[论文解读] On the Robustness of Latent Diffusion Models

Jianping Zhang, Zhuoer Xu+4 more|arXiv (Cornell University)|Jun 14, 2023

Adversarial Robustness in Machine Learning被引用 6

一句话总结

本文通過白盒與黑盒對抗攻擊，研究了潛在擴散模型（LDMs）的魯棒性，識別出去噪過程——特別是ResNet模塊——是最脆弱的組件。本文提出了兩套自動化數據集構建管道，適用於圖像變換與圖像修復LDM，發布了一個包含1,000個測試案例的基準數據集，並發現較新的模型（如SD-v2）比舊模型更易受攻擊，且跨版本的傳播攻擊能成功誘導模型產生錯誤輸出。

ABSTRACT

Latent diffusion models achieve state-of-the-art performance on a variety of generative tasks, such as image synthesis and image editing. However, the robustness of latent diffusion models is not well studied. Previous works only focus on the adversarial attacks against the encoder or the output image under white-box settings, regardless of the denoising process. Therefore, in this paper, we aim to analyze the robustness of latent diffusion models more thoroughly. We first study the influence of the components inside latent diffusion models on their white-box robustness. In addition to white-box scenarios, we evaluate the black-box robustness of latent diffusion models via transfer attacks, where we consider both prompt-transfer and model-transfer settings and possible defense mechanisms. However, all these explorations need a comprehensive benchmark dataset, which is missing in the literature. Therefore, to facilitate the research of the robustness of latent diffusion models, we propose two automatic dataset construction pipelines for two kinds of image editing models and release the whole dataset. Our code and dataset are available at \url{https://github.com/jpzhang1810/LDM-Robustness}.

研究动机与目标

• 系統性地評估潛在擴散模型（LDMs）的魯棒性，超越以往僅關注編碼器或輸出攻擊的研究。
• 探討白盒與黑盒魯棒性，包括提示傳播與模型傳播攻擊場景，以反映現實世界中的威脅模型。
• 針對LDM魯棒性缺乏公開、高品質基準的現狀，提出兩種圖像編輯LDM類別的自動化數據集構建管道。
• 評估幾何變換、壓縮與噪音等防禦機制在減輕對抗影響方面的有效性。
• 提供開源代碼與數據集，以加速未來對LDM魯棒性的研究。

提出的方法

• 提出兩套自動化數據集構建管道：一套適用於圖像變換模型（圖像+提示對），另一套適用於圖像修復模型（圖像+提示+遮罩三元組），每套生成500個測試案例。
• 在LDM的核心組件上應用白盒對抗攻擊——特別是編碼器、U-Net（去噪網絡）與解碼器——以衡量其脆弱性。
• 在兩種情境下進行基於傳播的黑盒攻擊：提示傳播（使用相同提示攻擊不同模型）與模型傳播（使用相同對抗樣本攻擊不同模型）。
• 評估包括隨機縮放與填充（R&P）、JPEG壓縮與高斯噪音在內的防禦機制，以測試對抗樣本的魯棒性。
• 使用CLIP分數、PSNR、SSIM、MSSSIM、FID與IS作為指標，定量評估攻擊成功率與防禦有效性。
• 在 https://github.com/jpzhang1810/LDM-Robustness 上發布代碼與數據集，以確保可重現性與未來基準測試。

实验结果

研究问题

• RQ1 潛在擴散模型架構中的哪些組件最易受對抗攻擊？
• RQ2 在白盒與黑盒攻擊情境下，圖像變換模型與圖像修復模型的魯棒性有何差異？
• RQ3 對抗樣本在不同LDM之間的傳播程度如何，特別是Stable Diffusion各版本之間？
• RQ4 常見防禦機制（如R&P、JPEG壓縮與高斯噪音）在減輕LDM對抗攻擊方面的有效性如何？
• RQ5 模型演變（如SD-v1至SD-v2）對對抗魯棒性與繼承性脆弱性的影響為何？

主要发现

• 在白盒攻擊下，去噪過程——特別是基於ResNet的U-Net模塊——是潛在擴散模型中最脆弱的組件。
• 與標準Stable Diffusion模型相比，Instruct-pix2pix在白盒攻擊下表現出更高的魯棒性，體現在攻擊下CLIP分數更高。
• 在SD-v1模型（如SD-v1-4、SD-v1-5）上構建的對抗樣本能有效傳播至SD-v2-1，但反向傳播效果有限，表明SD-v2-1更易受攻擊。
• 傳播攻擊表現顯示，SD-v1模型中的缺陷會傳播至SD-v2，且SD-v2模型比其SD-v1前身更易受對抗擾動影響。
• 幾何變換（隨機縮放與填充）顯著提升對抗樣本的魯棒性，使U-Net模塊的CLIP分數提高3.95，儘管功能仍受損。
• 即使應用了JPEG壓縮與高斯噪音等防禦措施，對抗樣本仍會誘導模型產生錯誤的圖像編輯結果，表明在現實條件下防禦能力有限。