Anti-I2V: Safeguarding your photos from malicious image-to-video generation

Título: Anti-I2V: Protegendo suas fotos contra geração maliciosa de imagem para vídeo (Image-to-Video)

1. O Problema

Os avanços recentes em modelos de difusão para geração de vídeo (VDMs), como o CogVideoX e OpenSora, permitem criar vídeos realistas e coerentes a partir de prompts de texto e imagens de referência. No entanto, essa capacidade traz riscos significativos de abuso, especificamente a criação de deepfakes ou conteúdo prejudicial a partir de uma única foto de uma pessoa.

Embora existam métodos de ataque adversarial para proteger imagens contra geração de texto-para-imagem (T2I), a proteção contra geração de imagem-para-vídeo (I2V) permanece subexplorada. As abordagens existentes apresentam limitações críticas:

• Foco em Arquiteturas Específicas: A maioria ataca modelos baseados em UNet, falhando em modelos mais recentes baseados em Diffusion Transformers (DiT) e Multi-Modal DiT (MM-DiT), que possuem maior capacidade e consistência temporal.
• Espaço de Otimização Limitado: A maioria dos métodos otimiza perturbações apenas no espaço de cores RGB, o que é facilmente neutralizado pelos mecanismos de atenção e processos de remoção de ruído iterativos dos modelos de vídeo.
• Falta de Disrupção Temporal: O desafio central no I2V não é apenas degradar a imagem inicial, mas romper a coerência temporal entre os quadros gerados, algo que os métodos atuais não abordam eficazmente.

2. Metodologia: Anti-I2V

O Anti-I2V é um framework de defesa projetado para prevenir o uso não autorizado de imagens em modelos de difusão de vídeo diversos. A metodologia baseia-se em dois pilares principais:

A. Estratégia de Perturbação de Duplo Espaço (Dual-Space Perturbation - DSP)

Em vez de modificar apenas os pixels no espaço RGB, o Anti-I2V opera em dois domínios simultaneamente para criar perturbações mais robustas e imperceptíveis:

1. Espaço de Cor L*a*b*: O método converte a imagem para o espaço L*a*b* e aplica ruído adversarial especificamente nos canais a* (verde-vermelho) e b* (azul-amarelo). Como esses canais são decorrelacionados da luminância (L*), as alterações são menos perceptíveis ao olho humano, mas altamente eficazes para enganar os modelos.
2. Domínio de Frequência (DCT): O método utiliza a Transformada Discreta de Cosseno (DCT) para identificar e perturbar os coeficientes de baixa frequência (top-left), que contêm a maior parte da informação estrutural e textual da imagem. Ao atacar diretamente a estrutura fundamental da imagem no domínio da frequência, a perturbação resiste melhor a transformações comuns (como compressão JPEG ou desfoque).

B. Objetivos de Otimização e Disrupção de Representação

Para garantir que a perturbação degrade a geração do vídeo, o Anti-I2V introduz novos objetivos de perda que visam as camadas internas da rede (VAE e módulos de denoising):

• Internal Representation Collapse (IRC): O método identifica camadas profundas que codificam características semânticas de alto nível (como identidade facial) e força a alinhamento dessas características com as camadas iniciais (que contêm apenas informações estruturais de baixo nível). Isso "colapsa" a representação semântica, impedindo que o modelo reconstrua detalhes coerentes.
• Internal Representation Anchor (IRA): Este objetivo minimiza a distância entre as características ocultas geradas a partir da imagem perturbada e as características de uma imagem alvo não relacionada (ou a própria imagem original em ataques não direcionados). Isso desestabiliza a extração de características tanto no VAE quanto no módulo de denoising.
• Função de Perda Final: Combina IRC, IRA, perdas auxiliares (CLIP e LPIPS) e a perda de difusão padrão, visando maximizar a degradação da fidelidade de geração e da coerência temporal.

3. Contribuições Principais

1. Primeiro Framework de Defesa para I2V em Modelos DiT: O Anti-I2V é a primeira solução a abordar explicitamente a proteção contra modelos de difusão de vídeo baseados em Transformers (como CogVideoX e OpenSora), superando as limitações de métodos anteriores focados em UNet.
2. Otimização em Espaço Duplo (L*a*b* + Frequência): Introduz uma abordagem inovadora que combina perturbações no espaço de cor perceptual e no domínio da frequência, demonstrando maior robustez e eficácia do que a otimização puramente RGB.
3. Disrupção de Representações Semânticas Internas: Propõe os objetivos IRC e IRA, que atacam a propagação de características dentro da rede, garantindo que a desordem introduzida na primeira frame se propague, degradando a consistência temporal de todo o vídeo gerado.
4. Validação Abrangente: O método foi testado em múltiplos benchmarks (CelebV-Text para rostos e UCF101 para ações corporais completas) contra três modelos de ponta (CogVideoX-5B, OpenSora v1.2 e DynamiCrafter).

4. Resultados Experimentais

Os resultados quantitativos e qualitativos demonstram que o Anti-I2V supera significativamente os métodos de base (baselines) como AdvDM, MIST, SDS e VGMShield:

• Degradação de Identidade: Em todos os modelos testados, o Anti-I2V obteve os menores escores de Identity Score Matching (ISM) e CLIP-FIQA.
  • Exemplo: No modelo DynamiCrafter (baseado em UNet), o Anti-I2V reduziu o ISM de 0.528 (limpo) para 0.151, enquanto o melhor baseline atingiu apenas 0.262.
  • Exemplo: No CogVideoX (baseado em DiT), o ISM caiu para 0.448, comparado a 0.721 no vídeo limpo.
• Qualidade de Vídeo e Coerência Temporal: Houve uma redução drástica nos escores de qualidade visual (Q-Align) e similaridade de características (DINO), indicando que os vídeos gerados tornam-se irreconhecíveis, com artefatos severos e perda de continuidade entre os quadros.
• Robustez: O método manteve sua eficácia mesmo após a aplicação de técnicas de purificação (como DiffPure e GrIDPure) e transformações comuns (compressão JPEG, desfoque Gaussiano).
• Transferibilidade: O modelo treinado em um backbone (ex: CogVideoX) mostrou capacidade de transferir a proteção para outros modelos (ex: OpenSora e DynamiCrafter), demonstrando generalização arquitetural.

5. Significância e Conclusão

O Anti-I2V representa um avanço crucial na segurança de IA generativa. À medida que os modelos de vídeo se tornam mais realistas e acessíveis, a capacidade de proteger a privacidade e a identidade dos indivíduos contra a criação de deepfakes torna-se urgente.

Ao demonstrar que é possível degradar a geração de vídeo de alta fidelidade sem alterar visualmente a imagem de entrada de forma perceptível, o Anti-I2V oferece uma solução prática e eficaz. A descoberta de que atacar as representações internas (camadas intermediárias) e operar fora do espaço RGB é fundamental para vencer a robustez dos novos modelos baseados em Transformers estabelece um novo padrão para futuras pesquisas em defesa contra ataques adversariais em geração multimídia.