定向漂移：一种利用语义漂移针对稳定扩散模型进行高效且隐蔽的偏差注入方法

《Neurocomputing》：Directed drift: An efficient and stealthy bias injection method using semantic drift against stable diffusion model

　　牛卓伟|孙勤东|丁明凯|宋明月|沈超|王胜|黄学文中国西安交通大学网络科学与工程学院，西安，710049摘要语义漂移指的是在模型微调过程中其已建立的语义表示逐渐被侵蚀的现象。这种效应被视为有害的，需要加以缓解。然而，本文揭示了语义漂移在注入偏见方面的潜力，并提出了一种高效且隐蔽的偏见注入方法——定向漂移。与传统的利用触发器来诱导特定输出的后门攻击不同，定向漂移是通过微妙地改变现有概念的语义来注入偏见。具体而言，定向漂移通过在小规模数据集上训练模型来控制漂移的方向，并引入先验保留机制来控制漂移的程度。该方法旨在让粗粒度类别概念向受青睐的子类产生适度的语义漂移。这样一来，当出现粗粒度类别概念时，注入偏见的模型会生成受青睐的类别对象；而当存在特定修饰符时，模型则会生成该修饰符所暗示的不受青睐的子类对象，从而保持隐蔽性。定向漂移既适用于文本到图像任务，也适用于图像修复任务，从而拓展了其应用场景。此外，我们还引入了一个新的指标——不受青睐子类效用，用于评估注入偏见的模型所保留生成的多样性。这一指标反映了以往研究中往往被忽视的攻击隐蔽性方面。大量实验表明，与基准方法相比，定向漂移取得了优异的性能，尤其是在DSU指标上有了显著提升。而且，定向漂移在各种偏见注入任务中都能保持高度稳定且持续较高的攻击成功率。引言在文本到图像生成领域，扩散模型已经取得了显著的成功，代表性的模型包括DALL?E [1]、Imagen [2]以及Stable Diffusion [3]、[4]、[5]。随着用户在文本到图像平台上的活跃度不断增加，这些模型在创意任务中的作用愈发重要。由于训练如此大规模的模型需要大量的数据[6]和计算资源，因此针对文本到图像扩散模型的后门攻击通常被认为不切实际。这种认知使得大多数用户认为生成模型本质上是可靠的，从而忽视了在使用公共API或本地部署模型时可能存在的安全风险。然而，最近的研究表明，文本到图像扩散模型仍然容易受到后门攻击。BadT2I [7]实现了三种针对文本到图像扩散模型的后门攻击方式。EvilEdit [8]则利用模型编辑技术，提出了一种无需训练的后门攻击方法。CBACT2I [9]则是通过将后门分别嵌入文本编码器和条件扩散模型中来实现后门注入。不过，目前关于后门攻击的研究[7]、[9]、[10]存在两个主要局限。首先，缺乏隐蔽性。许多现有的攻击方法试图在两个完全无关的概念之间建立强烈的关联，或者使用显眼的触发器来强制引导模型生成特定输出。其中一些方法甚至削弱了模型生成某一概念多种变体的能力。这样的后门在现实场景中难以应用，而且很容易被用户察觉。其次，缺乏实用性。许多方法为了达到预期效果，需要大量的计算资源和大型数据集。这些因素增加了攻击成本，降低了其实际应用性。语义漂移是在微调过程中可能出现的一种有害现象。在生成模型中，语义漂移表现为多样性的逐渐丧失，模型越来越倾向于只生成某一概念的单一主导实例。这一现象最初由DreamBooth [11]发现，随后在许多研究[12]、[13]、[14]、[15]中得到了探讨。与这些先前的研究不同，我们证明了语义漂移在注入偏见方面具有巨大潜力。基于这一发现，我们提出了一种高效且隐蔽的偏见注入方法——定向漂移。具体而言，通过让粗粒度类别概念向受青睐的子类产生适度且有方向的漂移，当调用该粗粒度类别概念时，就可以引导模型生成更多来自受青睐子类的实例。在本文中，偏见注入被作为一个广泛的安全概念，涵盖了语义偏好操控和社会敏感型偏见注入两种情况。语义偏好操控指的是在非敏感领域，如品牌或产品方面，引导生成结果偏向受青睐的子类。社会敏感型偏见注入则是指被操控的子类与性别或肤色等人种或受保护属性相关联的情况。尽管这些场景在社会影响上有所不同，但它们在技术实现上却是相同的。漂移的方向性使得可以精确控制偏见偏向哪个子类，因此更适用于广告创作和偏见传播等现实场景。而适度性则指的是对漂移程度的控制，它确保了当子类的修饰符用于描述粗粒度类别概念时，模型仍能生成其他子类的实例。在后门攻击研究中，这种对概念多样性的保留往往被忽视，但它提升了攻击的隐蔽性，降低了被最终用户发现的概率。这两个特性有助于克服第一个局限性。至于第二个局限性，定向漂移仅需八对图像-文本对，即可在单台RTX 4090 GPU上大约十分钟内完成模型微调，并实现有效的偏见注入。此外，它还适用于图像修复任务，进一步拓展了其应用范围。图1展示了文本到图像任务中预期攻击目标的一个示例。为了实现定向漂移，我们在少量来自受青睐子类的文本-图像对上对模型进行微调，以此控制漂移方向，同时引入先验保留损失函数来保持粗粒度类别概念的原始语义，进而控制漂移的程度。文本到图像任务和图像修复任务的偏见注入都采用相同的流程，唯一的不同在于图像修复任务采用了半随机掩码策略，从而使模型能够更高效地学习带有偏见的重建结果。我们进行了大量实验，证明相对于基准方法，定向漂移在攻击效果和隐蔽性方面都具有优势。此外，我们还提出了一种新的指标——不受青睐子类效用，用于定量评估带有偏见的概念在语义上的保留程度，从而为衡量攻击隐蔽性提供补充视角，提升威胁模型评估的全面性。我们还对相关超参数进行了消融实验，并在多种偏见攻击场景中对该方法进行了测试，同时还通过可视化方式展示了定向漂移的过程。我们的贡献总结如下：•我们指出了现有针对稳定扩散模型后门攻击的局限性，并认为语义漂移在注入偏见方面具有巨大潜力。基于这一见解，我们提出了一种高效的偏见注入方法——定向漂移。定向漂移不仅在文本到图像生成任务中表现出色，在图像修复任务中也同样有效，极大地提升了其实用价值。•与那些要么破坏类别语义要么降低多样性的传统后门攻击不同，定向漂移能够精确控制语义漂移，从而保留粗粒度类别的语义和生成多样性，实现了此前未被重视的隐蔽性特性。我们还提出了DSU这一新指标，专门用于衡量这一特性，填补了当前研究中的空白，为未来的研究提供了更具实际意义的评估标准。•通过与良性模型以及基准攻击方法的广泛对比，我们验证了定向漂移的有效性和隐蔽性。此外，我们还进行了消融实验，进一步了解其性能和能力，并通过可视化手段对语义漂移进行了定性分析。章节节选扩散模型扩散模型作为一种用于生成任务的有前景的方法已经崭露头角[16]。这类模型通过迭代添加噪声并去除噪声的方式来学习数据分布，从而能够生成多样且高质量的图像。最初，扩散模型被应用于无条件图像合成[17]、[18]、[19]。为了实现可控的图像生成，人们引入了分类器引导机制[20]。CLIP [21]的出现为多模态对齐提供了有效手段，后续的研究则进一步发展了这一技术。攻击场景用户通常通过在线API访问或按照公开教程部署本地实例来使用文本到图像扩散模型。由于大多数用户缺乏必要的硬件资源和技术专长，他们一般无法从头开始训练模型或进行大规模微调。在偏见注入场景中，我们假设攻击者会将偏见注入到预训练的模型中。之后，该模型可能会以API的形式分发，或者通过开源平台传播[43]。动机在偏见注入场景中，目标模型可能不具备受青睐子类的视觉先验。如果模型缺少相关的先验，可以通过个性化方法[11]、[46]、[47]对其进行简要补充。与传统的标识符绑定方法（例如在“一个[标识符][类别]”上进行DreamBooth微调）不同，定向漂移要求在粗粒度类别概念本身发生语义漂移，从而避免引入不自然的触发器或可疑元素。受害模型与数据集为了评估定向漂移的通用性，我们选择了Stable Diffusion-v1-5、Stable Diffusion-2-1-base和Stable Diffusion-3-medium作为受害模型。Stable Diffusion-v1-5和Stable Diffusion-2-1-base是典型的潜在扩散模型，采用U-Net去噪器和交叉注意力机制，而Stable Diffusion-3-medium则采用了更为先进的基于MMDiT的Transformer架构。模型的稳定性是通过COCO 2017数据集中的标题来衡量的。更广泛的影响与伦理声明本研究将偏见注入视为一种安全漏洞，而非用于实际部署的工具。文中展示的与性别和肤色相关的案例旨在说明，微妙的偏好操控不仅可能出现在商业品牌领域，还可能加剧有害的社会刻板印象。我们并不提倡在现实系统中使用此类攻击方法。相反，我们的研究结果强调了在公开发布之前对微调后的扩散模型进行审计的必要性。我们提出的DSU指标或许可以为这一工作提供参考。结论在本文中，我们介绍了一种高效且有效的偏见注入方法——定向漂移。定向漂移利用语义漂移，将粗粒度类别概念的语义向受青睐的子类倾斜，从而实现精细化的偏见注入。虽然在攻击成功率方面表现优异，但定向漂移依然保留了粗粒度类别概念的核心语义，确保在上下文合适的情况下仍能生成不受青睐的子类实例。CRediT作者贡献说明牛卓伟：写作——审稿与编辑，写作——初稿撰写，可视化，验证，项目管理，研究调查，形式分析，数据整理，概念构建。孙勤东：写作——审稿与编辑，指导监督，资源协调，项目管理，资金筹集。丁明凯：写作——审稿与编辑，项目管理，研究调查。宋明月：写作——审稿与编辑，可视化，研究调查，数据整理。沈超：指导监督，资源协调。利益冲突声明作者声明自己没有已知的、可能影响本文所述工作的财务利益或个人关系。致谢本研究得到了中国国家自然科学基金（编号：62272378）的支持。牛卓伟在美国纽约大学获得学士学位，目前是西安交通大学网络科学与工程学院的博士生。他的研究兴趣包括人工智能安全、后门攻击与防御。