AEGIS: Adversarial Target-Guided Retention-Data-Free Robust Concept Erasure from Diffusion Models

1. O Problema: O Dilema Robustez-Retenção

Os Modelos de Difusão (DMs), como o Stable Diffusion, são poderosos geradores de imagens, mas treinados em dados enviesados, podem produzir conteúdo prejudicial (ex.: nudez, estilos artísticos protegidos por direitos autorais, objetos específicos). A Erasura de Conceitos (Concept Erasure) visa remover essas capacidades indesejadas do modelo sem retrainá-lo do zero.

No entanto, os métodos atuais enfrentam um compromisso crítico (trade-off) entre dois objetivos:

1. Robustez: A capacidade do modelo de resistir à "reativação" do conceito apagado, mesmo quando atacado por prompts adversariais (APAs) ou variações semânticas não vistas durante o treinamento.
2. Retenção: A preservação da utilidade do modelo para conceitos não relacionados (ex.: manter a capacidade de gerar paisagens ao apagar "nudez").

Limitações dos Métodos Atuais:

• Alvos de Apagamento Inadequados: Métodos existentes frequentemente mapeam um prompt de conceito (ex.: "nudez") para um alvo fixo e genérico (ex.: "uma foto"). Se o prompt escolhido estiver longe do "centro semântico" da classe de conceitos (que inclui sinônimos como "naked", "erótico"), o apagamento é incompleto. Prompts adversariais podem explorar essa lacuna para reativar o conceito.
• Dependência de Dados de Retenção: Para manter a qualidade, muitos métodos exigem um conjunto de dados de retenção (imagens não relacionadas). Isso introduz viés de conjunto de dados e risco de "reaprendizado" acidental do conceito indesejado se os dados não forem perfeitos.
• Conflito de Gradientes: O processo de otimização para apagar um conceito e o processo para reter outros frequentemente geram gradientes em direções opostas, degradando a qualidade da geração ou falhando no apagamento.

---

2. Metodologia: AEGIS

O paper propõe o AEGIS (Adversarial Erasure with Gradient-Informed Synergy), um framework que não requer dados de retenção auxiliares e supera o trade-off robustez-retenção através de dois componentes principais:

A. Alvo de Apagamento Adversarial (AET - Adversarial Erasure Target)

Em vez de usar um alvo fixo, o AEGIS gera dinamicamente um AET ($c'$) que aproxima o "centro semântico" da classe de conceitos a ser apagado.

• Mecanismo: O AET é um embedding otimizado iterativamente para maximizar a distância entre as previsões de ruído do modelo original e do modelo em treinamento para o conceito alvo.
• Objetivo: Ao alinhar a previsão do modelo no prompt apagado com um alvo derivado do AET no espaço texto-imagem compartilhado, o AEGIS aumenta a distância de ruído previsto não apenas para o prompt específico, mas para todas as variantes semanticamente relacionadas. Isso endurece o modelo contra ataques de prompts adversariais que tentam explorar a proximidade semântica.

B. Projeção de Regularização de Gradiente (GRP - Gradient Regularization Projection)

Para manter a utilidade do modelo sem dados de retenção externos, o AEGIS utiliza uma estratégia de regularização baseada em parâmetros e correção de gradientes.

• Regularização de Parâmetros (PR): Em vez de usar um dataset de retenção, o AEGIS penaliza a distância entre os parâmetros atuais ($\theta$) e os parâmetros originais ($\theta_0$). Isso preserva a estrutura do modelo original para conceitos não relacionados.
• Retificação Direcional de Gradiente (DGR): O AEGIS identifica conflitos entre o gradiente de apagamento ($g_e$) e o gradiente de retenção ($g_r$).
  • Se os gradientes não conflitam ($\cos \phi \ge 0$), a retenção é ignorada ($\lambda=0$).
  • Se houver conflito ($\cos \phi < 0$), o componente de $g_r$ que se opõe a $g_e$ é projetado ortogonalmente ou atenuado dinamicamente.
  • Um parâmetro $\omega$ é atualizado dinamicamente: começa em 0 (priorizando o apagamento inicial) e aumenta gradualmente conforme o treinamento avança, fortalecendo a retenção quando o apagamento já está em andamento.

---

3. Contribuições Principais

1. Identificação da Vulnerabilidade: O trabalho demonstra que a vulnerabilidade dos métodos de apagamento reside na escolha inadequada do alvo de aprendizado. Se o alvo não estiver próximo ao centro semântico da classe de conceitos, informações residuais permanecem exploráveis por ataques.
2. Framework Data-Free: O AEGIS é um framework de retenção sem dados (retention-data-free), eliminando a necessidade de conjuntos de dados auxiliares e o viés associado, utilizando apenas a regularização de parâmetros e projeção de gradiente.
3. Superação do Trade-off: Ao combinar o AET (para robustez) e o GRP (para retenção), o método supera o estado da arte, reduzindo significativamente as taxas de sucesso de ataques adversariais sem degradar a qualidade da geração de imagens.
4. Análise Teórica: O paper fornece garantias teóricas de que a atualização guiada pelo GRP converge para um ponto estacionário alinhado com o objetivo de apagamento e que a projeção de gradiente preserva (ou melhora) a qualidade generativa em comparação com atualizações não projetadas.

---

4. Resultados Experimentais

Os experimentos foram conduzidos no Stable Diffusion (v1.4 e v2.1) para apagar três tipos de conceitos: Nudez (conceito sensível), Estilo Van Gogh (estilo artístico) e Igreja (objeto).

• Robustez contra Ataques (ASR - Attack Success Rate):

  • O AEGIS reduziu drasticamente a taxa de sucesso de ataques adversariais (P4D, UnlearnDiffAtk, Ring-A-Bell).
  • Para o conceito de Nudez, o AEGIS reduziu a ASR em ~5.31% (P4D) e ~24% (UnlearnDiffAtk) em comparação com métodos avançados como AdvUnlearn.
  • Para o estilo Van Gogh, a redução foi de ~12% (P4D) e ~18% (UnlearnDiffAtk).
  • Em geral, o AEGIS superou todos os baselines (ESD, FMN, SalUn, AdvUnlearn, etc.) com margens significativas.

• Retenção e Utilidade (FID e CLIP):

  • O AEGIS manteve ou melhorou os escores de FID (qualidade da imagem) e CLIP (consistência semântica) em comparação com os baselines.
  • Diferente de métodos que usam dados de retenção (que podem ter viés), o AEGIS preservou a qualidade de geração para conceitos não relacionados, demonstrando que a regularização de parâmetros é eficaz.

• Eficiência:

  • Embora a geração do AET adicione um custo computacional (cerca de 2x o tempo de métodos simples como ESD), o AEGIS é mais eficiente do que métodos que exigem iterações longas de ataque ou grandes conjuntos de dados de retenção.

---

5. Significado e Impacto

O AEGIS representa um avanço significativo na segurança de IA generativa:

• Segurança Realista: Ao focar na robustez contra prompts adversariais e variações semânticas, o método aborda a vulnerabilidade real dos modelos de difusão, onde usuários mal-intencionados podem contornar filtros simples.
• Viabilidade Prática: A abordagem "data-free" torna a aplicação de apagamento de conceitos mais acessível e escalável, pois não depende da curadoria de grandes datasets de retenção.
• Equilíbrio Otimizado: O trabalho prova que é possível alcançar alta robustez sem sacrificar a utilidade do modelo, resolvendo um dos maiores gargalos atuais na pesquisa de Machine Unlearning (aprendizado de máquina esquecido) para modelos generativos.

Em resumo, o AEGIS oferece uma solução robusta e eficiente para "limpar" modelos de difusão de conceitos indesejados, garantindo que eles permaneçam seguros contra ataques e úteis para tarefas legítimas.