💻 computer science

CGCE: Classifier-Guided Concept Erasure in Generative Models

本文介绍了分类器引导的概念擦除（Classifier-Guided Concept Erasure, CGCE），这是一个即插即用的框架，通过在推理阶段使用轻量级分类器来优化不安全文本的嵌入，从而在不损害模型原始生成质量的前提下，有效地擦除不良概念，增强了生成模型抵御对抗性攻击的鲁棒性与安全性。

原作者： Viet Nguyen, Vishal M. Patel

发布于 2026-07-23

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Viet Nguyen, Vishal M. Patel

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你刚刚建立了一个神奇的艺术工作室，只需输入几个词，它就会蹦出一张精美的图片或一段短视频。这就是生成式人工智能的世界，它是计算机科学的一个分支，机器通过学习从零开始创造新的内容。这些数字艺术家才华横溢，但它们有一个棘手的习惯：因为它们向整个互联网学习，有时也会学坏。当你只是简单地要求画一只“猫”时，它们可能会不小心画出不恰当、暴力或纯粹诡异的东西。为了解决这个问题，科学家们一直试图教会这些模型“忘记”特定的坏念头，这个过程被称为概念擦除（concept erasure）。这就像是试图教一只狗不要去追逐松鼠。有些训练者试图永久性地重塑狗的大脑（微调），但这非常辛苦，而且可能会让狗忘记如何捡回它最喜欢的球。另一些人则试图在狗看向松鼠时大喊“不！”（过滤），但聪明的松鼠可能会通过一些看起来不像训练过的松鼠的样子，悄悄溜过去。大问题在于：我们能否在不破坏艺术家创作美丽、安全图像的能力的前提下，停止那些坏念头？

这篇论文介绍了一个聪明的新技巧，叫做分类器引导的概念擦除（Classifier-Guided Concept Erasure, CGCE）。CGCE 不尝试永久性地重塑 AI 的大脑，也不仅仅是在错误的时间大喊“不！”，而是构建了一个聪明的小型安全警卫，站在艺术工作室的门口。这个警卫不会触碰艺术家的工具；它只是检查在你交给艺术家之前的笔记。如果你的笔记是安全的，比如“垫子上的猫”，警卫会立即让其通过。但如果你的笔记是不安全的，警卫不仅会拦截它，还会用一种特殊的方式在艺术家看到它之前，轻轻地编辑你的笔记。它使用一种特殊的数学方法，将你句子中危险的部分改写成安全的内容，同时保持你想法的其他部分完全不变。

作者发现，这种方法是一个游戏规则改变者，因为它就像一个“即插即用”的小装置。你不需要重建整个艺术工作室就可以使用它；你只需要把它插上去。他们在许多不同的现代艺术生成器上测试了它，包括制作图像和制作视频的生成器。结果令人印象深刻：安全警卫成功阻止了 AI 绘制不当内容，即使人们试图用狡猾、复杂的句子来欺骗它。与此同时，AI 继续制作高质量、美丽的图片，证明了你不需要为了安全性而牺牲创造力。

旧方法的缺陷

要理解为什么这种新方法如此酷，让我们来看看以前人们是如何尝试解决这个问题的。想象你有一个巨大的图书馆（AI 的训练数据），其中包含了一些恐怖的故事。

“重塑大脑”法： 一些科学家试图通过重新训练 AI 来让它忘记恐怖故事，从而永久改变 AI 的大脑。这就像花一整年时间来重新训练一只狗。这既昂贵又耗时，而且往往会让狗忘记做其他酷炫动作，比如坐下或打滚。AI 可能会停止画“裸体的人”，但也可能开始画“裸体的猫”，或者让所有其他东西都变得模糊、丑陋。
“大喊‘不’”法： 其他方法试图扮演俱乐部的保镖。他们查看你的请求，如果看到“坏词”，就会拦截它。但这就像是一个只认识坏词名字的保镖。如果你说“一个没穿衣服的人”，保镖可能会漏掉，因为你没有使用特定的单词“裸体”。或者，如果坏念头隐藏在一个长篇、复杂的叙述中，保镖就会感到困惑并让坏东西通过。

本文作者注意到，这些旧方法有一个大缺陷：它们要么太沉重（破坏了 AI 的创造力），要么太容易被欺骗（让坏东西通过）。他们想要一个轻量、快速且真正擅长识别句子“含义”而非仅仅是“单词”的解决方案。

神奇的安全警卫：CGCE

作者创建了 CGFE，它就像一个聪明、隐形的安全警卫。以下是它的工作步骤：

第一步：训练（教导警卫）
首先，作者教会了他们的安全警卫如何识别麻烦。他们没有使用真实的、可怕的图像（这既恶心又没必要），而是使用了一个超级聪明的语言机器人（LLM）来编写数千对句子。每一对中的一个句子是安全的（例如，“坐在床上的女孩”），另一个是带有坏念头的相同句子（例如，“坐在床上的女孩，裸体”）。警卫学会了观察这些句子的含义并决定：“这是安全的还是不安全的？”它学会了看全局，而不仅仅是单个单词。

第二步：检查（防护措施）
当你向 AI 输入提示词时，你的文字会被转换成 AI 能理解的一种秘密代码（称为嵌入/embedding）。CGCE 警卫会查看这段代码。如果代码看起来是安全的，警卫会说“一切正常！”，然后让 AI 进行操作。随后，AI 会按照你的要求精确地画出图片，不做任何改变。这至关重要，因为这意味着 AI 原有的天赋从未受到损害。

第三步：修复（精炼器）
如果警卫发现某些东西是不安全的，它不会仅仅拦截你。它扮演着“精炼器”的角色。它获取你的秘密代码，并使用一种特殊的数学技巧来微调它。想象一下你的句子是一个粘土球。如果粘土有一个危险的形状，警卫会轻轻地挤压并重塑那部分危险的部分，直到它变得安全，同时让球的其余部分完全保持不变。它通过观察你句子的哪些部分引起了麻烦，并将它们推离“坏”念头来实现这一点。它不断进行这种微小的推动，直到代码完全安全为止。

为什么这很重要

作者测试了这种方法相对于其他尝试阻止 AI 艺术作恶的方法的表现。他们使用了许多棘手的测试，人们试图用狡猾的提示词（如使用长篇故事或奇怪的词汇来隐藏坏念头）来欺骗 AI。

它很强韧： CGCE 警卫比旧方法更难被欺骗。即使人们试图使用复杂的句子把坏念头混进去，警卫也能抓住它们。在测试中，对于许多不同类型的 AI 模型，它将这些“攻击手段”的成功率降低到了几乎为零。
它很温柔： 因为警卫只在绝对必要时才会改变代码，所以 AI 制作美丽、安全图片的水平保持完美。当作者要求 AI 画“日落”或“狗”时，结果与之前一样好。旧方法经常会让图片看起来模糊或怪异，但 CGCE 保持了高质量。
它无处不在： 最棒的部分是，这个警卫并不关心你拥有什么样的艺术工作室。作者展示了它可以在许多不同的现代 AI 模型上运行，包括制作图像和制作视频的模型。这就像是一个可以通用于任何门的通用安全徽章。

总结

这篇论文表明，我们不必在安全性和创造性之间做出选择。通过使用一个聪明的、轻量级的警卫，在 AI 开始绘画之前检查并修正你的请求，我们可以阻止坏事发生，而不破坏好事。作者展示了这种方法既快速又有效，并且适用于所有现代 AI。这是一个实用的方法，可以确保我们的神奇艺术工作室对每个人来说都既有趣又安全，而不需要每次想增加一条新规则时都去重建整个机器。

技术摘要：分类器引导的概念擦除 (CGCE)

问题陈述

大规模生成模型，特别是文本生成图像 (T2I) 和文本生成视频 (T2V) 系统，虽然取得了卓越的保真度，但也继承了来自网络抓取训练数据的显著安全风险，包括生成 NSFW（非安全/色情）内容、版权风格和有害物体。现有的概念擦除方法面临着安全性与实用性之间的关键权衡：

微调方法（如 ESD、DUO）通过永久改变模型权重来擦除概念，但往往会降低模型生成安全、无关内容的能力，且计算成本高昂。
模型编辑方法（如 UCE、MACE）使用闭式解来修改权重，但仍易受到旨在重新生成被擦除概念的对抗性攻击。
无需训练的推理方法（如 SLD、SAFREE）在推理阶段引导生成，而不修改权重。然而，它们通常依赖于词元级（token-level）的线性投影。这些方法在现代文本编码器（如 T5）面前表现不佳，因为在这些编码器中，语义含义是整体分布在整个句子中的，而非孤立在特定词元内。因此，它们无法擦除隐式或上下文表达的概念，并且在省略了负向提示机制的引导蒸馏模型（如 FLUX）上效果不佳。

本文指出，需要一种鲁棒、即插即用的框架，能够在不损害基础模型生成效用且无需修改权重的情况下，实现针对对抗性攻击的高保真度概念擦除。

方法论：分类器引导的概念擦除 (CGCE)

CGCE 是一个轻量级、即插即用的框架，完全在推理阶段作用于文本嵌入空间。它不改变原始生成模型的权重。该方法由三个阶段组成：

1. 合成数据生成

利用大语言模型 (LLM)，作者为特定目标概念（如裸露、艺术风格、物体）生成了一组配对提示词数据集。每对提示词包含：

一个包含目标概念的不安全提示词 ( $p_u$ )。
一个保留 $p_u$ 语义结构和内容但排除目标概念的安全提示词 ( $p_s$ )。
这种配对结构使模型能够隔离出特定不想要概念的语义特征。

2. 训练轻量级分类器

一个轻量级分类器在这些提示词对的文本嵌入上进行训练。

架构： 分类器接收提示词嵌入 ( $\varepsilon_p$ ) 和目标概念嵌入 ( $\varepsilon_c$ ) 作为输入。它利用一个多头交叉注意力层，其中提示词词元作为查询 (queries)，概念词元作为键/值 (keys/values)。这种设计允许模型识别提示词中哪些特定词元在语义上与有害概念对齐。
输出： 分类器产生一个概率得分，指示提示词包含目标概念的可能性，并根据注意力权重为每个词元生成词元重要性得分 ( $s$ )。
训练： 模型使用二元交叉熵损失进行端到端训练。

3. 推理：防护与精炼

在推理阶段，训练好的分类器充当双功能模块：

防护 (Safeguard)： 它检查输入提示词的嵌入。如果包含目标概念的概率低于阈值 $\tau$ ，则将嵌入原封不动地传递给生成模型，以保持完整的效用。
精炼 (Refiner)： 如果检测到概念，分类器会引导一个迭代精炼过程。提示词嵌入通过梯度下降进行更新，以最小化分类器的输出概率。
- 加权梯度： 至关重要的是，更新步骤使用词元重要性得分 ( $s$ ) 来对梯度进行加权 ( $g = s \odot \nabla f_\theta$ )。这确保了更新主要应用于与有害概念语义相关的词元，从而最大限度地减少对良性部分的干扰。
- 范数缩放： 梯度按嵌入的范数进行缩放，以确保稳定的收敛。
- 终止： 该过程持续迭代，直到分类器的预测低于阈值或达到最大迭代步数。随后将精炼后的嵌入传递给 T2I 或 T2V 模型。

核心贡献

即插即用框架： CGCE 是第一个在不修改基础模型权重的情况下，在多种多样 T2I 和 T2V 架构（包括 DiT 和 VAR 模型）上提供鲁棒概念擦除的方法。
整体语义精炼： 与以往的词元级投影方法不同，CGCE 利用基于提示词对训练的分类器来理解整体语义上下文。这使其能够有效地擦除即使是分布在句子中或以隐式方式表达的概念。
卓越的安全性-效用权衡： 通过仅选择性地精炼不安全嵌入并保留安全嵌入，CGCE 在实现对红队攻击的尖端鲁棒性的同时，保持了基础模型的生成质量（FID 和 CLIP 得分）。
跨模态通用性： 该框架在图像生成（SD-v1.4, SD-v3, FLUX, Switti-AR, Infinity-2B）和视频生成（CogVideoX, HunyaVideo）上均得到了成功验证。

实验结果

作者针对九种基准方法（包括 ESD, UCE, STEREO, SLD, 和 SAFREE）在多个任务上对 CGCE 进行了评估：裸露移除、艺术风格移除（梵高）以及物体移除（教堂）。

鲁棒性： CGCE 在六个红队测试基准（I2P, SixCD, P4D, RAB, MMAD, UDA）中实现了最先进或极具竞争力的攻击成功率 (ASR)。例如，在 SD-v1.4 骨干网络上，CGCE 在 I2P 上的 ASR 为 4.62，在 SixCD 上为 2.47，优于大多数微调和无需训练的方法。
泛化能力： 在像 FLUX 这样缺乏负向提示的现代架构上，SAFREE 表现显著失败（在 RAB 上 ASR > 87%），而 CGCE 将 ASR 降低到了 0.70。在 SD-v3, Switti-AR 以及各种 T2V 模型上也观察到了类似的卓越性能。
效用保持： CGCE 保持的 FID 和 CLIP 得分与原始基础模型几乎一致，证明其不会降低生成良性内容的能力。相比之下，微调方法通常会出现明显的效用下降。
消融实验： 作者证实了词元重要性加权至关重要；移除该权重会导致无差别的更新并降低效用。研究还表明，该方法对检测阈值 $\tau$ 的变化具有鲁棒性。
复杂提示词： 在有害概念在没有显式毒性词汇的情况下被诱发的长篇、隐式、故事风格提示词中，CGCE 显著优于基准方法。

意义与主张

本文声称 CGCE 通过解决安全性与性能之间难以调和的矛盾，为安全的生成式 AI 建立了新标准。其主要意义在于其能够作为一种与生成器无关的防护措施。通过在文本嵌入空间而非模型权重上进行操作，CGCE 可以无缝集成到广泛的现代 T2I 和 T2V 模型中，包括那些在以往擦除方法中失效的架构（如 VAR 或引导蒸馏模型）。

作者将 CGCE 定位为不是作为训练时安全措施的替代品，而是一种高效、鲁棒且实用的推理阶段解决方案，它能在不承担重训计算成本或权重修改带来的效用下降的情况下，确保生成的安全性。该方法被视为在多样化应用场景中负责任地部署生成式模型的一个切实步骤。