Technische Samenvatting: Gewist maar Exploiteerbaar (BEAP)

Probleemstelling

Machine unlearning heeft tot doel specifieke concepten (bijvoorbeeld NSFW-inhoud of auteursrechtelijk beschermde stijlen) selectief te verwijderen uit vooraf getrainde text-to-image (T2I) diffusiemodellen zonder deze vanaf nul opnieuw te trainen. Hoewel methoden zoals ESD, SPM en MACE zijn voorgesteld om deze concepten te "vergeten", suggereren recente studies dat ze kwetsbaar zijn voor residuële sporen. Bestaande adversariële aanvallen die zijn ontworpen om deze gewiste concepten te herstellen, kampen met aanzienlijke beperkingen in realistische dreigingsmodellen:

1. Afhankelijkheid van white-box: Methoden zoals Generate-or-Not vereisen toegang tot modelgewichten of gradiënten, wat onrealistisch is voor ingezette systemen.
2. Afhankelijkheid van de encoder: Aanvallen zoals Ring-a-Bell en QF-Attack vereisen toegang tot de specifieke tekstencoder van het doelmodel om zoekopdrachten in de inbeddingsruimte uit te voeren.
3. Detecteerbaarheid: Huidige black-box-methoden genereren vaak semantisch betekenisloze, hoog-perplexiteits "onzin"-prompten. Deze worden eenvoudig gedetecteerd en gefilterd door simpele regelgebaseerde beveiligingsmaatregelen of perplexiteitsgebaseerde detectoren, waardoor ze in real-world scenario's ineffectief zijn.

Het kernprobleem dat wordt aangepakt, is het ontbreken van een volledig black-box, menselijk leesbare en ondetecteerbare aanval die de residuële kennis in gewiste diffusiemodellen effectief kan exploiteren.

Methodologie: BEAP

De auteurs stellen BEAP (Black-box Embedding-Aware Prompting) voor, een raamwerk dat een Large Language Model (LLM) benut om iteratief effectieve adversariële prompten in de ruimte van natuurlijke taal te genereren. BEAP werkt zonder toegang tot modelgewichten, gradiënten of de tekstencoder van het doelmodel.

1. LLM-gedreven semantische zoekopdracht

BEAP behandelt het LLM als een iteratieve optimizer. Beginnen met een initiële prompt die het doelconcept beschrijft, genereert het LLM een batch van diverse parafraseerde prompten. Deze prompten worden opgevraagd bij het gewiste diffusiemodel ($M_u$). De resulterende afbeeldingen worden geëvalueerd en de feedback wordt gebruikt om de volgende batch prompten te verfijnen. In tegenstelling tot eerdere methoden die optimaliseren in de inbeddingsruimte (wat leidt tot onnatuurlijke tekst), zoekt BEAP direct in het manifold van natuurlijke taal, waardoor de gegenereerde prompten vloeiend en menselijk leesbaar blijven.

2. Multi-signaal beloningsgeleiding

Om het LLM te leiden naar succesvolle aanvallen, hanteert BEAP drie complementaire beloningssignalen voor elke gegenereerde afbeelding:

• Conceptdetectiescore: Gebruikt detectoren (bijvoorbeeld NudeNet, DINOv2) om de aanwezigheid van het gewiste concept te verifiëren.
• Tekst-afbeelding uitlijning: Gebruikt ImageReward om te waarborgen dat de gegenereerde afbeelding semantisch overeenkomt met de prompt.
• Afbeeldingskwaliteit: Gebruikt een Aesthetic Score om te waarborgen dat de output visueel coherent en van hoge kwaliteit is.

Een prompt wordt alleen als succesvol beschouwd als deze drempels voor alle drie de signalen voldoet, waardoor "reward hacking" wordt voorkomen waarbij het model voor één metriek optimaliseert ten koste van de anderen.

3. Inbeddingsbewuste similariteitszoekopdracht

Om de kloof te overbruggen tussen natuurlijke taal en het specifieke "vergeten" concept in de latente ruimte van het model, introduceert BEAP een adversariële similariteitsvocabulaire:

• Vectorconstructie: Het systeem construeert een conceptvector ($c_{adv}$) door het gemiddelde te nemen van de inbeddingsverschillen tussen paren prompten die het concept bevatten en hun genutraliseerde tegenhangers (bijvoorbeeld "naakt persoon" versus "een persoon").
• Vocabulaireselectie: Deze vector wordt vergeleken met een referentievocabulaire (bijvoorbeeld Oxford 3000) met behulp van cosinus-similariteit. De top-$k$ meest vergelijkbare woorden worden geselecteerd.
• Geleiding: Deze woorden worden aan het LLM aangeboden als "aanwijzingen". Dit stuurt het LLM naar formuleringen die liggen in het conceptuele buurgedeelte van het gewiste doel, waardoor de zoektocht effectief wordt geleid naar gebieden waar het wissen onvolledig is, zonder directe toegang tot de encoder van het doelmodel te vereisen.

Belangrijkste Bijdragen

1. Eerste volledig black-box LLM-aanval: BEAP is het eerste raamwerk dat menselijk leesbare, adversariële prompten voor T2I-modellen genereert met uitsluitend black-box-toegang, waardoor de noodzaak voor modelgewichten of encoder-toegang wordt weggenomen.
2. Beloningsgeleide iteratieve strategie: De auteurs ontwerpen een multi-signaal feedbacklus (conceptaanwezigheid, uitlijning, kwaliteit) die prompten iteratief verfijnt, waardoor hoge successpercentages worden gegarandeerd zonder afbreuk te doen aan de afbeeldingskwaliteit.
3. Inbeddingsbewuste zoekopdracht: De introductie van een inbeddingsgeleide similariteitscomponent stelt het LLM in staat zich te richten op semantisch relevante vocabulaire, wat de efficiëntie en effectiviteit van de verkenning in de tekstruimte aanzienlijk verbetert.
4. Demonstratie van fundamentele kwetsbaarheid: Het werk levert empirisch bewijs dat huidige unlearning-methoden falen om kennis volledig te verwijderen, aangezien ze vatbaar blijven voor adversariële prompten in natuurlijke taal.

Experimentele Resultaten

De auteurs hebben BEAP geëvalueerd op Stable Diffusion v1.4-modellen die zijn gewist met vijf verschillende methoden (UCE, ESD, MACE, SPM, Receler) tegen de I2P-benchmark (200 prompten met hoge naaktheid).

• Aanvalsuccespercentage (ASR): BEAP presteert aanzienlijk beter dan eerdere methoden. Terwijl Ring-a-Bell een ASR van 0% behaalde onder strikte criteria (vereisende conceptaanwezigheid, uitlijning en kwaliteit), behaalde BEAP ASR-scores tussen 86% en 99% over alle unlearning-baselines.
• Efficiëntie: BEAP vereist gemiddeld slechts 15 prompten per succesvolle aanval, wat een hoge sample-efficiëntie aantoont.
• Undetecteerbaarheid: In tegenstelling tot Ring-a-Bell, dat onzin produceerde met een perplexiteit van ~4736 en een onzin-detectiepercentage van 100%, genereerde BEAP prompten met perplexiteitswaarden (569–653) die dicht bij natuurlijke taal liggen (I2P-referentie: 505) en een laag onzin-detectiepercentage (26%).
• Afbeeldingskwaliteit: BEAP slaagde erin de gewiste concepten te herstellen terwijl het hoge esthetische en uitlijningsscores behield, terwijl Ring-a-Bell vervormde, slechtkwaliteit afbeeldingen produceerde.
• Generaliseerbaarheid: De aanval werd ook getest op objectniveau-wissing ("golfbal"), waarbij het eveneens beter presteerde dan de baselines, wat bevestigt dat de kwetsbaarheid verder reikt dan alleen concepten die veiligheidsgevoelig zijn.

Betekenis en Claims

Het artikel stelt dat huidige machine unlearning-pijplijnen fundamenteel ontoereikend zijn om het verwijderen van concepten uit diffusiemodellen te garanderen. De auteurs betogen dat hoewel unlearning-methoden expliciete visuele sporen kunnen onderdrukken, ze de onderliggende semantische representaties niet elimineren, die kunnen worden geactiveerd door zorgvuldig samengestelde prompten in natuurlijke taal.

De betekenis van dit werk ligt in het blootleggen van een kritieke kloof tussen de theoretische garanties van unlearning en de praktische realiteit van modelbeveiliging. Door aan te tonen dat gewiste modellen kunnen worden "gejailbreakt" met behulp van vloeiende, ondetecteerbare prompten, benadrukken de auteurs de dringende behoefte aan robuustere, verifieerbare en betrouwbaardere benaderingen voor conceptverwijdering in generatieve AI. Het werk dient als waarschuwing voor modelontwikkelaars dat post-hoc filtering en huidige unlearning-technieken geen afdoende verdediging vormen tegen vastberaden tegenstanders.