[Paper] 现成的 Image-to-Image 模型是击败图像保护方案的全部所需

Source: arXiv - 2602.22197v1

Overview

近期生成式 AI 的进展使得可以重新利用现成的图像到图像模型（例如 Stable Diffusion、DALL‑E 2）作为通用的“去噪器”，去除照片中添加的保护性扰动。论文表明，这些随手可得的工具能够击败各种图像保护方案——往往比专门为每种防御设计的攻击更为有效。

关键贡献

• 通用攻击：展示单个基于提示的图像到图像模型即可中和所有已检验的保护机制，消除对定制攻击的需求。
• 广泛的实证覆盖：评估了跨 6 种不同保护方案的 8 个案例研究（例如水印、用于阻止风格迁移的对抗扰动、深度伪造缓解）。
• 性能优势：通用攻击的成功率与专用攻击相当或更高，同时保持下游滥用所需的视觉质量。
• 开源工具包：发布可复现的代码库，自动化基于提示的去噪流水线，鼓励进一步研究和负责任的披露。
• 安全警示：提供了一个具体基准，未来的图像保护方法必须满足——防御现成的生成模型。

方法论

1. 模型选择 – 作者选择流行的、公开可用的图像到图像扩散模型（例如 Stable Diffusion 的 img2img）。不进行微调。
2. 提示工程 – 向模型提供一个简单的文本提示，例如“去除噪声并恢复原始照片”，并一起输入受保护的图像。
3. 迭代细化 – 将受保护的图像通过模型一次（或多次）以生成清理后的输出。
4. 评估流程 – 对每种保护方案，作者测量：
   • 攻击成功率：去噪后下游恶意任务（风格迁移、深度伪造生成等）是否仍能工作。
   • 图像效用：感知质量指标（PSNR、SSIM）以及人工视觉检查。
5. 基线比较 – 将结果与针对每种保护方法专门构建的已知最佳攻击进行比较。

该方法刻意保持轻量：它利用模型已学习的能力，在仅有自然语言提示的引导下“想象”出噪声输入的干净版本。

结果与发现

• 通用攻击在 8 个案例中有 6 个 优于 专用方法。
• 去噪后图像质量仍然很高（平均 SSIM > 0.90），这意味着清理后的图像仍然对攻击者的后续目标有用。
• 该攻击在 不需要任何保护算法的知识 的情况下即可实施，展示了系统性漏洞。

Practical Implications

• 图像分享平台的开发者（例如社交网络、图库网站）不能再依赖“不可感知”的扰动作为防止内容抓取或未授权风格迁移的可靠保障。
• 安全团队必须将现成的生成模型视为威胁向量；仅仅修补某个特定攻击方式并不足够。
• AI 产品构建者应考虑将对抗训练纳入威胁模型，显式包括生成模型去噪，或转向能够在基于扩散的恢复过程中仍然存活的密码学水印技术。
• 合规与法律：声称“受保护图像”的公司可能需要重新评估风险，因为这些保护可以通过公开可用的工具被剥除。
• 研究社区：本文确立了一个新基准——任何未来的保护方法都应在使用未修改的扩散模型并配以通用提示的基线上进行评估。

限制与未来工作

• 攻击的成功取决于高质量扩散模型的可用性；在资源受限的环境中可能效果下降。
• 提示工程保持简洁；更复杂的提示可能进一步提升性能，但也会增加攻击的复杂度。
• 本研究聚焦于不可察觉的扰动；未评估嵌入可见水印或加密签名的防御措施。
• 建议的未来工作包括：开发可证明稳健的保护方案，探索专门针对基于扩散的去噪的防御，以及将分析扩展到视频和3‑D资产。

作者

• Xavier Pleimling
• Sifat Muhammad Abdullah
• Gunjan Balde
• Peng Gao
• Mainack Mondal
• Murtuza Jadliwala
• Bimal Viswanath

论文信息

• arXiv ID: 2602.22197v1
• 分类: cs.CV, cs.AI
• 发表时间: 2026年2月25日
• PDF: 下载 PDF