🤖 AI

AEGIS: Adversarial Target-Guided Retention-Data-Free Robust Concept Erasure from Diffusion Models

本論文は、拡散モデルから有害な概念を削除する際に、既存手法が抱えていた「頑健性（再活性化への耐性）」と「保持性（無関係な概念の維持）」のトレードオフを解消し、学習データなしで両方の性能を向上させる新たなフレームワーク「AEGIS」を提案するものである。

原著者： Fengpeng Li, Kemou Li, Qizhou Wang, Bo Han, Jiantao Zhou

公開日 2026-02-16

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Fengpeng Li, Kemou Li, Qizhou Wang, Bo Han, Jiantao Zhou

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

この論文は、AI が絵を描く技術（拡散モデル）から「悪いアイデア」や「著作権のあるスタイル」を消し去る方法について書かれています。しかし、これまでの方法は「消そうとすると、他の良い絵も描けなくなる」か、「消したはずの悪い絵が、少し言い方を変えただけでまた出てきてしまう」というジレンマがありました。

この論文では、**「AEGIS（イージス）」**という新しい方法を提案しています。まるで盾（イージス）のように、AI を守りながら、必要なものだけを残して悪いものを完璧に消し去る技術です。

わかりやすくするために、3 つのステップで説明します。

1. 問題：消しゴムを使っても、シミは残る？

AI が絵を描くのは、ノイズ（砂嵐のようなもの）から徐々に絵を浮かび上がらせる作業です。
これまでの「悪い概念を消す」方法は、例えば「ヌード」という言葉が入ると、AI が「裸の絵」を描かないように、その言葉と「安全な言葉（例えば『風景』）」を無理やり結びつけるような調整をしていました。

しかし、ここに 2 つの大きな問題がありました。

問題 A（消し忘れ）： 「ヌード」という言葉だけを消しても、「裸体」や「セクシー」といった言い換えの言葉を使われると、AI はまた同じような絵を描いてしまいます。まるで、シミの中心だけ落としたのに、周囲のシミがまだ残っているような状態です。
問題 B（副作用）： 悪いものを強く消そうとすると、AI が「美しい風景」や「猫」を描く能力まで失ってしまいます。消しゴムを強くこすりすぎると、紙が破れてしまうようなものです。

2. 解決策：AEGIS の 2 つの魔法

AEGIS は、この 2 つの問題を同時に解決するために、2 つの新しいアイデアを取り入れています。

魔法の道具①：「敵の中心」を狙う（AET）

これまでの方法は、「ヌード」という 1 つの言葉だけを消そうとしていました。でも、悪い言葉には「ヌード」「裸体」「エロティック」など、同じ意味の言葉のグループ（クラスター）があります。

AEGIS は、**「そのグループの真ん中（中心）」**を特定し、そこを消すように調整します。

例え話： 敵の陣地（悪い概念のグループ）を消すとき、兵士 1 人（特定の言葉）だけを捕まえても、他の兵士は逃げられます。でも、**「敵の司令塔（グループの中心）」**を攻撃すれば、すべての兵士が混乱して消えてしまいます。
これにより、言い換えの言葉を使われても、AI はもう「悪い絵」を描けなくなります。

魔法の道具②：「衝突回避」のナビゲーター（GRP）

悪いものを消す作業（A）と、良い絵を描く能力を保つ作業（B）は、実は方向が真逆になることがよくあります。これを「衝突」と呼びます。

例え話： あなたが「右に行け（悪いものを消す）」と指示しているのに、助手が「左に行け（良い能力を保つ）」と引っ張っている状態です。このまま走ると、車はジグザグに動いて目的地にたどり着けません。

AEGIS は、**「衝突回避ナビゲーター（GRP）」**という機能を持っています。

このナビゲーターは、助手（良い能力を保つ作業）が「右（消す方向）」と反対の「左」に引っ張ろうとしたときだけ、助手の力を少し調整して「右」に向けるようにします。
助手が「右」を向いているときは、邪魔をしません。
これにより、「悪いものを消す」と「良い能力を保つ」という 2 つの目標を、お互いに邪魔し合わずに同時に達成できます。しかも、追加のデータを用意する必要はありません（データ不要）。

3. 結果：最強の盾

実験の結果、AEGIS は以下のことを実現しました。

頑丈さ： 攻撃者が「ヌード」ではなく「裸体」や「セクシー」といった言い換えの言葉を使っても、AI は絶対に悪い絵を描きません（これまでの方法よりも大幅に成功率が下がりました）。
美しさ： 悪いものを消しても、AI は「猫」や「風景」など、他の素晴らしい絵をこれまで通りに描けます。
効率： 特別なデータを用意しなくても、AI 自体の調整だけで済みます。

まとめ

この論文は、AI という「天才画家」から「悪いアイデア」を消すとき、**「中心をねらって消す」ことで言い換え攻撃を防ぎ、「衝突を避けるナビゲーター」**を使うことで、他の才能を失わずに済ませる方法を見つけました。

これにより、AI は安全で、かつ創造性を失わない、より信頼できるパートナーになることができます。まるで、AI の頭の中に「賢いガードマン」を配置して、悪いものを厳しく遮断しつつ、良いものは優しく守っているようなイメージです。

論文「AEGIS: 拡散モデルからの敵対的ターゲット誘導型保持・データフリー堅牢な概念消去」の技術的サマリー

本論文は、ICLR 2026 にて発表された研究で、テキストから画像を生成する拡散モデル（Diffusion Models: DMs）から有害な概念（ヌード、特定の芸術家スタイル、特定の物体など）を削除する「概念消去（Concept Erasure）」技術の課題を解決する新しいフレームワークAEGIS（Adversarial Erasure with Gradient-Informed Synergy）を提案しています。

既存の手法は、堅牢性（Robustness：敵対的攻撃に対して消去された概念が復活しないこと）と保持性（Retention：無関係な概念の生成品質を維持すること）の間のトレードオフに悩まされてきました。AEGIS は、追加のデータなしでこのトレードオフを打破し、両方の性能を同時に向上させることを目指しています。

以下に、問題定義、手法、主要な貢献、実験結果、および意義について詳細をまとめます。

1. 問題定義と背景

拡散モデルは高品質な画像生成が可能ですが、学習データに含まれるバイアスにより、ヌードや著作権侵害の恐れのあるスタイル、有害な物体などを生成してしまうリスクがあります。これを防ぐため、モデルの微調整（ファインチューニング）を通じて特定の概念を「消去」する研究が進んでいます。

しかし、既存の手法には以下の重大な課題が存在します。

敵対的プロンプト攻撃（APAs）: 消去された概念（例："nudity"）に対し、意味的に近い別のプロンプト（例："naked", "sexual"）や、敵対的に最適化されたプロンプトを用いると、モデルが再び有害な画像を生成してしまう（概念の再活性化）。
堅牢性と保持性のトレードオフ: 敵対的攻撃に対して堅牢にするために強力に消去を行うと、モデルの全体的な生成能力（保持性）が低下し、無関係な概念の画像品質が劣化する。逆に、品質を維持しようとすると、消去が不十分になり攻撃に弱くなる。
ターゲットの不適切さ: 既存手法は、消去対象の概念を単一の「安全なターゲット（例：空のプロンプトや一般的な画像）」にマッピングするが、これが概念の「意味的中心（Semantic Center）」から遠すぎたり近すぎたりすることで、クラスレベルの情報が完全に消去されず、攻撃に対して脆弱になる。

2. 提案手法：AEGIS

AEGIS は、敵対的消去ターゲット（AET）と勾配正則化射影（GRP）の 2 つの中核コンポーネントにより、上記の課題を解決します。

2.1 敵対的消去ターゲット（Adversarial Erasure Target: AET）

既存手法が固定されたターゲットを使用するのに対し、AEGIS は最適化可能な埋め込みを持つ動的なターゲットを生成します。

目的: 消去対象となる概念クラス（例：ヌードに関連するすべての単語）の「意味的中心」に近づくようにターゲットを調整し、クラスレベルの情報を包括的に消去する。
仕組み: 学習可能なプロンプト埋め込み $c'$ を、敵対的攻撃の観点から最適化します。具体的には、元のモデルと微調整後のモデルにおけるノイズ予測の距離を最大化するように $c'$ を更新します（式 5）。
効果: これにより、単一のインスタンスだけでなく、意味的に類似した変種（synonyms）や敵対的プロンプトに対しても、モデルの予測ノイズを大きくずらすことができ、攻撃に対する堅牢性が向上します。

2.2 勾配正則化射影（Gradient Regularization Projection: GRP）

データセットを必要とせず、モデルの保持性を維持しつつ、消去と保持の勾配衝突を解決するメカニズムです。

パラメータ正則化（Parameter Regularization: PR）: 追加の保持用データセットを使用せず、元のモデルパラメータ $\theta_0$ と微調整後のパラメータ $\theta$ の距離を最小化することで、無関係な概念への影響を抑制します。これにより、データバイアスや概念の再学習（Re-learning）を防ぎます。
方向性勾配補正（Directional Gradient Rectification: DGR）: 消去損失の勾配 $g_e$ $g_{e}$ と保持損失の勾配 $g_r$ $g_{r}$ の間に衝突（内積が負）が生じる場合、 $g_r$ $g_{r}$ のうち $g_e$ $g_{e}$ と反対方向を向く成分を射影（除去）します。
- 衝突がない場合は保持損失を適用せず、衝突がある場合のみ DGR を適用して勾配を修正します。
- 学習の初期段階では $\omega$ （補正の強さ）を小さくし、消去タスクを優先し、徐々に $\omega$ を増大させて保持性を強化する動的な更新戦略を採用しています。

3. 主要な貢献

脆弱性の解明: 概念消去の脆弱性は、不適切に選択された学習ターゲット（単一のインスタンス）に起因することを理論的・実験的に示しました。ターゲットが概念クラスの意味的中心から離れている場合、敵対的プロンプトによる再活性化を防げないことを明らかにしました。
AEGIS フレームワークの提案: データフリーで堅牢性と保持性を両立させる新しいフレームワークを提案しました。
- AET: 敵対的プロンプト攻撃に対して堅牢な消去を導くための最適化ターゲット。
- GRP: 追加データなしで勾配衝突を管理し、モデルの全体的な品質を維持する技術。
理論的保証: GRP が消去損失の局所的な降下を保証し（定理 4.1）、かつ保持性能を維持・向上させる（定理 4.2）ことを理論的に証明しました。

4. 実験結果

Stable Diffusion v1.4 および v2.1 において、ヌード、Van Gogh スタイル、教会（物体）の 3 つの概念を消去するタスクで評価を行いました。

敵対的攻撃に対する堅牢性:
- 複数の攻撃手法（P4D, UnlearnDiffAtk, Ring-A-Bell）に対して、AEGIS は既存の SOTA 手法（ESD, AdvUnlearn, SalUn など）を大幅に上回る性能を示しました。
- ヌード概念: UnlearnDiffAtk 攻撃に対する攻撃成功率（ASR）を、既存の最良手法（SalUn）と比較して約 2.76%〜7.8% 削減（ASR 8.45% まで低下）。
- Van Gogh スタイル: P4D 攻撃に対して ASR を 12%、UnlearnDiffAtk に対して 18% 削減。
- 物体概念: SH 手法と比較して P4D に対する ASR を 4% 削減し、UnlearnDiffAtk に対しても同等以上の性能を維持しました。
保持性能（生成品質）:
- FID（画像の分布の類似度）と CLIP スコア（テキストと画像の整合性）において、AEGIS は既存手法よりも劣化が少なく、多くのケースで改善または同等の性能を維持しました。
- 特に、保持用データセットを使用しない GRP の効果により、データセットのバイアスに依存せず、広範な概念の品質を維持できました。
効率性:
- AET 生成のための追加計算コストはありますが、保持用データセットの準備や大規模な再学習を不要とするため、全体として効率的なファインチューニングが可能です。

5. 意義と結論

AEGIS は、拡散モデルの概念消去における「堅牢性」と「保持性」のトレードオフを打破する重要な進展です。

実用性: 敵対的プロンプト攻撃に対して頑健でありながら、モデルの汎用性を損なわないため、実際の安全フィルターや著作権保護の実装に極めて有用です。
データフリーアプローチ: 保持用の追加データセットを必要としないため、大規模なデータ収集やラベル付けのコストを削減でき、プライバシー懸念も低減します。
将来展望: 本研究は、AI の安全性とアライメントを高めるための基盤を提供し、敵対的攻撃に対する防御メカニズムの設計指針を示しました。

総じて、AEGIS は、拡散モデルから有害概念を「外科的に」かつ「頑健に」除去するための、現在の最先端を超えるソリューションとして位置づけられます。