テキスト画像モデルの概念忘却に、攻撃テストだけでなく認証が必要な理由

導入

テキスト画像（T2I）拡散モデルから特定の概念を「忘れさせる」技術は、モデル安全性や著作権対応における重要な研究テーマになっている。対象となるのは、NSFWコンテンツ、特定の芸術スタイル、ある著名人の肖像やアイデンティティなどだ。一般的な評価では、自動化された敵対的プロンプト探索を使い、対象概念を再び生成できた割合を攻撃成功率として測定する。

しかし、この指標が調べるのは有限個のプロンプトだけである。論文「Certifying Concept Unlearning in Text-to-Image Diffusion Models」は、未探索の言い換えや間接的な表現、複数の意味の組み合わせによって、忘れたはずの概念が引き出される可能性を指摘する。つまり、観測された成功率が低くても、より広いプロンプト空間での漏洩が小さいとは限らない。

主なポイント

• 経験的スコアから認証可能な上限へ。 提案フレームワークは、指定された信頼度と誤差の条件の下で、残存する概念漏洩確率の明示的な上限を導く。
• 統計と最悪ケース分析を統合。 統計的認証に加えて、埋め込み空間における概念関連方向での最悪ケース分析を行い、サンプル外の関連プロンプト変化を考慮する。
• 三つの概念カテゴリーを評価。 NSFWコンテンツ、芸術スタイル、著名人のアイデンティティを対象に、6種類の先端的な概念忘却手法を比較した。
• 従来評価は楽観的になり得る。 認証された漏洩上限は、標準的な攻撃成功率を一貫して16.2%上回った。

意義と影響

この研究の中心的な貢献は、新しい忘却訓練アルゴリズムではなく、「本当に忘れた」と判断するための評価基準を見直した点にある。攻撃成功率は、手法の初期比較や高速なスクリーニングには有用だが、広大なプロンプト空間に漏洩が存在しないことを単独で示す指標ではない。

認証は、テスト集合で攻撃が成功しなかったという事実を、設定された仮定の下で残存リスクを定量化する分析へと置き換える。開発者にとっては、導入前の安全性判断に追加の材料となり、プラットフォームや監査担当者にとっては、単一のベンチマークスコアを超えた評価を可能にする。

もっとも、認証結果は統計的設定、概念の表現方法、分析対象となる埋め込み方向に依存するため、あらゆる入力に対する絶対的な証明ではない。それでも、曖昧だった残存漏洩を監査可能な上限として扱う道を示した点で意義は大きい。今後、概念忘却がより敏感な生成用途に広がるほど、認証は敵対的プロンプトテストを補う必須の評価手段になる可能性がある。

出典：arXiv