AEGIS: A Mechanism-Guided Defense against Visual Synonym Jailbreaks in Text-to-Image Models

Resumo Técnico: AEGIS – Um Mecanismo de Defesa Guiado por Mecanismos contra Jailbreaks de Sinônimos Visuais

1. Declaração do Problema

Modelos de difusão de texto para imagem (T2I) enfrentam um dilema crítico entre segurança e utilidade. Os paradigmas de defesa existentes — que variam desde a sanitização semântica no espaço de entrada até a poda estrutural de características — são projetados primariamente para interceptar conceitos inseguros explícitos ou tokens adversários conhecidos. No entanto, esses métodos falham contra o Ataque de Sinônimo Visual (VSA).

O VSA é uma técnica de jailbreak furtiva onde adversários utilizam prompts de linguagem natural contextualmente benignos (ex: "tinta vermelha derramada") que são semanticamente ortogonais a conceitos proibidos no domínio textual (ex: "sangue"), mas que compartilham associações visuais implícitas fortes. Enquanto filtros centrados em texto e interrupções de caminhos específicas a gatilhos conseguem bloquear prompts maliciosos explícitos, eles são contornados pelo VSA porque os tokens de entrada carecem de semântica nociva explícita. Por outro lado, a poda estrutural ampla destinada a bloquear o VSA frequentemente leva à sobre-mitigação, degradando a qualidade de geração de conceitos benignos visualmente semelhantes (ex: suprimindo "ketchup" ao tentar bloquear "sangue").

O desafio central identificado é que o VSA explora um desalinhamento semântico texto-visual: o prompt é seguro no espaço de texto, mas a trajetória de geração converge dinamicamente para um manifold visual inseguro durante o processo de denoising.

2. Metodologia: Análise Mecanística e AEGIS

Os autores propõem o AEGIS (Adaptive Evasion Guard via Identification and Steering), um mecanismo de defesa que muda da supressão estática para o rastreamento dinâmico de semânticas inseguras durante a geração.

A. Análise Mecanística (O "Porquê")
Através de uma investigação sistemática de trajetórias latentes, os autores identificam que o VSA e ataques explícitos convergem através de um subconjunto esparso de cabeças de atenção de injeção semântica.

• Convergência Dinâmica: Sinônimos visuais inicialmente se assemelham a prompts benignos, mas divergem e convergem dinamicamente para assinaturas maliciosas durante etapas intermediárias de denoising.
• Localização Esparsa: Usando perfilamento de similaridade baseado em âncoras e regressão esparsa (Lasso), os autores isolam que aproximadamente 10% das cabeças de atenção (especificamente em camadas profundas de cross-attention) carregam quase 70% da atribuição semântica insegura. Essas cabeças servem como os gargalos críticos onde embeddings de texto inofensivos são transformados em semânticas visuais proibidas.
• Caminhos Compartilhados: Estas cabeças identificadas são ativadas tanto por sinônimos visuais implícitos quanto por gatilhos maliciosos explícitos, confirmando que são os condutos compartilhados para a geração visual insegura.

B. Mecanismo de Defesa AEGIS (O "Como")
O AEGIS opera como uma intervenção em tempo de inferência que direciona cirurgicamente estas cabeças vulneráveis identificadas sem retreinar o modelo ou ablacionar pesos permanentemente.

• Farol de Repulsão (Repulsion Beacon): O sistema utiliza um embedding de âncora (representando o conceito inseguro alvo) como um "farol de repulsão" dentro de cada cabeça crítica identificada.
• Portão Adaptativo Sensível à Similaridade: Em vez de uma projeção estática, o AEGIS aplica uma força de repulsão dinâmica escalonada pela magnitude de ativação e um limiar de similaridade.
  • Se a ativação for altamente similar à âncora maliciosa, o portão abre totalmente para aplicar a repulsão máxima.
  • Se a ativação for limítrofe ou benigna, o portão escala linearmente para aplicar correções sutis, preservando a utilidade.
  • Este mecanismo garante que semânticas de alto risco sejam neutralizadas enquanto conceitos benignos (mesmo aqueles com similaridades visuais) são preservados.

3. Principais Contribuições

1. Formalização do VSA: O artigo define formalmente o Ataque de Sinônimo Visual como um paradigma de jailbreak distinto que explora o desalinhamento semântico texto-visual, destacando os pontos cegos nos atuais paradigmas de alinhamento.
2. Interpretabilidade Mecanística: Os autores fornecem a primeira análise mecanística revelando que as semânticas visuais inseguras em modelos T2I são governadas por um conjunto esparso de cabeças de atenção de injeção semântica profunda, que servem como caminhos compartilhados para ataques explícitos e baseados em sinônimos.
3. Framework AEGIS: Eles propõem uma nova defesa em tempo de inferência que aplica repulsão cirúrgica e sensível à similaridade exclusivamente nestas cabeças vulneráveis. Esta abordagem evita a sobre-mitigação associada à poda de características ampla.
4. Avaliação Abrangente: O método é avaliado contra 16 baselines através de múltiplos tipos de ataque (VSA, explícito, adversário) e arquiteturas (SD 1.4, SD 2.1, FLUX.1).

4. Resultados Experimentais

Avaliado no Stable Diffusion 1.4 (SD 1.4), o AEGIS demonstra desempenho de estado da arte:

• Alinhamento de Segurança:
  • In-Domain (VSA): Reduz a Taxa de Sucesso de Ataque (ASR) para 0.00 para violência e 0.03 para nudez.
  • Out-of-Domain (Explícito/Adversário): Alcança ASRs ≤0.09 nos benchmarks I2P, MMA e RAB.
  • Supera significativamente 16 baselines, incluindo sanitizadores de entrada (SafeClip, SAFREE) e disruptores de caminho (ESD, UCE).
• Preservação de Utilidade:
  • Mantém alta fidelidade de geração (escores FID comparáveis a modelos não alinhados) e alinhamento semântico (escores CLIP).
  • Crucialmente, evita a sobre-mitigação de conceitos benignos de "hard-negative" (ex: "cortar tomates" ou "manequins") que outros métodos suprimem erroneamente.
• Transferibilidade: O método transfere-se com sucesso para o SD 2.1 e o Diffusion Transformer-based FLUX.1 após a reidentificação das cabeças críticas para cada backbone, demonstrando que a vulnerabilidade é estrutural e não específica do modelo.
• Eficiência: O AEGIS introduz um overhead computacional mínimo (3.99s por imagem no SD 1.4), sendo significativamente mais rápido que outras intervenções em tempo de inferência como o SAeUron (11.60s), e não requer retreinamento do backbone de difusão.

5. Significância e Alegações

O artigo alega que o AEGIS quebra o "dilema inescapável" dos atuais alinhamentos de segurança, que devem escolher entre sub-mitigar ataques furtivos ou sobre-mitigar a utilidade benigna. Ao mudar o paradigma de defesa de filtragem estática de nível de texto para rastreamento dinâmico de mecanismos internos, o AEGIS fornece uma solução prática que:

• Neutraliza a Causa Raiz: Ele visa as trajetórias de atenção específicas onde as semânticas inseguras emergem, em vez de depender de padrões de texto superficiais.
• Garante Robustez: Permite-se eficaz mesmo contra ataques adaptativos de caixa branca, onde adversários tentam evitar as direções de intervenção específicas, pois a defesa captura componentes do modelo robustos e relevantes para a segurança.
• Oferece Implementabilidade: Como um monitor de tempo de inferência plug-and-play que não requer retreinamento, oferece uma solução de baixa manutenção e alta confiabilidade para assegurar modelos T2I contra técnicas de jailbreak em evolução.

Os autores concluem que seu trabalho fornece um blueprint confiável para o desenvolvimento de mecanismos de segurança resilientes, demonstrando que as vulnerabilidades exploradas pelo VSA são estruturais e podem ser abordadas através de intervenção precisa guiada por mecanismos.