Technische Samenvatting: MIRAGE – Bescherming tegen kwaadwillige beeldbewerking via valse moderatie

1. Probleemdefinitie

De snelle vooruitgang van door AI aangedreven beeldbewerkingssystemen (bijv. OpenAI's GPT-Image, Google's Gemini, xAI's Grok) heeft de drempel verlaagd voor grootschalige, realistische fotomanipulatie. Deze capaciteit stelt kwaadwillende actoren in staat om persoonlijke afbeeldingen zonder toestemming aan te passen, wat fraude, intimidatie, laster en identiteitsmanipulatie faciliteert.

Bestaande tegenmaatregelen, bekend als beeldimmunisatie, omvatten doorgaans het toevoegen van onzichtbare adversariële perturbaties aan een afbeelding om de output van het generatieve model te verstoren. Echter, deze eerdere methoden (bijv. PhotoGuard, EditShield) lijden aan kritieke beperkingen:

• White-box Afhankelijkheid: Ze vereisen toegang tot de gewichten van het doelmodel en de specifieke bewerkingsprompt om gradiënten te berekenen.
• Gebrek aan Transfereerbaarheid: Perturbaties die geoptimaliseerd zijn voor één open-source model of prompt, vertalen zich niet effectief naar andere modellen of prompts.
• Ineffectiviteit tegen Black-Box API's: Bij testen tegen commerciële, gesloten bron API's schieten bestaande immunisatiemethoden tekort, waardoor beeldeigenaren onbeschermd blijven tegen geavanceerde AI-tools.

Directe black-box aanvallen op het generatieve model zelf worden als onpraktisch beschouwd vanwege de prohibitieve query-kosten (duizenden API-aanroepen per afbeelding) en hoge latentie.

2. Methodologie: MIRAGE

De auteurs stellen MIRAGE voor (Moderation Induced Resistance Against Generative Editing), een systeembenadering die het aanvalsoppervlak verschuift van het generatieve model naar de pre-generatie veiligheidsmoderatie-pipeline die gebruikelijk is bij alle grote commerciële API's.

Kernconcept: Valse Moderatie

In plaats van het generatieve model $f$ te verstoren, exploiteert MIRAGE de veiligheidsclassifier $C$ die voorafgaat aan de generatie. Als een invoerafbeelding wordt gemarkeerd als beleidschendend, weigert het systeem elke output te genereren, ongeacht de bewerkingsprompt. MIRAGE beoogt onzichtbare perturbaties $\delta$ toe te voegen aan een afbeelding $x$ zodat de geperturbeerde afbeelding $\hat{x} = x + \delta$ een vals positief triggert in de veiligheidsclassifier, wat leidt tot een automatische weigering.

Technische Implementatie

De methode werkt onder een black-box setting waarbij de doel-API ontoegankelijk is, maar de beeldeigenaar toegang heeft tot open-source embedding-modellen en de publieke Gebruiksvoorwaarden (ToU) van de doel-systemen.

1. Identificatie van Doelconcepten:
   De auteurs analyseren de ToU van doel-API's (Grok, Gemini, GPT-Image) om universeel verboden concepten te identificeren (bijv. seksueel expliciete inhoud, grafisch geweld, schending van auteursrechten). Een set doelafbeeldingen en tekstonderschriften $T$ die deze concepten vertegenwoordigen, wordt gecureerd.

2. Surrogaat Ensemble:
   Aangezien de doelveiligheidsclassifier $C$ een black box is, gebruikt MIRAGE een ensemble van $n$ diverse, open-source embedding-modellen $\{F_i\}$ (inclusclusief CLIP-stijl visuele taal-encoders en zelfgesuperviseerde beeld-encoders zoals DINOv2) als surrogaten.

3. Optimalisatie-objectief:
   Het doel is om de cosinusgelijkenis te maximaliseren tussen de embedding van de geperturbeerde afbeelding en de embeddings van de onveilige doelstellingen $T$ over het surrogaat-ensemble. Het optimalisatieprobleem is:
   $$\max_{\|\delta\|_\infty \leq B} \sum_{i=1}^n \phi_i(x + \delta, T)$$
   Waar $\phi_i$ de gemiddelde cosinusgelijkenis is voor model $F_i$, en $B$ het perturbatiebudget is (bijv. $\ell_\infty$ norm).

4. Omgaan met Hoog-resolutie Afbeeldingen (Global-Local Views):
   Om het resolutieverschil tussen hoog-resolutie gebruikersafbeeldingen en fixed-resolution surrogaatmodellen aan te pakken, deelt MIRAGE de optimalisatie op in:

• Global View: De volledige afbeelding die wordt geschaald naar de natuurlijke resolutie van de encoder.
• Local View: Willekeurige patches geknipt uit de originele resolutie.
  De objectieffunctie combineert de gelijkenis van de globale view met de top-$k$ meest uitgelijnde lokale patches, wat ervoor zorgt dat fijnmazige perturbaties behouden blijven.

5. Robuustheidstechnieken:

• Stochastische Augmentaties: Willekeurige crops, resizing, vervaging, JPEG-compressie en flips worden toegepast tijdens de optimalisatie om robuustheid te garanderen.
• Model Dropout & Secant Gradient Caching: Om de geheugenkosten bij grote ensembles te beheersen, gebruikt de methode model dropout en benadert zij gradiënten voor gedropte modellen met een rank-1 secant correctie gebaseerd op eerdere gradiëntstappen.

3. Belangrijkste Bijdragen

• Nieuw Aanvalsoppervlak: Identificatie van pre-generatie veiligheidsclassifiers als een praktisch en effectief aanvalsoppervlak voor beeldimmunisatie tegen closed-source systemen.
• Prompt-Agnostische Bescherming: In tegen tegenstelling tot eerdere methoden die specifieke generatieve paden targeten, triggert MIRAGE een weigering die onafhankelijk is van de bewerkingsprompt.
• Black-Box Effectiviteit: De methode vereist geen kennis van de architectuur of gewichten van het doelmodel, en vertrouwt enkel op publieke gebruiksvoorwaarden en open-source surrogaten.
• Uitgebreide Evaluatie: Uitgebreide tests tegen drie frontier commerciële API's (GPT-Image, Gemini, Grok) en robuustheidsanalyse tegen zwakke en sterke tegenstanders.

4. Experimentele Resultaten

De auteurs evalueerden MIRAGE op 100 afbeeldingen uit ImgEditBench en 48 hoog-resolutie menselijke afbeeldingen uit SHHQ.

• Immunisatiegraden: MIRAGE behaalde succespercentages van >88% over alle drie de geteste API's.
  • GPT-Image: Bijna perfecte bescherming.
  • Gemini & Grok: ~90% weigeringspercentage.
  • Baselines: Alle eerdere immunisatiemethoden (PhotoGuard, TDAE, BlurGuard, SquareAttack) behaalden een bijna nul succespercentage tegen deze commerciële API's.
• Perturbatiebudget: De immunisatiegraden stegen monotoon met het perturbatiebudget ($\|\delta\|_\infty$), hoewel hogere budgetten meer zichtbare artefacten introduceerden.
• Robuustheid:
  • Zwakke Tegenstanders: MIRAGE bleef effectief (72–100% succes) tegen klassieke beeldtransformaties (Gaussische vervaging, JPEG-compressie, resizing, cropping, grijswaardenconversie).
  • Sterke Tegenstanders: De prestaties namen af tegen adaptieve aanvallen met white-box open-source modellen (bijv. denoising via lokale diffusiemodellen of het minimaliseren van het immunisatie-objectief met CLIP). Echter, MIRAGE verhoogde nog steeds de kosten voor de tegenstander en behield weigeringspercentages tussen de 56% en 80% in veel scenario's, terwijl baselines volledig faalden.
• Ablatie-studies:
  • Ensemble Grootte: Grotere ensembles (tot 8 modellen) verbeterden de generalisatie.
  • Global-Local Views: Essentieel voor hoog-resolutie afbeeldingen; het verwijderen van lokale views liet de Grok-immunisatie dalen van 75% naar 17%.
  • Doelconcepten: Doelstellingen voor seksueel expliciete inhoud leverden hogere weigeringspercentages op dan geweld voor de meeste API's, behalve bij Grok waar geweld strikt gemodereerd werd.

5. Betekenis en Claims

Het artikel betoogt dat MIRAGE een paradigmaverschuiving vertegenwoordigt in beeldimmunisatie:

• Systeem-niveau Defensie: Door de gedeelde veiligheidsmoderatie-laag te targeten in plaats van diverse generatieve architecturen, omzeilt MIRAGE het transferabiliteitsprobleem dat eerdere onderzoeken heeft geplaagd.
• Asymmetrisch Voordeel: De auteurs merken op dat commerciële aanbieders worden gestimuleerd om lage false-negative rates te handhaven (het vermijden van schadelijke inhoud), waardoor hun moderatiegrenzen over-conservatief zijn. Dit stelt verdedigers in staat om een gebied in de embedding space te exploiteren waar false positives worden getolereerd.
• Praktische Bruikbaarheid: De methode is eenvoudig, vereist geen white-box toegang en biedt een levensvatbaar pad voor individuen om hun afbeeldingen te beschermen tegen ongeautoriseerde bewerking door krachtige, propriëtaire AI-tools.

De auteurs erkennen beperkingen, waaronder het potentieel van sterke adaptieve tegenstanders om de bescherming te omzeilen en de mogelijkheid van temporele variabiliteit in het moderatiegedrag van API's. Zij suggereren dat toekomstig werk false moderatie kan combineren met latente verstoring (bijv. PhotoGuard) om een samengestelde verdediging te creëren die effectief is tegen zowel black-box API's als open-source editors.