Resumo Técnico: Apagado mas Explorável (BEAP)

Declaração do Problema

O desaprendizado de máquina visa remover seletivamente conceitos específicos (por exemplo, conteúdo NSFW, estilos protegidos por direitos autorais) de modelos de difusão texto-para-imagem (T2I) pré-treinados, sem retreinamento a partir do zero. Embora métodos como ESD, SPM e MACE tenham sido propostos para "esquecer" esses conceitos, estudos recentes sugerem que eles são vulneráveis a vestígios residuais. Ataques adversariais existentes, projetados para recuperar esses conceitos desaprendizados, sofrem limitações significativas em modelos de ameaça realistas:

1. Dependência de caixa branca: Métodos como Generate-or-Not exigem acesso aos pesos ou gradientes do modelo, o que é irrealista para sistemas implantados.
2. Dependência do codificador: Ataques como Ring-a-Bell e QF-Attack exigem acesso ao codificador de texto específico do modelo-alvo para realizar buscas no espaço de incorporação.
3. Detectabilidade: Métodos de caixa preta atuais frequentemente geram prompts "sem sentido" (gibberish) semanticamente sem significado e com alta perplexidade. Estes são facilmente detectados e filtrados por salvaguardas baseadas em regras simples ou detectores baseados em perplexidade, tornando-os ineficazes em cenários do mundo real.

O problema central abordado é a falta de um ataque totalmente de caixa preta, legível por humanos e indetectável que possa explorar efetivamente o conhecimento residual em modelos de difusão desaprendizados.

Metodologia: BEAP

Os autores propõem o BEAP (Black-box Embedding-Aware Prompting), um framework que utiliza um Modelo de Linguagem de Grande Escala (LLM) para gerar iterativamente prompts adversariais eficazes no espaço de linguagem natural. O BEAP opera sem acesso aos pesos do modelo, gradientes ou ao codificador de texto do modelo-alvo.

1. Busca Semântica Orientada por LLM

O BEAP trata o LLM como um otimizador iterativo. Começando com um prompt inicial descrevendo o conceito-alvo, o LLM gera um lote de prompts parafraseados diversos. Esses prompts são consultados contra o modelo de difusão desaprendizado ($M_u$). As imagens resultantes são avaliadas e o feedback é utilizado para refinar o próximo lote de prompts. Diferentemente de métodos anteriores que otimizam no espaço de incorporação (levando a textos não naturais), o BEAP busca diretamente na variedade de linguagem natural, garantindo que os prompts gerados permaneçam fluentes e legíveis por humanos.

2. Orientação por Recompensa de Múltiplos Sinais

Para orientar o LLM em direção a ataques bem-sucedidos, o BEAP emprega três sinais de recompensa complementares para cada imagem gerada:

• Pontuação de Detecção de Conceito: Utiliza detectores (por exemplo, NudeNet, DINOv2) para verificar a presença do conceito desaprendizado.
• Alinhamento Texto-Imagem: Utiliza o ImageReward para garantir que a imagem gerada corresponda semanticamente ao prompt.
• Qualidade da Imagem: Utiliza uma Pontuação Estética para garantir que a saída seja visualmente coerente e de alta qualidade.

Um prompt é considerado bem-sucedido apenas se satisfizer os limiares para todos os três sinais, prevenindo "hacking de recompensa" onde o modelo otimiza uma métrica em detrimento das outras.

3. Busca de Similaridade Consciente de Incorporação

Para fechar a lacuna entre a linguagem natural e o conceito específico "esquecido" no espaço latente do modelo, o BEAP introduz um vocabulário de similaridade adversarial:

• Construção de Vetor: O sistema constrói um vetor de conceito ($c_{adv}$) calculando a média das diferenças de incorporação entre pares de prompts contendo o conceito e suas contrapartes neutralizadas (por exemplo, "pessoa nua" vs. "uma pessoa").
• Seleção de Vocabulário: Este vetor é comparado a um vocabulário de referência (por exemplo, Oxford 3000) usando similaridade cosseno. As $k$ palavras mais similares são selecionadas.
• Orientação: Essas palavras são fornecidas ao LLM como "pistas". Isso direciona o LLM para formulações que residem na vizinhança conceitual do alvo desaprendizado, guiando efetivamente a busca para regiões onde o desaprendizado está incompleto, sem exigir acesso direto ao codificador do modelo-alvo.

Principais Contribuições

1. Primeiro Ataque de LLM Totalmente de Caixa Preta: O BEAP é o primeiro framework a gerar prompts adversariais legíveis por humanos para modelos T2I usando apenas acesso de caixa preta, eliminando a necessidade de pesos do modelo ou acesso ao codificador.
2. Estratégia Iterativa Guiada por Recompensa: Os autores projetam um loop de feedback de múltiplos sinais (presença de conceito, alinhamento, qualidade) que refina prompts iterativamente, garantindo altas taxas de sucesso sem sacrificar a qualidade da imagem.
3. Busca Consciente de Incorporação: A introdução de um componente de similaridade guiado por incorporação permite que o LLM foque em vocabulário semanticamente relevante, melhorando significativamente a eficiência e a eficácia da exploração no espaço de texto.
4. Demonstração de Vulnerabilidade Fundamental: O trabalho fornece evidências empíricas de que os métodos atuais de desaprendizado falham em remover completamente o conhecimento, pois permanecem suscetíveis a prompts adversariais em linguagem natural.

Resultados Experimentais

Os autores avaliaram o BEAP em modelos Stable Diffusion v1.4 desaprendizados usando cinco métodos diferentes (UCE, ESD, MACE, SPM, Receler) contra o benchmark I2P (200 prompts de alta nudez).

• Taxa de Sucesso do Ataque (ASR): O BEAP supera significativamente métodos anteriores. Enquanto o Ring-a-Bell alcançou uma ASR de 0% sob critérios estritos (exigindo presença de conceito, alinhamento e qualidade), o BEAP alcançou pontuações de ASR entre 86% e 99% em todas as bases de desaprendizado.
• Eficiência: O BEAP requer uma média de apenas 15 prompts por ataque bem-sucedido, demonstrando alta eficiência de amostragem.
• Indetectabilidade: Diferentemente do Ring-a-Bell, que produziu sem sentido com uma perplexidade de ~4736 e uma taxa de detecção de sem sentido de 100%, o BEAP gerou prompts com valores de perplexidade (569–653) próximos à linguagem natural (referência I2P: 505) e uma baixa taxa de detecção de sem sentido (26%).
• Qualidade da Imagem: O BEAP recuperou com sucesso os conceitos desaprendizados, mantendo altas pontuações estéticas e de alinhamento, enquanto o Ring-a-Bell produziu imagens distorcidas e de baixa qualidade.
• Generalizabilidade: O ataque também foi testado no desaprendizado em nível de objeto ("bola de golfe"), onde superou igualmente as bases de comparação, confirmando que a vulnerabilidade se estende além de conceitos sensíveis à segurança.

Significado e Alegações

O artigo afirma que os pipelines atuais de desaprendizado de máquina são fundamentalmente insuficientes para garantir a remoção de conceitos de modelos de difusão. Os autores argumentam que, embora os métodos de desaprendizado possam suprimir traços visuais explícitos, eles não eliminam as representações semânticas subjacentes, que podem ser reativadas por meio de prompts cuidadosamente elaborados em linguagem natural.

O significado deste trabalho reside em expor uma lacuna crítica entre as garantias teóricas do desaprendizado e a realidade prática da segurança do modelo. Ao demonstrar que modelos desaprendizados podem ser "jailbroken" usando prompts fluentes e indetectáveis, os autores destacam a necessidade urgente de abordagens mais robustas, verificáveis e confiáveis para a remoção de conceitos em IA generativa. O trabalho serve como um aviso para desenvolvedores de modelos de que a filtragem post-hoc e as técnicas atuais de desaprendizado não são defesas suficientes contra adversários determinados.