Hacer que los editores de imágenes copien puede proteger las fotos de las ediciones
Copying As Defense: Protecting Images from Editing By Eliciting Model Copying · arXiv:2610.35566
En palabras sencillas
Un editor de imágenes puede usar una foto y una instrucción escrita para crear una imagen nueva. Las protecciones anteriores intentaban que el editor prestara menos atención a la foto, pero aun así podía seguir la instrucción. Este artículo presenta Copying-as-Defense, que modifica ligeramente una foto para que el editor se centre más en ella y la copie.
En pruebas con dos editores, se juzgó que las imágenes protegidas daban lugar a menos ediciones exitosas, en promedio, que las imágenes sin protección. El resultado se limita a los editores y las imágenes evaluados.
La investigación
Cuando se da una foto y una instrucción a un editor, reducir su atención a la foto quizá todavía le permita realizar el cambio solicitado. ¿Podría impedirse la edición haciendo que dependa más de la foto de referencia?
CaD perturba cada imagen de referencia para aumentar la atención temprana hacia ella y reducir la probabilidad de que dos editores de difusión-transformador evaluados completen las ediciones solicitadas.
¿Reducir la atención de un editor a una foto de referencia todavía le permite seguir la instrucción de edición? Copying-as-Defense (CaD) prueba el enfoque opuesto: perturbar la foto para que el editor le preste más atención, sobre todo al principio del procesamiento.
En pruebas con dos editores y dos colecciones de imágenes, Qwen3-VL juzgó exitosas, en promedio, menos ediciones con CaD que con fotos sin protección o con DeContext. El evaluador comprobó si cada resultado realizaba el cambio solicitado, conservaba la identidad y el contenido no relacionado y evitaba artefactos importantes. Esto respalda el enfoque en esos entornos evaluados.
Los resultados abarcan dos editores de difusión-transformador y las colecciones de imágenes evaluadas. Los autores no probaron si la compresión, el cambio de tamaño, el ruido o una purificación deliberada eliminan la protección de CaD.
Qué muestran las pruebas
- Una pregunta distinta sobre la protección
Copying-as-Defense (CaD) es un método de protección basado en optimización para fotos que los editores de difusión-transformador guiados por instrucciones usan como referencia.
Los métodos existentes intentan reducir la atención del editor a la referencia. Pero entonces el editor puede dedicar más atención a la instrucción escrita y al resultado que está formando, de modo que reducir la atención a la referencia podría dejarle capacidad para realizar una edición.
- Probar la atención en ambas direcciones
Los autores probaron directamente en FLUX.1 Kontext qué ocurre al dirigir la atención en ambas direcciones. Reducir la atención a la referencia todavía permitió realizar ediciones siguiendo instrucciones; forzar la atención hacia ella hizo que los resultados reprodujeran cada vez más una referencia natural o negra.
En 10 imágenes de BodyBench, PickScore, que mide la correspondencia con la edición solicitada, se mantuvo alto sin intervención o al reducir la atención, y disminuyó a medida que la atención forzada abarcaba más bloques. Este diagnóstico motivó el objetivo de CaD.
- Inducir al editor a copiar
CaD añade una pequeña perturbación a cada foto de referencia para aumentar la atención de las consultas objetivo a los tokens de la imagen de referencia en los primeros bloques del transformador. Una consulta objetivo representa una parte del resultado que se está formando.
Como cada fila de atención tiene un total fijo, más atención a la referencia deja menos para la instrucción y el resultado. El objetivo trata cada consulta por separado y, al limitarlo a los primeros bloques, reduce el cálculo necesario para optimizar la protección.
- Comparar el éxito de edición juzgado
La evaluación principal usó FLUX.1 Kontext-dev y FIBO Edit con los retratos de InpaintGuardBench y las fotos sintéticas de cuerpo entero de BodyBench, acompañadas por instrucciones de edición. Qwen3-VL-30B-A3B-Instruct juzgó si cada resultado realizaba la edición solicitada, conservaba la identidad y el contenido no relacionado y evitaba artefactos importantes.
Con un límite de perturbación de 12/255, el éxito medio de edición entre los editores y las colecciones evaluados fue del 24.0% con CaD, frente al 81.4% con fotos sin protección y el 43.0% con DeContext.
- Un resultado sólido con límites
Un resultado específico muestra el alcance que hay detrás del promedio: en BodyBench con FLUX.1 Kontext, se juzgó exitoso el 5.1% de los resultados de imágenes protegidas con CaD, frente al 24.9% de DeContext, el 44.2% de Diff-PGD y el 81.6% de las imágenes sin protección. Esta comparación respalda CaD en ese entorno; la evaluación completa abarca solo dos editores y dos colecciones de imágenes, y no prueba cambios habituales en las imágenes ni la eliminación deliberada de la protección.
Detalles
- Autores del paper original
- Salma Abdel Magid, Sanghyuk Chun, Eric Slyman, Kushal Kafle, Olga Russakovsky
- Enviado a arXiv
- Licencia
- arXiv non-exclusive