[논문 리뷰] CPR: Retrieval Augmented Generation for Copyright Protection

Aditya Golatkar, Alessandro Achille외 4명|arXiv (Cornell University)|2024. 03. 27.

Digital Rights Management and Security인용 수 4

한 줄 요약

이 논문은 복사 보호 생성과 검색을 결합한 새로운 Retrieval-Augmented Generation 방법인 CPR(Copy-Protected Generation with Retrieval)을 제안한다. 이 방법은 추론 시 학습 가능한 혼합을 통해 공개 및 비공개 확산 스코어 함수를 융합함으로써, 강력한 저작권 보호를 보장하면서도 비공개 데이터 검색이 가능하게 한다. 단일 역전파 단계만으로 Near Access Freeness(NAF)를 달성하여 텍스트-이미지 정렬도 향상(81.4 → 83.17)시키고, 검색된 이미지의 기억화를 방지한다.

ABSTRACT

Retrieval Augmented Generation (RAG) is emerging as a flexible and robust technique to adapt models to private users data without training, to handle credit attribution, and to allow efficient machine unlearning at scale. However, RAG techniques for image generation may lead to parts of the retrieved samples being copied in the model's output. To reduce risks of leaking private information contained in the retrieved set, we introduce Copy-Protected generation with Retrieval (CPR), a new method for RAG with strong copyright protection guarantees in a mixed-private setting for diffusion models.CPR allows to condition the output of diffusion models on a set of retrieved images, while also guaranteeing that unique identifiable information about those example is not exposed in the generated outputs. In particular, it does so by sampling from a mixture of public (safe) distribution and private (user) distribution by merging their diffusion scores at inference. We prove that CPR satisfies Near Access Freeness (NAF) which bounds the amount of information an attacker may be able to extract from the generated images. We provide two algorithms for copyright protection, CPR-KL and CPR-Choose. Unlike previously proposed rejection-sampling-based NAF methods, our methods enable efficient copyright-protected sampling with a single run of backward diffusion. We show that our method can be applied to any pre-trained conditional diffusion model, such as Stable Diffusion or unCLIP. In particular, we empirically show that applying CPR on top of unCLIP improves quality and text-to-image alignment of the generated results (81.4 to 83.17 on TIFA benchmark), while enabling credit attribution, copy-right protection, and deterministic, constant time, unlearning.

연구 동기 및 목표

• 검색 기반 생성(RAG)에서 확산 모델을 사용할 경우, 생성된 출력이 검색된 이미지의 고유한 특징을 복제할 수 있는 비공개 데이터 泄露 위험을 해결하기 위해.
• Near Access Freeness(NAF) 개인정보 이론을 기반으로, 혼합된 비공개 환경에서 강력하고 조정 가능한 저작권 보호 보장을 제공하기 위해.
• 재학습 없이도 효율적이고 결정론적이며 일정 시간 내에 비공개 데이터를 삭제할 수 있도록 하기 위해.
• 단일 역전파 단계만을 사용하여도 개인정보를 유지하면서 텍스트-이미지 정렬과 생성 품질을 향상시키기 위해.

제안 방법

• CPR는 추론 시기 동안 사전 훈련된 공개 모델의 확산 스코어와 비공개 검색 세트의 확산 스코어를 학습 가능한 혼합으로 융합한다.
• 식 (8)에 정의된 바와 같이 공개 및 비공개 스코어의 가중 조합을 사용하여, 프롬프트의 개념은 유지하면서도 검색된 이미지의 고유한 특징을 복제하지 않는 샘플을 생성한다.
• CPR-KL과 CPR-Choose라는 두 가지 알고리즘을 도입하였으며, 이들은 모두 구성상 NAF를 만족하도록 설계되어, 비용이 많이 드는 기각 샘플링을 피한다.
• 이 방법은 검색된 각 샘플에 대해 최대 $k$-비트의 고유 정보만이 생성 출력에 포함되도록 보장하며, 이 $k$ 값은 사용자가 조정할 수 있다.
• 이 접근법은 Stable Diffusion나 unCLIP과 같은 기존의 사전 훈련된 조건부 확산 모델과 호환되며, 미세조정 없이 작동한다.
• 비공개 데이터를 검색 저장소에서 제거하기만 하면 결정론적이고 일정 시간 내에 인지 삭제가 가능하다.

Figure 1 : RAG vs CPR image generation. Images generated using the given prompt for a fixed random seed using different methods. Safe Model : Pre-trained model with no access to the retrievable data store, Retrieval-Score : Image generated using Eq. 7 , Retrieval-Mix-Score : Image generated using Eq

실험 결과

연구 질문

• RQ1 RAG 기반 이미지 생성이 증명 가능하게 비공개로 만들 수 있는가? 즉, 검색된 비공개 이미지의 고유한 정보가 출력에 泄露되지 않도록 보장할 수 있는가?
• RQ2 기각 샘플링 없이도 효율적으로 저작권 보호를 달성할 수 있는가? 이를 통해 단일 단계 추론이 가능할 수 있는가?
• RQ3 비공개 데이터를 사용하여 생성 품질과 텍스트-이미지 정렬을 향상시킬 수 있는가? 동시에 인지 삭제와 저작권 기여도 보장이 가능할 수 있는가?
• RQ4 기존의 NAF 기반 접근법과 비교해 볼 때, 본 방법은 개인정보-유용성 트레이드오프와 계산 비용 측면에서 어떻게 다른가?

주요 결과

• CPR는 unCLIP 모델에 적용했을 때 TIFA 벤치마크에서 텍스트-이미지 정렬을 81.4에서 83.17로 향상시켜, 개인정보를 유지하면서도 생성 품질 향상을 입증한다.
• 사용자가 조정할 수 있는 파rameter $k$에 의해 제어되는 양의 정보 유출이 제한되므로, Near Access Freeness(NAF)를 통해 강력한 개인정보 보호 보장을 달성한다.
• CP-Δ 및 CP-K와 같은 이전의 기각 샘플링 기반 NAF 방법보다도 속도와 효율성 면에서 뛰어나며, 동일한 개인정보 보호 수준에서 추론 시간을 5~10배 감소시킨다.
• CLIP 점수 분석 결과, CPR가 생성한 이미지는 검색된 이미지와는 유사도가 낮지만, 입력 프롬프트와의 정렬도는 더 높아져 기억화가 감소했음을 확인한다.
• 비공개 데이터를 검색 저장소에서 제거하기만 하면 결정론적이고 일정 시간 내에 인지 삭제가 가능하며, 모델 재학습이 필요 없다.
• 이 방법은 Stable Diffusion나 unCLIP과 같은 기존의 사전 훈련된 모델과 호환되며, 아키텍처 변경이나 미세조정이 필요 없다.

Figure 2 : (A) We plot the histogram of $\Delta_{\text{max}}=\log\dfrac{p(x|c)}{\operatorname{safe}(x|c)}$ as we vary the contribution of the retrieval-score ( $\hat{w_{1}}$ in Eq. 8 ). We use $\hat{w_{1}}$ as a user tunable parameter which controls the amount of bits the generated images are differ