Spingere gli editor di immagini a copiare può proteggere le foto dalle modifiche
Copying As Defense: Protecting Images from Editing By Eliciting Model Copying · arXiv:2610.35566
In parole semplici
Un editor di immagini può usare una fotografia e un’istruzione scritta per creare una nuova immagine. Le protezioni precedenti cercavano di far prestare meno attenzione alla fotografia, ma l’editor poteva comunque seguire l’istruzione.
Questo articolo presenta Copying-as-Defense, che modifica leggermente la fotografia per spingere l’editor a concentrarsi su di essa e a copiarla. Nei test con due editor, la quota media di modifiche giudicate riuscite è stata più bassa per le immagini protette che per quelle non protette. Il risultato riguarda gli editor e le immagini esaminati.
La ricerca
Quando a un editor vengono forniti una foto e un’istruzione, ridurre l’attenzione alla foto può comunque lasciargli la possibilità di apportare il cambiamento richiesto. Spingerlo a basarsi di più sull’immagine di riferimento potrebbe impedirgli di farlo?
CaD perturba ogni immagine di riferimento per aumentarne l’attenzione nei primi blocchi, riducendo la probabilità che i due editor basati su diffusion transformer esaminati completino le modifiche richieste.
Ridurre l’attenzione di un editor a una foto di riferimento gli lascia comunque la possibilità di seguire l’istruzione di modifica? Copying-as-Defense (CaD) prova l’approccio opposto: perturbare la foto affinché l’editor le presti più attenzione, soprattutto nelle prime fasi dell’elaborazione.
Nei test con due editor e due raccolte di immagini, Qwen3-VL ha giudicato riuscita una quota media inferiore di modifiche con CaD rispetto alle foto non protette o a DeContext. Il valutatore ha verificato se ogni output apportasse il cambiamento richiesto, preservando l’identità e i contenuti non pertinenti ed evitando artefatti gravi. Questi risultati supportano l’approccio negli scenari esaminati.
I risultati riguardano due editor basati su diffusion transformer e le raccolte di immagini esaminate. Gli autori non hanno verificato se compressione, ridimensionamento, rumore o rimozione intenzionale della protezione eliminino l’effetto di CaD.
Cosa mostrano le prove
- Una diversa idea di protezione
Copying-as-Defense (CaD) è un metodo di protezione basato sull’ottimizzazione, pensato per le foto usate come riferimento da editor basati su diffusion transformer che seguono istruzioni. Gli approcci esistenti cercano di ridurre l’attenzione dell’editor all’immagine di riferimento.
Così, però, l’editor può dedicare più attenzione all’istruzione scritta e all’output in costruzione: ridurre l’attenzione al riferimento potrebbe quindi lasciargli la possibilità di eseguire comunque la modifica.
- Verificare l’attenzione in entrambe le direzioni
Gli autori hanno verificato direttamente in FLUX.1 Kontext entrambe le direzioni dell’attenzione. Ridurre l’attenzione al riferimento lasciava possibile seguire l’istruzione; forzarla verso il riferimento portava gli output a riprodurre sempre più fedelmente l’immagine originale o una sua versione nera.
Su 10 immagini di BodyBench, PickScore, che misura quanto l’output corrisponda alla modifica richiesta, è rimasto alto senza interventi o con l’attenzione ridotta, ma è diminuito quando l’attenzione forzata si è estesa a più blocchi. Questa verifica diagnostica ha motivato l’obiettivo di CaD.
- Spingere l’editor a copiare
CaD aggiunge una piccola perturbazione a ciascuna foto di riferimento per aumentare l’attenzione delle target query ai token dell’immagine di riferimento nei primi blocchi del transformer. Una target query rappresenta una parte dell’output in costruzione.
Poiché ogni riga di attenzione ha un totale fisso, più attenzione al riferimento ne lascia meno per l’istruzione e l’output. L’obiettivo considera separatamente ogni query e, limitandosi ai primi blocchi, riduce il calcolo necessario per ottimizzare la protezione.
- Confrontare le modifiche giudicate riuscite
La valutazione principale ha usato FLUX.1 Kontext-dev e FIBO Edit con i ritratti di InpaintGuardBench e le foto sintetiche a figura intera di BodyBench, abbinate a istruzioni di modifica. Qwen3-VL-30B-A3B-Instruct ha giudicato se ogni output apportasse la modifica richiesta, preservando l’identità e i contenuti non pertinenti ed evitando artefatti gravi.
Con un budget di perturbazione di 12/255, la media dei successi delle modifiche nei contesti valutati è stata del 24.0% con CaD, contro l’81.4% per le foto non protette e il 43.0% per DeContext.
- Un risultato netto, con limiti
Un risultato specifico chiarisce la portata della media: su BodyBench con FLUX.1 Kontext, è stato giudicato riuscito il 5.1% degli output per le immagini protette con CaD, contro il 24.9% con DeContext, il 44.2% con Diff-PGD e l’81.6% con immagini non protette.
Questo confronto supporta CaD in quello scenario. La valutazione complessiva comprende però solo due editor e due raccolte di immagini, e non esamina le comuni trasformazioni delle immagini né la rimozione intenzionale della protezione.
Dettagli
- Autori del paper originale
- Salma Abdel Magid, Sanghyuk Chun, Eric Slyman, Kushal Kafle, Olga Russakovsky
- Inviato ad arXiv
- Licenza
- arXiv non-exclusive