azione è modellata come una catena di Markov condizionata al contesto, prevedendo stati successivi basati sullo stato corrente e sul contesto spaziale.
2. Valutazione Gerarchica del Rischio: Ad ogni ancora temporale, il rischio viene valutato lungo tre dimensioni:
   • Rischio di Contenuto: Se lo stato istantaneo contiene contenuti dannosi (rischio statico).
   • Rischio di Transizione: Se il cambiamento tra stati costituisce un'escalation causale verso il danno (rischio dinamico).
   • Rischio Prospettico: Se continuare la traiettoria senza ostacoli porterebbe a uno stato terminale non sicuro.
3. Attribuzione Causale: Il sistema identifica il punto di innesco più precoce ($t_r$) in cui il rischio composito supera una soglia di sicurezza. Deriva quindi un Vincolo di Sicurezza ($C$), una direttiva dichiarativa che specifica cosa deve cambiare (neutralizzare il pattern non sicuro) e cosa deve essere preservato (il prefisso benigno e l'intento).

C. Riscrittura Sicura Temporalmente Coerente (TCSR)

La fase finale sintetizza un prompt sicuro $P^*$ attraverso:

1. Ancoraggio del Contesto Invariante: Bloccando rigidamente il contesto spaziale $E$ per garantire che non vi sia deriva semantica nei soggetti o nell'ambiente.
2. Sostituzione Vincolata della Traiettoria Controfattuale: Generando una traiettoria d'azione alternativa $T^*$ che soddisfi il vincolo di sicurezza $C$, preservi il prefisso benigno (stati precedenti a $t_r$), mantenga la prossimità semantica dell'azione (ad esempio, sostituendo la violenza fisica con uno scontro verbale) e aderisca all'ancora di intento $I$.
3. Assemblaggio del Prompt: Comporre il contesto congelato con la traiettoria controfattuale in un prompt fluido in linguaggio naturale.

3. Contributi Chiave

Il documento delinea tre contributi principali:

1. Identificazione del Rischio Emergente Temporale: Gli autori definiscono una categoria di minacce precedentemente trascurata nel T2V, in cui prompt benigni generano contenuti non sicuri attraverso l'estrapolazione temporale, eludendo sistematicamente le difese lessicali esistenti.
2. Framework TrajShield: Un meccanismo di difesa unificato e senza addestramento che gestisce prompt esplicitamente non sicuri, attacchi di jailbreak e rischi emergenti temporali tramite simulazione di traiettoria, localizzazione causale del rischio e riscrittura controfattuale minimamente invasiva.
3. Validazione Empirica: Esperimenti completi che dimostrano come TrajShield raggiunga prestazioni di difesa all'avanguardia in 14 categorie di sicurezza e su più backend T2V, mantenendo un'elevata fedeltà semantica.

4. Risultati Sperimentali

Gli autori hanno valutato TrajShield sul benchmark T2VSafetyBench (14 categorie di sicurezza) e sul dataset SafeWatch (prompt non sicuri del mondo reale) utilizzando sei modelli T2V (inclusi Pixverse, Hailuo, Kling, Seedance, Veo e Sora).

• Prestazioni di Sicurezza: TrajShield ha ridotto il Tasso di Successo dell'Attacco (ASR) in media del 52,44% su tutti i modelli e le categorie. Nello specifico, l'ASR medio è sceso dal 70,00% (modelli originali) al 15,64% (modelli difesi).
• Confronto con le Baseline: Il metodo ha superato sostanzialmente le difese esistenti, incluse le Liste Nere di Parole Chiave, l'Analisi Semantica (Toxic-BERT) e la Riscrittura tramite LLM. Ad esempio, sul modello Sora, TrajShield ha ridotto l'ASR al 20,86%, mentre la Riscrittura tramite LLM ha raggiunto solo il 51,57%.
• Robustezza: La difesa è rimasta efficace contro diversi attacchi di jailbreak (RAB, DACA, SceneSplit, SPARK), riducendo l'ASR a un intervallo ristretto del 6%–21% indipendentemente dalla strategia di attacco.
• Fedeltà Semantica: Su prompt benigni (dataset MSVD), TrajShield ha mantenuto alti punteggi di Similarità CLIP (CS) e Coerenza Temporale (TC), comparabili alla baseline, indicando che la difesa non degrada la qualità delle generazioni sicure.
• Studi di Ablazione: La rimozione di uno qualsiasi dei tre moduli principali (MSD, TRPG o TCSR) ha portato a un degrado significativo delle prestazioni, confermando che il disaccoppiamento di movimento e semantica, l'identificazione dei trigger di rischio causali e la riscrittura vincolata sono tutti essenziali per l'efficacia del sistema.

5. Significato e Affermazioni

Il documento afferma che TrajShield rappresenta un cambiamento di paradigma nella sicurezza T2V, passando dal filtraggio statico e lessicale alla mediazione della sicurezza a livello di traiettoria. Gli autori sostengono che una difesa efficace per i modelli di generazione video deve allinearsi alla natura temporale e compositiva della generazione video. Intervenendo nello "spazio latente dell'intento video" prima della generazione, TrajShield affronta il punto cieco strutturale delle difese attuali: l'incapacità di rilevare rischi che emergono solo attraverso la progressione causale del tempo.

Gli autori concludono che il loro approccio offre un miglior compromesso sicurezza-fedeltà rispetto alle baseline competitive, validando la necessità di una mediazione della sicurezza consapevole del tempo per i modelli generativi in cui la dannosità emerge attraverso la struttura latente. Riconoscono le limitazioni, notando che la attuale discretizzazione grossolana della traiettoria potrebbe non catturare appieno dinamiche altamente complesse a lungo orizzonte, e suggeriscono che combinare questa difesa pre-generazione con la moderazione post-generazione rimanga una direzione per lavori futuri.