技术摘要：ReVision

问题陈述

生成式图像模型（如 Stable Diffusion, FLUX）正日益被利用来产生不可接受的内容，例如裸露、暴力、受版权保护的角色以及公众人物。现有的缓解策略可分为三类，但每类在实际部署中都存在显著局限性：

• 预处理（Pre-processing）： 提示词过滤容易受到对抗性绕过的攻击，并且在存在不安全语义的图生图（I2I）场景中提供有限的保护。
• 中处理（Mid-processing）： 安全感知训练（如概念擦除）会产生高昂的重训成本，在良性与不安全概念共存时泛化能力较差，且通常与特定架构（如 U-Net）绑定。
• 后处理（现有技术）（Post-processing）： 当前的后验概念替换技术（CRTs）往往无法同时满足两个关键属性：(P1) 针对不断演进的政策类别实现通用的检测；以及 (P2) 保留目标编辑区域之外的良性内容。
  • 方法如 AntiMirror 虽然实现了精确的定位，但仅限于狭窄的概念类别（如名人面部）。
  • 方法如 USD 改进了语义定位，但仍报告了对良性内容不可忽视的修改。
  • 最近的操作于去噪过程中的方法需要访问生成器的内部表示，这使得它们不适用于黑盒或闭源生成器。

一个被识别出的特定漏洞是掩码溢出（mask-spilling）：在多概念场景中，基于注意力的定位往往会将编辑扩展到语义相关但良性的物体上（例如，编辑一个裸露的人可能会无意中修改附近穿着衣服的人），这违反了生产部署所需的完整性属性 (P2)。

方法论：ReVision

ReVision 是一个无需训练、与生成器无关、后验式的安全框架，旨在替换不可接受的概念而不改变底层生成器。它作为提供者可信计算基（TCB）内的一个两阶段流水线，在图像生成后运行。

第一阶段：提示词驱动的语义检测

系统使用单个开放词汇视觉语言模型（VLM），通过 Gemini-3.5-Flash 进行实例化（同时也支持 GPT-4o 和开源权重模型），对生成的图像进行分析。

• 输入： 生成的图像和高层级的政策提示词。
• 输出： 一组检测到的实例 $T$，其中每个实例包括：
  • $y_t$：概念标签（例如“裸露”、“版权角色”）。
  • $s_t$：描述不安全概念的源提示词。
  • $r_t$：描述安全替换内容的靶向提示词。
  • $w_t$：用于锚定编辑语义概念的“混合词（blend words）”。
  • $B_t$：用于定位概念的实例级边界框。
• 机制： VLM 对图像和政策进行联合推理，从而实现无需重训的开放词汇检测。至关重要的是，它在单次推理过程中提取出下一阶段所需的边界框 ($B_t$)。

第二阶段：实例一致的空间门控

此阶段解决了现有基于提示词的编辑器（特别是 LOCATEdit）存在的“掩码溢出”限制。

• 基准局限性： LOCATEdit 使用交叉注意力图来生成编辑掩码。在多物体场景中，自注意力亲和力会导致编辑“溢出”到视觉相似的良性物体上。
• 门控机制： ReVision 引入了一个空间门控，将编辑严格限制在检测到的实例内。
  1. VLM 提供一个粗略的边界框 $B_t$。
  2. LOCATEdit 生成一个精细的基于注意力的掩码 $M_t$。
  3. 将边界框转换为潜空间二值门控 $G_t$。
  4. 最终的编辑掩码计算为交集：$M'_t = M_t \land G_t$。
• 效果： 该操作在边界框 $B_t$ 之内保留了注意力掩码的细粒度物体结构，同时显式地切断了跨实例的传播路径。这确保了编辑被限制在特定的不安全实例中，使相邻的良性实体保持原样。

核心贡献

1. 空间门控机制： 一种新颖的技术，通过将注意力衍生的编辑掩码约束在粗略的实例级区域（边界框）内，实现了实例一致的定位，并防止了在多概念场景中对良性内容的意外修改。
2. 综合基准测试： 引入了一个包含单/多不安全概念场景的 800 张图像基准测试。它包含了共存的良性概念，以严格测试在两种不同扩散模型（Stable Diffusion 3.5 和 FLUX.1-dev）上对非目标内容的保留能力（属性 P2）。
3. 无需训练、与生成器无关的框架： 一种后验解决方案，无需模型重训，适用于各种架构（U-Net 和 Transformer 架构），并可通过编辑文本提示词来适应新的政策。

实验结果

ReVision 在六个维度进行了评估，包括检测准确率、语义对齐、保真度和人工审核。

• 检测准确率： ReVision 在其自有基准测试中实现了 88.4% 的类别级检测率，并在 AntiMirror 基准测试中达到了 100%。它在外部数据集（如 CopyCAT）上展示了强大的泛化能力，能够识别版权角色和公众人物而无需特定微调。
• 语义对齐： 使用对比性 CLIP，ReVision 使向安全提示词的对齐度平均提升了 +0.121。对于多概念场景，它将背景 LPIPS（衡量意外失真的指标）从 0.166（LOCATEdit 基准）降低到了 0.058。
• 概念抑制：
  • 裸露： 将 NudeNet 检测次数从 70.51 降至 0。
  • 版权内容： 将特定身份检测得分降低了 98%（从 1.00 降至 0.02 平均值）。
  • 名人身份： 将 Giphy 名人检测器（GCD）得分降至所有测试公众人物（如特朗普、拜登、马斯克）的 0.00，在对未知身份的泛化方面优于 AntiMirror。
• 人工审核： 在一项包含 35 名标注者的研究中，原始图像中不可接受内容的辨识度从 96% 下降到 ReVision 编辑后图像的 10%。当排除通用描述（例如用“超级英雄”代替“蝙蝠侠”）时，辨识度降至 10.16%，表明其抑制率约为 90%。

重要性与主张

论文指出，生成式系统的实际安全执行不仅需要检测不安全内容，还需要保留良性内容以维持输出的完整性。ReVision 解决了后验编辑中的一个关键失效模式，即安全干预会无意中破坏图像中无关的部分，这种漏洞可能被对手利用来诋毁安全系统。

通过结合开放词汇 VLM 检测与实例一致的空间门控，ReVision 提供了一个模块化的最后一道防线，该防线：

• 无需重训或访问内部模型权重即可运行。
• 通过政策提示词实现跨多样化安全类别的扩展。
• 解决了复杂多物体场景中的定位-抑制权衡问题。

作者总结道，他们的方法证明，通过优先考虑抑制准确性和剩余图像内容完整性的后验视觉技术，实现可靠的安全执行是完全可能的。