💻 computer science

ChronoLock: Protecting Videos from Unauthorized Text-to-Video Personalization

ChronoLock 是首个旨在通过优化的扰动来破坏运动模仿能力，从而直接干扰时间去噪动态和运动学习过程，以保护视频免受未经授权的文本生成视频个性化攻击的主动式框架。

原作者： Jiaming He, Jiashu Zhang, Guanyu Hou, Shuhan Ye, Hanwei Zhu, Yi Yu, Xudong Jiang

发布于 2026-06-23

📖 1 分钟阅读☕ 轻松阅读

原作者： Jiaming He, Jiashu Zhang, Guanyu Hou, Shuhan Ye, Hanwei Zhu, Yi Yu, Xudong Jiang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你拍摄了一段独特的舞蹈动作或是一项特别的体育技巧。你想在网上分享它，但你担心有人会窃取你的视频，将其喂给强大的人工智能（AI），并让这个 AI 永远学会你的动作，而无需经过你的许可。这就是“未经授权的个性化定制”（unauthorized personalization）问题。

这篇论文介绍了一种名为 ChronoLock 的解决方案。请不要把 ChronoLock 仅仅看作一把门锁，而要把它看作是注入视频本身的一种微妙的“故障”或“毒素”，这种毒素只有 AI 能看见，而人类看到的依然是完美的视频。

以下是它的工作原理，使用简单的类比：

1. 问题所在：AI 的“记忆”

当 AI 学习模仿一段视频时，它不仅仅是在记忆事物看起来的样子（静态图像）；它还在记忆事物随时间变化的运动方式（动作的流向）。这就像是通过听旋律来学习一首歌。如果你想阻止 AI 学习这首歌，你不能只改变歌词（静态图像）；你必须破坏旋律（运动）。

2. 解决方案：ChronoLock 的“两路进攻”

ChronoLock 在视频中添加了微小的、肉眼不可见的改动，从而干扰 AI 学习运动“旋律”的能力。它通过以下两种具体方式实现：

A. 破坏“局部步骤”（块内破坏 / Intra-Chunk Disruption）

想象一下，这段视频是一个长舞蹈动作，被拆分成了若干个 5 秒钟的小片段。

正常的 AI 学习： AI 查看一个 5 秒钟的片段，并学习到：“好的，在这个片段里，手臂先向上移动，然后向下，再向上。”它构建出一条平滑、逻辑清晰的路径。
ChronoLock 的招式： 它在视频中添加了肉眼看不见的静态噪声，使得 AI 认为在每 5 秒片段中的每一帧里，手臂都在做略微不同的动作。这就像是在舞者的步法中加入了一个微小的、隐形的晃动。对于人类来说，舞者看起来很正常；但对于 AI 来说，运动的“数学逻辑”被破坏了。由于步法不断以一种不合逻辑的方式发生偏移，AI 无法理出那条平滑的路径。

B. 打破“交接环节”（块间边界破坏 / Inter-Chunk Boundary Disruption）

现在，想象这是一场接力赛，跑步者正在传递接力棒。

正常的 AI 学习： AI 学习如何让一个 5 秒片段的结尾完美地衔接到下一个片段的开头。它学习这种“交接”。
ChronoLock 的招式： 它专门针对两个片段连接的时刻进行攻击。它让第一个片段的结尾和第二个片段的开头看起来像是属于两部不同的电影。这就像是第一段里的跑步者穿着红鞋，而下一段里的跑步者突然换成了蓝鞋，尽管他们是同一个人。AI 会在视频的“缝隙处”感到困惑，无法将长期的运动轨迹缝合在一起。

3. 结果：一个破碎的“配方”

当有人试图利用受保护的视频来训练 AI 时：

人类视角： 视频看起来完全一样。舞蹈流畅，运动员表现自然。
AI 视角： 运动的“配方”被毁了。AI 试图学习，但“食材”（运动数据）已经变质了。当 AI 尝试根据你的风格生成一段新视频时，它会产生一段混乱、充满故障的影像，看起来完全不像你。

4. 为什么它很强大

论文测试了人们可能用来“清洗”视频的一些常见手段，比如模糊处理或水平翻转。

类比： 想象有人试图通过擦洗或倒置水果来洗掉上面的“毒素”。ChronoLock 就像是直接烘焙进水果 DNA 里的毒素。无论你如何擦洗或翻转水果，内部依然是变质的。AI 仍然无法正确学习运动。

总结

ChronoLock 是一个通过添加肉眼不可见的“噪声”来保护你的视频的工具，这种噪声专门针对 AI 如何学习运动。它破坏了 AI 理解你视频中时间流逝的能力，确保即使有人窃取了你的素材，他们也无法教会 AI 模仿你独特的风格。

技术摘要：ChronoLock

1. 问题陈述

文本生成视频（T2V）扩散模型的快速发展，使得从自然语言提示词中合成具有时间连贯性的逼真视频成为可能。与此同时，个性化技术（如 Textual Inversion、DreamBooth、MotionDirector）允许这些模型仅通过少量参考片段即可适应特定的主体、风格或运动模式。虽然这为创意应用带来了诸多便利，但也引入了显著的数据滥用风险：在线分享的视频可能会在未经所有者同意的情况下被用于微调 T2V 模型，从而导致未经授权的个性化。

现有的保护措施（如“掩码/cloaking”或“不可学习样本”）主要针对静态图像识别或文本生成图像（T2I）的个性化而设计。这些方法侧重于破坏静态外观线索、像素级重建或标记-概念关联。然而，视频个性化高度依赖于**时间去噪动态（temporal denoising dynamics）**和跨帧连续性来学习运动模式。仅仅破坏静态帧不足以防止模型学习视频生成所需的连续语义和运动轨迹。核心挑战在于，如何在不使视频在视觉上变得不可用的前提下，通过专门破坏用于运动个性化的时间证据来保护发布的视频。

2. 方法论：ChronoLock

ChronoLock 是一个主动防护框架，旨在使发布的视频难以被用于未经授权的 T2V 个性化。它通过优化有界扰动来运作，其目标是针对扩散模型的时间去噪轨迹而非静态外观。

2.1 核心机制

该框架将视频划分为连续的块（chunks），并采用两阶段优化过程来破坏运动学习：

块内时间破坏（Intra-Chunk Temporal Disruption）：
- 目标： 破坏短视频段内的局部运动适配。
- 技术： ChronoLock 最大化了一个复合时间扩散目标函数（ $L_{tem}$ $L_{t e m}$ ），而未经授权的适配器（如 Temporal LoRA）通常会最小化该函数。该目标结合了三个项：
  - 拟合误差（ $L_{fit}$ ）： 增加扩散过程中预测噪声的误差。
  - 帧相关关系（ $L_{rel}$ ）： 破坏帧与共同参考切片之间的关系，通过抵消静态成分来隔离并破坏运动信号。
  - 相邻帧变化（ $L_{var}$ ）： 最大化相邻帧之间预测去噪切片的不一致性，从而打破局部时间平滑度。
块间边界破坏（Inter-Chunk Boundary Disruption）：
- 目标： 削弱整个视频的长程运动连续性。
- 技术： 框架识别出在边界处具有最大去噪差异的块对。随后，它有选择地更新这些特定对的扰动，以最大化边界差异得分（ $L_{bdry}$ ）。这种自适应方法确保了最脆弱的时间转换受到针对性处理，以防止运动片段的连贯组装。

2.2 优化工作流

保护过程被公式化为一个双层优化问题：

内层循环： 通过在受保护的视频块上训练临时适配器（如 Temporal LoRA）来模拟未经授权的个性化过程，以最小化个性化损失。
外层循环： 使用投影梯度下降（PGD）更新扰动（ $\delta$ ），以最大化临时适配器的损失，从而使视频对于运动而言是“不可学习”的。
鲁棒性： 为确保对抗常见预处理（如缩放、压缩）的韧性，优化过程会在变换采样视图（如高斯模糊、水平翻转）上评估扰动。

3. 主要贡献

本文概述了三个主要贡献：

时间威胁公式化： 作者确定了时间去噪动态是 T2V 个性化的关键攻击面，这与针对静态外观学习的图像防御截然不同。
首个视频保护框架： ChronoLock 被呈现为第一个专门为以运动为中心的 T2V 个性化设计的框架。它独特地结合了扩散拟合、帧相关去噪关系和相邻帧变化来破坏块内适配，同时结合自适应边界破坏来实现块间连续性的破坏。
全面评估： 该框架在真实的动作数据集（UCF Sports, HMDB51）上，使用流行的 T2V 后端（ZeroScope, ModelScope）和个性化方案（MotionDirector）进行了评估。

4. 实验结果

实验表明，ChronoLock 在保持视觉保真度的同时，能有效抑制未经授权的运动个性化。

自动指标： 与干净视频相比，受保护的视频在用于个性化时，其运动平滑度（MS）和时间一致性（TC）得分显著降低。例如，在基于 ZeroScope 的 UCF 数据集上，ChronoLock 将 MS 得分从 0.989（原始）降至 0.980，将 TC 从 4.324 降至 4.149（较低的值有利于保护）。
人工评估： 人类评估者认为，由受保护数据生成的视频在运动保真度、时间一致性和文本对齐度方面，明显低于由干净数据生成的视频。对干净个性化的偏好从约 67%（干净基准）下降到约 32%（ChronoLock）。
鲁棒性： 即使受保护的视频经历了常见的防御手段（如高斯模糊、水平翻转或其组合），保护依然有效。虽然这些变换带来了微小的恢复，但视频的语义和运动效用仍然处于退化状态。
泛化能力： 该方法在不同的 T2V 后端（ZeroScope vs. ModelScope）和不同的数据集之间表现出强大的迁移性，表明它不会过拟合于特定的生成器或动作类别。
消融实验： 移除任何组件（拟合、帧相关或边界破坏）都会导致保护效果减弱，这证实了局部时间不一致性与全局边界破坏之间的协同作用是必不可少的。

5. 重要性与主张

本文将 ChronoLock 定位为生成视频时代数据保护的必然演进。其重要性在于将防御范式从静态图像掩码转向了时间去噪破坏。

作者声称，通过直接针对实现运动学习的机制（时间注意力和运动模块），ChronoLock 为针对未经授权的 T2V 微调提供了稳健的主动防御。该框架成功平衡了双重目标：既保留了发布视频用于合法观看的视觉质量，又使底层的运动数据对于训练恶意个性化模型而言变得不可靠。这项工作确立了保护视频数据需要解决视频生成的连续性和动态特性，而这正是静态图像防御无法满足的要求。