💻 computer science

CGCE: Classifier-Guided Concept Erasure in Generative Models

Dit artikel introduceert Classifier-Guided Concept Erasure (CGCE), een plug-and-play framework dat de robuustheid en veiligheid van generatieve modellen tegen kwaadaardige aanvallen verbetert door tijdens de inferentiefase een lichtgewicht classifier te gebruiken om onveilige tekstembeddings te verfijnen, waardoor ongewenste concepten effectief worden gewist zonder de oorspronkelijke generatieve kwaliteit van het model aan te tasten.

Oorspronkelijke auteurs: Viet Nguyen, Vishal M. Patel

Gepubliceerd 2026-07-23

📖 8 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Viet Nguyen, Vishal M. Patel

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je net een magische kunststudio hebt gebouwd waar je een paar woorden kunt typen, en er springt een prachtig plaatje of een korte video uit. Dit is de wereld van generatieve AI, een tak van de informatica waarbij machines leren om nieuwe inhoud vanaf nul te creëren. Deze digitale kunstenaars zijn ongelooflijk talentvol, maar ze hebben een lastige gewoonte: omdat ze leerden van het hele internet, pikken ze soms ook slechte gewoontes op. Ze kunnen per ongeluk dingen tekenen die ongepast, gewelddadig of gewoonweg vreemd zijn wanneer je om een simpele "kat" vraagt. Om dit op te lossen, proberen wetenschappers deze modellen te leren om specifieke slechte ideeën te "vergeten", een proces dat conceptverwijdering (concept erasure) wordt genoemd. Denk eraan als het proberen te leren aan een hond om niet achter eekhoorns aan te jagen. Sommige trainers proberen de hersenen van de hond permanent te herbedraden (fine-tuning), wat zwaar werk is en ervoor kan zorgen dat de hond vergeet hoe hij zijn favoriete bal moet halen. Anderen proberen gewoon "Nee!" te roepen telkens wanneer de hond naar een eekhoorn kijkt (filtering), maar een slimme eekhoorn kan er gewoon langs sluipen als hij er niet precies uitziet als de eekhoorns waar de hond bang voor is getraind. De grote vraag is: Kunnen we de slechte ideeën stoppen zonder het vermogen van de kunstenaar om mooie, veilige plaatjes te maken te verpesten?

Dit artikel introduceert een slimme nieuwe truc genaamd Classifier-Guided Concept Erasure (CGCE). In plaats van te proberen de hersenen van de AI permanent te herbedraden of gewoon op het verkeerde moment "Nee!" te roepen, hebben de auteurs een kleine, superintelligente beveiligingsbeambte gebouwd die precies bij de deur van de kunststudio staat. Deze bewaker raakt de gereedschappen van de kunstenaar niet aan; hij controleert alleen de briefjes die je schrijft voordat ze de kunstenaar bereiken. Als je briefje iets veiligs zegt, zoals "een kat op een mat", laat de bewaker het direct door. Maar als je briefje iets onveiligs zegt, blokkeert de bewaker het niet alleen; hij bewerkt je briefje voorzichtig voordat de kunstenaar het ziet. Hij gebruikt een speciale vorm van wiskunde om de gevaarlijke delen van je zin te herschrijven in iets veiligs, terwijl de rest van je idee exact hetzelfde blijft.

De auteurs ontdekten dat deze methode een game-changer is omdat het werkt als een "plug-and-play"-gadget. Je hoeft de hele kunststudio niet opnieuw te bouwen om het te gebruiken; je plugt het gewoon in. Ze hebben het getest op veel verschillende moderne kunstgeneratoren, inclusief die voor afbeeldingen en die voor video's. De resultaten waren indrukwekkend: de beveiligingsbeambte slaagde erin de AI ervan te weerhouden ongepaste inhoud te tekenen, zelfs wanneer mensen probeerden de AI te misleiden met slimme, ingewikkelde zinnen. Tegelijkertijd bleef de AI kwalitatief hoogwaardige, mooie plaatjes maken van veilige zaken, wat bewijst dat je niet hoeft te offeren voor veiligheid om creativiteit te behouden.

Het probleem met oude trucs

Om te begrijpen waarom deze nieuwe methode zo cool is, laten we kijken naar hoe mensen dit probleem eerder probeerden op te lossen. Stel je voor dat je een enorme bibliotheek met boeken hebt (de trainingsdata van de AI) die ook enkele enge verhalen bevat.

De "Hersenen Herbedraden"-aanpak: Sommige wetenschappers probeerden de hersenen van de AI permanent te veranderen door hem opnieuw te trainen om de enge verhalen te vergeten. Dit is als het nemen van een heel jaar om een hond opnieuw te trainen. Het is duur, kost veel tijd en zorgt er vaak voor dat de hond andere coole trucjes vergeet, zoals zitten of rollen. De AI stopt misschien met het tekenen van "naakte mensen", maar het kan ook beginnen met het tekenen van "naakte katten" of simpelweg overal wazige, lelijke plaatjes van maken.
De "Roep Nee"-aanpak: Andere methoden probeerden te fungeren als een uitsmijter bij een club. Ze keken naar je verzoek en als ze een "slecht woord" zagen, blokkeerden ze het. Maar dit is als een uitsmijter die alleen de namen van slechte woorden kent. Als je zegt: "Een persoon zonder kleding aan", ziet de uitsmijter dat misschien over het hoofd omdat je niet het specifieke woord "naakt" hebt gebruikt. Of, als het slechte idee verborgen zit in een lang, ingewikkeld verhaal, raakt de uitsmijter in de war en laat hij het slechte deel toch door.

De auteurs van dit artikel merkten op dat deze oude methoden een groot gebrek hadden: ze waren ofwel te zwaar (wat de creativiteit van de AI brak) of te gemakkelijk te misleiden (waardoor slecht materiaal doorliet). Ze wilden een oplossing die licht, snel en echt goed was in het herkennen van de betekenis van een zin, niet alleen de woorden.

De Magische Beveiligingsbeambte: CGCE

De auteurs creëerden CGCE, wat werkt als een slimme, onzichtbare beveiligingsbeambte. Zo werkt het, stap voor stap:

Stap 1: De Training (De bewaker leren)
Eerst hebben de auteurs hun beveiligingsbeambte geleerd om problemen te herkennen. Ze gebruikten geen echte, enge afbeeldingen (wat vies en onnodig zou zijn). In plaats daarvan gebruikten ze een superintelligente taalrobot (een LLM) om duizenden paren zinnen te schrijven. Eén zin in het paar was veilig (bijv. "Een meisje dat op een bed zit") en de andere was dezelfde zin maar met een slechte draai (bijv. "Een meisje dat naakt op een bed zit"). De bewaker leerde om naar de betekenis van deze zinnen te kijken en te beslissen: "Is dit veilig of niet?" De bewaker leerde het hele plaatje te zien, en niet alleen individuele woorden.

Stap 2: De Controle (De beveiliging)
Wanneer je een prompt in de AI typt, worden je woorden omgezet in een geheime code (een zogenaamde embedding) die de AI begrijpt. De CGCE-bewaker kijkt naar deze code. Als de code er veilig uitziet, zegt de bewaker: "Alles veilig!" en laat hij de AI zijn werk doen. De AI tekent de afbeelding dan precies zoals je vroeg, zonder wijzigingen. Dit is cruciaal omdat dit betekent dat het oorspronkelijke talent van de AI nooit beschadigd wordt.

Stap 3: De Fix (De verfijner)
Als de bewaker iets onveilig ziet, blokkeert hij je niet alleen. Hij fungeert als een "verfijner". Hij neemt je geheime code en gebruikt een speciale wiskundige truc om deze te verfijnen. Stel je voor dat je zin een bal klei is. Als de klei een gevaarlijke vorm heeft, drukt de bewaker de gevaarlijke kant er voorzichtig in en hervormt deze tot het veilig is, terwijl de rest van de bal precies hetzelfde blijft. Hij doet dit door te kijken naar welke delen van je zin de problemen veroorzaken en deze weg te duwen van de "slechte" ideeën. Hij blijft deze kleine duwtjes steeds opnieuw geven totdat de code volledig veilig is.

Waarom dit een grote zaak is

De auteurs hebben deze methode getest tegen veel andere manieren om slechte AI-kunst te stoppen. Ze gebruikten een reeks lastige tests waarbij mensen probeerden de AI te misleiden met sluwe prompts (zoals het gebruik van lange verhalen of vreemde woorden om het slechte idee te verbergen).

Het is Taai: De CGCE-bewaker was veel moeilijker te misleiden dan de oude methoden. Zelfs toen mensen probeerden slechte ideeën binnen te smokkelen via complexe zinnen, betrapte de bewaker hen. In tests verminderde het succespercentage van deze "aanval met trucs" tot bijna nul voor veel verschillende soorten AI-modellen.
Het is Zachtaardig: Omdat de bewaker de code alleen verandert wanneer dat absoluut noodzakelijk is, bleef het vermogen van de AI om prachtige, veilige plaatjes te maken perfect. Toen de auteurs de AI vroegen om een "zonsondergang" of een "hond" te tekenen, waren de resultaten net zo goed als voorheen. De oude methoden maakten de plaatjes vaak wazig of vreemd, maar CGCE hield de kwaliteit hoog.
Het Werkt Overal: Het beste deel is dat deze bewaker niet geeft wat voor soort kunststudio je hebt. De auteurs lieten zien dat het werkt op veel verschillende moderne AI-modellen, inclusief die voor afbeeldingen en die voor video's. Het is alsoals een universele beveiligingsbadge die op elke deur werkt.

De Kern van het Verhaal

Dit artikel suggereert dat we niet hoeven te kiezen tussen veiligheid en creativiteit. Door een slimme, lichte bewaker te gebruiken die jouw verzoeken controleert en corrigeert voordat de AI begint te tekenen, kunnen we het slechte stoppen zonder het goede te breken. De auteurs toonden aan dat deze methode snel, effectief is en werkt op alle soorten moderne AI. Het is een praktische manier om ervoor te zorgen dat onze magische kunststudio's leuk en veilig blijven voor iedereen, zonder dat we de hele machine opnieuw hoeven te bouwen elke keer dat we een nieuwe regel willen toevoegen.

Technische Samenvatting: Classifier-Guided Concept Erasure (CGCE)

Probleemstelling

Grootschalige generatieve modellen, met name Text-to-Image (T2I) en Text-to-Video (T2V) systemen, hebben een opmerkelijke getrouwheid bereikt, maar erven aanzienlijke veiligheidsrisico's van web-gescrapte trainingsdata, waaronder de generatie van NSFW-content, auteursrechtelijk beschermde stijlen en schadelijke objecten. Bestaande methoden voor conceptverwijdering (concept erasure) kampen met een kritieke afruil tussen veiligheid en bruikbaarheid:

Fine-tuning benaderingen (bijv. ESD, DUO) veranderen de gewichten van het model permanent om concepten te wissen, maar verslechteren vaak het vermogen van het model om veilige, ongerelateerde content te genereren en zijn computationeel duur.
Model editing methoden (bijv. UCE, MACE) gebruiken closed-form oplossingen om gewichten te wijzigen, maar blijven kwetsbaar voor adversariële aanvallen die gewiste concepten opnieuw genereren.
Training-vrije inferentie methoden (bijv. SLD, SAFREE) sturen generatie tijdens de inferentie aan zonder de gewichten aan te passen. Deze methoden vertrouwen echter vaak op token-niveau lineaire projecties. Deze methoden worstelen met moderne tekstencoders (zoals T5) waar semantische betekenis holistisch over de zin is verdeeld in plaats van geïsoleerd in specifieke tokens. Bijgevolg falen ze bij het wissen van concepten die impliciet of contextueel worden uitgedrukt, en zijn ze ineffectief op guidance-distilled modellen (bijv. FLUX) die mechanismen voor negatieve prompting weglaten.

Het artikel identificeert de behoefte aan een robuust, plug-and-play framework dat een hoge-getrouwheid conceptverwijdering bereikt tegen adversariële aanvallen, zonder de generatieve bruikbaarheid van het basismodel in gevaar te brengen of gewichtsmodificaties te vereisen.

Methodologie: Classifier-Guided Concept Erasure (CGCE)

CGCE is een lichtgewicht, plug-and-play framework dat volledig opereert tijdens de inferctiefase in de tekst-embeddingruimte. Het wijzigt de originele gewichten van het generatieve model niet. De methode bestaat uit drie stadia:

1. Synthetische Datageneratie

Met behulp van Large Language Models (LLMs) genereert de auteur een dataset van paren prompts voor specifieke doelconcepten (bijv. naaktheid, artistieke stijlen, objecten). Elk paar bestaat uit:

Een onveilige prompt ( $p_u$ ) die het doelconcept bevat.
Een veilige prompt ( $p_s$ ) die de semantische structuur en inhoud van $p_u$ behoudt, maar het doelconcept uitsluit.
Deze gepaarde structuur stelt het model in staat om de specifieke semantische kenmerken van het ongewenste concept te isoleren.

2. Trainen van een Lichtgewicht Classifier

Een lichtgewicht classifier wordt getraind op de tekst-embeddings van deze promptparen.

Architectuur: De classifier neemt de prompt-embedding ( $\varepsilon_p$ ) en een doelconcept-embedding ( $\varepsilon_c$ ) als input. Het maakt gebruik van een multi-head cross-attention laag waarbij prompt-tokens fungeren als queries en concept-tokens als keys/values. Dit ontwerp stelt het model in staat om te identificeren welke specifieke tokens in de prompt semantisch zijn uitgelijnd met het schadelijke concept.
Output: De classifier produceert een waarschijnlijkheidsscore die de waarschijnlijkheid aangeeft dat de prompt het doelconcept bevat, en genereert token-belangrijkheidsscores ( $s$ ) voor elk token op basis van attention-gewichten.
Training: Het model wordt end-to-end getraind met behulp van Binary Cross-Entropy loss.

3. Inferentie: Safeguard en Verfijning

Tijdens de inferentie fungeert de getrainde classifier als een module met een dubbele functie:

Safeguard: Het inspecteert de embedding van de invoerprompt. Als de waarschijnlijkheid van het bevatten van het doelconcept onder een drempelwaarde $\tau$ ligt, wordt de embedding ongewijzigd doorgegeven aan het generatieve model, wat de volledige bruikbaarheid behoudt.
Refiner: Als het concept wordt gedetecteerd, stuurt de classifier een iteratief verfijningsproces aan. De prompt-embedding wordt bijgewerkt met behulp van gradiëntafdaling om de output-waarschijnlijkheid van de classifier te minimaliseren.
- Gewogen Gradiënt: Cruciaal is dat de update-stap de token-belangrijkheidsscores ( $s$ ) gebruikt om de gradiënten te wegen ( $g = s \odot \nabla f_\theta$ ). Dit zorgt ervoor dat updates primair worden toegepast op tokens die semantisch gerelateerd zijn aan het schadelijke concept, waardoor vervorming van de onschuldige delen van de prompt wordt geminimaliseerd.
- Norm Schaling: De gradiënt wordt geschaald door de norm van de embedding om stabiele convergentie te garanderen.
- Terminatie: Het proces iterereert totdat de voorspelling van de classifier onder de drempelwaarde valt of een maximaal aantal stappen is bereikt. De verfijnde embedding wordt vervolgens doorgegeven aan het T2I of T2V model.

Belangrijkste Bijdragen

Plug-and-Play Framework: CGCE is de eerste methode die robuuste conceptverwijdering biedt over diverse T2I en T2V architecturen (inclusen DiT en VAR modellen) zonder de gewichten van het basismodel te wijzigen.
Holistische Semantische Verfijning: In tegenstelling tot eerdere token-niveau projectiemethoden, maakt CGCE gebruik van een classifier die getraind is op promptparen om de holistische semantische context te begrijpen. Dit stelt het in staat om concepten effectief te wissen, zelfs wanneer ze over de zin verspreid zijn of impliciet worden uitgedrukt.
Superieure Veiligheid-Bruikbaarheid Afruil: Door selectief alleen onveilige embeddings te verfijnen en veilige embeddings te behouden, behoudt CGCE de generatieve kwaliteit (FID en CLIP scores) van het basismodel terwijl het een state-of-the-art robuustheid bereikt tegen red-teaming aanvallen.
Cross-Modale Veelzijdigheid: Het framework wordt succesvol gedemonstreerd op zowel beeldgeneratie (SD-v1.4, SD-v3, FLUX, Switti-AR, Infinity-2B) als videogeneratie (CogVideoX, HunyuanVideo).

Experimentele Resultaten

De auteurs evalueerden CGCE tegen negen baselines (waaronder ESD, UCE, STEREO, SLD en SAFREE) over meerdere taken: het verwijderen van naaktheid, het verwijderen van artistieke stijl (Van Gogh) en het verwijderen van objecten (kerk).

Robuustheid: CGCE bereikte een state-of-the-art of zeer competitieve Attack Success Rate (ASR) over zes red-teaming benchmarks (I2P, SixCD, P4D, RAB, MMAD, UDA). Zo behaalde CGCE op een SD-v1.4 backbone een ASR van 4.62 op I2P en 2.47 op SixCD, waarmee het de meeste fine-tuning en training-vrije methoden overtreft.
Generalisatie: Op moderne architecturen zoals FLUX (die geen negatieve prompting heeft), faalde SAFREE aanzienlijk (ASR > 87% op RAB), terwijl CGCE de ASR reduceerde naar 0.70. Vergelijkbare superieure prestaties werden waargenomen op SD-v3, Switti-AR en diverse T2V modellen.
Behoud van Bruikbaarheid: CGCE behield FID en CLIP scores die vrijwel identiek zijn aan het originele basismodel, wat aantoont dat het de generatie van veilige content niet verslechtert. In contrast hiermee vertoonden fine-tuning methoden vaak significante dalingen in bruikbaarheid.
Ablatie-studies: De auteurs bevestigden dat de token-belangrijkheid-weging cruciaal is; het verwijderen ervan leidde tot ongerichte updates en verslechterde de bruikbaarheid. De methode bleek ook robuust tegen variaties in de detectiedrempel $\tau$ .
Complexe Prompts: CGCG presteerde aanzienlijk beter dan de baselines op lange, impliciete, verhaal-stijl prompts waar schadelijke concepten werden opgeroepen zonder expliciete toxische vocabulaire.

Betekenis en Claims

Het artikel claimt dat CGCE een nieuwe standaard vestigt voor veilige generatieve AI door de moeilijke afruil tussen veiligheid en prestaties op te lossen. De primaire betekenis ligt in het vermogen om te dienen als een generator-agnostische safeguard. Door te opereren in de tekst-embeddingruimte in plaats van op de modelgewichten, kan CGCE naadloos worden geïntegreerd in een breed scala aan moderne T2I en T2V modellen, inclusief die met architecturen (zoals VAR of guidance-distilled modellen) waar eerdere verwijderingsmethoden falen.

De auteurs positioneren CGCE niet als een vervanging voor veiligheidsmaatregelen tijdens de training, maar als een zeer efficiënte, robuuste en praktische oplossing tijdens de inferentie die veilige generatie garandeert zonder de computationele kosten van hertraining of de bruikbaarheidsdegradatie die gepaard gaat met gewichtsmodificatie. De methode wordt gepresenteerd als een praktische stap naar het verantwoordelijk inzetten van generatieve modellen in diverse toepassingen.