Erased, But Not Forgotten: Erased Rectified Flow Transformers Still Remain Unsafe Under Concept Attack

Título: Apagado, mas não esquecido: Transformadores de Fluxo Retificado Apagados Permanecem Inseguros Sob Ataque de Conceito

1. O Problema

Os modelos de geração de imagem a partir de texto (T2I) baseados em difusão, como o Flux (uma nova geração de modelos baseada em Rectified Flow Transformers), trouxeram avanços significativos na qualidade de geração. No entanto, isso também levantou preocupações de segurança, pois esses modelos podem gerar conteúdo prejudicial (NSFW, violência, etc.).

Para mitigar esses riscos, a comunidade desenvolveu técnicas de apagamento de conceitos (concept erasure), que visam desativar seletivamente a capacidade do modelo de gerar certos conceitos. Embora essas técnicas tenham sido amplamente estudadas e avaliadas em modelos mais antigos (como a série Stable Diffusion baseada em U-Net), elas mostram eficácia limitada quando aplicadas aos novos modelos Flux.

O problema central identificado pelos autores é a falta de um benchmark confiável para avaliar a robustez dessas técnicas de apagamento no Flux. Ataque existentes, projetados para modelos baseados em CLIP e U-Net, falham ao tentar reativar conceitos apagados no Flux, criando uma falsa sensação de segurança.

2. Metodologia: ReFlux

Os autores propõem o ReFlux, o primeiro método de ataque de conceito projetado especificamente para avaliar a robustez do apagamento em modelos T2I baseados em Rectified Flow (como o Flux).

Análise Preliminar e Observações Chave:

• Falha de Métodos Existentes: Estratégias de ataque baseadas em prompts adversariais (como Ring-A-Bell) falham no Flux porque este modelo utiliza o codificador de texto T5, que captura semântica em nível de frase, ao contrário do CLIP (usado no Stable Diffusion), que é sensível a palavras individuais.
• Mecanismo de Apagamento: A análise revelou que, apesar das diferenças arquitetônicas, as técnicas de apagamento no Flux ainda dependem de localização de atenção. Elas suprimem os pesos de atenção em índices de tokens específicos que correspondem ao conceito alvo.
• O Insight: Se o apagamento funciona suprimindo a atenção, o ataque deve funcionar reativando essa atenção de forma controlada.

Arquitetura do ReFlux:

O método utiliza um ajuste fino leve (fine-tuning) baseado em LoRA (Low-Rank Adaptation), modificando apenas 3,57 MB de parâmetros relacionados ao texto (projeções de Query e Key nos blocos de fluxo duplo). O processo de otimização é guiado por três componentes principais:

1. Perda de Reativação de Atenção (Attention Reactivation Loss):

   • Objetiva aumentar os pesos de atenção nos tokens alvo suprimidos.
   • Para evitar divergência (que causaria imagens distorcidas), utiliza uma regularização combinada:
     • Termo L2: Limita o tamanho das atualizações para manter a estabilidade.
     • Termo de Entropia: Suaviza a distribuição de atenção, evitando picos agudos e preservando a estrutura global da imagem.

2. Perda de Velocidade Guiada por Ataque (Attack-Guided Velocity Loss):

   • Explora a dinâmica de flow matching do Flux.
   • Guia a trajetória de geração do modelo para longe da supressão e em direção à reativação do conceito, aumentando a probabilidade condicional de gerar a imagem com o conceito alvo.

3. Perda de Consistência LoRA (LoRA Consistency Loss):

   • Garante que o ajuste fino não distorça elementos não relacionados (como fundo, pose ou estilo).
   • Mantém o campo de velocidade predito pelo modelo ajustado alinhado com a dinâmica de geração original do modelo para prompts que contêm tanto o conceito alvo quanto conteúdo irrelevante.

3. Contribuições Principais

1. Compreensão do Mecanismo Interno do Flux: Demonstraram que os métodos de apagamento existentes dependem criticamente da localização de atenção nos blocos MM-DiT do Flux, explicando por que ataques baseados em prompts falham.
2. Desenvolvimento do ReFlux: Um método de ataque leve, eficiente e preciso que restaura conceitos suprimidos sem destruir a integridade visual da imagem.
3. Estabelecimento de um Benchmark: Criaram a primeira avaliação sistemática de robustez de apagamento de conceitos no Flux, cobrindo categorias diversas: nudez, violência, estilos artísticos, entidades, abstrações, relações e celebridades.

4. Resultados Experimentais

Os autores avaliaram o ReFlux contra vários métodos de apagamento de ponta (como ESD, AC, MACE, EA) e outros métodos de ataque (UnlearnDiffAtk, Ring-A-Bell).

• Eficácia (Taxa de Sucesso de Ataque - ASR): O ReFlux superou consistentemente todos os baselines em todas as categorias.
  • Em conceitos NSFW (nudez e violência), alcançou taxas de sucesso próximas a 100% em muitos cenários, enquanto métodos como Ring-A-Bell falharam completamente no Flux.
  • Em Estilos Artísticos (ex: Van Gogh, Picasso), o ReFlux restaurou os estilos apagados com alta fidelidade, superando os baselines em 8 de 12 configurações.
• Eficiência: Diferente de métodos baseados em PGD (que levam >20 minutos por prompt), o ReFlux realiza um ajuste fino único e reutilizável. A geração de uma imagem atacada leva apenas o tempo padrão de inferência (~0,5 minutos).
• Qualidade e Consistência: O método preservou a composição global, o layout e o conteúdo não relacionado, evitando as distorções severas e o colapso de imagem observados em outros ataques.
• Análise de Camadas: A reativação ocorre em estágios específicos da rede (camadas iniciais e finais para nudez, camadas médias para estilos), indicando que o apagamento não é uniforme e deixa "resíduos conceituais" exploráveis.

5. Significado e Conclusão

O trabalho conclui que os métodos atuais de apagamento de conceitos no Flux são superficiais. Eles suprimem apenas sinais de atenção localizados, mas as semânticas profundas permanecem no modelo, tornando-o vulnerável a reativação precisa.

• Implicação de Segurança: A segurança declarada desses modelos é frágil. O "apagamento" não é uma eliminação permanente, mas uma supressão temporária que pode ser revertida com o método correto.
• Futuro: O ReFlux estabelece um novo padrão para avaliação de segurança, forçando a comunidade a desenvolver estratégias de apagamento mais robustas que vão além da simples supressão de tokens, possivelmente exigindo novas arquiteturas ou restrições semânticas mais profundas.

Em resumo, o artigo demonstra que, embora os conceitos possam ser "apagados" da superfície do modelo Flux, eles não são "esquecidos", e o ReFlux é a ferramenta capaz de trazê-los de volta com precisão e eficiência.