Technische Samenvatting: Introspectieve Attentie-modulatie voor Veilige Tekst-naar-Beeld Generatie

1. Probleemstelling

State-of-the-art flow-gebaseerde tekst-naar-beeld (T2I) modellen, zoals die gebaseerd op Diffusion Transformers (DiT) en rectified flows (bijv. FLUX.1-dev), vertonen opmerkelijke generatieve capaciteiten maar blijven kwetsbaar voor het produceren van onveilige inhoud (geweld, expliciete beelden, seksuele inhoud). Deze kwetsbaarheden worden verergerd wanneer modellen worden verfijnd met parameters-efficiënte adaptatietechnieken zoals LoRA of DreamBooth, die gemakkelijk de vooraf ingebouwde veiligheidscontroles kunnen omzeilen.

Bestaande veiligheidsmechanismen vallen uiteen in drie categorieën, die elk significante beperkingen kennen:

• Externe Filtering: Vertrouwt op prompt-zwarte lijsten of CLIP-gebaseerde classificators. Deze zijn fragiel tegen adversariële prompting, parafrasering en jailbreak-aanvallen.
• Training-gebaseerde Onderdrukking: Omvat concept-uitwissing (concept erasure) of veilige verfijning. Deze methoden zijn computationeel duur, vaak beperkt tot specifieke vroege diffusie-architecturen, en kunnen leiden tot "collateral semantic erasure" (het verslechteren van de generatie van onschuldige concepten).
• Inference-time Guidance: Methoden zoals Safe Latent Diffusion (SLD) of Latent Guard vereisen vaak hertraining of veroorzaken semantische uitwissing. Bovendien kunnen gewicht-aanpassingen (weight-editing) ongedaan worden gemaakt door nieuwe adapters.

Het kernproblek is het gebrek aan een mechanistische, zonder training werkende benadering die tijdens het generatieproces kan interveniëren om onveilige concepten te onderdrukken zonder de semantische coherentie of de perceptuele kwaliteit van de output in gevaar te brengen, met name in moderne transformer-gebaseerde architecturen.

2. Methodologie: Introspectieve Attentie-modulatie

De auteurs stellen een geprincipeerde, inference-time interventie voor die de aandachtsdynamiek van een model reguleert via "introspectie". De methode werkt zonder de gewichten van het basismodel te wijzigen of te hertrainen.

Kernconcept

De methode maakt gebruik van de observatie dat aandachtmechanismen in diffusion transformers rijke interne structuren coderen. De vorming van onveilige concepten weerspiegelt zich in specifieke aandachtspatronen (bijv. hoge cross-attentie van onveilige tokens naar lichaamsregio-image tokens). De aanpak houdt in dat deze aandachtsactivaties in realtime worden geanalyseerd en opnieuw in evenwicht worden gebracht om de generatie weg te sturen van onveilige concepten, terwijl de semantische coherentie behouden blijft.

Technische Workflow

1. Dual-Path Attentie Extractie: In elke denoising-stap $t$ extraheert de methode aandachtstoestanden ($\Phi_t$) uit zowel dual-stream als single-stream transformer blocks. Deze toestanden omvatten self-attention (ruimtelijke coherentie) en cross-attention (tekst-naar-beeld correspondentie).
2. Veiligheid-beperkte Optimalisatie: De methode formuleert veiligheid als een geoptimaliseerd probleem met beperkingen om een gemoduleerde aandachtsset $\varphi^*_t$ te vinden. De doelfunctie $\mathcal{L}_{int}$ balanceert drie termen:
   • Coherentie Energie ($E_{coh}$): Bestraft afwijking van een veilige referentie-attentie ($\Phi^{safe}_t$) om de tekst-beeld uitlijning te behouden.
   • Veiligheid Regularisator ($R_{safe}$): Kwantificeert onveilige aandachtsmassa met behulp van vooraf berekende ijle (sparse) logistische regressoren ($W_{unsafe}$) die getraind zijn op gelabelde voorbeelden. Deze term bestraft aandachtspatronen die gecorreleerd zijn met schadelijke inhoud.
   • Nabijheid Divergentie ($D$): Gebruikt KL-divergentie om de gemoduleerde aandacht dicht bij de originele $\Phi_t$ te houden, om out-of-distribution perturbaties te voorkomen.
3. Optimalisatieproces: De optimale $\varphi^*_t$ wordt opgelost via projected gradient descent (PGD), geïnitialiseerd bij de originele aandacht. Dit maakt fijnmazige, per-head onderdrukking mogelijk waarbij heads met hoge onveilige patronen worden gecorrigeerd, terwijl onschuldige heads minimaal worden verstoord.
4. Introspectie Ratio Controle: Een parameter $\alpha_{intro}$ regelt de afweging tussen veiligheidsinterventie en output-getrouwheid, wat een instelbare veiligheidssterkte tijdens runtime mogelijk maakt.
5. Gecorrigeerde Velocity en Sampling: De gemoduleerde aandacht $\varphi^*_t$ wordt teruggeïnjecteerd in de transformer om het velocity-veld ($\hat{v}_\theta$) opnieuw te evalueren. De generatiestap gaat verder met deze veiligheid-beperkte velocity, waardoor het latent-monster naar veilige uitkomsten wordt gestuurd.

3. Belangrijkste Bijdragen

• Eerste van zijn soort Mechanisme: Introduceert een aandacht-gebaseerd introspectief veiligheidsmechanisme dat specifiek is ontworpen voor inference-time veiligheid in hoogwaardige, moderne diffusion transformer modellen.
• Zonder Training Werkende Interventie: De methode vereist geen hertraining van het basismodel of de adapters. Het opereert puur tijdens het inference-proces door de aandachtsdynamiek te reguleren.
  {% endfilter %}
• IJle Logistische Regressie voor Onveilige Detectie: Ontwikkelt een mechanisme om onveilige aandachtspatronen te identificeren en te extraheren met behulp van vooraf geleerde conceptrepresentaties, wat gerichte onderdrukking mogelijk maakt.
• Geprincipeerde Afwegingscontrole: Implementeert een optimalisatieproces met een introspectie-ratio controle, wat een handvat biedt over de veiligheid-kwaliteit afweging.
• Uitgebreide Evaluatie: Evalueert de techniek uitgebreid op standaard benchmarks (I2P, SneakyPrompts, MMA-Diffusion, UnlearnDiffAtk) en demonstreert superieuriteit ten opzichte van bestaande concept-uitwissingsmethoden (UCE, ESD, EraseAnything, FlowEdit, MCE).

4. Experimentele Resultaten

De methode werd geëvalueerd op FLUX.1-dev aangepast met LoRA voor onveilige generatie, evenals op SDXL.

• Veiligheidsprestaties:
  • Op de I2P benchmark bereikte de methode een Nudity Rate (NR) van 39,6%, een relatieve verbetering van 30% ten opzichte van de baseline (56,3%).
  • Op SneakyPrompts (adversariële jailbreaks) behield het een robuuste NR van 70,5% vergeleken met de baseline van 81,5%.
  • Vision-Language Model (VLM) Validatie: Met behulp van Qwen-VL markeerde de methode slechts 1,7% van de afbeeldingen als onveilig (16 afbeeldingen), een reductie van 79% ten opzichte van de baseline. Opvallend genoeg leidden concept-uitwissingsbaselines (UCE, ESD) vaak tot een hogere VLM-gedetecteerde overtredingen door semantische incoherentie.
• Kwaliteit en Uitlijning:
  • In tegenstelling tot bestaande methoden die de kwaliteit verslechteren, verbeterde de voorgestelde aanpak de CLIP-scores (tekst-beeld uitlijning) over alle benchmarks. Zo steeg de CLIP-score op I2P van 30,52 (baseline) naar 30,82.
  • De methode bereikte Pareto-dominantie, waarbij tegelijkertijd veiligheid en kwaliteit werden verbeterd, terwijl andere methoden te maken hadden met een afweging waarbij veiligheidswinst de kwaliteit degradeerde.
• Generalisatie:
  • De methode is model-agnostisch en succesvol toegepast op meerdere FLUX-varianten (Dev, Kontext, Schnell, Krea) en SDXL zonder hertraining.
  • Het onderdrukt effectief diverse onveilige categorieën, waaronder naaktheid, geweld, illegale activiteiten en zelfbeschadiging.

5. Betekenis en Claims

Het artikel beweert dat attentie-ruimte regulatie een aanzienlijk veelbelovender pad biedt naar veiligere diffusion transformer-gebaseerde beeldgeneratie dan bestaande concept-uitwisselingsmechanismen.

Belangrijke claims zijn onder meer:

• Intrinsieke Robuustheid: Door de aandachtsdynamiek direct te reguleren, vertoont de methode intrinsieke robuustheid tegen parameters-efficiënte adaptaties (zoals LoRA) die typisch statische veiligheidsfilters omzeilen.
• Mechanistisch Begrip: De aanpak gaat verder dan post-hoc patches door te interveniëren in het generatieve proces zelf, waardoor de wortel van de oorzaak van onveilige inhoud (attentiepatronen) wordt aangepakt in plaats van alleen de output.
• Superieur aan Uitwissing: De resultaten laten zien dat traditionele concept-uitwissing ineffectief of zelfs contraproductief kan zijn op moderne architecturen, waarbij het soms de veiligheid verslechtert of ernstige visuele artefacten veroorzaakt. In contrast hiermee behoudt de voorgestelde introspectieve aandacht-modulatie de visuele coherentie en semantische getrouwheid.
• Praktische Implementatie: De methode maakt het mogelijk om een enkel model te implementeren met een tijdens runtime aanpasbare veiligheidssterkte, waardoor het niet nodig is om meerdere modelversies te onderhouden voor verschillende veiligheidsniveaus.

De auteurs erkennen beperkingen, waarbij zij opmerken dat de methode afhankelijk is van geleerde veiligheidsconcept-representaties die mogelijke hiaten in dekking kunnen hebben tegen zeer adversariële prompts (bijv. SneakyPrompts), en dat zij uitgaat van een vertrouwde veiligheidsoperatie-context. Echter, zij positioneren hun werk als een fundamentele stap richting beleidsafdwingingsmechanismen die creativiteit mogelijk maken zonder ethische grenzen te overschrijden.