Bypassing Copyright Protection in Diffusion-based Customization via Two-Stage Latent Feature Optimization

Resumo Técnico: Burlar a Proteção de Direitos Autorais em Customização Baseada em Difusão via Otimização de Características Latentes em Dois Estágios

Declaração do Problema
O rápido avanço dos modelos generativos baseados em difusão, particularmente através de técnicas de customização como DreamBooth e Textual Inversion, introduziu riscos significativos de propriedade intelectual. Atores maliciosos podem realizar o ajuste fino (fine-tuning) desses modelos em imagens protegidas por direitos autorais para forjar conteúdo visual ou falsificar identidades. Em resposta, pesquisadores desenvolveram mecanismos de defesa adversarial (ex: AdvDM, SimAC, DisDiff) que injetam perturbações direcionadas nas imagens de entrada. Essas perturbações visam interromper a capacidade do modelo de aprender conceitos personalizados, thereby suprimindo a geração não autorizada. No entanto, os autores observam que essas defesas dependem de uma vulnerabilidade específica: elas interrompem o mapeamento semântico estável entre as imagens de entrada e suas representações no espaço latente dentro de Modelos de Difusão Latente (LDMs). Embora eficazes contra ataques ingênuos, essas defesas introduzem ruído de alta frequência e corrompem as características latentes, criando uma oportunidade para um bypass direcionado.

Metodologia: Otimização de Características Latentes em Dois Estágios (TS-LFO)
O artigo propõe o TS-LFO, um framework de ataque projetado para restaurar o mapeamento interrompido entre o latente e a imagem e burlar as defesas de direitos autorais de última geração (SOTA). O método opera sob um modelo de ameaça de caixa branca (white-box), onde o atacante tem acesso à imagem protegida ($x_{adv}$) e à arquitetura do LDM (VAE e Unet), mas não à imagem limpa original ($x$) ou aos parâmetros específicos da defesa.

O framework consiste em dois estágios de otimização sequenciais:

1. Estágio de Denoising Latente:
   O objetivo principal é eliminar as perturbações adversariais de alta frequência e restaurar a consistência semântica entre o código latente e a imagem de entrada. Os autores introduzem um objetivo de otimização conjunta:

• Perda de Alinhamento Latente-Imagem ($\mathcal{L}_{align}$): Esta perda minimiza a discrepância entre a imagem protegida ($x_{adv}$) e a reconstrução da característica latente otimizada ($z$) via decodificador VAE. Surpreendentemente, os autores descobrem que o Erro Quadrático Médio (MSE) tradicional supera métricas perceptuais como LPIPS ou SSIM neste contexto, pois métricas avançadas podem interpretar erroneamente as perturbações adversariais como características legítimas.
• Perda de Difusão Latente ($\mathcal{L}_{DM}$): Esta perda simula a dinâmica de treinamento do Unet subsequente. Ela minimiza o erro de previsão de ruído de um Unet congelado e pré-treinado ao processar a versão ruidosa da característica latente otimizada. Ao reduzir este erro de treinamento de proxy, o ataque garante que a característica latente seja "fácil de aprender" para o modelo de difusão.
• Ponderação Variável no Tempo (Timestep-Varying Weighting): Para equilibrar esses dois termos de perda, os autores empregam um fator de peso que varia linearmente ($\lambda_t$) dependente do passo de tempo da difusão. Isso evita que a otimização priorize um termo de perda sobre o outro em diferentes estágios da trajetória de denoising.

2. Estágio de Reconstrução Latente:
   Após o estágio de denoising, a característica latente otimizada ainda pode carecer de detalhes estruturais de alta fidelidade ou conter perturbações residuais. Este estágio aplica restrições ao nível de pixel para refinar a representação latente:

• A característica latente é decodificada para o espaço de pixels, limitada dentro de uma pequena faixa ($\epsilon_{rec}$) ao redor da imagem protegida original para preservar a fidelidade semântica, e então reencodificada. Este passo recupera informações semânticas de baixa frequência e garante que a característica latente final seja adequada para geração de alta qualidade sem desviar significamente do conteúdo de origem.

Principais Contribuições

• Novo Framework de Ataque: O artigo introduz o TS-LFO, um ataque de dois estágios que visa especificamente o mecanismo pelo qual as defesas de direitos autorais interrompem os mapeamentos imagem-latente. Ele utiliza uma combinação de perdas de alinhamento e difusão com ponderação dinâmica para restaurar esses mapeamentos.
• Análise Mecanística: Os autores fornecem uma análise teórica e empírica demonstrando que as defesas existentes funcionam corrompendo a representação latente do codificador e aumentando o erro de treinamento do Unet. O TS-LFO é projetado para reverter esses efeitos específicos.
• Avaliação Abrangente: O estudo avalia o TS-LFO contra múltiplas defesas SOTA (Anti-DreamBooth, AdvDM, SimAC, DisDiff, PhotoGuard) e compara seu desempenho contra baselines de ataque avançados (DiffPure, GrIDPure, IMPRESS) em diversos datasets (CelebA-HQ, LSUN-Cat, LSUN-Sheep).

Resultados Experimentais
Experimentos extensos demonstram que o TS-LFO supera consistentemente os métodos de ataque de direitos autorais existentes:

• Bypass de Defesa: O TS-LFO reduz significativamente a eficácia das defesas SOTA. Por exemplo, em experimentos de Textual Inversion, o método recupera os escores FID (uma medida de qualidade de geração) para níveis próximos ao baseline, enquanto modelos defendidos sem ataque mostram degradação significativa.
• Superioridade sobre Baselines: Comparado ao DiffPure, GrIDPure e IMPRESS, o TS-LFO alcança um FID menor (melhor qualidade), maior similaridade de imagem CLIP e melhor consistência de identidade (medida por ISM) em datasets de faces.
• Generalização: O método prova ser eficaz através de diferentes distribuições de imagens (faces, gatos, ovelhas) e diferentes técnicas de customização (DreamBooth e Textual Inversion).
• Estudos de Ablação: Os autores validam a necessidade de cada componente, mostrando que os pesos variáveis no tempo e a escolha específica de MSE para a perda de alinhamento são críticos para o desempenho ideal. Eles também observam que, embora o TS-LFO requeira aproximadamente 6 minutos por imagem, isso é aceitável comparado aos 15–30 minutos exigidos pelo treinamento de customização real.

Significância e Alegações
O artigo afirma que o TS-LFO representa um desafio significativo à robustez das atuais estratégias de proteção de direitos autorais adversariais. Ao explorar a vulnerabilidade específica da interrupção no espaço latente, os autores demonstram que as defesas atuais podem ser sistematicamente contornadas para alcançar uma geração de alta fidelidade não autorizada.

Os autores posicionam este trabalho não como um endosso à violação de direitos autorais, mas como um teste de estresse necessário para a área. Eles argumentam que os pesquisadores de defesa frequentemente focam em ataques tradicionais e negligenciam a robustez contra ataques avançados e direcionados como o TS-LFO. Consequentemente, o artigo clama pelo desenvolvimento de mecanismos de defesa mais sofisticados que considerem as vulnerabilidades de características nos espaços latentes e enfatiza a necessidade de estruturas éticas para equilibrar a proteção de direitos autorais com a inovação aberta na IA generativa. Os autores disponibilizam o código-fonte publicamente para facilitar pesquisas futuras sobre defesas robustas.