Resumo Técnico: Apagamento de Conceitos Guiado por Classificador (CGCE)

Declaração do Problema

Modelos generativos de larga escala, particularmente sistemas de Texto-para-Imagem (T2I) e Texto-para-Vídeo (T2V), alcançaram uma fidelidade notável, mas herdam riscos de segurança significativos provenientes de dados de treinamento coletados da web, incluindo a geração de conteúdo NSFW, estilos protegidos por direitos autorais e objetos prejudiciais. Os métodos existentes de apagamento de conceitos enfrentam um compromisso crítico entre segurança e utilidade:

• Abordagens de ajuste fino (fine-tuning) (ex: ESD, DUO) alteram permanentemente os pesos do modelo para apagar conceitos, mas frequentemente degradam a capacidade do modelo de gerar conteúdo seguro e não relacionado, além de serem computacionalmente dispendiosas.
• Métodos de edição de modelo (ex: UCE, MACE) utilizam soluções de forma fechada para modificar pesos, mas permanecem vulneráveis a ataques adversários que regeneram conceitos apagados.
• Métodos de inferência sem treinamento (ex: SLD, SAFREE) direcionam a geração durante a inferência sem modificação de pesos. No entanto, eles frequentemente dependem de projeções de nível de token. Esses métodos têm dificuldade com codificadores de texto modernos (como o T5), onde o significado semântico é distribuído holisticamente pela frase, em vez de estar isolado em tokens específicos. Consequentemente, eles falham em apagar conceitos expressos de forma implícita ou contextual e são ineficazes em modelos com destilação de orientação (ex: FLUX) que omitem mecanismos de prompting negativo.

O artigo identifica a necessidade de um framework robusto, "plug-and-play", que alcance o apagamento de conceitos de alta fidelidade contra ataques adversários sem comprometer a utilidade generativa do modelo base ou exigir modificações de pesos.

Metodologia: Apagamento de Conceitos Guiado por Classificador (CGCE)

O CGCE é um framework leve e "plug-and-play" que opera inteiramente na etapa de inferência no espaço de embedding de texto. Ele não altera os pesos originais do modelo generativo. O método consiste em três estáções:

1. Geração de Dados Sintéticos

Usando Grandes Modelos de Linguagem (LLMs), os autores geram um conjunto de dados de prompts pareados para conceitos alvo específicos (ex: nudez, estilos artísticos, objetos). Cada par consiste em:

• Um prompt inseguro ($p_u$) contendo o conceito alvo.
• Um prompt seguro ($p_s$) que preserva a estrutura semântica e o conteúdo de $p_u$, mas exclui o conceito alvo.
  Esta estrutura pareada permite que o modelo isole as características semânticas específicas do conceito indesejado.

2. Treinamento de um Classificador Leve

Um classificador leve é treinado nos embeddings de texto desses pares de prompts.

• Arquitetura: O classificador recebe o embedding do prompt ($\varepsilon_p$) e o embedding do conceito alvo ($\varepsilon_c$) como entrada. Ele utiliza uma camada de atenção cruzada multi-cabeça onde os tokens do prompt atuam como queries e os tokens do conceito atuam como keys/values. Este design permite que o modelo identifique quais tokens específicos no prompt estão semanticamente alinhados com o conceito prejudicial.
• Saída: O classificador produz um escore de probabilidade indicando a probabilidade de o prompt conter o conceito alvo e gera escores de importância de token ($s$) para cada token com base nos pesos de atenção.
• Treinamento: O modelo é treinado de ponta a ponta usando perda de Entropia Cruzada Binária (Binary Cross-Entropy).

3. Inferência: Salvaguarda e Refinamento

Na inferência, o classificador treinado atua como um módulo de dupla função:

• Salvaguarda (Safeguard): Ele inspeciona o embedding do prompt de entrada. Se a probabilidade de conter o conceito alvo estiver abaixo de um limiar $\tau$, o embedding é passado ao modelo generativo inalterado, preservando a utilidade total.
• Refinador (Refiner): Se o conceito for detectado, o classificador guia um processo de refinamento iterativo. O embedding do prompt é atualizado usando o gradiente descendente para minimizar a probabilidade de saída do classificador.
  • Gradiente Ponderado: Crucialmente, a etapa de atualização usa os escores de importância de token ($s$) para ponderar os gradientes ($g = s \odot \nabla f_\theta$). Isso garante que as atualizações sejam aplicadas primariamente aos tokens semanticamente relacionados ao conceito prejudicial, minimizando a distorção de partes benignas do prompt.
  • Escalonamento de Norma: O gradiente é escalonado pela norma do embedding para garantir uma convergência estável.
  • Terminação: O processo itera até que a previsão do classificador caia abaixo do limiar ou um número máximo de passos seja atingido. O embedding refinado é então passado para o modelo T2I ou T2V.

Principais Contribuições

1. Framework Plug-and-Play: O CGCE é o primeiro método a fornecer apagamento de conceitos robusto através de diversas arquiteturas T2I e T2V (incluindo modelos DiT e VAR) sem modificar os pesos do modelo base.
2. Refinamento Semântico Holístico: Ao contrário dos métodos anteriores de projeção de nível de token, o CGCE aproveita um classificador treinado em pares de prompts para entender o contexto semântico holístico. Isso permite apagar conceitos efetivamente mesmo quando estão distribuídos pela frase ou expressos implicitamente.
3. Superioridade no Compromisso Segurança-Utilidade: Ao refinar seletivamente apenas embeddings inseguros e preservar os seguros, o CGCE mantém a qualidade generativa (escores FID e CLIP) do modelo base enquanto alcança uma robustez de estado da arte contra ataques de red-teaming.
4. Versatilidade Cross-Modal: O framework é demonstrado com sucesso tanto na geração de imagens (SD-v1.4, SD-v3, FLUX, Switti-AR, Infinity-2B) quanto na geração de vídeo (CogVideoX, HunyuanVideo).

Resultados Experimentais

Os autores avaliaram o CGCE contra nove baselines (incluindo ESD, UCE, STEREO, SLD e SAFREE) em múltiplas tarefas: remoção de nudez, remoção de estilo artístico (Van Gogh) e remoção de objeto (igreja).

• Robustez: O CGCE alcançou uma Taxa de Sucesso de Ataque (ASR) de estado da arte ou altamente competitiva em seis benchmarks de red-teaming (I2P, SixCD, P4D, RAB, MMAD, UDA). Por exemplo, no backbone SD-v1.4, o CGCE alcançou um ASR de 4,62 no I2P e 2,47 no SixCD, superando a maioria dos métodos de ajuste fino e sem treinamento.
• Generalização: Em arquiteturas modernas como o FLUX (que carece de prompting negativo), o SAFREE falhou significativamente (ASR > 87% no RAB), enquanto o CGCE reduziu o ASR para 0,70. Desempenho superior semelhante foi observado no SD-v3, Switti-AR e vários modelos T2V.
• Preservação de Utilidade: O CGCE manteve os escores FID e CLIP quase idênticos ao modelo base original, demonstrando que não degrada a geração de conteúdo seguro. Em contraste, métodos de ajuste fino frequentemente mostraram quedas significativas de utilidade.
• Estudos de Ablação: Os autores confirmaram que a ponderação de importância de token é crítica; remover essa ponderação levou a atualizações indiscriminadas e degradou a utilidade. O método também se mostrou robusto a variações no limiar de detecção $\tau$.
• Prompts Complexos: O CGCE superou significativamente os baselines em prompts longos, de estilo narrativo e implícitos, onde conceitos prejudiciais eram evocados sem vocabulário explicitamente tóxico.

Significância e Alegações

O artigo afirma que o CGCE estabelece um novo padrão para IA generativa segura ao resolver o difícil compromisso entre segurança e desempenho. Sua principal significância reside em sua capacidade de servir como um salvaguarda agnóstico ao gerador. Ao operar no espaço de embedding de texto em vez dos pesos do modelo, o CGCE pode ser integrado perfeitamente a uma ampla gama de modelos T2I e T2V modernos, incluindo aqueles com arquiteturas (como VAR ou modelos com destilação de orientação) onde métodos de apagamento anteriores falham.

Os autores posicionam o CGCE não como um substituto para medidas de segurança em tempo de treinamento, mas como uma solução de inferência altamente eficiente, robusta e prática que garante a geração segura sem o custo computacional de retreinamento ou a degradação de utilidade associada à modificação de pesos. O método é apresentado como um passo prático para o uso responsável de modelos generativos em diversas aplicações.