Technische Samenvatting: TrajShield

1. Probleemstelling

Text-to-Video (T2V)-modellen hebben aanzienlijke vooruitgang geboekt in het genereren van temporair coherente video's uit natuurlijke taalprompts. Echter, bestaande veiligheidsmechanismen, grotendeels overgenomen uit Text-to-Image (T2I)-domeinen, zijn ontoereikend voor T2V. Huidige verdedigingen opereren voornamelijk op het lexicale oppervlak van de inputprompt (bijvoorbeeld sleutelwoordzwartelijsten, oppervlakkige classifiers of generieke LLM-herschrijvingen). Deze methoden slagen er niet in om een fundamenteel onderscheid tussen statische afbeeldingen en dynamische video aan te pakken: temporaal emergente risico's.

Bij T2V-generatie kan een ogenschijnlijk onschadelijke prompt (bijvoorbeeld "twee mannen die ruzie maken op een parkeerterrein") geen expliciet schadelijke sleutelwoorden bevatten, maar toch leiden tot onveilige content (bijvoorbeeld fysiek geweld) door de temporale extrapolatie van het model naar narratieve coherentie. Het risico is onzichtbaar op promptniveau en materialiseert zich pas wanneer de generator de scène in de tijd ontvouwt. Bovendien falen bestaande verdedigingen vaak tegen geavanceerde jailbreak-aanvallen die schadelijke intenties verbergen door herschrijving of adversariale prompting. De kernuitdaging is om de temporale trajectorie die een T2V-model zal produceren te anticiperen, de causale oorsprong van opkomende risico's te identificeren en te interveniëren met minimale semantische verstoring voordat er ook maar één frame wordt gerenderd.

2. Methodologie: TrajShield

De auteurs stellen TrajShield voor, een trainingsvrij verdedigingskader op inferentietijd dat T2V-veiligheid herformuleert als een causaal interventieprobleem binnen een temporair gestructureerde semantische ruimte. In plaats van de ruwe tekst te wijzigen op basis van lexicale patronen, simuleert TrajShield de geïmpliceerde trajectorie van de prompt om risico's te neutraliseren terwijl veiligheidsrelevante semantics behouden blijven. Het kader bestaat uit drie sequentiële fasen:

A. Motion-Semantic Decoupling (MSD)

Om collaterale semantische drift te voorkomen (waarbij het neutraliseren van een risico onbedoeld de identiteit of stijl van de scène verandert), factoriseert TrajShield de inputprompt $P$ in drie conditioneel onafhankelijke componenten:

1. Invariant Ruimtelijke Context ($E$): Vangt temporair stationaire elementen op, inclusief beschrijvingen van onderwerpen, omgevingsinstellingen en cinematische stijlcues. Dit fungeert als een bevroren anker om ervoor te zorgen dat de onderwerpidentiteit en visuele toon onveranderd blijven.
2. Actietrajectorie ($T$): Een gediscretiseerde, temporair geordende reeks scenestates (bijvoorbeeld begin, middelpunt, slot) die de dynamische progressie vastlegt die door de prompt wordt geïmpliceerd. Het systeem voert impliciete dynamische extrapolatie uit om plausibele temporale bogen af te leiden, zelfs als de gebruikersprompt onvoldoende gespecificeerd is.
3. Intentieanker ($I$): Een beknopte distillatie van de kerncreatieve doelstelling van de gebruiker, geabstraheerd van potentieel schadelijke specificaties, die dient als semantische regularisator tijdens het herschrijven.

B. Temporal Risk Propagation Graph (TRPG)

Deze module opereert volledig in de semantische ruimte om de trajectorie te simuleren en de causale oorsprong van het risico te lokaliseren zonder videoframes te renderen.

1. Trajectorie-uitrollen: De actietrajectorie wordt gemodelleerd als een context-geconditioneerde Markov-keten, die volgende states voorspelt op basis van de huidige state en ruimtelijke context.
2. Hiërarchische Risicobeoordeling: Bij elk temporair anker wordt het risico beoordeeld langs drie dimensies:
   • Contentrisico: Of de instantane state schadelijke content bevat (statisch risico).
   • Transitierisico: Of de verandering tussen states een causale escalatie naar schade vormt (dynamisch risico).
   • Prospectief Risico: Of het onbelemmerd voortzetten van de trajectorie zou leiden tot een onveilige terminale state.
3. Causale Toeschrijving: Het systeem identificeert het vroegste triggerpunt ($t_r$) waar het samengestelde risico een veiligheidsthorshold overschrijdt. Het leidt vervolgens een Veilige Beperking ($C$) af, een declaratieve richtlijn die specificeert wat moet veranderen (neutraliseren van het onveilige patroon) en wat moet worden behouden (het onschadelijke prefix en de intentie).

C. Temporair Consistente Veilige Herschrijving (TCSR)

De laatste fase synthetiseert een veilige prompt $P^*$ door:

1. Invariant Contextverankering: Het ruimtelijke context $E$ hard-locken om semantische drift in onderwerpen of omgeving te voorkomen.
2. Gelimiteerde Counterfactuele Trajectorievervanging: Het genereren van een alternatieve actietrajectorie $T^*$ die voldoet aan de veilige beperking $C$, het onschadelijke prefix behoudt (states voor $t_r$), de actie-semantische nabijheid handhaaft (bijvoorbeeld het vervangen van fysiek geweld door een mondelinge impasse) en adhereert aan het intentieanker $I$.
3. Promptassemblage: Het samenstellen van de bevroren context met de counterfactuele trajectorie tot een vloeiende natuurlijke taalprompt.

3. Belangrijkste Bijdragen

Het artikel schetst drie primaire bijdragen:

1. Identificatie van Temporaal Emergente Risico's: De auteurs definiëren een eerder over het hoofd geziene bedreigingscategorie in T2V waarbij onschadelijke prompts onveilige content genereren door temporale extrapolatie, waardoor bestaande lexische verdedigingen systematisch worden omzeild.
2. TrajShield Kader: Een unificerend, trainingsvrij verdedigingsmechanisme dat expliciete onveilige prompts, jailbreak-aanvallen en temporaal emergente risico's afhandelt via trajectoriesimulatie, causale risicolokalisatie en minimaal invasieve counterfactuele herschrijving.
3. Empirische Validatie: Uitgebreide experimenten die aantonen dat TrajShield state-of-the-art verdedigingsprestaties bereikt over 14 veiligheidscategorieën en meerdere T2V-backends, terwijl het een hoge semantische fideliteit behoudt.

4. Experimentele Resultaten

De auteurs evalueerden TrajShield op de T2VSafetyBench-benchmark (14 veiligheidscategorieën) en de SafeWatch-dataset (real-world onveilige prompts) met behulp van zes T2V-modellen (waaronder Pixverse, Hailuo, Kling, Seedance, Veo en Sora).

• Veiligheidsprestaties: TrajShield verlaagde de Attack Success Rate (ASR) met gemiddeld 52,44% over alle modellen en categorieën. Specifiek daalde de gemiddelde ASR van 70,00% (originele modellen) naar 15,64% (verdedigde modellen).
• Vergelijking met Baselines: De methente presteerde aanzienlijk beter dan bestaande verdedigingen, waaronder Sleutelwoordzwartelijsten, Semantische Analyse (Toxic-BERT) en LLM-herschrijving. Bijvoorbeeld, op het Sora-model verlaagde TrajShield de ASR tot 20,86%, terwijl LLM-herschrijving slechts 51,57% bereikte.
• Robuustheid: De verdediging bleef effectief tegen diverse jailbreak-aanvallen (RAB, DACA, SceneSplit, SPARK), waarbij de ASR werd verlaagd tot een smalle range van 6%–21%, ongeacht de aanvalsstrategie.
• Semantische Fideliteit: Op onschadelijke prompts (MSVD-dataset) behield TrajShield hoge CLIP Similarity (CS) en Temporal Consistency (TC)-scores, vergelijkbaar met de baseline, wat aangeeft dat de verdediging de kwaliteit van veilige generaties niet verslechtert.
• Ablatiestudies: Het verwijderen van een van de drie kernmodules (MSD, TRPG of TCSR) leidde tot significante prestatiedegradatie, wat bevestigt dat de ontkoppeling van beweging en semantics, de identificatie van causale risicotriggers en de gelimiteerde herschrijving allemaal essentieel zijn voor de effectiviteit van het systeem.

5. Betekenis en Claims

Het artikel beweert dat TrajShield een paradigmaverschuiving in T2V-veiligheid vertegenwoordigt, die verschuift van statische, lexische filtering naar veiligheidsmediatie op trajectorieniveau. De auteurs betogen dat effectieve verdediging voor generatieve videomodellen moet aansluiten bij de temporale en compositiële aard van videogeneratie. Door te interveniëren in de "latente video-intentieruimte" vóór generatie, adresseert TrajShield het structurele blinde punt van huidige verdedigingen: het onvermogen om risico's te detecteren die pas ontstaan door de causale progressie van tijd.

De auteurs concluderen dat hun aanpak een betere veiligheids-fideliteit trade-off biedt dan concurrerende baselines, wat de noodzaak valideert van temporair-bewuste veiligheidsmediatie voor generatieve modellen waarbij schadelijkheid ontstaat via latente structuren. Ze erkennen beperkingen, waarbij ze opmerken dat de huidige grove trajectoriediscretisatie mogelijk niet volledig zeer complexe dynamieken met een lange horizon kan vastleggen, en suggereren dat het combineren van deze pre-generatie verdediging met post-generatie moderatie een richting voor toekomstig werk blijft.