💻 computer science

MIRAGE: Protecting against Malicious Image Editing via False Moderation

该论文提出了 MIRAGE，一种系统级的防御机制，通过添加不可察觉的扰动来触发商业图像编辑系统的虚假安全审核标记，从而使系统无论提示词为何都会自动拒绝编辑，以此保护个人图像免受未经授权的 AI 编辑。

原作者： Anshul Nasery, Ramnath Kumar, Cho-Jui Hsieh, Sewoong Oh

发布于 2026-06-26

📖 1 分钟阅读☕ 轻松阅读

原作者： Anshul Nasery, Ramnath Kumar, Cho-Jui Hsieh, Sewoong Oh

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你有一张非常漂亮且具有个人特色的照片。在过去，如果有人想要修改这张照片（比如把你关进笼子里，或者让你看起来像个恶棍），他们需要成为一名拥有昂贵软件的专业艺术家。而今天，像 GPT-Image、Gemini 和 Grok 这样的 AI 工具让任何人只需输入一个简单的句子，就能瞬间编辑你的照片，而且通常是在未经你许可的情况下。这就像是把一根可以重写现实的魔杖交到了每个人手中。

名为 “MIRAGE” 的论文提出了一种巧妙的新方法来阻止这种行为。作者们并没有试图去折断这根魔杖（因为这是不可能实现的，因为公司守着魔杖的秘密），而是建议去欺骗站在门口的保安。

以下是其工作原理的拆解，通过简单的概念进行说明：

1. 问题所在：“魔杖”功能过于强大

目前的防御手段试图在你的照片中加入不可见的“噪声”来迷惑 AI 编辑工具。这就像是试图干扰某个特定的无线电电台信号。问题在于，存在着成千上万个不同的电台（不同的 AI 模型），为其中一个电台制造的干扰器在其他电台上并不起作用。如果你试图干扰一个强大的、闭源 AI（如来自 OpenAI 或 Google 的 AI）的信号，你通常会失败，因为你不知道它们内部引擎的工作原理。

2. 解决方案：“虚假警报”策略

作者们意识到，在任何 AI 编辑你的照片之前，它首先会经过一个安全过滤器（即一名安全人员）。这个保安会检查：“这张照片安全吗？它是否违反了我们的规则？” 如果照片看起来包含暴力、色情或仇恨言论，保安就会立即停止处理过程并说：“不，我不能这样做，”无论用户要求的是什么。

MIRAGE 将这个安全保安变成了一面盾牌。

诡计： 该方法在你的照片中加入了一个微小的、不可见的图案。对于肉眼来说，照片看起来完全一样。
效果： 然而，对于安全保安的“眼睛”（计算机代码）来说，这个图案会让照片看起来像是包含了危险内容（如暴力或色情）。
结果： 保安被吓到了，拉响了红旗，并拒绝编辑该照片。AI 会说：“抱歉，我无法提供帮助，”于是恶意编辑便不会发生。

3. 他们是如何做到的（“集成”类比）

由于作者们无法接触到 OpenAI 或 Google 等公司的秘密安全保安，他们利用开源工具构建了自己的替代保安团队。

想象一下，他们召集了一个由 8 名不同安全专家组成的团队（开源 AI 模型）。
他们询问所有 8 位专家：“一张‘违规’的照片看起来是什么样的？”
然后，他们对你的照片进行微调，使得所有 8 位专家都一致认为：“嘿，这看起来很危险！”
因为大公司的真实、秘密保安很可能也以类似的方式工作，所以他们也会被愚弄，从而拒绝编辑照片。

4. 为什么它比旧方法更好

它不在乎提示词（Prompt）： 旧的方法试图阻止特定的编辑（比如“不要把我关进笼子”）。而 MIRAGE 阻止了一切。一旦照片被“免疫”，AI 就不会出于任何原因（无论是好意还是恶意）对其进行编辑。这就像是在门上贴了一个“禁止进入”的告示牌，对所有人有效。
它适用于大玩家： 论文针对三种最强大的 AI 编辑器（GPT-Image、Gemini 和 Grok）进行了测试。虽然旧方法完全失败（成功率为 0%），但 MIRAGE 成功拦截了 88% 到 90% 的编辑。
它是隐形的： 对照片进行的修改非常细微，人类无法察觉。

5. 坏人能战胜它吗？

论文测试了一个“聪明”的坏人是否能移除这个诡计。

弱攻击： 如果坏人尝试模糊照片、裁剪照片或将其保存为 JPEG 格式，这个诡计通常会幸存下来。“禁止进入”的告示牌依然挂在门上。
强攻击： 如果坏人拥有自己的强大 AI，并尝试通过数学手段“清洗”照片以移除诡计，他们有时可以绕过它。然而，这需要大量的计算能力和精力。MIRAGE 的目标并不是要做到不可破解；而是要让攻击变得如此昂贵且困难，以至于坏人最终选择放弃。

总结

MIRAGE 是你照片的一个数字“陷阱”。它不是直接与 AI 编辑器对抗，而是让你的照片在 AI 的安全系统中看起来像是一个“违禁”物体。这会触发自动拒绝机制，从而保护你的图像免受未经许可的操纵。这是一个简单的、通用的盾牌，它的有效性在于它针对了所有这些 AI 系统共有的一个特征：它们的安全性规则。

技术摘要：MIRAGE —— 通过虚假审核保护免受恶意图像编辑的影响

1. 问题定义

AI 驱动的图像编辑系统（如 OpenAI 的 GPT-Image、Google 的 Gemini、xAI 的 Grok）的快速发展，降低了大规模、高逼真度照片篡改的门槛。这种能力使恶意行为者能够在未经许可的情况下修改个人图像，从而促进欺诈、骚扰、诽谤和身份操纵。

现有的对策（被称为图像免疫/image immunization）通常涉及向图像添加不可察觉的对抗性扰动，以破坏生成模型的输出。然而，这些先前的方法（如 PhotoGuard、EditShield）存在关键局限性：

白盒依赖性： 它们需要访问目标模型的权重以及特定的编辑提示词（prompt）来计算梯度。
缺乏迁移性： 为一个开源模型或提示词优化的扰动无法有效地迁移到不同的模型或提示词上。
在黑盒 API 前的无效性： 在针对商业化、闭源 API 进行测试时，现有的免疫方法失效，导致图像所有者无法受到前沿 AI 工具的保护。

由于直接对生成模型本身进行黑盒攻击会导致极高的查询成本（每张图像需数千次 API 调用）和高延迟，因此被认为是不可行的。

2. 方法论：MIRAGE

作者提出了 MIRAGE（Moderation Induced Resistance Against Generative Editing，即通过审核诱导生成的抗性），这是一种系统级的方法，它将攻击面从生成模型转向了所有主流商业 API 共有的**生成前安全审核（pre-generation safety moderation）**流水线。

核心概念：虚假审核

MIRAGE 并不试图破坏生成模型 $f$ ，而是利用生成前的安全分类器 $C$ 。如果输入图像被标记为违反政策，系统将拒绝生成任何输出，无论编辑提示词是什么。MIRAGE 旨在向图像 $x$ 添加不可察觉的扰动 $\delta$ ，使得扰动后的图像 $\hat{x} = x + \delta$ 触发安全分类器的误报（false positive），从而导致自动拒绝。

技术实现

该方法在黑盒设置下运行，目标 API 是不可访问的，但图像所有者可以访问开源嵌入模型和目标系统的公开使用条款（ToU）。

目标概念识别：
作者分析了目标 API（Grok、Gemini、GPT-Image）的使用条款，以识别普遍禁止的概念（例如：性显性内容、暴力图形、版权侵犯）。研究人员策划了一组代表这些概念的目标图像和文本说明 $T$ 。
代理集成（Surrogate Ensemble）：
由于目标安全分类器 $C$ 是黑盒，MIRAGE 使用了 $n$ 个多样化的开源嵌入模型 $\{F_i\}$ 作为代理（包括 CLIP 式视觉语言编码器和自监督图像编码器如 DINOv2）。
优化目标：
目标是最大化扰动图像与不安全目标 $T$ 在代理集成中的余弦相似度。优化问题为：
$\max_{\|\delta\|_\infty \leq B} \sum_{i=1}^n \phi_i(x + \delta, T)$
其中 $\phi_i$ 是模型 $F_i$ 的平均余弦相似度， $B$ 是扰动预算（例如 $\ell_\infty$ 范数）。
处理高分辨率图像（全局-局部视图）：
为了解决高分辨率用户图像与固定分辨率代理模型之间的分辨率不匹配问题，MIRAGE 将优化分解为：

全局视图（Global View）： 将完整图像缩放至编码器的原生分辨率。
局部视图（Local View）： 从原始分辨率中裁剪出的随机补丁（patches）。
目标函数结合了全局视图与前 $k$ 个最对齐的局部补丁的相似度，确保了细粒度扰动的保留。

鲁棒性技术：

随机增强： 在优化过程中应用随机裁剪、缩放、模糊、JPEG 压缩和翻转，以确保鲁棒性。
模型丢弃与割线梯度缓存（Model Dropout & Secant Gradient Caching）： 为了管理大型集成模型的内存成本，该方法使用模型丢弃技术，并基于过去梯度步骤的秩-1 割线修正来近似丢弃模型的梯度。

3. 核心贡献

新颖的攻击面： 识别出生成前安全分类器是针对闭源系统进行图像免疫的一个实用且有效的攻击面。
提示词无关的保护： 与针对特定生成路径的先前方法不同，MIRAGE 触发的是与编辑提示词无关的拒绝响应。
黑盒有效性： 该方法不需要了解目标模型的架构或权重，仅依赖于公开的使用政策和开源代理模型。
全面的评估： 针对三个前沿商业 API（GPT-Image、Gemini、Grok）进行了广泛测试，并进行了鲁棒性分析。

4. 实验结果

作者在 ImgEditBench 的 100 张图像和 SHHQ 的 48 张高分辨率真人图像上评估了 MIRAGE。

免疫率： MIRAGE 在所有三个测试 API 中均实现了 >88% 的成功率。
- GPT-Image： 近乎完美的保护。
- Gemini & Grok： 约 90% 的拒绝率。
- 基准方法： 所有先前的免疫方法（PhotoGuard、TDAE、BlurGuard、SquareAttack）在这些商业 API 面前的成功率几乎为零。
扰动预算： 随着扰动预算（ $\|\delta\|_\infty$ ）的增加，免疫率单调上升，尽管较高的预算会引入更明显的伪影。
鲁棒性：
- 弱对手： MIRAGE 在面对经典图像变换（高斯模糊、JPEG 压缩、缩放、裁剪、灰度转换）时依然保持有效（72–100% 成功率）。
- 强对手： 面对使用白盒开源模型（例如通过局部扩散模型进行去噪或使用 CLIP 最小化免疫目标）的自适应攻击时，性能有所下降。然而，MIRAGE 仍然提高了对手的成本，在许多场景下保持了 56% 至 80% 的拒绝率，而基准方法则完全失效。
消融实验：
- 集成规模： 更大的集成（高达 8 个模型）提升了泛化能力。
- 全局-局部视图： 对于高分辨率图像至关重要；移除局部视图会导致 Grok 的免疫率从 75% 降至 17%。
- 目标概念： 对于大多数 API 而言，性显性内容目标比暴力内容目标能产生更高的拒绝率，但在 Grok 上除外，因为其对暴力的审核非常严格。

5. 重要性与主张

论文认为 MIRAGE 代表了图像免疫领域的一种范式转移：

系统级防御： 通过针对共享的安全审核层而非多样化的生成架构，MIRAGE 绕过了困扰以往研究的迁移性问题。
不对称优势： 作者指出，商业提供商有动力维持低误报率（避免有害内容），这使得其审核边界过于保守。这使得防御者可以利用嵌入空间中一个允许误报的区域。
实用性： 该方法简单，无需白盒访问权限，并为个人保护其图像免受强大的专有 AI 工具未经授权的编辑提供了一条可行路径。

作者承认存在局限性，包括强大的自适应对手可能绕过保护，以及 API 审核行为随时间变化的可能。他们建议未来的工作可以将虚假审核与潜在破坏（例如 PhotoGuard）相结合，以创建一种既能对抗黑盒 API 又能对抗开源编辑器的复合防御。