Riepilogo Tecnico: Cancellato ma Sfruttabile (BEAP)

Enunciato del Problema

L'oblio automatico (machine unlearning) mira a rimuovere selettivamente concetti specifici (ad esempio, contenuti NSFW, stili protetti da copyright) dai modelli di diffusione testo-immagine (T2I) preaddestrati senza riaddestramento da zero. Sebbene siano stati proposti metodi come ESD, SPM e MACE per "dimenticare" questi concetti, studi recenti suggeriscono che sono vulnerabili a tracce residue. Gli attuali attacchi avversari progettati per recuperare questi concetti obliterati soffrono di limitazioni significative nei modelli di minaccia realistici:

1. Dipendenza dal white-box: Metodi come Generate-or-Not richiedono l'accesso ai pesi del modello o ai gradienti, il che è irrealistico per i sistemi distribuiti.
2. Dipendenza dall'encoder: Attacchi come Ring-a-Bell e QF-Attack richiedono l'accesso all'encoder testuale specifico del modello target per eseguire ricerche nello spazio degli embedding.
3. Rilevabilità: I metodi black-box attuali generano spesso prompt "incomprensibili" (gibberish) semanticamente privi di significato e ad alta perplessità. Questi vengono facilmente rilevati e filtrati da semplici sistemi di sicurezza basati su regole o rilevatori basati sulla perplessità, rendendoli inefficaci in scenari reali.

Il problema centrale affrontato è la mancanza di un attacco completamente black-box, leggibile dall'uomo e non rilevabile in grado di sfruttare efficacemente la conoscenza residua nei modelli di diffusione obliterati.

Metodologia: BEAP

Gli autori propongono BEAP (Black-box Embedding-Aware Prompting), un framework che sfrutta un Large Language Model (LLM) per generare iterativamente prompt avversari efficaci nello spazio del linguaggio naturale. BEAP opera senza accesso ai pesi del modello, ai gradienti o all'encoder testuale del modello target.

1. Ricerca Semantica Guidata dall'LLM

BEAP tratta l'LLM come un ottimizzatore iterativo. Partendo da un prompt iniziale che descrive il concetto target, l'LLM genera un batch di prompt parafrasati e diversificati. Questi prompt vengono interrogati contro il modello di diffusione obliterato ($M_u$). Le immagini risultanti vengono valutate e il feedback viene utilizzato per raffinare il batch successivo di prompt. A differenza dei metodi precedenti che ottimizzano nello spazio degli embedding (portando a testi innaturali), BEAP cerca direttamente nel manifold del linguaggio naturale, garantendo che i prompt generati rimangano fluenti e leggibili dall'uomo.

2. Guida del Reward Multi-Segnale

Per guidare l'LLM verso attacchi di successo, BEAP impiega tre segnali di reward complementari per ogni immagine generata:

• Punteggio di Rilevamento del Concetto: Utilizza rilevatori (ad esempio, NudeNet, DINOv2) per verificare la presenza del concetto obliterato.
• Allineamento Testo-Immagine: Utilizza ImageReward per garantire che l'immagine generata corrisponda semanticamente al prompt.
• Qualità dell'Immagine: Utilizza un Punteggio Estetico per garantire che l'output sia visivamente coerente e di alta qualità.

Un prompt è considerato di successo solo se soddisfa le soglie per tutti e tre i segnali, prevenendo il "reward hacking" in cui il modello ottimizza una metrica a scapito delle altre.

3. Ricerca di Similarità Consapevole degli Embedding

Per colmare il divario tra il linguaggio naturale e il concetto specifico "dimenticato" nello spazio latente del modello, BEAP introduce un vocabolario di similarità avversaria:

• Costruzione del Vettore: Il sistema costruisce un vettore del concetto ($c_{adv}$) mediando le differenze di embedding tra coppie di prompt contenenti il concetto e le loro controparti neutralizzate (ad esempio, "persona nuda" vs. "una persona").
• Selezione del Vocabolario: Questo vettore viene confrontato con un vocabolario di riferimento (ad esempio, Oxford 3000) utilizzando la similarità coseno. Vengono selezionati i top-$k$ parole più simili.
• Guida: Queste parole vengono fornite all'LLM come "indizi". Questo orienta l'LLM verso formulazioni che risiedono nel vicinato concettuale del target obliterato, guidando efficacemente la ricerca verso regioni in cui l'oblio è incompleto senza richiedere l'accesso diretto all'encoder del modello target.

Contributi Chiave

1. Primo Attacco LLM Completamente Black-Box: BEAP è il primo framework a generare prompt avversari leggibili dall'uomo per modelli T2I utilizzando solo l'accesso black-box, eliminando la necessità di pesi del modello o accesso all'encoder.
2. Strategia Iterativa Guidata dal Reward: Gli autori progettano un ciclo di feedback multi-segnale (presenza del concetto, allineamento, qualità) che raffina i prompt iterativamente, garantendo alti tassi di successo senza sacrificare la qualità dell'immagine.
3. Ricerca Consapevole degli Embedding: L'introduzione di un componente di similarità guidato dagli embedding permette all'LLM di concentrarsi su un vocabolario semanticamente rilevante, migliorando significativamente l'efficienza e l'efficacia dell'esplorazione dello spazio testuale.
4. Dimostrazione di una Vulnerabilità Fondamentale: Il lavoro fornisce prove empiriche che i metodi attuali di oblio non riescono a rimuovere completamente la conoscenza, poiché rimangono suscettibili al prompting avversario in linguaggio naturale.

Risultati Sperimentali

Gli autori hanno valutato BEAP su modelli Stable Diffusion v1.4 obliterati utilizzando cinque metodi diversi (UCE, ESD, MACE, SPM, Receler) contro il benchmark I2P (200 prompt ad alto contenuto di nudità).

• Tasso di Successo dell'Attacco (ASR): BEAP supera significativamente i metodi precedenti. Mentre Ring-a-Bell ha raggiunto un ASR dello 0% sotto criteri rigorosi (richiedendo presenza del concetto, allineamento e qualità), BEAP ha ottenuto punteggi ASR compresi tra 86% e 99% su tutti i baseline di oblio.
• Efficienza: BEAP richiede in media solo 15 prompt per attacco di successo, dimostrando un'alta efficienza campionaria.
• Non Rilevabilità: A differenza di Ring-a-Bell, che produceva incomprensibili con una perplessità di ~4736 e un tasso di rilevamento di incomprensibili del 100%, BEAP ha generato prompt con valori di perplessità (569–653) vicini al linguaggio naturale (riferimento I2P: 505) e un basso tasso di rilevamento di incomprensibili (26%).
• Qualità dell'Immagine: BEAP ha recuperato con successo i concetti obliterati mantenendo alti punteggi estetici e di allineamento, mentre Ring-a-Bell ha prodotto immagini distorte e di bassa qualità.
• Generalizzabilità: L'attacco è stato testato anche sull'oblio a livello di oggetto ("palla da golf"), dove ha superato similmente i baseline, confermando che la vulnerabilità si estende oltre i concetti sensibili alla sicurezza.

Significato e Affermazioni

Il documento afferma che le pipeline attuali di oblio automatico sono fondamentalmente insufficienti per garantire la rimozione dei concetti dai modelli di diffusione. Gli autori sostengono che, sebbene i metodi di oblio possano sopprimere le tracce visive esplicite, non eliminano le rappresentazioni semantiche sottostanti, che possono essere riattivate attraverso prompt in linguaggio naturale attentamente elaborati.

Il significato di questo lavoro risiede nell'esporre un divario critico tra le garanzie teoriche dell'oblio e la realtà pratica della sicurezza dei modelli. Dimostrando che i modelli obliterati possono essere "jailbroken" utilizzando prompt fluenti e non rilevabili, gli autori evidenziano l'urgente necessità di approcci più robusti, verificabili e affidabili per la rimozione dei concetti nell'IA generativa. Il lavoro funge da avvertimento per gli sviluppatori di modelli che il filtraggio post-hoc e le tecniche attuali di oblio non sono difese sufficienti contro avversari determinati.