Erased, But Not Forgotten: Erased Rectified Flow Transformers Still Remain Unsafe Under Concept Attack

1. 研究背景与问题 (Problem)

• 背景：文本到图像（T2I）生成模型（如 Stable Diffusion）在带来强大生成能力的同时，也引发了严重的安全问题（如生成 NSFW、暴力或有害内容）。为了缓解这些风险，**概念擦除（Concept Erasure）**技术被提出，旨在选择性禁用模型生成特定概念的能力。
• 现状与局限：现有的概念擦除方法及其攻击评估主要基于 Stable Diffusion (SD) 系列（基于 U-Net 和 DDPM/DDIM 架构）。然而，新一代的 整流流变换器（Rectified Flow Transformers）（统称为 "Flux" 家族）采用了完全不同的架构（基于 Transformer 和 Flow Matching 机制，使用 T5 文本编码器）。
• 核心问题：
  1. 现有的针对 SD 的概念攻击方法（如基于对抗提示的 Ring-A-Bell）在 Flux 上表现极差，无法有效恢复被擦除的概念。
  2. 目前缺乏针对 Flux 架构的概念擦除鲁棒性评估基准。
  3. 学术界尚不清楚 Flux 的擦除机制是否真正安全，还是仅仅掩盖了深层语义。

2. 核心洞察 (Key Insights)

作者通过深入分析发现，Flux 与 SD 在架构上的关键差异导致了现有攻击方法的失效：

• 文本编码器的差异：SD 使用 CLIP（词级语义），而 Flux 使用 T5（句子级语义）。基于词级差异的对抗提示攻击（如 Ring-A-Bell）在 T5 的上下文依赖特性下失效。
• 注意力机制的本质：尽管 Flux 没有显式的交叉注意力层（Cross-Attention），但其双流块（Dual-stream blocks）通过拼接文本和图像特征，在注意力图中形成了直接的文本 - 注意力映射关系。
• 擦除机制：现有的 Flux 擦除方法主要依赖于注意力定位（Attention Localization），即通过抑制特定 Token 索引对应的注意力权重来消除概念。
• 结论：既然擦除是通过“抑制”注意力实现的，那么通过**反向优化（Reverse Optimization）**来“激活”这些被抑制的注意力信号，理论上可以恢复被擦除的概念。

3. 方法论：ReFlux (Methodology)

作者提出了 ReFlux，这是首个专门针对整流流变换器（Rectified Flow Transformers）设计的概念攻击方法。该方法通过轻量级的微调（LoRA）来恢复被擦除的概念，同时保持图像的整体结构和无关内容不变。

3.1 核心组件

ReFlux 包含三个主要损失函数，共同作用于 Flux 的文本相关参数（主要是 Dual-stream blocks 中的 add q proj 和 add k proj，仅约 3.57MB 参数）：

1. 注意力激活损失 (Attention Reactivation Loss, $L_{attn}$)：

   • 目标：直接提升被擦除 Token 的注意力权重。
   • 机制：采用近端优化思想，在最大化目标 Token 注意力的同时，引入正则化项防止优化发散。
   • 正则化：
     • L2 项：限制更新幅度，防止参数偏离预训练分布过远。
     • 熵项 (Entropy)：平滑注意力分布，避免注意力图出现单峰崩溃（即避免图像严重畸变）。

2. 攻击引导的速度损失 (Attack-guided Velocity Loss, $L_{attack}$)：

   • 目标：利用 Flow Matching 的轨迹特性，引导生成流朝向目标概念。
   • 机制：基于条件似然，定义一个攻击目标，通过调整速度场（Velocity Field），使生成轨迹从“被抑制状态”拉回“包含目标概念的状态”。

3. LoRA 一致性损失 (LoRA Consistency Loss, $L_{lora}$)：

   • 目标：保护非目标内容和整体布局。
   • 机制：在微调过程中，约束模型对包含目标和非目标内容的提示生成的速度场，使其尽可能接近原始模型的生成轨迹，从而保持背景、姿态、风格等无关信息的完整性。

3.2 优化策略

• 参数高效：仅微调 3.57MB 的文本相关参数（LoRA）。
• 动态 Token ID：由于 T5 对词序不敏感，训练时随机打乱 Prompt 中的词序，防止过拟合特定的 Token 位置。
• 效率：只需针对每个概念微调一次，即可应用于所有相关 Prompt，推理时间仅需标准生成时间（约 0.5 分钟），远快于基于 PGD 的逐词优化方法（>20 分钟）。

4. 实验结果 (Results)

作者在 Flux.1 [dev] 模型上进行了广泛实验，涵盖了 NSFW（裸露、暴力）、艺术风格、实体、抽象概念、关系及名人等多个类别。

• 攻击成功率 (ASR)：
  • 在 NSFW 概念（裸露、暴力）上，ReFlux 在几乎所有擦除方法（如 ESD, AC, EA, MACE 等）上的攻击成功率均达到或接近 100%，显著优于现有基线（如 Ring-A-Bell 在 Flux 上几乎无效，UnlearnDiffAtk 常导致图像崩溃）。
  • 在艺术风格（如梵高、毕加索）和抽象概念上，ReFlux 同样表现出 SOTA 性能，成功恢复了被擦除的风格特征。
• 图像质量与一致性：
  • 布局保持：ReFlux 在恢复概念的同时，极好地保留了原始图像的布局、姿态和背景（LPIPS 和 CLIP 相似度指标优异）。
  • 对比基线：其他攻击方法（如 UnlearnDiffAtk）往往导致图像结构崩塌、出现伪影或无法被检测器识别（因为图像质量太差），而 ReFlux 生成的是高质量、语义连贯的图像。
• 效率：
  • 相比 PGD 类方法，ReFlux 的推理效率提升了两个数量级，具有极高的可扩展性。
• 消融实验：
  • 证明了 $L_{attn}$（激活）、$L_{attack}$（引导轨迹）和 $L_{lora}$（保持一致性）三个组件缺一不可。缺少正则化会导致注意力发散，缺少一致性损失会导致背景扭曲。

5. 主要贡献 (Key Contributions)

1. 揭示了 Flux 的内在机制：首次系统分析了 Flux 架构，指出其概念擦除依赖于“注意力定位”机制，并解释了为何基于 SD 的对抗提示攻击在 Flux 上失效（T5 的句级语义特性）。
2. 提出了 ReFlux 攻击框架：设计了一种轻量级、高效的参数微调方法，通过反向注意力优化、速度场引导和一致性约束，实现了对被擦除概念的精准恢复。
3. 建立了首个鲁棒性评估基准：构建了涵盖多类别（NSFW、风格、实体、抽象等）的基准测试，证明了当前 Flux 上的概念擦除方法存在严重的“概念残留”（Concept Residue），即深层语义并未真正被遗忘，只是被表面抑制。
4. 开源代码与资源：提供了完整的代码和基准数据集，推动了下一代 T2I 模型的安全研究。

6. 意义与启示 (Significance)

• 安全警示：论文证明了在 Flux 等新一代模型中，现有的概念擦除技术是脆弱的。被“擦除”的概念实际上只是被“抑制”了，通过特定的攻击手段可以轻易恢复。这意味着当前的防御措施可能无法提供真正的安全保障。
• 研究范式转变：指出未来的防御策略不能仅停留在 Token 级别的注意力抑制，而需要探索更深层的语义解耦或多层一致性约束，以应对基于 Flow Matching 和 Transformer 架构的新型攻击。
• 基准价值：ReFlux 为评估 T2I 模型的安全性提供了一个可靠、可扩展且高效的“红队”工具，有助于推动更鲁棒的模型对齐和擦除技术的发展。

总结：这篇论文通过 ReFlux 揭示了新一代 T2I 模型（Flux）在概念擦除方面的脆弱性，证明了“被擦除但未被遗忘”的现象，并强调了建立针对新架构的安全评估基准的紧迫性。