Resumo Técnico: TrajShield

1. Declaração do Problema

Os modelos de Texto para Vídeo (T2V) avançaram significativamente na geração de vídeos temporalmente coerentes a partir de prompts em linguagem natural. No entanto, os mecanismos de segurança existentes, em grande parte herdados dos domínios de Texto para Imagem (T2I), são insuficientes para T2V. As defesas atuais operam principalmente na superfície léxica do prompt de entrada (por exemplo, listas negras de palavras-chave, classificadores de nível superficial ou reescrita genérica por LLM). Esses métodos falham ao abordar uma distinção fundamental entre imagens estáticas e vídeos dinâmicos: o risco temporalmente emergente.

Na geração T2V, um prompt aparentemente benigno (por exemplo, "dois homens discutindo em um estacionamento") pode carecer de palavras-chave explicitamente prejudiciais, mas levar a conteúdo inseguro (por exemplo, violência física) por meio da extrapolação temporal do modelo em direção à coerência narrativa. O risco é invisível no nível do prompt e só se materializa à medida que o gerador desdobra a cena ao longo do tempo. Além disso, as defesas existentes frequentemente falham contra ataques de jailbreak sofisticados que disfarçam intenções prejudiciais por meio de reescrita ou prompts adversariais. O desafio central é antecipar a trajetória temporal que um modelo T2V produzirá, identificar a origem causal dos riscos emergentes e intervir com perturbação semântica mínima antes que um único quadro seja renderizado.

2. Metodologia: TrajShield

Os autores propõem o TrajShield, um framework de defesa sem treinamento e em tempo de inferência que reformula a segurança T2V como um problema de intervenção causal dentro de um espaço semântico estruturado temporalmente. Em vez de modificar o texto bruto com base em padrões léxicos, o TrajShield simula a trajetória implícita do prompt para neutralizar riscos, preservando a semântica irrelevante para a segurança. O framework consiste em três etapas sequenciais:

A. Desacoplamento Semântico-Motor (MSD)

Para evitar deriva semântica colateral (onde a neutralização de um risco altera inadvertidamente a identidade ou o estilo da cena), o TrajShield fatoriza o prompt de entrada $P$ em três componentes condicionalmente independentes:

1. Contexto Espacial Invariante ($E$): Captura elementos estacionários no tempo, incluindo descrições de sujeitos, configurações ambientais e pistas de estilo cinematográfico. Isso atua como uma âncora congelada para garantir que a identidade do sujeito e o tom visual permaneçam inalterados.
2. Trajetória de Ação ($T$): Uma sequência discretizada e ordenada temporalmente de estados da cena (por exemplo, início, meio, conclusão) que captura a progressão dinâmica implícita pelo prompt. O sistema realiza extrapolação implícita de dinâmicas para inferir arcos temporais plausíveis, mesmo que o prompt do usuário seja subespecificado.
3. Âncora de Intenção ($I$): Uma destilação concisa do objetivo criativo central do usuário, abstraída de detalhes potencialmente prejudiciais, servindo como regularizador semântico durante a reescrita.

B. Grafo de Propagação de Risco Temporal (TRPG)

Este módulo opera inteiramente no espaço semântico para simular a trajetória e localizar a origem causal do risco sem renderizar quadros de vídeo.

1. Expansão da Trajetória: A trajetória de ação é modelada como uma cadeia de Markov condicionada ao contexto, prevendo estados subsequentes com base no estado atual e no contexto espacial.
2. Avaliação Hierárquica de Risco: Em cada âncora temporal, o risco é avaliado ao longo de três dimensões:
   • Risco de Conteúdo: Se o estado instantâneo contém conteúdo prejudicial (risco estático).
   • Risco de Transição: Se a mudança entre estados constitui uma escalada causal em direção ao dano (risco dinâmico).
   • Risco Prospectivo: Se continuar a trajetória sem impedimentos levaria a um estado terminal inseguro.
3. Atribuição Causal: O sistema identifica o ponto de gatilho mais precoce ($t_r$) onde o risco composto excede um limite de segurança. Em seguida, deriva uma Restrição Segura ($C$), uma diretiva declarativa especificando o que deve mudar (neutralizar o padrão inseguro) e o que deve ser preservado (o prefixo benigno e a intenção).

C. Reescrita Segura Temporalmente Consistente (TCSR)

A etapa final sintetiza um prompt seguro $P^*$ por meio de:

1. Ancoragem de Contexto Invariante: Bloqueio rígido do contexto espacial $E$ para garantir que não haja deriva semântica em sujeitos ou ambiente.
2. Substituição de Trajetória Contrafactual Constrained: Geração de uma trajetória de ação alternativa $T^*$ que satisfaça a restrição segura $C$, preserve o prefixo benigno (estados antes de $t_r$), mantenha a proximidade semântica da ação (por exemplo, substituindo violência física por um confronto verbal) e adira à âncora de intenção $I$.
3. Montagem do Prompt: Composição do contexto congelado com a trajetória contrafactual em um prompt fluente em linguagem natural.

3. Principais Contribuições

O artigo delineia três contribuições primárias:

1. Identificação de Risco Temporalmente Emergente: Os autores definem uma categoria de ameaça previamente negligenciada em T2V, onde prompts benignos geram conteúdo inseguro por meio de extrapolação temporal, evadindo sistematicamente as defesas léxicas existentes.
2. Framework TrajShield: Um mecanismo de defesa unificado e sem treinamento que lida com prompts explicitamente inseguros, ataques de jailbreak e riscos temporalmente emergentes por meio de simulação de trajetória, localização causal de risco e reescrita contrafactual minimamente invasiva.
3. Validação Empírica: Experimentos abrangentes demonstrando que o TrajShield alcança desempenho de defesa state-of-the-art em 14 categorias de segurança e múltiplos backends T2V, mantendo alta fidelidade semântica.

4. Resultados Experimentais

Os autores avaliaram o TrajShield no benchmark T2VSafetyBench (14 categorias de segurança) e no dataset SafeWatch (prompts inseguros do mundo real) utilizando seis modelos T2V (incluindo Pixverse, Hailuo, Kling, Seedance, Veo e Sora).

• Desempenho de Segurança: O TrajShield reduziu a Taxa de Sucesso do Ataque (ASR) em uma média de 52,44% em todos os modelos e categorias. Especificamente, a ASR média caiu de 70,00% (modelos originais) para 15,64% (modelos defendidos).
• Comparação com Baselines: O método superou substancialmente as defesas existentes, incluindo Listas Negras de Palavras-chave, Análise Semântica (Toxic-BERT) e Reescrita por LLM. Por exemplo, no modelo Sora, o TrajShield reduziu a ASR para 20,86%, enquanto a Reescrita por LLM alcançou apenas 51,57%.
• Robustez: A defesa permaneceu eficaz contra diversos ataques de jailbreak (RAB, DACA, SceneSplit, SPARK), reduzindo a ASR a uma faixa estreita de 6%–21%, independentemente da estratégia de ataque.
• Fidelidade Semântica: Em prompts benignos (dataset MSVD), o TrajShield manteve pontuações elevadas de Similaridade CLIP (CS) e Consistência Temporal (TC), comparáveis à baseline, indicando que a defesa não degrada a qualidade das gerações seguras.
• Estudos de Ablação: A remoção de qualquer um dos três módulos principais (MSD, TRPG ou TCSR) levou a degradação significativa do desempenho, confirmando que o desacoplamento de movimento e semântica, a identificação de gatilhos causais de risco e a reescrita restrita são essenciais para a eficácia do sistema.

5. Significado e Alegações

O artigo afirma que o TrajShield representa uma mudança de paradigma na segurança T2V, migrando do filtro estático e léxico para a mediação de segurança em nível de trajetória. Os autores argumentam que a defesa eficaz para modelos generativos de vídeo deve alinhar-se à natureza temporal e composicional da geração de vídeo. Ao intervir no "espaço latente de intenção de vídeo" antes da geração, o TrajShield aborda a ponto cego estrutural das defesas atuais: a incapacidade de detectar riscos que emergem apenas através da progressão causal do tempo.

Os autores concluem que sua abordagem oferece um melhor compromisso entre segurança e fidelidade do que as baselines competitivas, validando a necessidade de mediação de segurança consciente do tempo para modelos generativos onde a nocividade emerge através da estrutura latente. Eles reconhecem limitações, observando que a discretização grosseira atual da trajetória pode não capturar totalmente dinâmicas altamente complexas e de longo horizonte, e sugerem que combinar essa defesa pré-geração com moderação pós-geração permanece uma direção para trabalhos futuros.