💻 computer science

Modular Energy Steering for Safe Text-to-Image Generation with Foundation Models

该论文提出了一种名为“模块化能量引导”的推理时框架，利用冻结的视觉 - 语言基础模型提供的梯度反馈作为能量估计信号，在不修改生成器或进行微调的情况下，实现了针对文生图模型的安全控制，在保持高质量生成的同时显著提升了抵御 NSFW 内容的鲁棒性。

原作者： Yaoteng Tan, Zikui Cai, M. Salman Asif

发布于 2026-04-03

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Yaoteng Tan, Zikui Cai, M. Salman Asif

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文提出了一种名为**“模块化能量导向”（Modular Energy Steering）**的新方法，旨在让 AI 画图（文生图）变得更安全，同时不牺牲画图的画质。

为了让你轻松理解，我们可以把整个过程想象成**“在画室里请了一位‘安全监理’"**。

1. 背景：AI 画画的“失控”风险

现在的 AI 画画工具（比如 Stable Diffusion）非常强大，只要输入文字，它就能画出精美的图片。但问题在于，如果用户输入了“画一个裸体明星”或者“画一把枪”这种不安全的指令，AI 可能会真的画出来。

以前的解决办法主要有两种，但都有缺点：

方法 A（给 AI 打补丁/微调）： 重新训练 AI，让它“忘记”怎么画这些东西。
- 缺点： 就像给一个天才画家强行洗脑，他可能忘了怎么画苹果，或者画得很难看。而且每次想禁止新东西（比如禁止画某个新明星），都要重新训练，太慢太贵。
方法 B（在门口设保安）： 在 AI 画画前或画完后，用另一个程序检查。
- 缺点： 这个保安有时候太敏感（把正常的画也拦了），或者太迟钝（被坏人用复杂的暗语骗过）。

2. 核心创意：请一位“现成的安全监理”

这篇论文的作者想出了一个聪明的办法：既然 AI 在画画的过程中，每一步都在“构思”画面，那我们就在画画的同时，请一位已经训练好的、懂很多知识的“老专家”（基础模型，如 CLIP 或 VLM）在旁边实时盯着。

不用重新训练： 这位“老专家”是现成的（Off-the-shelf），不需要重新教它。
实时干预： 它不修改画家的笔法（不改动 AI 的权重），只是在画家下笔的每一步，悄悄给画家一点“反馈”。

3. 工作原理：能量场与“刹车”

我们可以用**“能量”**这个概念来比喻：

画家的本能（生成过程）： AI 画家想根据指令（比如“画个美女”）去创作。
安全监理的反馈（能量估计）： 当画家画到一半（比如画出了类似裸体的轮廓）时，旁边的“老专家”（CLIP 或 VLM）看了一眼草图，发现：“哎，这好像有点不对劲，这像是‘裸体’啊！”
施加“能量”： 老专家会发出一个信号，告诉画家：“这个方向‘能量’太高了（风险太大），快往旁边拐一点！”
- 这就好比画家在画布上走，遇到“危险区域”（比如画裸体）时，地面会突然变得像涂了油一样滑，或者有一堵无形的墙把他推回安全区。
- 这个“推”的力量，就是论文里说的**“能量梯度”**。

4. 具体怎么操作？（分两步走）

列个“黑名单”： 用户只需要告诉系统：“我不想要‘裸体’、‘枪支’或者‘埃隆·马斯克’”。这就像给监理列了一张“禁止清单”。
实时“看草图”：
- AI 画画不是一下子出来的，它是从一团模糊的噪点，一步步变清晰的。
- 在每一步变清晰的过程中，系统会把当前的“半成品”（潜空间估计）拿给“老专家”看。
- 老专家（CLIP/VLM）： 这是一个超级聪明的看图说话模型。它会问：“这张图里有‘裸体’吗？”
- 如果回答“有”： 系统就立刻给 AI 画家一个反向的推力，让它把“裸体”的特征抹掉，改画成“穿着衣服的美女”。
- 如果回答“没有”： 那就继续正常画。

5. 为什么这个方法很厉害？

像搭积木一样灵活（模块化）： 你想禁止画“枪支”？把“枪支”加进黑名单就行。想禁止画“某位明星”？把名字加进去就行。不需要重新训练 AI，也不需要收集新的图片数据。
兼容性强： 无论是老款的 AI 画家（扩散模型）还是新款的（流匹配模型），这套“监理”系统都能用。
画质不降： 因为只是轻轻推了一把，没有强行改变画家的核心能力，所以画出来的正常图片（比如“画一只猫”）依然非常精美，不会变得模糊或奇怪。
防骗能力强： 即使坏人用很复杂的暗语（对抗性提示词）试图骗过 AI，这位“老专家”也能在画画过程中识破，因为它是直接看“画出来的样子”，而不是只看“文字指令”。

6. 总结

这篇论文的核心思想就是：不要试图把 AI 画家“洗脑”成好人，而是给它配一个聪明的、现成的“安全监理”，在画画的过程中实时纠正它。

以前： 要么把画家关起来重新教育（重训，慢且伤脑），要么在门口设个笨保安（容易漏网）。
现在： 给画家配个随身保镖，画家画到哪，保镖看到危险就轻轻推一下，既安全又灵活，还不用给保镖发工资（不需要额外训练）。

这种方法让 AI 生成图片更安全、更可控，而且对普通用户来说，只需要输入几个关键词（黑名单），就能立刻生效。

这是一份关于论文《Modular Energy Steering for Safe Text-to-Image Generation with Foundation Models》（基于基础模型的模块化能量引导安全文本生成）的详细技术总结。

1. 研究背景与问题 (Problem)

核心问题：
文本到图像（Text-to-Image, T2I）生成模型（如 Stable Diffusion）在快速普及的同时，面临着严重的安全挑战，包括生成色情内容（NSFW）、侵犯版权、合成未经同意的真人肖像等。现有的安全机制存在显著局限性：

输入/输出过滤器（Guardrails）： 容易受到对抗性提示词的攻击，且误报率高。
模型微调/遗忘（Fine-tuning/Unlearning）： 需要精心策划的“遗忘”和“保留”数据集，训练成本高，且往往会导致模型生成质量下降或泛化能力受损。
现有推理时引导（Inference-time Steering）： 要么局限于提示词嵌入层面的微调（效果次优），要么依赖特定的 curated 图像数据集。

研究目标：
提出一种无需训练（Training-free）、无需特定数据集（Dataset-free）、且模块化的推理时安全引导框架。该框架旨在利用预训练的基础模型作为“语义能量估计器”，在不修改生成模型权重的情况下，实时引导生成过程避开不安全区域。

2. 方法论 (Methodology)

该论文提出了一种基于**能量模型（Energy-based Model）**的采样框架，将安全控制转化为能量引导的采样问题。

2.1 核心思想：能量引导采样

将条件生成过程视为从后验分布 $p(x_t|c)$ 采样。为了抑制不安全概念 $y^*$ ，引入安全引导项，将采样分布重写为：
$p_{safe}(x) \propto p(x|c) \exp(-\lambda E_{safety}(x))$
其中 $E_{safety}(x) = \log p(y^*|x)$ 是安全能量， $\lambda$ 是引导强度。这相当于在生成过程中，利用梯度 $\nabla_{x_t} \log p(y^*|x_t)$ 将生成轨迹推离不安全区域。

2.2 关键组件：基础模型作为能量估计器

论文的核心创新在于利用**冻结的（Frozen）**预训练视觉 - 语言基础模型（如 CLIP 或 VLMs）作为推理时的分类器/能量估计器，而无需任何额外训练。

输入信号： 在扩散模型（或流匹配模型）的每一步采样中，利用当前噪声潜变量 $z_t$ 预测“干净”的潜变量估计 $\hat{z}_{0|t}$ （即 $\hat{x}_{0|t}$ ）。
能量计算：
- CLIP 方案： 构建正类集合 $Y^+$ （用户定义的不安全概念黑名单，如 "Nudity", "Elon Musk"）和负类集合 $Y^-$ （通用安全概念，如 "Man", "Cat"）。利用 Log-Mean-Exponential (LME) 函数计算图像与正负类文本嵌入的相似度差值，作为能量信号。
- VLM 方案： 将图像输入视觉 - 语言大模型，通过构造二元问答（例如：“这张图包含 [目标概念] 吗？回答：是/否”），利用模型生成的 "Yes" 和 "No" 的 Logits 差值作为能量信号。
引导过程： 在每一步采样中，计算安全能量梯度，并将其注入到生成模型的更新步骤中（类似于 Classifier Guidance），从而实时修正生成方向。

2.3 算法流程 (Algorithm 1)

初始化噪声潜变量。
在每一步 $t$ $t$ ：
- 计算带 CFG 的分数估计。
- 预测干净图像 $\hat{x}_{0|t}$ 。
- 将 $\hat{x}_{0|t}$ 输入冻结的 CLIP/VLM，计算安全概率 $p_t$ 。
- 如果 $p_t$ 超过阈值（即检测到不安全概念），则计算能量梯度 $\nabla \ell_t$ 。
- 利用梯度更新潜变量（ $z_{t_{next}} \leftarrow \hat{z}_{t_{next}} - \lambda \nabla \ell_t$ ），若概率较低则直接推进。
输出最终图像。

2.4 可扩展性

该方法天然支持多目标引导。只需扩展黑名单（正类集合）或修改 VLM 的查询提示词，即可同时抑制多个概念（如同时禁止生成 "Nudity" 和 "Elon Musk"），无需重新训练或调整模型权重。

3. 主要贡献 (Key Contributions)

基于能量的安全引导公式化： 首次将 T2I 的安全控制形式化为基于能量的采样问题，通过引入语义安全能量惩罚项，以原则性的方式修改生成得分场。
基础模型即能量估计器： 证明了预训练的 CLIP 和 VLM 可以直接作为有效的语义安全能量估计器。它们丰富的语义知识使得基于梯度的引导成为可能，无需针对特定任务进行微调。
无数据集、可扩展的多概念安全： 该方法仅需用户提供的文本黑名单，无需任何领域特定的图像数据集或模型重训练。框架兼容扩散模型（Diffusion）和流匹配模型（Flow-matching），并能自然扩展到多概念抑制。

4. 实验结果 (Results)

实验在 Stable Diffusion v1.4 (SD-v1.4) 和 Stable Diffusion v3 (SD-v3) 上进行，评估了 NSFW（色情）内容抑制和身份（ID）限制两个场景。

NSFW 抑制性能：
- 在 P4D, Ring-A-Bell, MMA-Diffusion, UnlearnDiffAtk 等红队测试集上，该方法取得了**最先进（SOTA）**的鲁棒性。
- 攻击成功率 (ASR) 极低（例如在 SD-v1.4 上，ASR 降至 0.105 左右，优于 SAFREE 和 SafeDenoiser 等现有方法）。
- 在 COCO-30K 数据集上，FID 和 CLIP 分数表明，该方法在抑制不安全内容的同时，几乎完全保留了原始模型的生成质量和通用性（FID 仅轻微上升，CLIP 分数保持高位）。
身份（ID）引导：
- 能够精确抑制特定名人（如 Elon Musk, Taylor Swift）的生成，同时保留非目标身份的生成能力。
- 多目标扩展： 实验显示，该方法可以同时抑制 2 到 9 个甚至更多的身份，且随着目标数量增加，性能依然稳定，未出现明显的“灾难性遗忘”或质量崩塌。
兼容性：
- 成功应用于基于 Flow-matching 架构的 SD-v3 和 SD-v3.5，证明了框架对新型生成架构的通用性。
计算开销：
- 由于引入了额外的 CLIP/VLM 推理步骤，单图生成时间增加了约 2.7 秒（SD-v1.4 从 4.01s 增至 6.70s）。论文认为这是在数据策展、微调开销与推理时安全性之间可接受的权衡。

5. 意义与总结 (Significance)

范式转变： 提出了一种“即插即用”的安全控制范式。不再依赖昂贵的模型重训练或复杂的对抗性数据集，而是利用现有的、强大的基础模型作为“裁判”来实时指导生成。
模块化与灵活性： 该方法将安全控制与生成模型解耦。用户只需更新文本黑名单即可应对新的安全需求（如新的名人肖像权保护或新的敏感概念），极大地提高了系统的可维护性和响应速度。
高质量与安全性的平衡： 解决了现有微调方法往往牺牲生成质量的问题，证明了在推理阶段通过能量引导可以在保持高质量生成的同时实现严格的安全控制。
未来方向： 虽然增加了推理延迟，但为未来探索利用基础模型进行更高效的引导数据选择或微调监督提供了思路。

总结： 该论文提出了一种高效、模块化且无需训练的文本到图像安全生成框架，通过利用冻结的基础模型作为语义能量估计器，实现了对不安全概念（如色情、特定身份）的精准抑制，同时保持了卓越的生成质量和广泛的模型兼容性。