一句话总结

波士顿大学的研究人员表明，概念算术利用了文生图扩散模型的组合性质，通过组合不受抑制影响的提示词来重建被抑制目标概念对应的向量，从而揭示当前安全机制在对抗性图像生成方面的漏洞。

核心贡献

• 提出一种组合推理攻击，通过组合多个提示词来重建被抑制的文生图扩散模型中负责生成目标概念的向量，而无需访问模型权重或进行提示词优化。

• 通过理论与实证证据建立结论，仅接近目标概念时才改变条件引导的概念抑制防御容易受到攻击，并得出在高风险场景中，被抑制模型仍应结合防护措施使用的结论。

• 引入一个将条件引导的线性性质与组合生成联系起来的框架，表明仅局部修改条件引导的水印或编辑方法可能被绕过，除非模型行为发生全局改变。

引言

作者研究文本到图像扩散模型的安全性，这类模型广泛用于创意和商业图像生成，但也可能产生深度伪造、有害内容、受版权保护的风格以及有偏输出。为降低这一风险，早期概念抑制方法修改模型权重，使模型看似无法生成目标概念，这与可在推理阶段绕过的安全过滤器不同。然而，这些方法主要处理单一提示词生成，并假设局部权重编辑会永久抹除目标信息。

作者表明，当模型支持组合推理时，这一假设不再成立，即在生成过程中可以组合多个提示词或引导项。其 ARC 攻击使用概念算术，并选择多个远离被抹除概念但仍编码相关信息的输入点，从而以黑盒方式重建被禁止内容。作者提供理论依据和实验，证明组合推理会显著提高现有抑制方法所压制概念的复现率。

方法

所提方法是一种仅基于推理的组合式攻击框架，用于绕过扩散模型中的概念抑制。作者利用语义空间中条件引导的线性性质，而不是修改模型权重。给定具有噪声预测 $\epsilon_\theta$ϵθ​ 的扩散模型，概念 $c_j$cj​ 的条件引导定义为：

$$g(c_j) \stackrel{\mathrm{def}}{=} \gamma(\epsilon_\theta(x_t, c_j, t) - \epsilon_\theta(x_t, t)).$$g(cj​)=defγ(ϵθ​(xt​,cj​,t)−ϵθ​(xt​,t)).

抑制方法通常修改模型权重，使目标概念 $c_t$ct​ 处的引导与期望值 $y_0$y0​ 匹配。形式上，被抑制权重可通过如下目标获得：

$$\tilde{\theta} = \min_{\theta} || \mathcal{L}(g_\theta(c_t), y_0) ||.$$θ~=θmin​∣∣L(gθ​(ct​),y0​)∣∣.

该攻击假设被抑制引导函数 $g(c)$g(c) 可近似为原始引导 $g^*(c)$g∗(c) 与抑制目标 $y_0$y0​ 之间的加权混合：

$$g(c) = \lambda(c) \cdot y_0 + (1 - \lambda(c)) \cdot g^*(c).$$g(c)=λ(c)⋅y0​+(1−λ(c))⋅g∗(c).

其中，$\lambda(c)$λ(c) 表示概念 $c$c 处的修改程度。该方法依赖一个假设，即修改仅局部集中在 $c_t$ct​ 附近，因此距离 $c_t$ct​ 较远的概念受到的扭曲较弱。当语义线性成立时，可以使用足够远的绕行概念 $c_d$cd​ 来恢复接近原始目标引导的引导向量：

$$g(c_t \pm c_d) \mp g(c_d) \rightarrow g^*(c_t).$$g(ct​±cd​)∓g(cd​)→g∗(ct​).

这一关系是攻击设计的核心。作者不直接请求被抑制的目标概念，而是使用组合概念查询模型，并在概念空间中通过算术运算组合得到的引导向量。为保留用户的预期图像内容，攻击引导会被添加到原始提示词引导中。对于标准推理步

$$\epsilon_\theta(x_t, t) + g(c_1),$$ϵθ​(xt​,t)+g(c1​),

组合攻击会将其替换为

$$\epsilon_\theta(x_t, t) + g(c_1) + g(c_t + c_d) - g(c_d).$$ϵθ​(xt​,t)+g(c1​)+g(ct​+cd​)−g(cd​).

这会创建一条绕过被抑制目标计算的绕行路径。如下图所示：

该框架包含若干攻击设计。一种绕行减法攻击手动选择语义上远离目标的绕行概念 $c_d$cd​，并形成一个仍然接近 $c_d$cd​ 的组合概念 $c_t + c_d$ct​+cd​。例如，目标斑马概念可以通过使用以蛋糕为基础的绕行概念来近似，因为 “cake in the shape of zebra” 比 “cake and zebra” 更接近 “cake”，从而降低针对目标概念的抑制程度。该攻击的叠加版本会组合多个绕行概念：

$$\sum_{i=1}^{N} \left[ g(c_t \pm c_d^i) \mp g(c_d^i) \right] \rightarrow N \cdot g^*(c_t).$$i=1∑N​[g(ct​±cdi​)∓g(cdi​)]→N⋅g∗(ct​).

另一种变体在允许有偏生成时省略对 $g(c_d)$g(cd​) 的减法。在这种情况下，攻击直接使用组合提示词或子集提示词，例如用更宽泛的概念或更具体的概念替换目标概念。这些变体利用了离开目标概念会降低抑制方向影响的特性。

作者还引入锚点差值攻击。如果锚点概念 $c_a$ca​ 不受抑制影响，则目标引导与锚点引导之间的差值仍与原始差值对齐：

$$g(c_t) - g(c_a) = (1 - \lambda(c_t)) (g^*(c_t) - g^*(c_a)).$$g(ct​)−g(ca​)=(1−λ(ct​))(g∗(ct​)−g∗(ca​)).

这使攻击者能够构造强调目标概念同时抑制锚点概念的引导。该攻击只需要访问组合推理能力，可通过黑盒 API 或模型权重实现，其主要计算成本是为每个辅助概念执行额外前向传播。

实验

实验评估所提组合攻击对 Stable Diffusion 1.4 模型的攻击效果，该模型针对裸体以及选定对象类别被抑制，并比较原始模型和被抑制模型下的标准推理与多种攻击模式。结果表明，抑制可以在正常使用下减少目标概念的存在，但并未将其移除，而攻击能够恢复裸体或对象内容，有时甚至比基线更可靠。这些发现也扩展到对象与角色抑制，攻击显著提高了 AC、ESD u 和 UCE 的目标概念复现率，尽管更强的微调会削弱该效果，而激进抑制可能损害生成质量。

该表描述了利用概念算术和攻击者选择概念来在受抑制扩散模型中恢复朝向被抹除目标概念引导的对抗性提示词。被评估的攻击相比标准推理持续提高目标概念复现率，并在不同抑制方法下保持有效，尽管更强抑制会降低其影响。叠加攻击可以增强恢复到的目标方向，而更强的抑制设置可能降低整体图像质量与多样性。攻击将目标概念与任意概念组合，使引导与被抹除目标对齐。攻击在高 CLIP 分数阈值下提高复现率，表明目标特征更明显。更强的抑制会削弱，但并不能完全阻止目标概念恢复。

攻击通过为组合提示词、相关诱饵概念或显式概念词项添加额外引导来绕过对象与裸体抑制。它们旨在近似目标概念引导，同时使提示词变化尽可能小，或抑制锚点概念。在所测试的抑制方法中，这些攻击都能产生更高的目标概念复现率，尤其是在受抑制模型仍允许部分概念存在时。对象攻击将目标概念与中性诱饵概念组合，以降低直接指向性。一种对象攻击叠加多个引导组件，用于形状、文本和歌曲。裸体攻击添加显式概念词项或相关短语的引导。使用锚点概念可以帮助强调目标概念，同时避免混合输出。

实验评估了针对扩散模型概念抑制的对抗性提示词攻击，使用目标加诱饵、锚点、显式或叠加引导。研究发现，与标准推理相比，此类攻击在不同抑制方法下都能持续恢复被抹除的目标概念，尤其当仍有部分概念存在时。更强的抑制会削弱恢复效果并损害图像质量，而叠加引导以及谨慎选择的锚点或诱饵概念会使绕过效果更明显。