💻 computer science

Anti-I2V: Safeguarding your photos from malicious image-to-video generation

本文提出了名为 Anti-I2V 的新型防御框架，通过在 Lab 色彩空间和频域引入对抗扰动，并针对扩散模型的关键语义层优化训练目标，有效破坏了恶意图像到视频生成模型的时间连贯性与生成保真度，从而在多种扩散架构（包括 DiT）上实现了对个人照片的强保护。

原作者： Duc Vu, Anh Nguyen, Chi Tran, Anh Tran

发布于 2026-03-26

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Duc Vu, Anh Nguyen, Chi Tran, Anh Tran

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一个名为 Anti-I2V 的新工具，它的核心任务就像是一个"数字防身术"，专门用来保护你的照片不被坏人利用 AI 技术变成恶意的视频。

为了让你更容易理解，我们可以把整个过程想象成一场"魔法与反魔法"的较量。

1. 背景：当照片变成“活”的陷阱

现在的 AI 视频生成技术（比如让照片里的人跳舞、说话）非常厉害。但这带来了一个大麻烦：坏人只需要一张你的照片，加上几句描述（比如“他在抢劫”），就能生成一段以假乱真的视频（Deepfake）。这就像有人拿着你的照片，在魔法世界里把你变成了罪犯。

2. 以前的“盾牌”为什么不够用？

之前有一些方法试图给照片加一层“隐形护盾”（对抗性攻击），让 AI 看不懂照片。但这就像给照片撒了点面粉，现在的 AI 视频模型太聪明了，它们有“强力吸尘器”（去噪机制），几下就把面粉吸走了，护盾就失效了。而且，以前的方法主要防的是“图片生成”，防不住“视频生成”，因为视频还需要保持动作连贯，这更难防。

3. Anti-I2V 的三大绝招

Anti-I2V 就像是一个高明的魔术师，它用了三招来彻底破坏坏人的魔法：

第一招：换个“隐形墨水”写字（双空间扰动）

以前的做法：在照片的 RGB 颜色（红绿蓝）上直接加噪点。这就像在画纸上直接涂改，容易被擦掉。
Anti-I2V 的做法：它把照片想象成一杯混合饮料。
1. Lab* 空间：它不直接改颜色，而是改“色调”和“饱和度”（就像改变饮料的酸甜度，但看起来还是那杯饮料）。人类眼睛很难察觉这种细微的味觉变化，但 AI 会因此“尝”出味道不对。
2. 频率域：它把照片看作一张乐谱。它不改动音符（像素点），而是微调了乐谱里的“低音部分”（低频信号）。这就像改变了地基的震动频率，虽然表面看起来房子没变，但地基已经不稳了。
- 比喻：这就好比你想让一个机器人听错指令，你不在它耳边大喊（RGB 噪点），而是悄悄改变了它脚下地板的震动频率（频率域）和它尝到的空气味道（Lab* 空间）。机器人会觉得“不对劲”，但人类完全看不出来。

第二招：切断“记忆链条”（内部表示崩溃 IRC）

原理：AI 生成视频时，就像在写小说。它先写第一章（第一帧），再根据第一章写第二章、第三章。如果第一章的“核心设定”被破坏了，后面写的就会全是胡言乱语。
Anti-I2V 的做法：它专门攻击 AI 大脑中“记性最好”的那几层神经元。它强行把 AI 在深层学到的“高级特征”（比如“这是一张人脸”）和浅层学到的“低级特征”（比如“这是一团模糊的色块”）强行拉平。
比喻：想象 AI 是一个正在拼乐高的人。Anti-I2V 不是把乐高块拿走，而是偷偷把乐高图纸上的“关键连接点”给抹平了。结果就是，AI 拼到后面发现根本对不上号，生成的视频里人脸会扭曲、融化，或者动作完全乱套。

第三招：制造“记忆错乱”（内部表示锚点 IRA）

做法：它让 AI 在生成视频时，把“你的照片”和“一张完全无关的照片”（比如一只猫）的特征搞混。
比喻：这就像给 AI 戴上了一个“混淆眼镜”。当它试图生成你的视频时，它脑子里想的却是猫的特征。结果生成的视频里，你的人脸可能长着猫耳朵，或者动作像猫一样怪异，彻底失去了原本的身份特征。

4. 效果如何？

论文做了大量实验，把 Anti-I2V 放在各种最先进的 AI 视频模型（如 CogVideoX, OpenSora 等）面前测试。

结果：坏人用加了 Anti-I2V 的照片生成的视频，要么面目全非（人脸扭曲），要么动作僵硬（像僵尸），要么完全认不出是谁。
安全性：对于普通人来说，加了护盾的照片看起来和原来一模一样，完全不影响你发朋友圈或做头像。

总结

Anti-I2V 就像给你的照片穿上了一件"隐形防弹衣"。它不改变照片的外观，但通过微调颜色感知和破坏 AI 内部的记忆逻辑，让任何试图利用这张照片生成恶意视频的 AI 模型都“大脑短路”，生成出一堆无法辨认的垃圾。

这不仅是保护隐私，更是给每个人在 AI 时代穿上了一层必要的“数字铠甲”。

Anti-I2V 技术总结：防范恶意图像到视频生成的防御方案

1. 研究背景与问题定义 (Problem)

随着基于扩散模型（Diffusion Models）的视频生成技术（如 CogVideoX, OpenSora 等）的飞速发展，从单张静态图片生成高质量、时序连贯视频的能力显著增强。然而，这一技术带来了严重的滥用风险：攻击者可以利用特定人物的照片，结合文本提示词生成虚假的“深度伪造”（Deepfake）视频或有害内容。

现有的防御手段（对抗性攻击）主要集中在文本到图像（T2I）或图像到图像（I2I）的生成模型上，旨在通过添加微小的扰动来破坏模型对特定身份或风格的生成。然而，针对图像到视频（I2V）的防御研究存在以下关键局限：

架构覆盖不足：现有方法多针对 UNet 架构，对新兴的、性能更强的**Diffusion Transformer **(DiT) 架构（如 CogVideoX, OpenSora）的防御效果未经充分验证。
优化空间单一：大多数方法仅在 RGB 像素空间优化扰动，容易被视频扩散模型的多步去噪过程或图像净化技术（如模糊、JPEG 压缩）消除。
时序一致性破坏不足：I2V 的核心挑战在于破坏帧与帧之间的时序一致性（Temporal Coherence），而现有方法往往未能有效针对这一特性进行攻击。

2. 核心方法论 (Methodology)

本文提出了 Anti-I2V，一种通用的防御框架，旨在通过添加不可感知的扰动，防止未经授权的照片被用于恶意视频生成。该方法包含两个核心创新点：

2.1 双空间扰动策略 (Dual-Space Perturbation, DSP)

为了克服 RGB 空间扰动的局限性，Anti-I2V 在两个非 RGB 域中联合优化扰动：

L*a*b* 颜色空间：将图像转换至 L*a*b* 空间，仅对与亮度无关的 a*（红绿）和 b*（蓝黄）通道添加扰动。这种扰动更符合人类视觉感知，在保持亮度不变的情况下改变色彩感知，具有更强的隐蔽性。
频域 (Frequency Domain)：利用离散余弦变换（DCT），针对图像中承载主要结构和纹理信息的低频分量（DCT 系数左上角）添加扰动。
优势：这种组合策略生成的扰动不仅难以被肉眼察觉，而且能更有效地干扰模型深层的特征表示，对常见的图像净化操作（如模糊、压缩）具有更强的鲁棒性。

2.2 内部表示破坏与锚定损失 (Internal Representation Disruption)

针对 DiT 和 UNet 架构中特征传播的特性，Anti-I2V 设计了新的训练目标函数 $L_{Anti-I2V}$ ，旨在破坏模型内部的语义特征提取和传播：

**内部表示坍缩损失 **(Inter Representation Collapse, IRC)：
- 原理：分析发现，扩散模型深层网络（如 OpenSora 的第 19 层后，CogVideoX 的第 27 层后）编码了丰富的高级语义特征（如人脸身份），而浅层（如第 3 层）主要包含低层结构信息。
- 策略：强制将深层的高级语义特征映射（坍缩）到浅层的低语义特征。这导致模型在去噪过程中无法重建出连贯的语义结构，从而破坏生成的视频质量。
**内部表示锚定损失 **(Inter Representation Anchor, IRA)：
- 原理：针对 VAE 编码器和去噪网络（Denoiser）的每一层。
- 策略：最小化“受扰动图像”的隐藏层特征与“无关目标图像”（或原始图像，取决于攻击类型）特征之间的距离。这迫使模型在提取特征时产生混淆，进一步破坏身份特征的提取。
辅助损失：结合 LPIPS（感知损失）和 CLIP 特征损失，确保扰动在视觉上的不可感知性，同时最大化生成视频的退化。

3. 主要贡献 (Key Contributions)

首个针对 I2V 的通用防御框架：提出了 Anti-I2V，有效防御多种扩散模型（包括 UNet 和 DiT 架构）的恶意 I2V 生成。
创新的扰动优化空间：首次将扰动优化扩展至 L*a*b* 颜色空间和频域，显著提升了防御的鲁棒性和有效性，优于传统的 RGB 空间方法。
深层语义特征破坏机制：通过分析网络层级的语义分布，提出了 IRC 和 IRA 两个针对性目标函数，专门破坏扩散模型内部的特征传播和时序一致性，导致生成视频的身份特征丢失和画面扭曲。
广泛的验证：在多个基准数据集（CelebV-Text, UCF101）和 SOTA 模型（CogVideoX-5B, OpenSora, DynamiCrafter）上进行了全面评估。

4. 实验结果 (Results)

实验在 CelebV-Text（人脸特写）和 UCF101（全身动作）两个数据集上进行，对比了包括 AdvDM, MIST, VGMShield, SDS 等在内的多种基线方法。

**身份相似度 **(Identity Score Matching, ISM)：Anti-I2V 在所有模型上均取得了最低的 ISM 分数。例如，在 DynamiCrafter 上，Anti-I2V 将 ISM 从清洁样本的 0.528 降至 0.151，远低于次优方法的 0.262，表明其极大地破坏了生成视频中的人脸身份一致性。
视频质量与连贯性：
- Q-Align 评分：Anti-I2V 生成的视频在帧级（Q-A(F)）和视频级（Q-A(V)）质量评分上均显著低于其他方法，说明生成的视频不仅身份错误，且画面扭曲、时序混乱。
- DINO 相似度：生成帧与原始参考图的 DINO 特征相似度大幅下降，证明语义特征被有效破坏。
鲁棒性：经过 JPEG 压缩、高斯模糊、高斯噪声以及多种净化技术（DiffPure, GrIDPure）处理后，Anti-I2V 的防御效果依然保持显著，优于仅在 RGB 空间优化的方法。
迁移性：在 CogVideoX 上优化的扰动，在 OpenSora 和 DynamiCrafter 上测试时仍表现出强大的攻击效果，证明了方法的跨模型泛化能力。

5. 意义与结论 (Significance)

Anti-I2V 为解决 AI 生成内容（AIGC）带来的隐私和安全威胁提供了强有力的技术支撑。

技术层面：它揭示了仅靠像素级扰动不足以防御先进的视频扩散模型，必须深入到颜色感知空间和频域，并针对模型内部的语义特征传播机制进行攻击。
社会层面：该方法为普通用户提供了保护个人照片不被用于生成恶意 Deepfake 视频的有效工具，特别是在面对 CogVideoX、OpenSora 等高性能 DiT 模型时，填补了现有防御技术的空白。
未来展望：该工作强调了在扩散模型架构快速演进的背景下，防御机制需要针对模型内部特征表示（Feature Representations）进行设计，而非仅仅关注输入输出层面。

综上所述，Anti-I2V 通过双空间扰动和深层特征破坏策略，实现了对恶意图像到视频生成的高效防御，是目前该领域最先进（SOTA）的解决方案。