AEGIS: A Mechanism-Guided Defense against Visual Synonym Jailbreaks in Text-to-Image Models

Sintesi Tecnica: AEGIS – Un meccanismo di difesa guidato dai meccanismi contro i Visual Synonym Jailbreak

1. Definizione del Problema

I modelli di diffusione Text-to-Image (T2I) affrontano un critico dilemma tra sicurezza e utilità. I paradigmi di difesa esistenti — che spaziano dalla sanificazione semantica dello spazio di input alla potatura strutturale delle feature — sono progettati principalmente per intercettare concetti esplicitamente non sicuri o token avversari noti. Tuttavia, tali metodi falliscono contro i Visual Synonym Attacks (VSA).

Il VSA è una tecnica di jailbreak furtiva in cui gli avversari utilizzano prompt in linguaggio naturale contestualmente benigni (ad esempio, "vernice rossa versata") che sono semanticamente ortogonali ai concetti proibiti nel dominio testuale (ad esempio, "sangue") ma condividono forti associazioni visive implicite. Mentre i filtri incentrati sul testo e le interruzioni di pathway specifiche per i trigger bloccano con successo i prompt malevoli espliciti, essi vengono aggirati dal VSA perché i token di input mancano di una semantica dannosa esplicita. Al contrario, la potatura strutturale ampia, volta a bloccare il VSA, porta spesso all'over-mitigation (sovra-mitigazione), degradando la qualità della generazione di concetti benigni visivamente simili (ad esempio, sopprimendo "ketchup" nel tentativo di bloccare "sangue").

La sfida centrale identificata è che il VSA sfrutta un disallineamento semantico testo-visivo: il prompt è sicuro nello spazio testuale, ma la traiettoria di generazione converge dinamicamente verso un manifold visivo non sicuro durante il processo di denoising.

2. Metodologia: Analisi Meccanicistica e AEGIS

Gli autori propongono AEGIS (Adaptive Evasion Guard via Identification and Steering), un meccanismo di difesa che passa dalla soppressione statica al tracciamento dinamico delle sematiche non sicure durante la generazione.

A. Analisi Meccanicistica (Il "Perché")
Attraverso un'indagine sistematica delle traiettorie latenti, gli autori identificano che i VSA e gli attacchi espliciti convergono attraverso un sottoinsieme sparso di teste di attenzione che iniettano semantica.

• Convergenza Dinamica: I sinonimi visivi inizialmente somigliano a prompt benigni, ma divergono e convergono dinamicamente verso firme malevole durante gli step intermedi di denoising.
• Localizzazione Sparsa: Utilizzando il profiling di similarità basato su anchor e la regressione sparsa (Lasso), gli autori isolano che circa il 10% delle teste di attenzione (specificamente nei deep cross-attention layers) trasporta quasi il 70% dell'attribuzione semantica non sicura. Queste teste fungono da colli di bottiglia critici dove gli embedding testuali innocui vengono trasformati in semantica visiva proibita.
• Pathway Condivisi: Queste teste identificate sono attivate sia dai sinonimi visivi impliciti che dai trigger malevoli espliciti, confermando che sono i condotti condivisi per la generazione visiva non sicura.

B. Meccanismo di Difesa AEGIS (Il "Come")
AEGIS opera come un intervento al tempo di inferenza che guida chirurgicamente queste teste vulnerabili senza riaddestrare il modello o ablare permanentemente i pesi.

• Repulsion Beacon (Faro di Repulsione): Il sistema utilizza un embedding anchor (che rappresenta il concetto non sicuro target) come un "faro di repulsione" all'interno di ogni testa critica identificata.
• Gating Adattivo Consapevole della Similarità: Invece di una proiezione statica, AEGIS applica una forza di repulsione dinamica scalata dall'entità dell'attivazione e da una soglia di similarità.
  • Se l'attivazione è altamente simile all'anchor malevolo, il gate si apre completamente per imporre la massima repulsione.
  • Se l'attivazione è borderline o benigna, il gate scala linearmente per applicare correzioni sottili, preservando l'utilità.
  • Questo meccanismo assicura che le sematiche ad alto rischio siano neutralizzate mentre i concetti benigni (anche quelli con similitudini visive) siano preservati.

3. Contributi Chiave

1. Formalizzazione del VSA: Il paper definisce formalmente i Visual Synonym Attacks come un paradigma di jailbreak distinto che sfrutta il disallineamento semantico testo-visivo, evidenziando i punti ciechi dei correnti paradigmi di allineamento.
2. Interpretabilità Meccanicistica: Gli autori forniscono la prima analisi meccanicistica che rivela come le sematiche visive non sicure nei modelli T2I siano governate da un set sparso di teste di attenzione che iniettano semantica profonda, le quali fungono da pathway condivisi sia per attacchi espliciti che basati su sinonimi.
3. Framework AEGIS: Propongono una nuova difesa al tempo di inferenza che applica una repulsione chirurgica e consapevole della similarità esclusivamente su queste teste vulnerabili. Questo approccio evita l'over-mitigation associata alla potatura ampia delle feature.
4. Valutazione Comprensiva: Il metodo è valutato contro 16 baseline attraverso molteplici tipi di attacco (VSA, espliciti, avversari) e architetture (SD 1.4, SD 2.1, FLUX.1).

4. Risultati Sperimentali

Valutato su Stable Diffusion 1.4 (SD 1.4), AEGIS dimostra prestazioni allo stato dell'arte:

• Allineamento della Sicurezza:
  • In-Domain (VSA): Riduce l'Attack Success Rate (ASR) a 0.00 per la violenza e 0.03 per la nudità.
  • Out-of-Domain (Espliciti/Avversari): Ottiene ASR ≤0.09 attraverso i benchmark I2P, MMA e RAB.
  • Supera significativamente 16 baseline, inclusi i sanitizzatori di input (SafeClip, SAFREE) e i disruptor di pathway (ESD, UCE).
• Preservazione dell'Utilità:
  • Mantiene un'alta fedeltà di generazione (punteggi FID comparabili ai modelli non allineati) e allineamento semantico (punteggi CLIP).
  • Fondamentalmente, evita l'over-mitigation di concetti benigni "hard-negative" (ad esempio, "tagliare pomodori" o "manichini") che altri metodi sopprimono erroneamente.
• Trasferibilità: Il metodo si trasferisce con successo a SD 2.1 e al Diffusion Transformer-based FLUX.1 dopo la ri-identificazione delle teste critiche per ciascun backbone, dimostrando che la vulnerabilità è strutturale piuttosto che specifica del modello.
• Efficienza: AEGIS introduce un overhead computazionale minimo (3.99s per immagine su SD 1.4), significativamente più veloce di altre intervezioni al tempo di inferenza come SAeUron (11.60s), e non richiede il riaddestramento del backbone di diffusione.

5. Significato e Rivendicazioni

Il paper sostiene che AEGIS rompa il "dilemma inevitabile" degli attuali allineamenti di sicurezza, che devono scegliere tra una mitigazione insufficiente di attacchi furtivi o una sovra-mitigazione dell'utilità benigna. Passando il paradigma della difesa dal filtraggio statico a livello di testo al tracciamento dinamico dei meccanismi interni, AEGIS fornisce una soluzione pratica che:

• Neutralizza la Causa Radice: Mira specificamente ai pathway di attenzione dove emergono le sematiche non sicure, invece di fare affidamento su pattern testuali superficiali.
• Garantisce la Robustezza: Rimane efficace anche contro attacchi adattivi white-box dove gli avversari tentano di eludere le direzioni di intervento specifiche, poiché la difesa cattura componenti del modello robuste e rilevanti per la sicurezza.
• Offre Deployabilità: Come monitor plug-and-play al tempo di inferenza che non richiede riaddestramento, offre una soluzione a bassa manutenzione e alta affidabilità per mettere in sicurezza i modelli T2I contro l'evoluzione delle tecniche di jailbreak.

Gli autori concludono che il loro lavoro fornisce un blueprint affidabile per lo sviluppo di meccanismi di sicurezza resilienti, dimostrando che le vulnerabilità sfruttate dal VSA sono strutturali e possono essere affrontate attraverso un intervento preciso guidato dai meccanismi.