🤖 AI

AEGIS: Adversarial Target-Guided Retention-Data-Free Robust Concept Erasure from Diffusion Models

Dit paper introduceert AEGIS, een retentie-data-vrij raamwerk dat de robuustheid en retentie van conceptverwijdering in diffusiemodellen gelijktijdig verbetert door middel van adversariaal leren en gradiëntgestuurde synergie.

Oorspronkelijke auteurs: Fengpeng Li, Kemou Li, Qizhou Wang, Bo Han, Jiantao Zhou

Gepubliceerd 2026-02-16

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Fengpeng Li, Kemou Li, Qizhou Wang, Bo Han, Jiantao Zhou

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

🛡️ AEGIS: De Onzichtbare Schildwacht voor AI

Stel je voor dat je een magische schilder hebt (een zogenaamde "Diffusion Model" of AI). Deze schilder kan prachtige plaatjes maken als je hem een beschrijving geeft, zoals "een zonsondergang aan de kust". Maar er is een probleem: deze schilder heeft ook geleerd om dingen te tekenen die we liever niet zien, zoals naaktheid of gewelddadige scènes.

Om dit op te lossen, hebben onderzoekers eerder geprobeerd de schilder te "herprogrammeren". Ze zeiden: "Vergeet die naaktheid maar, teken in plaats daarvan een bloem." Maar er waren twee grote problemen:

Het "Hervaken"-Probleem (Robuustheid): Als je de schilder vraagt om naaktheid te vergeten, kan hij het soms nog steeds doen als je slimme, vermomde woorden gebruikt. Bijvoorbeeld, in plaats van "naakt" te zeggen, zeg je "bloot" of "onbedekt". De schilder denkt dan: "Ah, dat is niet hetzelfde als 'naakt' wat ik moest vergeten!" en tekent het toch.
Het "Vergeten Alles"-Probleem (Behoud): Als je de schilder te streng traint om naaktheid te vergeten, vergeet hij soms ook andere dingen die hij wel moet kunnen, zoals het schilderen van mooie landschappen of portretten. Hij wordt dan een slechte schilder voor alles behalve het ene ding dat je wilde verwijderen.

AEGIS is een nieuwe, slimme methode om dit op te lossen. Het is als een twee-in-één schildwacht die zorgt dat de AI veilig blijft, zonder zijn talenten te verliezen.

🧠 De Twee Slimme Trucs van AEGIS

AEGIS gebruikt twee hoofdonderdelen om dit te bereiken. Laten we ze bekijken met behulp van een analogie uit het dagelijks leven.

1. De "Perfecte Doelwit" (Adversarial Erasure Target - AET)

Het probleem:
Stel je voor dat je een schoolhoofd wilt overtuigen om een bepaalde slechte gewoonte (bijv. roken) te stoppen. Als je alleen zegt: "Stop met roken in de klas", denken de leerlingen misschien: "Oké, maar we kunnen wel in de tuin roken" of "We kunnen wel 's nachts roken". Ze hebben de centrale regel niet begrepen, alleen de specifieke zin.

In de AI-wereld betekent dit: als je de AI alleen leert om het woord "naakt" te negeren, kan hij nog steeds reageren op synoniemen zoals "bloot" of "naakt".

De AEGIS-oplossing:
AEGIS bedacht een slimme truc. In plaats van te zeggen "vergeet het woord 'naakt'", zoekt de AI eerst naar het centrale idee van "naaktheid". Het is alsof de AI een "meester-woord" bedenkt dat alle vormen van naaktheid (naakt, bloot, onbedekt, etc.) omvat.

De AI traint zichzelf om te zeggen: "Als je iets vraagt dat ook maar iets met 'naaktheid' te maken heeft, dan teken ik een veilige bloem."
Door te focussen op dit centrale idee (in plaats van één specifiek woord), is het voor de AI onmogelijk om te "ontsnappen" via slimme woordkeuzes. Het is alsof je de deur van de kamer dichttikt, in plaats van alleen het raam.

2. De "Zachte Duw" (Gradient Regularization Projection - GRP)

Het probleem:
Stel je voor dat je een auto rijdt. Je wilt naar het noorden gaan (vergeten van het slechte concept), maar je wilt ook niet van de weg afrijden (het behoud van goede vaardigheden).
Soms duwt de rem (het vergeten) in de ene richting, en de versnelling (het behoud) in de andere. Als je hard op beide pedalen trapt, blijft de auto stilstaan of raakt hij in de war. De AI wordt dan een slechte schilder.

De AEGIS-oplossing:
AEGIS gebruikt een slimme stuurman (de GRP).

Als de "vergeten-kracht" en de "behoud-kracht" in dezelfde richting duwen, doet de AI gewoon zijn werk.
Maar als ze tegenstrijdig zijn (de ene duwt naar links, de andere naar rechts), grijpt de stuurman in. Hij neemt de "rem" en duwt die net een beetje opzij, zodat hij de "versnelling" niet blokkeert.
Belangrijk: AEGIS doet dit zonder extra foto's van goede dingen te nodig te hebben. Het kijkt gewoon naar de oude hersenen van de AI en zegt: "Zorg dat je niet te ver weggaat van hoe je vroeger was." Dit voorkomt dat de AI per ongeluk weer begint met tekenen van de dingen die we juist wilden vergeten.

🏆 Wat is het resultaat?

De onderzoekers hebben AEGIS getest op verschillende dingen:

Naaktheid: De AI tekent geen naaktheid meer, zelfs niet als mensen slimme woorden gebruiken om het te omzeilen.
Kunststijlen: Als je de AI vraagt om "in de stijl van Van Gogh" te tekenen, doet hij dat niet meer (om auteursrechten te beschermen), maar hij kan wel nog steeds prachtige landschappen schilderen.
Objecten: Hij vergeet hoe je een kerk tekent, maar vergeet niet hoe je een auto tekent.

De grote winst:
Vroeger was het een afweging: of je was heel veilig (maar een slechte schilder), of je was een goede schilder (maar niet veilig).
Met AEGIS heb je beide: een AI die veilig is tegen slimme hackers, maar die nog steeds prachtige, nuttige plaatjes maakt.

🚀 Samenvatting in één zin

AEGIS is als een slimme leraar die een leerling niet alleen leert een slechte gewoonte te stoppen, maar hem ook leert waarom hij het moet stoppen (zodat hij niet om de regels heen kan), terwijl hij tegelijkertijd zorgt dat de leerling zijn andere talenten niet vergeet.

Probleemstelling

Concept-uitwissing (concept erasure) in Diffusion Models (DMs) is essentieel om schadelijke inhoud (zoals naaktheid, auteursrechtelijk beschermd materiaal of vooroordelen) te voorkomen. Bestaande methoden kampen echter met een fundamenteel compromis tussen robustheid en retentie:

Robustheid: Het vermogen van het gefinetunede model om heractivering van het verwijderde concept te weerstaan, zelfs onder semantisch gerelateerde of adversariële prompts (bijv. "naakt" in plaats van "nudity").
Retentie: Het behoud van de algehele bruikbaarheid van het model voor niet-gerelateerde concepten.

Huidige technieken verbeteren vaak de ene factor ten koste van de andere. Ze gebruiken vaak een handmatig gekozen doelwit (bijv. een lege prompt of een generiek concept) om het te verwijderen concept naartoe te mappen. Dit leidt tot twee problemen:

Onvolledige uitwissing: Als het gekozen voorbeeld te ver van het semantische centrum van de conceptklasse ligt, blijven restanten van het concept bestaan. Adversariële prompts die dicht bij dit centrum liggen, kunnen het concept opnieuw activeren.
Negatieve interferentie: Het proberen om zowel uitwissing als retentie te optimaliseren veroorzaakt conflicterende gradiënten, wat leidt tot een verslechtering van de generatiekwaliteit voor andere concepten of een verlies van uitwissterkte.

Methodologie: AEGIS

De auteurs introduceren AEGIS (Adversarial Erasure with Gradient-Informed Synergy), een raamwerk dat robustheid en retentie verbetert zonder extra retentiedata te vereisen. Het bestaat uit twee kerncomponenten:

1. Adversarial Erasure Target (AET)

In plaats van een statisch doelwit te gebruiken, genereert AEGIS een dynamisch Adversarial Erasure Target.

Doel: Het AET wordt geoptimaliseerd om het semantische centrum van de te verwijderen conceptklasse te benaderen.
Werkingsprincipe: Het model wordt gefinetuned om de voorspelde ruis voor het te verwijderen concept (bijv. "nudity") te aligneren met het voorspelde resultaat van het AET. Omdat het AET dichter bij het semantische centrum ligt dan een willekeurig voorbeeld, wordt de afstand in de latent space vergroot voor alle varianten van het concept (inclusief synoniemen en metaforische uitdrukkingen).
Resultaat: Dit maakt het model veel robuuster tegen adversariële prompt-aanvallen (APAs), omdat de uitwissing effectiever is voor de hele conceptklasse in plaats van slechts voor één specifiek voorbeeld.

2. Gradient Regularization Projection (GRP)

Om het compromis tussen uitwissing en retentie op te lossen zonder extra datasets, introduceert AEGIS een gradiënt-rectificatiestrategie.

Parameter Regularization (PR): In plaats van een retentiedataset te gebruiken, straft de loss-functie afwijkingen van de oorspronkelijke modelparameters ( $\theta_0$ ) af. Dit behoudt de kennis van niet-gerelateerde concepten.
Directional Gradient Rectification (DGR): De auteurs identificeren dat de gradiënt voor uitwissing ( $g_e$ $g_{e}$ ) en de gradiënt voor retentie ( $g_r$ $g_{r}$ ) vaak conflicteren (een negatieve cosinus-similariteit).
- Wanneer er een conflict is, projecteert DGR het destructieve component van de retentie-gradiënt loodrecht weg van de uitwissing-gradiënt.
- Een dynamische parameter $\omega$ reguleert de sterkte van deze projectie: tijdens de vroege fasen van het finetunen is $\omega$ laag om de uitwissing te prioriteren, en neemt het toe naarmate de gradiënten beginnen te conflicteren om de retentie te beschermen.
Data-vrij: Omdat GRP alleen de parameters van het originele model gebruikt als referentie, is er geen behoefte aan externe retentiedatasets, wat dataset-bias en het risico op "herleren" van het verwijderde concept elimineert.

Belangrijkste Bijdragen

Inzicht in kwetsbaarheid: Het paper demonstreert dat de kwetsbaarheid van bestaande methoden voortkomt uit een ongeschikt gekozen leerdoel dat te ver van het semantische centrum van het concept ligt.
Nieuw Framework (AEGIS): Een data-vrij raamwerk dat een dynamisch AET gebruikt om class-level informatie effectief te verwijderen en GRP gebruikt om het robustheid-retentie compromis op te lossen.
Theoretische onderbouwing: De auteurs bieden theoretische garanties dat GRP convergeert naar een stationair punt dat de uitwissingdoelstelling respecteert en tegelijkertijd de retentie verbetert door gradiëntconflicten te mitigeren.

Resultaten

AEGIS werd getest op diverse concepten (naaktheid, artistieke stijlen zoals Van Gogh, en objecten zoals kerken) tegen state-of-the-art adversariële aanvallen (P4D, UnlearnDiffAtk, Ring-A-Bell).

Robustheid: AEGIS reduceerde de Attack Success Rate (ASR) aanzienlijk.
- Voor het concept "naaktheid": ~5,31% reductie onder P4D en ~24% onder UnlearnDiffAtk vergeleken met de beste baselines.
- Voor "Van Gogh stijl": Een reductie van ~12% tot ~18% in ASR ten opzichte van bestaande methoden.
Retentie: In tegenstelling tot andere methoden die vaak leiden tot een sterke daling in beeldkwaliteit (gemeten via FID en CLIP-score), behield AEGIS of verbeterde zelfs de generatiekwaliteit voor niet-gerelateerde concepten.
Efficiëntie: Hoewel de generatie van het AET extra rekentijd kost, is AEGIS efficiënter dan methoden die grote retentiedatasets vereisen en vereist geen volledige hertraining van het model.

Significantie

AEGIS doorbreekt het heersende compromis tussen robustheid en retentie in concept-uitwissing. Door een semantisch centraal doelwit te gebruiken en gradiëntconflicten intelligent te managen zonder extra data, biedt het een praktische en veilige oplossing voor het veiligstellen van generatieve AI-modellen. Dit is cruciaal voor de implementatie van DMs in real-world scenario's waar zowel veiligheid (geen schadelijke inhoud) als bruikbaarheid (behoud van creatieve capaciteit) vereist zijn. De methode biedt een nieuwe standaard voor hoe men omgaat met adversariële dreigingen tegen machine unlearning.