Localized Concept Erasure in Text-to-Image Diffusion Models via High-Level Representation Misdirection

이 논문은 텍스트 인코더의 초기 레이어만 미세 조정하여 고수준 의미 표현을 의도적으로 왜곡하는 'HiRM' 기법을 제안함으로써, 생성 품질을 저하시키지 않으면서도 특정 개념을 정밀하게 제거하고 다양한 아키텍처로 확장 가능한 텍스트-이미지 확산 모델의 개념 말소 솔루션을 제시합니다.

핵심

🎨 비유: "요리사 (AI) 와 레시피 책 (텍스트 인코더)"

생각해 보세요. AI 는 요리사이고, 우리가 입력하는 글자 (프롬프트) 는 레시피입니다.
예를 들어 "반 고흐 스타일의 강아지"라고 입력하면, AI 는 레시피를 보고 반 고흐의 붓터치와 강아지 모양을 섞어서 그림을 그립니다.

하지만 문제는, AI 가 **"나체"**나 "특정 작가의 스타일" 같은 원치 않는 레시피를 읽으면 그걸 그대로 그림으로 만들어낸다는 점입니다.

1. 기존 방법의 문제점: "요리사 전체를 다시 교육하기"

기존에 이 문제를 해결하려던 방법들은 요리사 (AI 모델 전체) 를 다시 교육시키는 방식이었습니다.

• 문제: 요리사에게 "나체 그림은 절대 그리지 마!"라고 가르치려다 보니, 요리사가 "사과 그림도 못 그리는" 상황이 생깁니다. (원치 않는 개념까지 지워버리는 부작용)
• 비용: 요리사 전체를 다시 가르치는 데는 엄청난 시간과 돈이 듭니다.

2. 이 논문의 아이디어: "레시피 책의 특정 페이지만 수정하기"

이 연구팀은 AI 의 뇌 구조를 분석한 결과, 특정 시각적 특징 (예: 나체, 화풍) 은 '레시피 책'의 아주 앞쪽 페이지에 집중되어 있다는 것을 발견했습니다.

그래서 그들은 요리사 전체를 가르치는 대신, 레시피 책의 앞쪽 페이지만 살짝 수정하는 방법을 고안했습니다.

---

🚀 HiRM 의 핵심 원리: "오도 (Misdirection)"

이 방법의 핵심은 **"무엇을 지울지 (목표)"**와 **"어디를 수정할지 (위치)"**를 분리하는 것입니다.

1. 목표는 '최종 결과물' (고수준 의미):

   • AI 가 최종적으로 그리는 그림의 의미 (예: "나체"라는 개념) 는 레시피 책의 마지막 페이지에 모여 있습니다.
   • HiRM 은 이 마지막 페이지의 의미를 **"무작위 방향"**이나 **"안전한 상위 개념 (예: '나체' → '인물')"**으로 바꾸어 주라고 명령합니다.
   • 비유: "이 레시피는 '나체'가 아니라 '안전한 인물'로 해석해!"라고 마지막 지시사항을 바꾼 것입니다.

2. 수정은 '초기 페이지' (저수준 특징) 만:

   • 하지만 실제로 펜을 들고 수정하는 곳은 레시피 책의 첫 번째 페이지뿐입니다.
   • 비유: 마지막 지시사항은 '나체'를 막으라고 했지만, 실제로 수정하는 건 첫 페이지의 '붓터치'나 '색감' 관련 글자뿐입니다.
   • 이렇게 하면 원치 않는 개념 (나체) 은 사라지지만, 다른 개념 (사과, 고양이 등) 을 그리는 데 필요한 기본 재료들은 그대로 살아남습니다.

✨ 왜 이 방법이 특별한가요?

• 🎯 정확도: 원치 않는 것만 딱 잘라냅니다. (나체는 지워지지만, 사과 그림은 여전히 예쁘게 나옴)
• ⚡ 속도: 요리사 전체를 다시 교육할 필요 없이, 레시피 책의 첫 장만 고치면 되므로 시간이 매우 짧습니다.
• 🔄 호환성: 이 수정된 레시피 책은 다른 최신 AI 모델 (Flux 등) 이나, 이미 학습된 다른 모델에도 바로 붙여 쓸 수 있습니다. (별도 학습 불필요)
• 🛡️ 방어력: 해커들이 "나체"라고 직접 말하지 않고 은밀하게 유도하는 공격 (Adversarial Attack) 이 와도 막아냅니다.

📝 요약

이 논문은 **"AI 가 나쁜 그림을 그리는 것을 막으려다 좋은 그림까지 망치지 않게 하는, 아주 정교한 '레시피 수정' 기술"**을 소개합니다.

기존에는 AI 전체를 다시 가르쳐야 했지만, 이제는 레시피 책의 특정 부분만 살짝 비틀어서 (오도 시켜서) 원치 않는 개념만 제거하고, AI 의 창의성은 그대로 살리는 가볍고 똑똑한 방법을 제안한 것입니다. 마치 "나쁜 손님만 쫓아내되, 가게의 분위기는 그대로 유지하는" 것과 같습니다.

기술 요약

1. 문제 제기 (Problem)

최근 T2I 확산 모델의 발전은 창의적인 이미지 생성을 가능하게 했지만, 유해한 콘텐츠, 사생활 침해, 저작권 문제 등의 악용 우려를 낳았습니다. 이를 해결하기 위해 '개념 제거 (Concept Erasure)' 기술이 주목받고 있으나, 기존 방법론들은 다음과 같은 한계가 있었습니다:

• 기존 접근법의 한계: 대부분의 기존 연구 (ESD, CA 등) 는 U-Net(디노이저) 의 파라미터를 미세 조정 (Fine-tuning) 하는 방식에 의존합니다. 이는 계산 비용이 높고, 제거하려는 개념 외의 다른 개념 (비대상 개념) 의 생성 품질을 저하시키는 '부작용'이 발생하기 쉽습니다.
• 텍스트 인코더 기반 방법의 한계: 최근 연구 (Diff-QuickFix 등) 는 텍스트 인코더의 초기 레이어를 수정하여 개념을 제거하는 접근을 시도했습니다. 그러나 초기 레이어는 시각적 속성의 '원시적 특징 (bag of concepts)'을 담당하므로, 이를 직접 수정하면 관련 없는 개념들의 표현까지 왜곡되어 ('Representation Shattering') 생성 품질이 급격히 떨어지는 문제가 발생했습니다. 특히 NSFW(성적 노출) 와 같은 추상적이고 고차원적인 개념을 제거할 때 이러한 trade-off 가 심화되었습니다.

2. 방법론 (Methodology: HiRM)

저자들은 텍스트 인코더의 **초기 레이어 **(Early Layers)와 **최종 레이어 **(Final Layers)의 역할을 분리하여 해결책을 제시합니다.

• 통찰: 텍스트 인코더의 초기 레이어는 시각적 속성의 인과적 상태 (causal states) 를 담당하지만, 최종 레이어는 이러한 속성들이 통합된 '고수준 의미 (High-level semantics)'를 형성합니다.
• HiRM 의 핵심 전략:
  1. 업데이트 위치 분리: 파라미터 업데이트는 **텍스트 인코더의 첫 번째 블록 **(초기 레이어)에만 제한합니다. 이는 시각적 속성의 원천이 되는 부분으로, 수정 범위를 최소화하여 효율성을 높입니다.
  2. **목표 분리 **(Misdirection): 제거 목표 (Loss) 는 **최종 블록의 토큰 표현 **(High-level representations)에 적용합니다.
  3. 작동 원리:
     • **HiRM-R **(Random): 대상 개념의 최종 표현을 무작위 벡터 방향으로 유도합니다.
     • **HiRM-S **(Semantic): 대상 개념의 최종 표현을 의미 있는 상위 범주 (예: "Van Gogh" → "Painting") 나 안전 벡터 (NSFW 의 경우) 로 유도합니다.
     • 결과: 초기 레이어의 가중치만 업데이트하여 최종 레이어의 고수준 의미 표현을 특정 방향으로 '전도 (Misdirection)'시킴으로써, 대상 개념은 효과적으로 제거되지만 비대상 개념의 표현은 왜곡되지 않습니다.

3. 주요 기여 (Key Contributions)

1. **새로운 개념 제거 프레임워크 **(HiRM): 텍스트 인코더 내에서 업데이트 위치 (초기 레이어) 와 제거 목표 (최종 레이어) 를 분리하는 디커플링 전략을 제안했습니다. 이는 기존 U-Net 기반 방법의 계산 비용 문제를 해결하고, 텍스트 인코더 수정의 부작용을 최소화합니다.
2. 뛰어난 성능과 균형: UnlearnCanvas 벤치마크 (스타일 및 객체 제거) 와 I2P 벤치마크 (NSFW 제거) 에서 기존 방법들 (SAFREE, UCE, Diff-Q, ESD 등) 보다 **개념 제거율 **(UA)과 **유지율 **(IRA/CRA) 사이의 균형을 가장 잘 달성했습니다.
3. **모델 무관성 및 전이성 **(Transferability):
   • 텍스트 인코더 (CLIP) 만을 수정하므로, U-Net 기반 모델뿐만 아니라 Flux와 같은 최신 Rectified Flow Transformer 아키텍처에도 추가 학습 없이 바로 적용 가능합니다.
   • LoRA 기반의 파인튜닝 모델과도 호환성이 뛰어납니다.
4. **상호 보완적 효과 **(Synergy): 기존 디노이저 기반 제거 방법 (ESD 등) 과 결합 시, 공격에 대한 견고성 (Robustness) 을 크게 향상시키면서도 모델의 유용성 (Utility) 을 거의 유지하는 시너지 효과를 입증했습니다.

4. 실험 결과 (Results)

• UnlearnCanvas 벤치마크: 스타일 및 객체 제거 작업에서 HiRM-S 는 평균 정확도 (AA) 가 96% 이상을 기록하며, 기존 최상위 방법들보다 우수한 성능을 보였습니다. 특히 훈련 시간과 메모리 사용량이 기존 방법 대비 획기적으로 적었습니다 (약 1.2 초, 1.6GB).
• **NSFW 및 적대적 공격 **(Adversarial Attacks): Ring-A-Bell, MMA-Diffusion 등의 적대적 공격에 대해 HiRM-R/S 는 높은 방어율을 보였습니다. 특히 MLLM(다중 모달 LLM) 을 심판자로 활용한 평가에서도 HiRM-R 이 가장 높은 안전 점수를 기록했습니다.
• Flux 모델 적용: Flux1.dev 아키텍처에 HiRM-R 을 적용했을 때, 추가 학습 없이도 NSFW 생성을 약 50% 감소시키면서 COCO 벤치마크의 CLIP 점수를 유지했습니다.
• 시각화 분석: t-SNE 시각화 및 뉴런 활성화 분석 (Jaccard Similarity) 을 통해, HiRM 이 대상 개념의 표현은 명확히 분리/변형시키지만 비대상 개념의 표현은 원래 상태를 유지함을 확인했습니다.

5. 의의 및 결론 (Significance)

이 논문은 T2I 모델의 안전성 강화에 있어 텍스트 인코더의 계층적 구조를 활용한 정밀한 제어의 중요성을 입증했습니다. HiRM 은 다음과 같은 의의를 가집니다:

• 효율성: 전체 모델을 재학습하지 않고 텍스트 인코더의 일부만 수정하여 빠르고 저렴하게 개념을 제거할 수 있습니다.
• 유연성: 다양한 아키텍처 (SD, Flux 등) 와 다양한 개념 (스타일, 객체, NSFW) 에 적용 가능하며, 기존 보안 패치와 결합하여 시너지를 낼 수 있습니다.
• 실용성: 플랫폼 제공자나 개발자가 모델의 유해한 생성을 방지하면서도 창의적인 생성 능력을 유지할 수 있는 실용적인 '안전 패치 (Safety Patch)' 솔루션을 제공합니다.

결론적으로, HiRM 은 개념 제거의 정확성과 모델의 일반적 유용성 사이의 긴장 관계를 해결하는 혁신적인 접근법으로, 차세대 T2I 모델의 안전한 배포에 중요한 기여를 할 것으로 기대됩니다.