TC-UAP：针对图像转视频与微调定制的通用视频保护方法

如何让已发布视频在微调式与参考式定制下都难以复现身份，且扰动经得起视频VAE的时间压缩、剪辑和时间攻击。

• 场景：作者认为公开片段可被整段用于微调视频扩散模型，或抽出单帧作为image-to-video参考，从而生成误导或有害内容，涉及隐私、身份归属和知识产权。
• 现有不足：作者称既有反定制主要保护图像；即便用于I2V，被保护的仍是参考图。逐帧优化的图像扰动过不了3D视频VAE的时间压缩。
• 三个挑战：作者归纳为时间压缩、时间过拟合、时间不一致。单视频扰动易被剪辑削弱，也不能直接迁到未见视频；帧间不相关的扰动可被时间平均、插值等在像素空间削弱。
• 做法：作者提出TC-UAP，并称这是同时针对reference-based与tuning-based视频定制的首个保护方法。贡献列表写建立并发布统一评测套件；摘要写代码、评测套件和更多结果将在项目页提供。
• 威胁模型：
  • 攻击者目标：合成仍复现身份y的新视频。
  • 能力：收集该身份的公开视频。tuning-based在整组上微调（文中例为LoRA）；reference-based从任一视频抽一帧，与文本提示一起输入预训练I2V。使用前还可做剪辑，或做帧平均、插值等时间攻击。
  • 保护者：作者采用white-box，保护者可访问VAE编码器；加入满足无穷范数预算的扰动，使人眼接近原视频。
  • 判定：可用结果应出现身份保持下降、提示词对齐变弱、视觉质量下降。优化时最小化代理目标Lid。

图像反定制

• 微调式：针对用多张图经DreamBooth（Ruiz等，2023）或LoRA（Hu等，2022）微调文生图的场景，既有方法向图像加不可感知对抗扰动，使微调模型抓不住身份或风格。正文以一组文献概括，未逐一展开方法名。
• 参考式：对可作I2I编辑或I2V参考的图像加扰动，使编辑失真，或使I2V出现低质量视频或不稳定运动。近期工作还提出了评测I2V图像保护的基准。
• 作者的定位：这些工作保护的是图像，同时针对两类定制的视频级保护仍未被探索。

视频的其他防护

• 不同威胁：已有工作分别针对目标跟踪、恶意视频编辑，以及视频画面的风格模仿。
• Gimbal：作者点名Gimbal（Passananti等，2024）虽处理视频，仍是图像级保护：抽出帧后防止其被用来微调文生图模型，并不处理视频扩散模型上的个性化定制。

可定制视频生成

• 微调式：LTX-Video、Wan、CogVideoX、HunyuanVideo等可在少量视频上训练LoRA，再按文本生成新视频。
• 参考式：LTX-2.3 I2V、Wan2.2-5B TI2V、CogVideoX-5b-I2V、Stable Video Diffusion以单张参考图为条件。作者认为这些工具使身份滥用更容易发生。

基线与数据集

• 基线：PhotoGuard（Salman等，2023）、Mist（Liang与Wu，2023）、IDProtector（Song等，2025），逐帧加到测试视频，预算同为η=0.1。鲁棒性实验另用逐视频PGD；不可见性另报Random（ε=0.1）。
• 数据：作者称尚无针对扩散定制的视频保护基准，因而改用HDTF、CelebV-HQ、TalkVid。

作者称本文是首次形式化并研究同时抵御两类定制的统一视频保护，并用身份级多帧UAP、滑窗优化和时间一致性设计对应三个时间挑战。

TC-UAP把保护信号做成同一身份可复用的多帧通用对抗扰动，在视频VAE隐空间上拉开干净与受保护片段的距离，并用时间一致性约束应对未见的时间攻击。

问题设定与共享脆弱点

• 对象：身份y有M段视频。保护后视频须满足无穷范数预算，并应使两类定制都难以生成仍忠实保留y的可用视频。
• 共享表示：参考式在生成前编码参考图，微调式在微调前编码训练视频。作者因此优化扰动去破坏VAE隐表示，而不是直接优化扩散去噪器。本节用重建是否失真判断隐表示是否仍可用。
• 为何不用逐帧扰动：同一目标下，单图保护可使重建接近全黑，逐帧加到视频后后段会恢复（Figure 2）。作者将其归因于时间压缩和因果聚合：后帧汇入更多先前帧。Figure 3用全黑视频与单白帧视频的中间隐位置距离刻画感受野；作者称更早的帧仍能影响中间位置，影响随时间距离衰减。

身份级多帧UAP与滑窗

• 形式：δy含N个按时间索引的扰动帧，实验中N=9。保护长度为Ti的视频时，沿时间重复并裁到Ti帧，从而不必按视频再优化。作者称单帧UAP时间表达不足（Figure 11）：破坏主要在前帧，按损失反比重加权后，重建仍有可辨内容。
• 滑窗替代全视频：直接在全长视频上拉大隐空间L2距离会增加显存，并可能过拟合训练视频的时长、边界，以及重复相位与因果边界的对齐。作者改用长度L的滑窗，L至少覆盖因果VAE时间感受野的主要部分。论文未给出L的数值。
• 采样：从同一身份的多段训练视频、不同起点取窗。作者认为长于窗口的视频在重复铺放后，各隐位置仍主要受其局部感受野内的扰动影响。

时间一致性

• 外在损失：代理攻击T把相邻帧按0.5/0.5平均。该损失要求攻击后的干净窗与受保护窗仍保持大的VAE隐距离。作者认为只针对这一攻击优化，可能绑在该攻击上。
• 内在重参数化：引入同形状参数θy。第一帧等于θy的第一帧；其后每一帧是此前所有扰动帧的平均，再加上该帧自己的θ。作者称前一项引入跨帧相关，后一项保留逐帧表达。
• 总目标：实验中λ=1.0。L_id(δ_y)=L_lat(δ_y)+λ L_temporal(δ_y)，其中Llat、Ltemporal分别是攻击前、代理攻击后的负隐空间距离。重参数化为δ_y¹=θ_y¹, δ_yⁿ=1/(n−1)∑_i=1ⁿ⁻¹δ_yⁱ+θ_yⁿ (n≥ 2)。

优化与施加

• 更新：Algorithm 1对每个身份、每个训练视频和采样窗口计算Lid，用Adam更新θy。初始化为Uniform(-0.01, 0.01)，学习率4×10^{-3}，在训练片段上优化一个epoch。
• 投影：每步在δy空间把扰动截到[-η, η]，再映回θy。实验η=0.1。目标是无目标的隐空间距离，优化时不使用攻击者的文本提示。
• 部署：对新视频只做时间重复与裁剪。UAP在15段训练片段上学习，加到同身份的15段未见测试片段。

实验设置

• 数据：HDTF、CelebV-HQ、TalkVid各20个身份；每身份30段，15段训练、15段测试。片段围绕人脸中心裁剪并缩放到640×480，121帧、24 fps（Appendix B.1）。
• 模型：主表为LTX-2.3。Wan2.2-5B只在TalkVid上报告（Figure 7）。Section 4的分析使用二者的3D causal video VAE。
• 保护：white-box访问对应VAE编码器。UAP长9帧，η=0.1，λ=1.0。PhotoGuard、Mist、IDProtector逐帧施加，预算相同。
• 定制：微调式在受保护测试集上训练LoRA，触发词为p3r5on；AdamW，学习率1×10^{-4}，batch size 1。LTX-2.3训1500步，Wan2.2-5B训2000步。参考式用官方I2V，条件为受保护视频抽出的一帧。两类共用Appendix B.2的五条提示。
• 指标：重建用PSNR、SSIM、LPIPS。身份用RetinaFace的FDFR，以及ArcFace（ISM1）、CurricularFace（ISM2）的余弦相似度，只在检出人脸的帧上平均。微调式身份参考为干净视频均匀抽16帧的嵌入均值；参考式用条件帧嵌入。不可见性用VMAF。
• 未写明项：生成随机种子、每身份生成条数、参考帧选取规则。训练时代理攻击只是0.5/0.5帧平均，鲁棒性滤波不进入训练。

主结果

据Table 1（LTX-2.3，η=0.1）。按论文定义，ISM1越低、FDFR越高，保护越强。该表全部ISM1格上，三种基线中IDProtector最低。

| 数据集 | 管道 | Clean ISM1 | IDProtector ISM1 | Ours ISM1 | Ours FDFR | | HDTF | 微调 | 0.598 | 0.430 | 0.077 | 0.027 | | HDTF | 参考 | 0.607 | 0.179 | 0.129 | 0.321 | | CelebV-HQ | 微调 | 0.630 | 0.446 | 0.113 | 0.006 | | CelebV-HQ | 参考 | 0.611 | 0.232 | 0.139 | 0.225 | | TalkVid | 微调 | 0.623 | 0.431 | 0.160 | 0.013 | | TalkVid | 参考 | 0.628 | 0.310 | 0.275 | 0.146 |

• 作者解读：作者称三个数据集、两类管道上TC-UAP的ISM最低、FDFR最高，且许多帧检测不到人脸。Table 1中微调式Ours的FDFR为0.006–0.027，参考式为0.146–0.321；三种基线的微调FDFR均为0.000。
• 相对幅度：表中绿色数字是相对最强基线的相对改进。微调ISM1为HDTF ↑82.09%、TalkVid ↑62.88%；参考ISM1为HDTF ↑27.93%、TalkVid ↑11.29%。TalkVid参考式FDFR格写为“–”。作者另报告，相对最强基线，视频级PSNR平均降15.96 dB、图像级降20.31 dB，SSIM分别降0.24与0.52。
• 定性：Figure 6中作者称Ours生成的人脸不再像目标，多数基线仍像；IDProtector在参考式有一定保护，但在固定面部区域留下可见图案。Appendix C给出更多对比。

不可见性

• 测了什么：Table 2用VMAF比较Clean、Random（ε=0.1）、三种保护基线与Ours。
• 结果：HDTF / CelebV-HQ / TalkVid上，Clean为99.17 / 100.64 / 100.14，Random为92.65 / 93.87 / 94.01，Ours为82.76 / 84.60 / 84.81，PhotoGuard为80.86 / 82.76 / 81.93，IDProtector为52.53 / 54.94 / 56.50。
• 作者解读：作者称Ours的VMAF最高、保护最不可见。Table 2中Clean与Random高于Ours；三种保护基线中Ours最高，括号内+1.90、+1.84、+2.88对应相对PhotoGuard的差值。

未见时间攻击

• 测了什么：TalkVid上施加训练时未见的box filter、Gaussian filter、low-pass filter（Appendix B.2：AVG-5、σ=2、k=8）。对照是无时间一致性设计的逐视频PGD。
• 结果：据Table 3，原视频上PGD的微调PSNR为6.19、ISM1为0.001，低于Ours的12.17与0.160。box / Gaussian / low-pass后，PGD微调PSNR升至26.21 / 32.82 / 34.66，ISM1升至0.463 / 0.469 / 0.503；Ours为14.66 / 14.49 / 14.23与0.136 / 0.111 / 0.097。参考式上，原视频Ours的ISM1为0.275，三滤波后为0.151 / 0.164 / 0.077；PGD原视频参考ISM1为0.534。
• 作者解读：作者称原视频上PGD对微调式保护更强，但每次攻击后PSNR上升超过20 dB，保护被擦掉；Ours的微调PSNR上升不到3 dB。作者认为这来自时间一致性，而不是只记住训练时的代理攻击。

Wan2.2-5B

• 测了什么：TalkVid上用Wan2.2视频扩散模型，两类管道都评（Figure 7）。纯文本转换后图中读数无法可靠对齐，此处不引用图中数字。
• 作者称：两类管道上Ours的VAE重建质量与ISM总体最低。
• 例外：作者称参考式上PhotoGuard的LPIPS与FDFR略高于Ours，但身份保持指标上Ours仍更好。

其他消融与分析

• Table 4、TalkVid：去掉内在时间建模、只留代理攻击损失，原视频微调PSNR 6.47、ISM1 0.010；box / Gaussian / low-pass后ISM1为0.224 / 0.313 / 0.300。
• 去掉代理损失、只留内在建模：原视频微调ISM1 0.061，三滤波后0.173 / 0.167 / 0.165。完整方法原视频0.160，滤波后0.136 / 0.111 / 0.097。
• 参考式只留代理损失：原视频PSNR 14.08、ISM1 0.415；完整方法为8.00、0.275。低通滤波参考ISM1：只留内在建模为0.093，完整方法为0.077。
• 作者称微调管道上去掉内在建模会在原视频上更强，但滤波后保护下降；参考式只吃抽出的一帧，一致性把扰动摊到各帧，完整方法在原视频和滤波后都更强。
• Figure 5：七种时间攻击下，不一致一端保留率均为<.01；一致一端为0.98–1.00（skip为0.98，down-2×为0.99，其余为1.00）。
• Appendix A.2：单帧UAP在同一隐空间目标下主要破坏前部时间位置；重加权后重建仍有可辨内容。作者称限制不只是各时间位置的优化不平衡。

作者指出的局限与后续方向

• 只作用于视觉VAE：身份还包括声音和说话模式，当前方法不能阻止攻击者抽取或克隆受保护视频的音轨（Appendix D, Limitations）。
• 后续方向：作者认为，同时破坏视觉VAE与音频tokenizer或编码器的联合音视频保护是值得做的方向（Appendix D）。
• 不能追溯：保护只适用于采用该工具之后发布的视频，此前已发布材料无法事后补保护（Appendix D, Broader Impacts）。
• 可能被绕过：作者称，更强的时间模型，或从离线来源取得数据的收集者，仍可能避开TC-UAP；应把它看成更广隐私措施中的一环，而不是完整方案（Appendix D）。

实验覆盖范围

• 数据为以人为中心的HDTF、CelebV-HQ、TalkVid，各20个身份、每身份15段训练片段与15段测试片段；片段为121帧、24 fps、640×480的人脸中心裁剪（Section 6.1，Appendix B.1）。
• 定制生成的量化主表为LTX-2.3；Wan2.2-5B的对比写在TalkVid的Figure 7。Section 4的VAE分析使用LTX-2.3与Wan2.2的3D causal video VAE。
• 保护基线为PhotoGuard、Mist、IDProtector（η=0.1）；鲁棒性对照为逐视频PGD；VMAF另含Random（ε=0.1）。未见攻击为box、Gaussian、low-pass三种，Table 3–4的数字都在TalkVid。
• 身份指标由RetinaFace、ArcFace、CurricularFace计算。论文未报告人工评估或与这些自动指标的一致性，也未报告生成重复次数、参考帧选取规则、窗口长度L，以及每个视频采样的窗口数。
• Section 3.1把提示词对齐列为保护应削弱的方面；Appendix B.2列出的指标没有提示词对齐分数。UAP在同身份的未见测试片段上复用，论文的迁移讨论停在这一设置。

作者要解决的是：发布前如何给视频加不可见扰动，使片段既不能被拿去微调视频扩散模型，也不能被抽帧做image-to-video。

• 矛盾：两类定制都先经过3D视频VAE。作者认为逐帧扰动会被时间压缩削弱，绑在单段视频上的扰动会过拟合原序列，帧间不一致的扰动会被时间攻击削弱。
• 做法：TC-UAP为每个身份学习9帧、无穷范数预算0.1的多帧扰动，沿时间重复后铺到不同长度。优化在多段视频的滑窗上进行，目标是拉大VAE隐距离；相邻帧按0.5/0.5平均作为代理攻击，前帧平均重参数化约束一致性。15段片段上学习，加到另15段未见片段，不再逐视频优化。
• 主数字：LTX-2.3的Table 1中，HDTF微调ISM1为0.077（Clean 0.598，IDProtector 0.430），参考式FDFR为0.321。TalkVid参考式ISM1为0.275，IDProtector为0.310。Table 2里三种保护基线中Ours的VMAF最高，但仍低于Clean与Random。
• 鲁棒性：Table 3、TalkVid上，逐视频PGD的微调ISM1从0.001到box filter后的0.463，TC-UAP为0.136。作者称这不是只记住训练时见到的帧平均。Wan2.2-5B上作者称身份指标仍更好，但参考式LPIPS与FDFR是PhotoGuard略高。
• 结论：作者称该方法在两类定制下强于所列图像保护方法，可复用到同身份未见视频，并对未见时间攻击保持鲁棒。Appendix D写明它主要作用于视觉隐空间，不阻止音轨克隆。