🤖 AI

AEGIS: Adversarial Target-Guided Retention-Data-Free Robust Concept Erasure from Diffusion Models

本文提出了名为 AEGIS 的无需保留数据的对抗性目标引导框架，通过梯度信息协同机制，在无需额外数据的情况下同时解决了扩散模型概念擦除中鲁棒性与保留性难以兼得的挑战。

原作者： Fengpeng Li, Kemou Li, Qizhou Wang, Bo Han, Jiantao Zhou

发布于 2026-02-16

📖 1 分钟阅读☕ 轻松阅读

原作者： Fengpeng Li, Kemou Li, Qizhou Wang, Bo Han, Jiantao Zhou

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一种名为 AEGIS 的新方法，旨在解决人工智能（AI）绘画模型中的一个棘手难题：如何彻底“忘记”某些不好的概念（比如色情内容或特定艺术家的风格），同时又不让 AI 变得“变笨”，忘记它原本会画的其他东西。

想象一下，你有一个非常有才华的画家（AI 模型），但他最近学会了一些坏习惯（比如画裸体或模仿某位已故大师的风格）。你想让他改掉这些坏习惯，但又不希望他因此连怎么画苹果、怎么画风景都忘了。

以前的方法就像是用一把钝刀去切掉坏习惯，结果往往顾此失彼：要么切不干净（坏人换个名字就能骗过 AI），要么切得太狠把正常功能也破坏了。

AEGIS 就像是一位高明的“记忆外科医生”，它通过两个绝招来解决这个问题：

1. 第一个绝招：找到“坏蛋”的“老巢” (AET - 对抗性擦除目标)

以前的做法：
想象你要让 AI 忘记“裸体”这个词。以前的方法可能只是告诉 AI：“当你听到‘裸体’时，就把它当成‘一张白纸’。”
问题在于： 坏人很狡猾。如果 AI 只是把“裸体”变成了“白纸”，但坏人换个说法，比如“半裸”、“性感”或者“不穿衣服”，AI 可能还是会画出来。因为 AI 心里觉得“裸体”和“半裸”离得很近，它只把“裸体”这个点移走了，但没把整个“裸体家族”都赶走。

AEGIS 的做法：
AEGIS 不直接告诉 AI 把“裸体”变成什么，而是先派一个“特工”（对抗性目标）去探测。

比喻： 想象“裸体”是一个大家族，住在同一个街区。以前的方法只把“大哥”（裸体）抓走了，但“二弟”（半裸）和“三弟”（性感）还在。
AEGIS 会先计算这个“家族”的中心点在哪里（也就是所有相关词汇在 AI 大脑里的平均位置）。然后，它把“大哥”强行拉到离这个中心点最远的地方，甚至把整个家族都往那个方向推。
结果： 不管坏人用“裸体”、“半裸”还是“性感”来骗 AI，因为整个“家族”都被推到了 AI 大脑的角落，AI 就彻底想不起来怎么画这些东西了。这就叫鲁棒性（Robustness），即防骗能力极强。

2. 第二个绝招：只修坏水管，不拆好房子 (GRP - 梯度正则化投影)

以前的做法：
在教 AI 改掉坏习惯的同时，为了不让它变笨，以前的方法通常会找一堆“好图片”（比如风景、动物）让 AI 重新练习。
问题在于： 这就像是为了修好一个漏水的水龙头，你不得不把整个房子的水管都拆下来重装。这不仅费钱（需要大量数据），而且很容易在重装过程中把其他完好的水管也弄坏了（导致 AI 画不出好图）。

AEGIS 的做法：
AEGIS 不需要任何额外的“好图片”数据。它有一个更聪明的策略：

比喻： 想象 AI 的大脑是一个正在装修的房间。
- 擦除任务（修坏水管）： 需要把“裸体”相关的线路切断。
- 保留任务（保护好房子）： 需要保证“风景”、“动物”的线路畅通。
- 有时候，切断坏水管的动作会不小心碰到好水管的线路（这就是梯度冲突）。
AEGIS 发明了一种“智能导航仪”（梯度投影）：
- 如果切断坏水管的动作不会碰到好水管，那就直接干。
- 如果会碰到，导航仪就会立刻把那个“破坏力”的方向给抵消掉，只保留对“坏水管”有效的部分，强行让修改动作沿着“好水管”的墙壁滑过去，而不破坏墙壁。
结果： 这样既彻底切断了坏习惯，又完美保护了 AI 原本的技能，而且不需要找额外的“好图片”来练习。这就叫保留性（Retention）。

总结：AEGIS 的厉害之处

简单来说，AEGIS 做成了两件以前很难同时做到的事：

防骗能力超强： 不管坏人怎么换词（用同义词、隐喻），AI 都再也画不出那些不该画的东西了。
智商不下降： AI 在改掉坏习惯后，画其他东西（如风景、人物）的能力依然很强，甚至比以前更好。

一句话总结：
AEGIS 就像给 AI 戴上了一副智能护目镜，它不仅能精准地屏蔽所有形式的“不良信息”（不管对方怎么伪装），还能确保 AI 在看清世界、创作美好事物时，视力依然清晰，不会变得“眼瞎”或“手抖”。

这项技术对于让 AI 更安全、更可靠地服务于人类社会（比如防止生成色情、暴力或侵犯版权的内容）具有非常重要的意义。

这是一篇发表于 ICLR 2026 的会议论文，题为 "AEGIS: ADVERSARIAL TARGET-GUIDED RETENTION-DATA-FREE ROBUST CONCEPT ERASURE FROM DIFFUSION MODELS"（AEGIS：基于对抗目标引导的无保留数据鲁棒概念擦除方法）。

以下是对该论文的详细技术总结：

1. 研究背景与问题 (Problem)

扩散模型（Diffusion Models, DMs）在文本到图像生成方面表现出色，但训练数据中的偏见可能导致生成有害内容（如色情、暴力或侵犯版权的内容）。概念擦除（Concept Erasure） 旨在通过微调模型来移除这些不良概念，但现有方法面临两个核心挑战，且往往难以同时兼顾：

鲁棒性（Robustness）不足： 现有的擦除方法容易被对抗性提示攻击（Adversarial Prompt Attacks, APAs） 绕过。攻击者可以通过语义相关或隐喻性的提示词（例如用 "naked" 代替 "nudity"）重新激活被擦除的概念。
保留性（Retention）受损： 为了提高鲁棒性，现有方法往往过度修改模型参数，导致模型在无关概念上的生成质量下降（即“鲁棒性 - 保留性”的权衡困境）。
现有方法的缺陷：
- 大多数方法将待擦除概念映射到一个固定的安全目标（如空提示或通用概念），如果该目标距离概念类的语义中心较远，则无法彻底清除类内所有变体信息。
- 部分方法依赖额外的保留数据集（Retention Data）来维持模型能力，但这引入了数据偏差，且难以覆盖所有保留概念。
- 擦除目标（Erasure Loss）与保留目标（Retention Loss）的梯度往往存在冲突，直接优化会导致性能下降。

2. 核心方法论 (Methodology)

论文提出了 AEGIS（Adversarial Erasure with Gradient-Informed Synergy，基于梯度协同的对抗擦除）框架，这是一个无需保留数据（Retention-Data-Free） 的框架，包含两个核心组件：

2.1 对抗擦除目标 (Adversarial Erasure Target, AET)

动机： 研究发现，现有的擦除方法通常只针对单个实例（如 "nudity"）进行优化，而忽略了该概念类中其他语义相关的变体（如 "naked", "sexual"）。如果擦除目标距离概念类的“语义中心”较远，攻击者生成的对抗提示（通常靠近语义中心）仍能绕过擦除。
机制： AEGIS 不手动选择目标，而是通过迭代优化生成一个对抗擦除目标（AET, $c'$ ）。
- AET 被优化为尽可能接近被擦除概念类的语义中心。
- 优化目标是最小化模型对 AET 的预测噪声与原始模型对擦除概念预测噪声之间的距离，同时最大化被擦除概念在微调后模型中的噪声距离。
- 效果： 通过将模型对擦除概念的预测推向远离语义中心的方向，AET 能够更彻底地清除整个概念类（包括语义变体）的信息，从而显著增强对对抗提示攻击的防御能力。

2.2 梯度正则化投影 (Gradient Regularization Projection, GRP)

动机： 在微调过程中，擦除损失（ $L_e$ ）和保留损失（ $L_r$ ）的梯度方向经常发生冲突（即余弦相似度为负），导致优化方向相互抵消，损害保留性能。
机制： GRP 包含两个部分，旨在无需额外保留数据的情况下平衡两者：
1. 参数正则化 (Parameter Regularization, PR)： 使用 $L_2$ 正则化项 $\frac{1}{2}\|\theta - \theta_0\|^2$ 限制微调参数 $\theta$ 偏离原始参数 $\theta_0$ 的程度。这消除了对额外保留数据集的依赖，防止模型“遗忘”无关知识或重新学习被擦除的概念。
2. 方向性梯度整流 (Directional Gradient Rectification, DGR)： 当检测到擦除梯度 $g_e$ $g_{e}$ 和保留梯度 $g_r$ $g_{r}$ 发生冲突（ $\cos \phi < 0$ $cos ϕ < 0$ ）时，DGR 将 $g_r$ $g_{r}$ 投影到与 $g_e$ $g_{e}$ 正交的子空间上，移除 $g_r$ $g_{r}$ 中阻碍擦除的负向分量。
  - 动态权重 $\omega$ ： 引入一个动态更新的权重 $\omega$ 。在微调初期（ $\omega \approx 0$ ），优先进行擦除任务；随着训练进行，当冲突加剧时，逐渐增加 $\omega$ 以加强保留约束。
效果： 这种方向性的、无数据的投影策略有效缓解了擦除与保留之间的干扰，避免了数据集偏差，同时防止了意外重新学习。

3. 主要贡献 (Key Contributions)

揭示了概念擦除的脆弱性根源： 证明了现有方法失败的原因在于选择了不恰当的擦除目标（距离概念语义中心过远），导致无法彻底清除类内信息，从而容易被对抗攻击绕过。
提出了 AEGIS 框架：
- 设计了 AET，通过优化对抗目标来引导模型移除类级别的信息，显著提升了鲁棒性。
- 设计了 GRP，一种无需辅助数据的梯度投影策略，通过动态调整冲突梯度的投影，在提升鲁棒性的同时保持了优异的保留性能。
理论分析： 提供了关于 GRP 收敛性和保留收益的理论证明，表明该方法在局部下降保证和保留性能提升方面具有理论支撑。
广泛的实验验证： 在多种概念（色情、艺术风格、物体）和多种对抗攻击（P4D, UnlearnDiffAtk, Ring-A-Bell）下进行了测试，证明了 AEGIS 的优越性。

4. 实验结果 (Results)

实验在 Stable Diffusion v1.4 和 v2.1 上进行，对比了包括 ESD, AdvUnlearn, SalUn, FMN 等在内的多种 SOTA 基线方法。

鲁棒性提升（攻击成功率 ASR 降低）：
- 色情概念 (Nudity)： 在 P4D 攻击下，ASR 从基线方法的 ~19% 降至 12.06%；在 UnlearnDiffAtk 攻击下，ASR 从 ~11% 降至 8.45%。相比 AdvUnlearn，ASR 降低了约 24%。
- 梵高风格 (Van Gogh)： 在 P4D 攻击下，ASR 降至 36%（AdvUnlearn 为 48%）；在 UnlearnDiffAtk 下降至 12%（AdvUnlearn 为 30%）。
- 教堂物体 (Church)： 在 P4D 攻击下，ASR 降至 28%，优于 SH 方法的 42%。
保留性能（FID 和 CLIP 分数）：
- AEGIS 在大幅降低 ASR 的同时，保持了与原始模型相近甚至更好的生成质量（FID 和 CLIP 分数）。
- 例如，在擦除色情概念时，AEGIS 的 FID 为 17.43，优于 AdvUnlearn (19.34) 和 ESD (18.18)，且 CLIP 分数保持较高水平。
消融实验：
- 移除 AET 会导致 ASR 显著上升（从 8.45% 升至 52.11%），证明 AET 对鲁棒性至关重要。
- 移除 DGR 会导致 FID 和 CLIP 下降，证明 DGR 对平衡保留性能至关重要。
- 动态更新 $\omega$ 比固定 $\omega=1$ 效果更好，说明动态策略能更好地平衡不同训练阶段的需求。

5. 意义与影响 (Significance)

突破权衡困境： AEGIS 成功打破了“鲁棒性”与“保留性”之间的传统权衡，在不牺牲模型通用生成能力的前提下，实现了极强的抗对抗攻击能力。
无需保留数据： 提出的 GRP 机制消除了对额外保留数据集的依赖，降低了实施成本，避免了因数据选择偏差导致的性能下降，具有更高的实用性和可扩展性。
安全性提升： 该方法为扩散模型的安全部署提供了更可靠的解决方案，能够有效防止通过提示词工程绕过安全过滤，对于防止生成有害内容、保护版权（如艺术家风格）具有重要意义。
理论指导： 为多任务学习中的梯度冲突解决和概念擦除的几何特性提供了新的理论视角。

综上所述，AEGIS 通过创新的对抗目标生成和梯度投影技术，为扩散模型的概念擦除设定了新的基准，解决了当前方法在对抗攻击下的脆弱性和保留性能下降的关键问题。