Detecting CSAM Text-to-Image LoRAs From Weights

技術要約：重みからCSAM（児童性的虐待コンテンツ）生成用テキスト画像LoRAを検出する

問題提起
低ランク適応（LoRA）によるファインチューニングの普及は、オープンウェイトのテキスト画像モデルのカスタマイズを民主化しました。これは正当な創造的タスクには有益ですが、一方で、CSAM（児童性的虐待コンテンツ）を生成するために特別に設計されたアダプターの作成を容易にします。現在のモデレーション戦略は、メタデータ（モデルカード、タグ）や生成された出力の検査に大きく依存しています。しかし、メタデータは不完全、不均一、あるいは攻撃者によって制御されていることが多く、また、疑わしいコンテンツがCSAMである場合、それらを検査するために出力を生成することは法的・倫理的に容認できません。したがって、ユーザーが提供する説明に依存せず、また有害な画像を生成することなく、重みから直接有害なアダプターを識別する、推論フリーのメソッドが緊急に求められています。

手法
著者らは、LoRAアダプターからコンパクトで推論フリーの指紋（フィンガープリント）を抽出する、$u_1$ と呼ばれる重み空間スクリーニング手法を提案しています。

• 表現 ($u_1$): LoRAの更新行列 $\Delta W = BA$ に対し、本手法は $\Delta W$ の左上特異ベクトルを計算します。このベクトルは、重み更新の主要な左特異方向を表します。複数のレイヤーを修正するアダプターの場合、これらのベクトルはクロスアテンション層から抽出され、単一の特徴ベクトルへと結合されます。
• 理論的根拠: 本手法は、被験者の更新が $\Delta W = \gamma w a^\top$ として表される簡略化された線形代数モデルに基づいています。ここで、$a$ は入力キュー、$w$ は出力方向です。主要な左特異ベクトルは、更新がランク1優位である限り、更新の大きさ $\gamma$ やキューの強さに依存せず、方向 $w$（被験者）を復元します。これは、$u_1$ がどのように訓練されたかではなく、「何を」学習したかをエンコードしていることを示唆しています。
• プロキシ・スーパービジョン（代理監督）: 実際のCSAMを用いた訓練は違法かつ非倫理的であるため、本研究ではプロキシ・スーパービジョンを採用しています。著者らは、ターゲットとなる属性が、安全性軸に対する法的・倫理的に許容されるプロキシ（代理指標）となる非有害なデータセットを用いて、制御された「良性動物園（benign zoos）」のLoRAを訓練しました。具体的には、CSAMにおける子供に関連する軸のプロキシとして、人間の被験者の年齢（子供、若年層、成人）を使用しています。
• 訓練動物園: 主要なベンチマークは、SD-1.5上で7つのカテゴリ（年齢、鳥、風景、物体、テクスチャ、土地被覆、およびiNaturalistの属）を含むデータセットで訓練された957個のLoRAで構成されています。検出器が訓練設定ではなく被験者を学習するように、訓練レシピ（ランク、学習率、オプティマイザ）はランダム化されています。さらに、クロスモデルの堅牢性をテストするために、SDXLおよびFLUX.1-schnell用の追加の動物園も作成されました。
• 評価: 特徴量 $u_1$ を用いて、訓練された被験者を区別するための分類器（ロジスティック回帰、ランダムフォレスト）を訓練します。システムは、訓練被験体の復元能力、重み空間での回避に対する堅牢性（ノイズ、再スケーリング、量子化）、および無関係な良性コンテンツに対して棄権する能力について評価されます。

主な貢献

1. メタデータ分析: 公開プラットフォーム上の63,288個のLoRAを調査した結果、メタデータは頻繁に不完全、不整合、かつ攻撃者によって制御されていることが明らかになりました。詳細な訓練レシピが利用可能なアダプターは25%未満であり、その場合でも、隠れたバックドア戦略を露呈することは稀です。
2. 推論フリー・スクリーニング ($u_1$): アダプターの重みのみから導出される表現としての $u_1$ の導入。この手法は、プロンプト、画像生成、またはGPU推論を必要とせずに、多様なデータセットおよびベースモデル間で訓練被験体を特定します。
3. 隠れた能力の検出: 学習内容がトリガーベースのバックドア（例：DreamBooth型のトリガー）の背後に隠されていたり、有害なコンテンツが訓練データの極めて小さな割合であったりする場合でも、訓練被験体が重み空間において検出可能であるという証拠を示しました。
4. 堅牢性と較正: $u_1$ の信号が、加法的なノイズ、グローバルな再スケーリング、および精度低減（fp16/8-bit/4-bit）に対して堅牢であることを実証しました。決定的なことに、年齢プロキシに基づいて訓練された検出器は、無関係な良性コンテンツに対しては棄権（低信頼度を出力）し、偽陽性を最小限に抑えます。

結果

• 被験体復元: $u_1$ を使用したロジスティック回帰分類器は、SD-1.5のベンチマークにおいて、7つの被験体カテゴリに対してマクロone-vs-rest AUROC 0.976 を達成しました。安全性に関わる年齢軸（成人/子供/若年層）については、AUROCは 0.993 に達しました。
• ベースラインとの比較: $u_1$ は、GPU推論とモデル実行を必要とするガウス活性化プロービング（Gaussian activation probing）と同等の性能を示し、要約統計量やPCAベースの重み分析を上回りました。
• バックドア検出: 年齢が稀なトリガー・トークン（バックドア）の背後で学習され、良性の画像で正則化されている場合でも、$u_1$ はAUROC 0.96 で安全性に重要な「子供」クラスを復元し、偶然のレベルを大幅に上回りました。
• 回避耐性: 信号は、重みの大きさと同程度の加法的な重みノイズの下でも安定しており、再スケーリングや精度低減に対しても不変です。
• 棄権: 年齢軸とは無関係な627個の未知の良性アダプターに適用した際、検出器は 0件の誤分類 を生成し、無関係なコンテンツに対して過剰に反応しないことを示しました。
• 勾配転送: 離散的な年齢クラスで訓練された検出器は、成人/子供のデータの混合比率が変化するグラデーションにおいても汎化し、子供のコンテンツの割合が増えるにつれて予測される子供の確率が単調に上昇します。

意義と主張
本論文は、有害なLoRAは重みから直接スクリーニング可能であり、メタデータに依存せず、有害な出力を生成するという法的・倫理的リスクを伴わない、極めて重要な防御層を提供すると主張しています。

• 安全性と倫理: このアプローチは完全に良性のプロキシと精選されたオープンデータセットに依存しており、開発や展開の過程で虐待的な画像に人間が接触することを防ぎます。
• 実用的な展開: $u_1$ は重みに対する線形代数のみを必要とするため（CPUのみ）、メタデータが存在しない可能性のあるピア・ツー・ピア・プラットフォームを含む、大量のアダプターをスクリーニングするための計算効率が高く、スケーラブルです。
• 相補性: 著者らは、重み空間スクリーニング（$u_1$）と活性化空間プロービングが部分的に独立した信号を持っていると指摘しており、これらを組み合わせることで検出性能をさらに向上させることができます。
• 限界: 著者らは、これらの検出器がベースモデル固有であること、およびテキストエンコーダーの修正についてはまだテストしていないことを明記しています。さらに、本手法は良性のプロキシから汎化していますが、現実世界の有害なデータに対するさらなる検証なしに、すべてのCSAM生成LoRAへの保証された汎化を主張するものではありません。

結論として、本研究は、LoRAにおける「最も強力に学習された変化」はその主要な特異方向に明瞭にエンコードされていることを確立しており、有害なアダプターが展開または使用される前に検出するための、推論フリーの実行可能なメカニズムを提供しています。