Inciter les éditeurs d’images à copier peut protéger les photos des retouches
Copying As Defense: Protecting Images from Editing By Eliciting Model Copying · arXiv:2610.35566
En termes simples
Un éditeur d’images peut utiliser une photo et une consigne écrite pour créer une nouvelle image. Des protections antérieures tentaient de réduire l’attention de l’éditeur pour la photo, mais il pouvait quand même suivre la consigne.
Cet article présente Copying-as-Defense, qui modifie légèrement la photo pour inciter l’éditeur à se concentrer davantage dessus et à la copier. Lors des tests menés avec deux éditeurs, les retouches ont été jugées réussies moins souvent en moyenne sur les images protégées que sur les images non protégées. Le résultat concerne les éditeurs et les images testés.
La recherche
Quand un éditeur reçoit une photo et une consigne, réduire son attention pour la photo peut tout de même lui permettre d’effectuer la modification demandée. Le pousser à s’appuyer davantage sur l’image de référence pourrait-il empêcher cette retouche ?
CaD perturbe chaque image de référence pour accroître l’attention que lui portent les premiers blocs, afin que les deux éditeurs à transformeur de diffusion testés réalisent moins souvent les retouches demandées.
Réduire l’attention d’un éditeur pour une photo de référence lui laisse-t-il la liberté de suivre la consigne de retouche ? Copying-as-Defense (CaD) teste l’approche inverse : perturber la photo pour que l’éditeur lui accorde davantage d’attention, en particulier au début du traitement.
Dans des tests menés avec deux éditeurs et deux collections d’images, Qwen3-VL a jugé en moyenne moins de retouches réussies avec CaD qu’avec des photos non protégées ou avec DeContext. L’évaluateur a vérifié si chaque résultat réalisait la modification demandée tout en préservant l’identité et les éléments sans rapport avec la consigne, et en évitant les défauts importants. Ces résultats étayent l’approche dans les conditions testées.
Les résultats portent sur deux éditeurs à transformeur de diffusion et sur les collections d’images testées. Les auteurs n’ont pas vérifié si la compression, le redimensionnement, le bruit ou une purification délibérée suppriment la protection de CaD.
Ce que montrent les preuves
- Une autre question de protection
Copying-as-Defense (CaD) est une méthode de protection fondée sur l’optimisation pour les photos utilisées comme références par des éditeurs à transformeur de diffusion guidés par une consigne. Les approches existantes tentent de réduire l’attention de l’éditeur pour l’image de référence.
Mais l’éditeur peut alors accorder davantage d’attention à la consigne écrite et à l’image qu’il construit ; réduire l’attention pour la référence peut donc lui laisser la capacité d’effectuer une retouche.
- Tester l’attention dans les deux sens
Les auteurs ont testé directement les deux directions possibles de l’attention dans FLUX.1 Kontext. Réduire l’attention pour l’image de référence permettait toujours de suivre la consigne ; la forcer vers cette image amenait de plus en plus les résultats à reproduire l’image naturelle ou une image noire.
Sur 10 images de BodyBench, PickScore, qui mesure l’adéquation à la retouche demandée, restait élevé sans intervention ou lorsque l’attention était réduite, puis baissait quand l’attention forcée s’étendait à davantage de blocs. Ce test diagnostique a motivé l’objectif de CaD.
- Inciter l’éditeur à copier
CaD ajoute une légère perturbation à chaque photo de référence pour accroître, dans les premiers blocs du transformeur, l’attention des Target queries envers les éléments de l’image de référence. Une Target query correspond à une partie de l’image en cours de création.
Comme la quantité totale d’attention de chaque ligne est fixe, accorder davantage d’attention à la référence en laisse moins pour la consigne et l’image en construction. L’objectif traite chaque unité séparément ; le limiter aux premiers blocs réduit le calcul nécessaire pour optimiser la protection.
- Comparer les retouches jugées réussies
L’évaluation principale a utilisé FLUX.1 Kontext-dev et FIBO Edit avec les portraits d’InpaintGuardBench et les photos synthétiques de corps en pied de BodyBench, associées à des consignes de retouche. Qwen3-VL-30B-A3B-Instruct a évalué si chaque résultat réalisait la retouche demandée tout en préservant l’identité et les éléments sans rapport avec la consigne, et en évitant les défauts importants.
Avec un budget de perturbation de 12/255, le taux moyen de réussite des retouches sur les éditeurs et collections évalués était de 24.0% avec CaD, contre 81.4% pour les photos non protégées et 43.0% avec DeContext.
- Un résultat marqué, dans un cadre limité
Un résultat précis illustre la portée de cette moyenne : sur BodyBench avec FLUX.1 Kontext, 5.1% des résultats issus d’images protégées par CaD ont été jugés réussis, contre 24.9% avec DeContext, 44.2% avec Diff-PGD et 81.6% pour les images non protégées.
Cette comparaison étaye l’intérêt de CaD dans ce contexte. L’évaluation complète ne couvre toutefois que deux éditeurs et deux collections d’images, et ne teste ni les transformations courantes des images ni le retrait délibéré de la protection.
Détails
- Auteurs de l’article original
- Salma Abdel Magid, Sanghyuk Chun, Eric Slyman, Kushal Kafle, Olga Russakovsky
- Soumis à arXiv
- Licence
- arXiv non-exclusive