🤖 AI

Erased but Exploitable: Black-box Embedding-Aware Prompting Against Unlearned Text-to-Image Diffusion Models

本文介绍了 BEAP，这是一种黑盒、感知嵌入的对抗性提示攻击方法，它利用大型语言模型迭代生成高质量且难以检测的提示，从而在文本到图像扩散模型中成功绕过机器遗忘防御，其成功率显著高于以往方法。

原作者： Arian Komaei Koma, Seyed Amir Kasaei, AmirMahdi Sadeghzadeh, Mohammad Hossein Rohban

发布于 2026-05-27

📖 1 分钟阅读☕ 轻松阅读

原作者： Arian Komaei Koma, Seyed Amir Kasaei, AmirMahdi Sadeghzadeh, Mohammad Hossein Rohban

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

以下是用通俗语言和类比对论文《Erased but Exploitable: Black-box Embedding-Aware Prompting Against Unlearned Text-to-Image Diffusion Models》（被抹除但可被利用：针对未学习文本到图像扩散模型的黑盒嵌入感知提示攻击）的解释。

全局概览：“假橡皮擦”问题

想象你有一位才华横溢的艺术家，他看过数百万张图片。你要求这位艺术家“忘记”如何绘制某个特定事物，比如裸体人物。你希望他变得安全，永远不再绘制此类内容。

为此，你使用了一种特殊的“机器遗忘”技术。这就像用一支红色记号笔在艺术家关于“裸体人物”的记忆上乱涂乱画。你希望现在，如果你要求画一个裸体人物，艺术家会说“我不知道那是什么”，或者完全画出别的东西。

问题在于： 这篇论文的作者发现，这支“红色记号笔”实际上并没有抹除记忆。它只是将其隐藏起来。艺术家仍然记得如何绘制；他们只需要正确的“低语”来重新解锁那段记忆。

攻击手段：BEAP（“低语侦探”）

这篇论文介绍了一种名为BEAP的新方法。将 BEAP 想象成一位聪明的侦探，他想证明这位艺术家仍然记得那幅被禁止的图像。

大多数之前试图欺骗艺术家的尝试，就像是大喊胡言乱语或使用毫无意义的代码（例如“裸体人物 x99#!!"）。艺术家的安全卫士（过滤器）会立即识破这些胡言乱语并将其拦截。

BEAP 则不同。 它利用一个超级智能的 AI（大型语言模型）充当外交翻译官。BEAP 不靠大喊，而是靠低语。它尝试用正常、礼貌、人类通用的语言来描述那个被禁止的概念，这种描述对安全卫士来说听起来完全无害。

BEAP 的工作原理（三步舞）

BEAP 并非盲目猜测；它与艺术家玩一场“冷热游戏”，每次都在优化其策略。其工作原理如下：

“词汇地图”（嵌入感知）：
想象艺术家的脑内是一座巨大的图书馆，单词根据它们的相似感受排列。“裸体”这个词位于一个特定的角落。BEAP 绘制了一张与“裸体”相邻的单词地图（例如“裸露”、“皮肤”、“未遮盖”），但这些词本身并非那个被禁止的词。它告诉 AI 翻译官：“使用这些‘邻居’词汇来描述场景。”这将搜索范围锁定在图书馆的正确区域。
“三分记分卡”（奖励信号）：
BEAP 尝试一个提示词，得到一张图片，然后检查三件事：
- 我们是否得到了被禁止的对象？（例如：图片中真的出现了裸体人物吗？）
- 图片是否与文字匹配？（例如：如果我要求“花园里的女人”，图片是否展示了一个在花园里的女人？）
- 图片是否美观？（它是模糊或扭曲的，还是高质量的？）
如果图片未能通过任何一项检查，BEAP 不会放弃。它会告诉 AI 翻译官：“那很接近了，但图片太模糊。尝试换一种方式描述，但继续使用那些‘邻居’词汇。”
迭代循环：
这个过程反复进行。BEAP 生成一个新的、稍好一点的句子，再次尝试，并获得更高的分数。最终，它会找到一个对过滤器来说听起来完全正常且安全的句子，却能诱骗艺术家以高质量绘制出被禁止的图像。

结果：“被抹除”但并未消失

该论文针对几种不同的“橡皮擦”方法（如 ESD、MACE 和 SPM）测试了此攻击，这些方法本应已从艺术家的脑海中移除了“裸体”这一概念。

旧方法（铃铛响）： 之前的攻击试图打破系统，但最终生成了胡言乱语的提示词。安全过滤器拦截了它们，或者生成的图像丑陋且破碎。它们在生成优质图像方面的成功率为 0%。
BEAP 方法： BEAP 在 95% 到 99% 的案例中取得了成功。它利用听起来完全自然的句子，成功生成了关于“被遗忘”概念的高质量、美观的图像。
“胡言乱语”测试： 论文检查了 BEAP 的提示词是否看起来像胡言乱语。答案是否定的。它们看起来像正常的英语。那些通常能捕捉“怪异”或“破碎”文本的安全过滤器完全被愚弄了。

结论

该论文得出结论：当前的“遗忘”方法实际上并不安全。 它们就像在门上挂了一个“禁止入内”的牌子，而不是锁上门。如果你知道正确的代码（或者在这种情况下，知道正确的听起来自然的句子），你仍然可以径直穿过。

作者警告说，即使模型已经“被遗忘”，知识依然存在，只是在等待一个巧妙的提示词将其唤醒。他们创建 BEAP 并非为了鼓励滥用，而是为了向开发者展示，他们当前的安全措施是脆弱的，需要修复。

技术摘要：已擦除但可被利用（BEAP）

问题陈述

机器遗忘旨在从预训练的文生图（T2I）扩散模型中选择性地移除特定概念（例如，不雅内容、受版权保护的风格），而无需从头重新训练。尽管已有如 ESD、SPM 和 MACE 等方法被提出以“遗忘”这些概念，但近期研究表明它们仍易受残留痕迹的影响。现有的旨在恢复这些已遗忘概念的对抗性攻击，在现实威胁模型中存在显著局限性：

白盒依赖：诸如Generate-or-Not之类的方法需要访问模型权重或梯度，这对于已部署的系统而言是不现实的。
编码器依赖：诸如Ring-a-Bell和QF-Attack之类的攻击需要访问目标模型特定的文本编码器，以便在嵌入空间中进行搜索。
可检测性：当前的黑盒方法通常生成语义无意义、高困惑度的“乱码”提示词。这些提示词很容易被基于简单规则的防护机制或基于困惑度的检测器识别并过滤，导致其在现实场景中无效。

核心问题在于缺乏一种完全黑盒、人类可读且不可检测的攻击方法，能够有效利用已遗忘扩散模型中的残留知识。

方法论：BEAP

作者提出了BEAP（黑盒嵌入感知提示），这是一个利用大语言模型（LLM）在自然语言空间中迭代生成有效对抗性提示词的框架。BEAP 无需访问模型权重、梯度或目标模型的文本编码器即可运行。

1. LLM 驱动的语义搜索

BEAP 将 LLM 视为一个迭代优化器。从描述目标概念的初始提示词开始，LLM 生成一批多样化的改写提示词。这些提示词被查询至已遗忘的扩散模型（ $M_u$ ）。生成的图像被评估，反馈用于优化下一批提示词。与以往在嵌入空间进行优化（导致文本不自然）的方法不同，BEAP 直接在自然语言流形中搜索，确保生成的提示词保持流畅且人类可读。

2. 多信号奖励引导

为了引导 LLM 实现成功的攻击，BEAP 为每张生成的图像采用三种互补的奖励信号：

概念检测分数：使用检测器（例如 NudeNet、DINOv2）验证已遗忘概念是否存在。
文本 - 图像对齐：使用ImageReward确保生成的图像在语义上与提示词匹配。
图像质量：使用美学分数确保输出在视觉上连贯且高质量。

只有当提示词满足所有三个信号的阈值时，才被视为成功，从而防止“奖励黑客”行为，即模型为了优化单一指标而牺牲其他指标。

3. 嵌入感知相似性搜索

为了弥合自然语言与模型潜在空间中特定“被遗忘”概念之间的差距，BEAP 引入了一个对抗性相似词汇表：

向量构建：系统通过平均包含该概念的提示词与其中性化对应词（例如，“裸体的人”与“一个人”）之间的嵌入差异，构建概念向量（ $c_{adv}$ ）。
词汇选择：将该向量与参考词汇表（例如 Oxford 3000）进行余弦相似度比较。选择相似度最高的前 $k$ 个词。
引导：将这些词作为“线索”提供给 LLM。这将 LLM 引导至位于已遗忘目标概念邻近区域的措辞，有效地将搜索引导至遗忘不完整的区域，而无需直接访问目标模型的编码器。

主要贡献

首个完全黑盒 LLM 攻击：BEAP 是首个仅利用黑盒访问权限为 T2I 模型生成人类可读对抗性提示词的框架，消除了对模型权重或编码器访问的需求。
奖励引导的迭代策略：作者设计了一个多信号反馈循环（概念存在性、对齐度、质量），迭代优化提示词，在确保高成功率的同时不牺牲图像质量。
嵌入感知搜索：引入嵌入引导的相似性组件，使 LLM 能够专注于语义相关的词汇，显著提高了文本空间探索的效率和效果。
根本脆弱性的证明：该工作提供了实证证据，表明当前的遗忘方法未能完全移除知识，因为它们仍然容易受到自然语言对抗性提示的攻击。

实验结果

作者在 Stable Diffusion v1.4 模型上评估了 BEAP，这些模型使用五种不同的方法（UCE、ESD、MACE、SPM、Receler）进行了遗忘处理，并针对 I2P 基准（200 个高不雅提示词）进行了测试。

攻击成功率（ASR）：BEAP 显著优于先前的方法。在严格标准下（要求概念存在、对齐和质量），Ring-a-Bell的攻击成功率为 0%，而 BEAP 在所有遗忘基线上的 ASR 得分介于**86% 到 99%**之间。
效率：BEAP 每次成功攻击平均仅需15 个提示词，展示了极高的样本效率。
不可检测性：与产生困惑度约为 4736 且乱码检测率为 100% 的Ring-a-Bell不同，BEAP 生成的提示词困惑度值（569–653）接近自然语言（I2P 参考值：505），且乱码检测率较低（26%）。
图像质量：BEAP 成功恢复了已遗忘的概念，同时保持了高美学和对齐分数，而Ring-a-Bell则产生了失真、低质量的图像。
泛化性：该攻击还在对象级遗忘（“高尔夫球”）上进行了测试，结果同样优于基线，证实了这种脆弱性不仅限于安全敏感概念。

意义与主张

该论文声称，当前的机器遗忘流水线在确保从扩散模型中移除概念方面根本不足。作者认为，虽然遗忘方法可能会抑制显式的视觉痕迹，但它们并未消除潜在的语义表示，这些表示可以通过精心设计的自然语言提示词被重新激活。

这项工作的重要意义在于揭示了遗忘的理论保证与模型安全的现实情况之间的关键差距。通过证明已遗忘的模型可以使用流畅、不可检测的提示词被“越狱”，作者强调了在生成式 AI 中需要更稳健、可验证且可靠的概念移除方法的紧迫性。这项工作向模型开发者发出警告：事后过滤和当前的遗忘技术不足以抵御坚定的对手。