Protector一种对抗性噪声编码器用于防范保留身份的图像生成Related WorksTuning-based Customized GenerationDreamBooth, Custom Diffusion, LoRA and Textual Inversion需要多图像微调它们需要大量的计算资源和时间Encoder-based ID-Preserving Generation基于编码器的定制生成方法利用预训练编码器提取外观特征促进实时的零样本生成。这些方法从领域无关的编码器发展到了领域特定的编码器。InstantID包含三个关键组件1一个捕获鲁棒语义面部信息的ID嵌入工业级预训练人脸识别模型作为 ID 嵌入的提取基础论文中明确使用的是antelopev22一个具有解耦交叉注意力的轻量级适配模块便于将图像用作视觉提示3一个IdentityNet通过额外的空间控制对参考面部图像的细节特征进行编码。alt textProblem Definition研究目标给定一幅包含人像的图像x我们的目标是生成对抗性扰动δ以防止身份保留生成。我们旨在最大化未受扰动的生成图像与受扰动的生成图像之间的身份一致性差异其中g是身份保留生成器。为了统一对不同模型的保护我们可以找到一个能同时干扰多个特征空间的δ降低相似度值的总和。因此我们训练了一个噪声编码器网络求解约束条件为。这里S表示身份相似性度量我们使用ArcFace和CLIP特征空间中的余弦相似度进行评估。Methodalt text我们方法的整体示意图。我们方法的关键设计包括噪声编码器、损失函数以及允许反向传播的梯度优化路径。Noise Encoder该网络以224×224的RGB图像作为输入输出三通道的对抗性扰动。这些扰动被投射到[-1, 1]范围内然后进行反归一化处理调整为原始图像的尺寸后添加到图像中。我们使用视觉TransformerViT来生成对抗性噪声其输入和输出维度均设置为224×224。从经验来看我们发现添加一个额外的先验掩码通道用于指示人脸位置有助于训练。这个人脸定位掩码是由InsightFace管道基于面部特征点生成的这些特征点指定了图像中人脸的区域。该掩码作为第四个输入通道与图像拼接省去了网络从零开始学习人脸定位能力的过程从而降低了训练难度。Adversarial ID Protection为了实现身份保护我们可以使从受保护图像中提取的特征与原始特征有显著差异从而阻止生成模型获取正确的面部特征。基于这一原理我们分析了InstantID、IP-Adapter、IP-Adapter-Plus和PhotoMaker的具体流程以设计有针对性的攻击目标和损失函数。InstantID通过两个步骤获取面部特征如图2所示。首先它将人脸对齐到预定义的位置然后将对齐后的人脸输入ArcFace特征提取器以获取面部信息。我们选择欺骗ArcFace模型最小化原始图像与受保护图像的ArcFace特征之间的余弦相似度。IP-Adapter、IP-Adapter-Plus和PhotoMaker均依赖于CLIP视觉编码器提取的面部特征尽管它们使用的CLIP视觉版本不同。IP-Adapter和PhotoMaker利用CLIP视觉的输出而IP-Adapter-Plus则采用CLIP视觉倒数第二层之前的特征。如图2所示来自不同层的嵌入提供了不同的攻击面。我们根据三个原则选择用于攻击的目标嵌入1阻断所有潜在路径确保任何从左到右的信息流都至少经过一个目标嵌入以保证所有信息流都会被中断2在网络中尽早选择特征图2中越靠左的位置以缩短反向传播路径长度从而简化优化过程3以具有密集语义信息的嵌入为目标以便更有效地进行操控。最终我们选择图2中标记为红色的嵌入作为主要攻击目标。与InstantID类似其目标是最大化受扰动嵌入与原始嵌入之间的余弦相似度从而在攻击后有效地使它们对齐。因此最终的对抗损失是所有损失的加权平均值给出其中和分别表示干净图像和受保护图像的人脸嵌入。Imperceptibility (不可感知性)为了将对图像质量的视觉影响降至最低我们对预测的对抗性噪声δ施加了正则化。我们进一步对任何超过ϵ球边界的噪声值引入了辅助惩罚。这些项共同构成了我们的正则化损失如下所示因此最终损失是对抗性损失和正则化的总和具体如下第一项是标准的 L1 正则化。它惩罚噪声的绝对值之和。特性 L1 正则化 L2 正则化效果 稀疏性很多像素0 平滑性所有像素都小几何形状 菱形有尖角 圆形光滑视觉表现 局部集中噪声 全局均匀噪声L1 正则化倾向于让大部分像素点的噪声为 0 或接近 0只在关键区域如面部特征边缘产生噪声。这比 L2 正则化更能保持图像的原始纹理减少“雾状”模糊感。人眼特性人眼对全局均匀的微弱噪声比局部稀疏的噪声更敏感第二项(硬边界软约束)表示将噪声值强制截断在范围内计算的是超出边界的那部分噪声。允许网络在训练时“试探”边界但一旦越界就会受到惩罚从而引导网络主动学习生成始终在范围内的噪声。Robustness (鲁棒性)InstantID 等模型在提取特征前会先进行 人脸对齐 (Face Alignment)。这是一个仿射变换Affine Transformation会根据关键点计算一个矩阵把脸“摆正”。如果在训练时假设矩阵是固定的但在实际推理时由于添加了噪声人脸关键点检测可能会发生微小偏移导致实际使用的对齐矩阵与训练时的不同。这种错位会导致精心设计的噪声失效。(带噪声的仿射矩阵)原始计算出的标准仿射变换矩阵。添加到矩阵上的高斯噪声均值为 0方差为文中设定。模拟“关键点检测不准”或“图像轻微变形”的情况。(模拟的对齐后坐标)使用这个“被污染”的矩阵去变换人脸关键点得到新的坐标。这意味着网络在训练时看到的“对齐后的人脸”是带有轻微几何形变的。实验设置数据集训练集CelebA (190,000 张未裁剪图像)包含任意尺寸和长宽比的人脸。测试集CelebA (50 张未见过的图像)。VGG Face (50 张图像)用于评估跨数据集泛化能力。模型架构核心网络ViT-S/8 (Vision Transformer Small, patch size 8)。输入224×224 RGB 图像 1 通道人脸掩码 (Face Mask) (由 InsightFace 生成辅助定位)。输出3 通道对抗噪声范围限制在。训练策略分 3 个阶段 训练逐步缩小噪声允许范围 () 并调整损失权重。Stage 1:, 120 epochs.Stage 2:, 20 epochs.Stage 3:(即 9/255), 20 epochs.优化器设置Warm-up: 前 2,500 步线性预热。梯度裁剪: L2 范数最大值为 10。Batch Size: 112。硬件: 4 × NVIDIA H100 (80GB)训练耗时约10 天。鲁棒性增强在 InstantID 分支的仿射变换矩阵中加入高斯噪声 () 进行数据增强。评估指标保护效果ISM (Identity Score Matching): 原始图与生成图的 ArcFace 特征余弦相似度 (越低越好)。FDR (Face Detection Rate): 生成图中检测到人脸的比例 (越低越好反映是否导致无法生成人脸)。图像质量PSNR / SSIM: 原始图与保护后图像的相似度 (越高越好)。SER-FIQ: 生成图像的质量评分。效率单张图像保护耗时 (秒)。对比基线ACE, AdvDM, Anti-DreamBooth, PhotoGuard, SimAC。以及作者方法的 PGD 变体 (Ours-PGD用于验证上限但速度慢)。PID: Prompt-Independent Data Protection Against Latent Diffusion ModelsRelated Work基于代理模型的对抗样本生成这类方法的核心思想是“以攻代守”通过模拟攻击者的训练过程来生成能够干扰模型学习的对抗性图像。构建代理模型防御者首先使用干净的原始数据微调一个代理模型surrogate model,使其模拟潜在的攻击者模型。最大化损失在获得代理模型后防御者在原始图像上添加扰动生成对抗样本最大化该代理模型在扰动数据上的训练损失。其中是条件扩散模型的训练损失是文本提示词是视觉编码器限制扰动的不可见性。2. 基于双层优化的不可学习样本生成这类方法借鉴了经典“不可学习样本”Unlearnable Examples的思想旨在生成一种特殊的数据使得模型即使在上面进行训练也无法学到任何有用的概念。特性 对抗样本 (Adversarial Examples) 不可学习样本 (Unlearnable Examples)主要目标 欺骗推理 (Inference) 破坏训练 (Training)应用场景 模型已训练好输入扰动图片让模型预测错误。 模型正在训练中输入扰动图片让模型学不到特征。采用最小 - 最大Min-Max的双层优化策略。内层优化Min模拟攻击者试图找到最优的模型参数以最小化训练损失。外层优化Max防御者寻找最优的扰动图像使得即使攻击者找到了最优模型其训练损失依然尽可能大。alt textAnti-DreamBooth的两种变体即全训练替代模型引导FSMG和交替替代与扰动学习ASPL。这两种方法都使用投影梯度下降PGD来生成对抗性噪声δ以最大化替代模型的重建损失。左图FSMG使用在小型干净图像集上完全微调的固定替代模型来指导PGD优化。右图ASPL在以下两个步骤之间交替进行i在干净图像上微调克隆替代模型ii使用该克隆模型通过PGD为当前图像集生成δ。然后在下次迭代之前在扰动图像上微调实际的替代模型θ。问题提示词依赖性(Prompt Dependency)两类方法在生成扰动时都需要一个预设的文本提示词。 这导致扰动是针对该特定提示词优化的。在实际场景中防御者无法预知攻击者会使用什么提示词进行微调。一旦提示词不匹配防御效果会显著降低。计算资源昂贵通过大型UNet进行反向传播会消耗大量的GPU显存不使用额外技巧的情况下约为24GB。与提示词相关的防御对不同的提示词是否稳健研究问题1保护阶段和攻击阶段所使用的提示词之间的不匹配是否会影响现有防御算法的效果实验设置数据集 CelebA-HQ随机选取 10 位名人每人 4 张图片。基础模型Stable Diffusion v1.5微调方法DreamBooth防御方法FSGM (基于代理模型的对抗样本)。ASPL (基于双层优化的不可学习样本)。参数设置扰动预算评估指标实验使用四个指标来量化防御效果FDS (Face Detection Score)衡量生成图像与训练图像的面部相似度越低越好表示没学会脸。FID (Fréchet Inception Distance)衡量生成分布与训练分布的距离越高越好表示分布差异大没学会概念。IQS (Image Quality Score)基于 CLIP 的图像质量评分越低表示质量越差噪声越多。BRISQUE无参考图像质量评价越高表示图像失真/噪声越严重。对于每位名人选定的4张图像我们采用FSGM和ASPL防御方法并使用保护提示来生成相应的受保护版本。然后这些受保护图像被用于通过微调提示对模型进行微调从而得到不同的微调模型。在测试阶段我们使用任意提示生成一组图像随后利用上述四个指标对其进行评估。不同微调模型的平均结果如图2所示。我们可以发现当保护提示与微调提示不同时保护性能会受到显著影响。alt text扰动视觉编码器会影响微调吗研究问题2像素空间中的扰动如何影响潜在扩散模型LDMs中视觉编码器的输出进而影响微调过程回想一下潜在分布是通过基于KL的变分自编码器建模为多项式高斯分布它与提示无关。当存在提示不匹配时这一特性可用于解决防御性能下降的问题。既然视觉编码器不受文本提示词影响那么通过扰动像素空间来改变视觉编码器输出的潜在分布Latent Distribution即均值和方差是否能够有效地破坏模型的微调过程且这种破坏不依赖于攻击者使用的具体提示词作者定义了两种主要的损失函数来最大化扰动后的图像与原始干净图像在潜在分布统计量上的差异针对均值的扰动 ()公式目的最大化扰动后图像与干净图像在潜在空间均值之间的距离。针对方差的扰动 ()公式目的最大化扰动后图像与干净图像在潜在空间方差之间的距离。实验设置使用-PGD 进行优化。扰动预算约束为。使用扰动后的图像对 Stable Diffusion v1.5 进行微调DreamBooth然后评估生成效果。结果均值扰动 () 的影响主要影响生成图像的纹理Texture。低IQS和高BRISQUE方差扰动 () 的影响主要阻止模型掌握图像的核心概念Core Concepts。低FDS和高FID。像素微小扰动引发潜在空间巨变即使在像素空间只添加了微小的扰动也能导致潜在分布发生剧烈变化。方差的变化尤为剧烈干净图像与扰动图像的方差差距范围从约扩大到。非相关性均值和方差的变化并不完全相关。一个发生显著波动而另一个没有表现出实质性变化这表明它们对微调结果的影响不同。因此需要设计一个复杂的目标来更有效地操控潜在分布的可能性该目标能利用同时影响均值和方差的优势。alt text我们如何更好地利用视觉编码器来进行数据保护研究问题3如果研究问题1的答案是肯定的我们能否通过更好地利用与提示无关的视觉编码器来提高保护的鲁棒性Proposed Prompt-Independent Defense (PID)1基于采样的潜在表示扰动沿用Adversarial example does good的方法直接扰动从潜在分布中采样的表示通过期望最大化干净/加扰图像采样表示的距离为了减少优化过程中不必要的随机性我们随后尝试从中排除ε得到损失函数。考虑到在图4中观察到的均值和方差大小存在显著差异我们提出了它联合优化方差的对数和均值。此外我们探索了对均值的有针对性操作。2均值方差损失直接相加其中。3均值对数方差的联合损失最终PID采用针对的数量级问题对潜方差做对数变换消除均值与方差的尺度差异实现二者的均衡联合优化也是论文的核心设计4目标导向的均值扰动将加扰图像的潜均值定向推至预设目标图像的潜均值通过负距离实现定向操纵仅针对潜均值优化忽略方差的防御作用。为什么只有均值能推方差推不了吗LDM的视觉编码器KL-VAE对图像的潜分布建模为潜均值是图像的确定性信息对应像素空间的图像内容、纹理、语义等核心信息。潜方差表征的是编码器对图像特征的建模不确定性而非图像的具体内容其取值是相对的、无固定语义的。高方差区域通常对应图像中复杂、高频、难以预测的区域如复杂的纹理、头发丝、噪点、模糊边缘。编码器在这里表示不确定这里的具体像素是什么所以保留较大的随机性范围。低方差区域通常对应图像中平滑、简单、确定性强的区域如纯色背景、大块物体表面。编码器表示确定这里是什么随机性很小。TEXTUAL LOSS在大多数针对 LDM 的对抗攻击中为了计算的确定性和稳定性 E(x) 往往直接指代,因为方差σ是一个范围/不确定性度量不适合直接用于计算两个图像表示之间的“点对点”欧几里得距离。σ (方差)承载了重建的不确定性。它通常是为了满足 KL 散度约束而存在的或者是为了覆盖那些难以重建的高频细节。优化器自然会把所有火力集中在修改μ上。PID 的损失函数专门有一项如果没有这一项优化器自然会偷懒只动μ。alt text将PID与现有防御措施集成我们继续探索利用PID改进当前防御措施的可能性。为了结合两种不同类型的防御即基于编码器的防御和针对训练损失函数的防御我们采用了一种联合优化方法该方法涉及对这两个防御目标进行加权组合这与Liang等人2023以及Liang和Wu2023的研究类似。具体而言给定一个包含潜在扩散模型LDMs训练损失的防御目标T以及一个旨在操纵潜在分布的防御目标L我们定义了一个权衡系数λ来平衡这两个目标。组合防御的表达式如下我们让。我们通过实证确定是默认设置下的最佳参数。实验实验设置prompt匹配与否控制场景保护阶段提示词与攻击阶段提示词一致真实场景提示词不匹配模拟攻击者故意使用不同提示词绕过防御的情况。文本编码器状态冻结文本编码器Freeze-TE微调时仅更新UNet参数不冻结文本编码器Unfrozen-TE微调时同时更新UNet和文本编码器参数。基础配置数据集CelebA-HQ默认、VGGFACE额外验证基础模型Stable Diffusion v1.5、Stable Diffusion v2.1扰动预算默认、更严格约束额外验证优化器-PGD₁₀₀₀评估指标FDS语义相似度、FID分布差异、IQS图像质量、BRISQUE无参考质量。算法对比实验baselineAdvDM基于对抗样本的防御FSGM快速梯度符号攻击防御ASPL双层优化生成不可学习样本。对比维度防御效果相同配置下4项指标的优劣计算成本GPU显存占用PID约5G对比算法约24G。融合现有防御实验融合方式加权联合优化核心参数权衡系数融合对象FSGM、ASPL两类典型提示词依赖防御。实验条件仅在场景下验证对比融合前后防御的鲁棒性提升。跨模型迁移性实验迁移场景保护阶段与攻击阶段使用不同版本Stable Diffusion模型迁移方向1源模型SD v2.1 → 目标模型SD v1.5迁移方向2源模型SD v1.5 → 目标模型SD v2.1。约束条件微调时冻结文本编码器仅关注模型差异对防御效果的影响。对抗自适应攻击实验自适应攻击类型针对PID操纵潜均值/方差的核心机制设计Zero σ将扰动图像的潜方差固定为0抵消方差扰动效果Clipped σ裁剪潜方差至正常范围削弱方差扰动Fixed σ将潜方差固定为正常量级规避方差干扰。实验配置基于SD v1.5模型分别在冻结/不冻结文本编码器条件下验证。抗数据损坏实验数据损坏类型模拟实际场景中图像可能遭遇的干扰随机缩放与裁剪Cropping均匀噪声平滑Smoothing图像去噪Denoising采用Gaussian denoiserJPEG压缩Compression。约束条件基于SD v1.5模型冻结文本编码器仅在场景下验证。额外适配实验不同微调算法使用LoRA低秩适配替代DreamBooth在CelebA-HQ数据集上验证PID效果不同数据集在VGGFACE数据集人脸跨姿态/年龄场景上重复核心实验验证数据集泛化性。Fit the Distribution: Cross-Image/Prompt Adversarial Attacks on Multimodal Large Language Models最近的研究已经证明MLLM容易受到对抗性示例的影响这些示例涉及向图像输入添加微妙但不可见的扰动。这些扰动可以引导MLLM产生有害响应从而带来关键的安全问题。大多数现有的攻击通常通过良性提示来优化对抗图像扰动以对抗MLLM的推理能力从而产生错误或越狱响应。但它们需要在训练中枚举可能的提示或图像并且要求测试提示/图像与训练时的完全一致。一旦处理未见过的测试样本它们的扰动就不可避免地会失效。动机若对抗扰动是针对真实世界的图像 - 提示输入分布优化的而非单个样本 / 固定数据集那么该扰动对来自该分布的未知图像 - 提示对仍能保持对抗有效性。利用拉普拉斯逼近将复杂的图像、提示真实分布建模为高斯分布适用于大样本量的 MLLM 输入符合中心极限定理结合蒙特卡洛采样从建模的高斯分布中抽取图像 - 提示对优化得到与输入无关的通用扰动实现跨图像 / 提示的迁移攻击。Method预备知识多模态大语言模型MLLMs:MLLM旨在根据包含图像v和文本提示t的多模态输入生成合理的文本答案y如所示。威胁模型:重点关注白盒场景攻击者的目标:攻击者试图利用一种常见的对抗性扰动δ该扰动受较小的范数约束限制以确保噪声修改在人类观察者眼中不可察觉同时满足对抗条件。攻击目标是量化由受扰动输入生成的答案中的误差其可表示为其中是交叉熵损失函数用于描述函数两个输入之间的差异和分别是真实答案和攻击者的目标答案。在本节中我们以具有挑战性的目标对抗攻击为例进行说明。概述alt text整体流程图像分布逼近我们首先利用拉普拉斯逼近将多样化的图像建模为高斯分布。为了估计分布参数我们通过对采样图像求平均来计算均值参数并通过应用海森矩阵来计算其协方差。提示词分布逼近同样地我们使用拉普拉斯逼近来将提示词的分布逼近为高斯分布。我们确定一个具有代表性的提示词例如最能描述给定图像或指定相关任务的提示词作为均值参数。从随机初始化的提示词开始我们利用海森矩阵计算高斯分布的方差。分布驱动的扰动优化为了获得与图像/提示词无关的扰动我们采用蒙特卡洛机制对前几步得到的图像和提示词分布进行采样然后对这些采样结果优化扰动以达到对抗效果。最终我们可以得到一个适用于符合该分布的已见和未见图像及提示词的通用扰动。如何表示多模态大语言模型输入的图像-提示分布具体而言与图像无关的提示和与图像相关的提示分别围绕着与特定任务语义先验和图像引导语义内容对齐的极值点。同时图像的像素强度也常常在均值周围表现出具有对称偏差的集中趋势特别是在归一化或变换之后。这一假设使得能够对图像和提示进行有效的概率建模从而得到高斯分布。因此对于提示分布大量不同的提示t趋近于高斯分布如下所示其中表示提示分布的均值参数N是样本数量表示协方差矩阵是t的概率密度函数。同样对于图像分布图像样本v收敛于高斯分布其均值参数为协方差矩阵为。在此参数、以及、都需要为分布近似进行计算。如何近似分布作者利用拉普拉斯近似通过估计众数mode和海森矩阵Hessian matrix来确定高斯分布的参数均值和协方差。基本原理在众数处对后验概率的对数进行二阶泰勒展开。由于一阶导数在极值点为 0分布主要由二阶导数海森矩阵决定。近似公式这意味着协方差矩阵近似为海森矩阵的逆。提示词分布近似 (Prompt Distribution)均值 ()定义为后验概率最大的提示词即众数。对于对称单峰分布均值等于众数。协方差 ()通过计算损失函数在处的海森矩阵的逆来获得反映了提示词空间的局部曲率。处理策略针对“与图像无关”和“与图像相关”的提示词分别建模然后合并为一个联合高斯分布。图像分布近似 (Image Distribution)原理同上将图像输入近似为。图像的均值通常取数据集中图像样本的平均值。参数计算方法为了在实际操作中计算上述参数作者提出了具体的算法提示词均值 () 的计算转化为优化问题寻找一个提示词使得 MLLM 的输出最接近包含图像主要信息的预期响应。优化目标。求解方法使用动量梯度下降法 (Momentum Gradient Descent) 进行迭代更新以避免陷入局部最优。提示词协方差 () 的计算为了简化高维空间中海森矩阵的计算作者采用了一种简化的估计方法基于初始提示词和优化后的之间的损失差值和距离这假设了在极值点附近损失曲面是各向同性的。图像均值 () 和协方差 () 的计算均值直接对一系列图像样本求平均。协方差使用样本协方差矩阵的缩放版本来估计其中是图像特征的标准协方差矩阵。alt textRequire (输入):images v, prompt t: 初始的图像和提示词样本。epoch numbers M, N: 外层循环次数 M 和内层循环次数 N。hyperparameters α, r, β, budget η: 超参数分别控制扰动更新步长、提示词更新步长、动量系数和扰动大小上限。loss function L(v,t) … D(v,t): 两个损失函数。L 用于优化提示词分布D 用于优化对抗扰动。Ensure (输出):Perturbation δ: 最终生成的、可以迁移的通用对抗扰动。Initialize t₀ t, v₀ v, m₀ 0;外层循环 (For i 0 to M - 1)这个循环的主要目的是在每一轮迭代中从图像和提示词分布中进行采样以获得多样化的训练样本从而优化出更通用的扰动 δ。图像分布建模与采样:Compute v̂, Hᵥ⁻¹, sample vᵢ ~ N(v̂, Hᵥ⁻¹);计算: 根据当前批次或数据集计算图像分布的均值 v̂ 和协方差 Hᵥ⁻¹ (基于样本协方差估计)。采样: 从得到的高斯分布中采样出一个新的图像样本。这使得算法不再局限于原始图像 v而是能探索其周围的“合理”图像空间。内层循环 (For j 0 to N - 1)这个循环的目的是为当前采样的图像找到一个最优的提示词并以此为中心建立提示词的分布。计算提示词梯度:Compute gradient gₜ ∇ₜL(vᵢ, tⱼ);计算损失函数 L 关于当前提示词的梯度。L 的目标是让模型对的输出接近某个期望的正确输出。动量更新:Compute momentum mⱼ₊₁ βmⱼ (1 - β)gₜ;更新提示词:Update tⱼ₊₁ tⱼ - r ⋅ mⱼ, and obtain tᵥ;使用学习率 r 和计算出的动量 m_j 来更新提示词。经过 N 次迭代后最终得到的提示词就是它被视为当前图像下最优提示词的众数mode即提示词分布的均值。估算提示词协方差:Compute Hₜ⁻¹ ||t₀ - tᵥ||₂² / (2 ⋅ (L(v,t₀) - L(v,tᵥ)));这是海森矩阵逆的简化计算方法。它通过比较初始提示词和优化后的最优提示词之间的距离和损失差值来估算损失曲面在处的曲率进而得到提示词分布的协方差。提示词分布采样:Sample tᵢ ~ N(tᵥᵢ, Hₜᵢ⁻¹);在内层循环结束后我们得到了一个以为均值、为协方差的提示词高斯分布。现在从这个分布中采样出一个新的提示词。这一步实现了提示词空间的多样化。计算对抗扰动的梯度:Compute gradient gδᵢ ∇δD(MLLM(vᵢ δᵢ, t), y_tar);这是攻击的核心。我们将当前采样的图像加上当前的对抗扰动并与采样的提示词一起输入给多模态大语言模型MLLM。计算损失函数 D 关于扰动的梯度。D 的目标是让模型的输出尽可能接近一个我们指定的错误目标。更新对抗扰动:Update δᵢ₊₁ᵃᵈᵛ clip_η(δᵢᵃᵛ - α sign gδᵢ);使用符号梯度下降法Sign Gradient Descent来更新扰动。sign(gδᵢ) 只取梯度的方向这通常比直接使用梯度值更有效。α 是更新步长。clipη(…) 是一个裁剪操作确保更新后的扰动的每个像素值的变化幅度不超过预设的预算 η例如在范围内以保证扰动的隐蔽性。总结在每一次迭代中算法都会采样一个新的图像。为该图像找到一个最优提示词并构建其分布。从该分布中采样一个新的提示词。利用这个多样化的样本对来计算梯度并更新通用扰动。Experiments模型与数据集目标模型选取了三种具有代表性的多模态大语言模型MLLMs涵盖不同架构和规模LLaVA-1.5-7BBLIP-2 OPT-2.7BMiniGPT-4数据集图像来源和 DALLE-3 和 MS-COCO用于迁移测试 数据集。提示词来源覆盖三类任务——视觉问答 (VQA)、图像分类 (Image Classification) 和 图像描述 (Image Captioning)。实验设置与参数攻击目标所有实验统一将目标回答设定为 “I am sorry.”超参数分布计算系数动量学习率。扰动优化迭代步数 300步扰动预算更新步长。跨样本评估场景为了测试泛化性设置了三种严格的交叉测试环境Cross-Prompt每张图像对应 30个 不同的随机提示词。Cross-Image每个提示词对应 50张 不同的随机图像。Cross-Image/Prompt同时随机采样 30张图像 和 30个提示词 进行组合测试。评估指标 (Evaluation Metrics)采用三个维度量化攻击效果数值越高表示攻击越成功EM-ASR (Exact Match ASR)精确匹配攻击成功率输出与目标文本完全一致。CM-ASR (Contain Match ASR)包含匹配攻击成功率输出包含目标文本。Semantic Similarity语义相似度使用 all-MiniLM-L6-v2 模型计算输出嵌入与目标文本的余弦相似度。主实验攻击性能对比这是最核心的实验旨在证明该方法优于现有的基线方法。对比对象与 PGD单样本攻击、CroPA跨提示词攻击、UniAtt通用攻击、Doubly-UAP 等基线方法进行对比。测试场景在三种严格的跨样本设置下进行评估Cross-Prompt固定图像测试扰动对30个不同随机提示词的欺骗能力。Cross-Image固定提示词测试扰动对50张不同随机图像的欺骗能力。Cross-Image/Prompt同时随机组合30张图像和30个提示词测试最极端情况下的通用性。评估指标使用 EM-ASR精确匹配成功率、CM-ASR包含匹配成功率和语义相似度来量化攻击效果。结论目标证明该方法在所有场景下的攻击成功率ASR均显著高于基线。跨模型迁移性实验验证生成的对抗扰动是否具有“黑盒”攻击能力即在一个模型上生成的扰动能否攻击其他未知的模型。设置在源模型如 LLaVA-1.5上生成扰动然后直接应用到目标模型如 BLIP-2, MiniGPT-4, InstructBLIP上进行测试。目的证明该方法学习到的分布特征具有普适性不仅仅过拟合了特定模型的参数。测试场景Cross-Prompt固定图像测试扰动对30个不同随机提示词的欺骗能力。Cross-Image固定提示词测试扰动对50张不同随机图像的欺骗能力。Cross-Image/Prompt同时随机组合30张图像和30个提示词测试最极端情况下的通用性。评估指标与主实验相同使用 EM-ASR、CM-ASR 和语义相似度来量化攻击效果。结论目标证明该方法在所有场景下的攻击成功率ASR均显著高于基线。消融实验分布建模的有效性对比“使用拉普拉斯近似建模分布”与“仅使用均值或固定方差”的效果。采样数量的影响分析外层循环图像采样数和内层循环提示词采样数的变化对攻击成功率和计算成本的影响寻找最佳平衡点。超参数敏感性测试动量系数、学习率、扰动步长等参数变化对最终效果的影响。效率与资源消耗分析时间成本记录生成一个通用扰动所需的总GPU时间并与基线方法对比。显存占用统计训练过程中的峰值显存使用量GB。鲁棒性防御测试防御手段输入随机化在输入模型前对图像进行随机缩放、填充或噪声添加。JPEG 压缩对图像进行有损压缩以破坏高频扰动信号。平滑处理使用高斯模糊等滤波操作。可视化与案例分析Prompt-Agnostic Adversarial Perturbation for Customized Diffusion Models维度 Fit the Distribution Prompt-Agnostic Adversarial Perturbation (PAP)角色定位 攻击者 (Attacker) 防御者 (Defender)核心目标 破坏模型功能。让多模态大语言模型MLLM在面对任意图像和提示词时输出特定的错误答案如 “I am sorry”导致模型失效或拒绝服务。 保护数据隐私/版权。防止扩散模型Diffusion Models利用用户的图像生成伪造内容如换脸或模仿艺术风格。任务类型 有目标攻击 (Targeted Attack)强制模型输出特定文本。 无目标/破坏性防御 (Untargeted/Disruptive Defense)让生成的图像质量下降、语义偏离或风格无法模仿。针对模型 多模态大语言模型 (MLLMs)(如 LLaVA, BLIP-2, MiniGPT-4)主要处理“图文文”的任务。 定制化文本生成图像模型 (Customized Diffusion Models)(如 DreamBooth, LoRA, Textual Inversion)主要处理“图文图”的任务。基于提示词的扩散模型的图像生成目标可写为其中特定提示扰动通常预先定义一个定制文本提示然后优化对抗性扰动δ以最大化在给定情况下的图像生成损失函数其可表示为其中是根据公式2计算的。通过将得到的添加到中扩散模型无法使用提示生成高质量图像。在提示分布建模方面我们将保护图像作为输入并假设攻击者提示c与、之间存在概率-距离相关性即c与的距离越远c在分布中的概率就越低反之亦然。由于依赖于的分布尚不明确因此我们在建模中引入了一个辅助文本提示其大致描述了。基于此基础我们在嵌入空间中对提示分布进行建模。目标可以表述为记、和。被定义为使和的联合概率最大化的文本特征。拉普拉斯建模推导出
