CSR：跨架构统一攻击概念擦除，FLUX 露骨内容攻击成功率达 50.47%

被擦除的概念能否通过同一套参数级目标，在噪声预测 U-Net 与 flow-matching Transformer 上重新激活。

• 场景：文生图模型可生成不良、受版权或敏感内容。概念擦除在不全量重训的前提下抑制指定概念，但作者认为擦除后的概念仍可能经后续参数更新恢复，因此抗重学习是擦除鲁棒性评测的一部分。
• 现有不足：作者称现有参数级重学习攻击大多绑定单一架构：早期工作主要研究 Stable-Diffusion 式 U-Net，ReFLUX 专门针对 rectified-flow Transformer，目标与优化机制不能直接跨族迁移。
• 核心假设：两类模型在同一隐状态与时间步/噪声水平上，对目标概念的条件预测相对空条件都会改变。作者假设这一条件–无条件预测偏移可作为跨架构的共同重学习信号。
• 提出方法：作者提出 Concept Score Relearning（CSR），用冻结的未擦除参考模型构造概念方向，在各自原生预测空间里更新被擦除模型；不需要外部目标概念图像集。
• 威胁模型：
  • 目标：通过更新被擦除模型参数 θ，恢复被抑制的目标概念。
  • 知识：作者假设 white-box，可访问被擦除检查点 θ、对应的公开预训练参考模型 ϕ，以及目标概念提示词；不知道擦除算法。
  • 能力：在模型原生预测空间做参数更新；锚点由参考模型按目标提示词自生成。附录称攻击者不控制推理时提示词，每个概念做一次更新。
  • 受害系统：经 ESD、AC、EAP、EraseAnything、ConceptPrune、MACE 擦除后的 SD-1.4（噪声预测 U-Net）与 FLUX.1-dev（速度预测 Transformer）。

论文按三条线组织相关工作，并把推理时绕过擦除的方法视为另一威胁模型。

• 文生图生成模型：DALL-E、GLIDE、Imagen 与潜空间扩散（Rombach et al., 2022）推动了文生图；Stable Diffusion 成为编辑、安全与概念擦除的常用底座。作者指出 SD3（Esser et al., 2024）采用多模态 Diffusion Transformer 与 rectified flow，FLUX（Labs et al., 2025; Labs, 2024）进一步转向大规模 flow-matching Transformer，架构差异使重学习目标难以直接迁移。
• 概念擦除：训练数据包括 LAION-5B、COYO-700M、Conceptual 12M。擦除方法在不从头训练的情况下抑制指定生成能力（Gandikota et al., 2023; 2024; Kumari et al., 2023; Li et al., 2025a; Schramowski et al., 2023; Zhang et al., 2024），并与机器遗忘相关（Bourtoule et al., 2021 等）。作者称既有方法主要面向 SD 式 U-Net，手段包括参数或表示编辑、语义锚映射和结构化剪枝；EraseAnything（Gao et al., 2025）把擦除扩展到 FLUX 等 flow 模型。由此作者提出：擦除概念在统一重学习框架下是否仍可恢复。
• 重学习与概念恢复：参数级攻击通过微调、LoRA（Hu et al., 2022）或轻量适配器更新被擦除模型（Du et al., 2023; Zhang et al., 2023; Jiang et al., 2025）。作者点名两支：ReFLUX（Jiang et al., 2025）针对 FLUX，使用基于注意力的重激活、速度引导优化和参数高效适配；Liu & Zhang（2025）在 SD 式 U-Net 上使用概念导向的噪声预测目标。作者认为二者只在各自架构内有效，目标仍分别绑在噪声预测 U-Net 或 flow-matching Transformer 上。
• 推理时绕过（另一威胁模型）：梯度提示词或触发优化（Chin et al., 2023; Liu et al., 2024 等）、免训练搜索、多模态探测、LLM 辅助语义搜索，以及基于策略的提示优化。作者认为这些方法刻画的是推理时鲁棒性，与参数级重学习的威胁模型不同。

基线方法包括攻击侧 ReFLUX、UnlearnDiffAtk（Zhang et al., 2023）、P4D（Chin et al., 2023）、Ring-A-Bell（Tsai et al., 2023），以及擦除侧 ESD、AC、EAP、EraseAnything、ConceptPrune、MACE。基准/数据集为 I2P（裸露与暴力）、ConceptPrune 的 Van Gogh 与 Picasso 提示词、ReFLUX 的 Entity/Abstraction/Relationship 协议，以及效用评测用的 MS-COCO。

作者将 CSR 定位为：不把重学习绑到 U-Net 噪声目标或 FLUX 特有的注意力与速度机制，而是用模型原生预测表达概念方向，并在 SD-1.4 与 FLUX.1-dev 上保持同一目标构造与重学习目标。

Concept Score Relearning（CSR） 在被擦除模型自己的原生预测空间里，用冻结参考模型的条件–无条件预测差构造概念方向，再以同一 MSE 目标做一次参数更新。

问题设定与原生预测

• 两类生成式：SD 的 U-Net 预测加入的噪声，记为 fθ=ϵθ；FLUX 的 Transformer 在连续噪声水平 s∈[0,1] 上预测速度场，记为 fθ=vθ。作者不假设这两个空间等价。
• 共同量：在同一隐状态与时间步/噪声水平上，fθ(zt, t, c)−fθ(zt, t, ∅) 表示概念条件 c 相对空条件 ∅ 引起的原生预测变化。
• 攻击对象：预训练参考模型 ϕ 经概念擦除得到受害者 θ；参数级攻击通过更新 θ 试图恢复被抑制概念。附录 A.2 说明 CSR 只使用这一共享接口，预测差与优化目标都留在各自原生空间。

概念方向与目标构造

• 概念分数：冻结未擦除参考模型给出 dc(zt, t; ϕ)=fϕ(zt, t, c)−fϕ(zt, t, ∅)。作者称之为 concept score，并说明这不表示模型显式参数化了统计 score。
• 自生成锚点：给定目标提示词 c，参考模型生成概念图像，经 VAE 编码为锚点集合 Zc。重学习时按该架构的前向过程扰动锚点，得到与概念相关的隐状态，而不是把图像重建当作目标。不使用外部目标概念图像集。
• 恢复目标：Tη(zt, t, c)=fϕ(zt, t, ∅)+η dc(zt, t; ϕ)。η>0 为恢复强度；η=1 时目标等于参考模型的条件预测，η>1 沿概念方向外推。默认 η=3。

统一重学习目标

• 损失：LCSR 为受害者在条件 c 下的原生预测与停止梯度后的 Tη 之间的逐元素 MSE，期望取自概念锚点、高斯噪声和时间步/噪声水平。SD 上 fθ=ϵθ，FLUX 上 fθ=vθ，目标形式不变。
• 流程（Algorithm 1）：先采样 N 张参考模型图像并编码为 Zc；再做 S 步，每步取扰动锚点，用参考模型的空条件与条件预测构造 τ=sg[u+η dc]，对 θ 的可训练参数最小化 MSE。
• 参数面：附录 A.3 称 SD-1.4 上更新 cross-attention 的 to_k、to_v 投影；FLUX.1-dev 上只更新 double-stream Transformer block 中以图像隐变量为 query 的图像–文本交叉注意力的 k、v 投影。优化器为 AdamW，SD 学习率 1×10^-4、FLUX 为 1×10^-5，权重衰减 0.01，梯度裁剪 1.0。
• 预算：默认 N=40 个锚点，S=40 步；FLUX 每个锚点缓存 K=2 个扰动/目标元组。SD 批大小 1、50 步 DDIM；FLUX 用 flow-matching Euler 调度、guidance scale 3.5、每步 2 个参考前向。参考预测不反传。

成功判定

• 裸露：I2P 中 NudeNet 分数高于 50% 的提示词；主指标为五类显式裸露的 ASR-Strict，另报更宽检测的 ASR-Permissive。
• 暴力：对应 I2P 提示词，用 Q16 分类器的 ASR。
• 艺术风格：Van Gogh 与 Picasso 各 50 条 ConceptPrune 提示词；129 类 WikiArt 分类器的 Top-3 ASR，目标画家进入前三即成功。
• 其他概念：Entity、Abstraction、Relationship 用 ReFLUX 的 CLIP 检测协议，报告 CLIP Acc.。
• 效用：MS-COCO 上报告 CLIPScore 与相对真实图像的 FID；同一提示词与种子下，擦除模型与重激活模型之间的 LPIPS。

实验设置

• 模型：FLUX.1-dev 与 Stable Diffusion-v1.4。微调与评测在单张 80GB NVIDIA A100 上完成。
• 擦除方法：ESD、AC、EAP、EraseAnything（EA）、ConceptPrune（CP）、MACE。并非所有方法原生支持两族模型，作者使用官方实现，否则做架构特定移植（附录 A.4）。
• 攻击基线：ReFLUX、UnlearnDiffAtk、P4D、Ring-A-Bell。杂项表只比较 ReFLUX。
• 裸露与暴力：裸露用 I2P 中 nudity score 高于 50% 的提示词，NudeNet 的 ASR-Strict（五类显式部位）为主、ASR-Permissive 为辅。暴力用对应 I2P 提示词与 Q16 的 ASR。论文未在正文写明这两组提示词条数。
• 风格与杂项：Van Gogh、Picasso 各 50 条提示词，129 类 WikiArt 分类器 Top-3 ASR。Entity、Abstraction、Relationship 用 CLIP 协议；附录称先按参考模型上限过滤，再各评 100 条。
• 效用与人工：MS-COCO 的 CLIPScore、FID，以及配对 LPIPS。人工为 20 名非作者、盲评，20 组匹配对比，1–5 分四维评分。

主结果

严格裸露 ASR-Strict（%），据 Table 1。CSR 在全部 12 个架构×擦除设置上最高。作者给出的擦除模型平均为 FLUX 7.60%、SD 8.60%，CSR 平均为 50.47% 与 40.29%。

Swipe horizontally to read the table

模型 / 攻击	ESD	EA	AC	EAP	CP	MACE
FLUX 擦除模型	3.51	10.18	18.60	1.75	9.47	2.11
FLUX CSR	33.33	52.63	53.33	53.68	51.58	58.25
SD-1.4 擦除模型	0.70	12.98	10.53	1.75	23.86	1.75
SD-1.4 CSR	35.79	59.30	38.25	33.33	55.09	20.00

• 裸露：作者称 CSR 把 FLUX 平均从 7.60% 提到 50.47%，SD 从 8.60% 提到 40.29%，且 12 个设置全部第一。ASR-Permissive 趋势相同，平均 68.01%（FLUX）与 54.91%（SD），完整数在附录 A.7.2。基线有多处低于擦除模型，例如 FLUX 上 UnlearnDiffAtk 对 ESD 为 0.00（相对擦除模型 −3.51 个百分点），ReFLUX 对 CP 为 1.05（−8.42 个百分点）。
• 暴力（Table 2）：作者称 CSR 在 12 个设置全部第一，平均从 21.33% 到 71.44%（FLUX）、从 39.04% 到 59.92%（SD）。单格上 FLUX-MACE 的 CSR 为 89.45%，SD-MACE 为 48.83%。若干基线低于擦除模型，如 FLUX-EAP 上 UnlearnDiffAtk 为 0.00（擦除模型 22.27%）。
• 定性：Figure 1、3、4 给出擦除模型、基线与 CSR 的生成图；作者称 CSR 在裸露、暴力、风格、抽象、关系与实体上恢复出可辨认内容。黄框为对应未擦除模型输出，显式区域用蓝条遮挡。图中具体像素内容无法从文本读取。

艺术风格与杂项概念

• 风格（Table 3）：Top-3 ASR。作者称 CSR 在 12 个架构×画家×擦除设置中的 10 个最高。Van Gogh / Picasso 平均 ASR：FLUX 为 22.00% / 73.33%，SD 为 48.67% / 85.33%。例外是 FLUX、ESD、Van Gogh：CSR 12.0%，UnlearnDiffAtk 14.0% 更高；SD、ESD、Van Gogh：CSR 36.0%，ReFLUX 38.0% 更高。Picasso 上 CSR 最高，如 FLUX-EA 90.0%、SD-EA 96.0%。
• 杂项（Table 4）：CLIP Acc.，仅 ESD 与 EA。作者称 CSR 在 12 个设置全部第一。Relationship 仍最难，但相对 ReFLUX，作者称 CSR 在 FLUX 与 SD 上分别高 29.00 与 26.50 个百分点。单格例：FLUX-ESD 的 Entity/Abstraction/Relationship 上 CSR 为 51.00 / 62.71 / 42.00，ReFLUX 为 23.30 / 34.29 / 16.00；其中 ReFLUX 的 Entity-EA 为 11.10，低于擦除模型 16.00。

效用、效率与人工评估

• 效率：作者称 CSR 每个概念更新一次，单张 A100-80GB 上 SD-1.4 约 2.4 分钟、FLUX.1-dev 约 5 分钟；所评提示词空间攻击最高约每条提示词 52 分钟。
• 效用：相对 ReFLUX，作者称 36 项比较中 30 项 CSR 更好：12 个设置 CLIP 相似度全部更高，12 个里 10 个 FID 更低，12 个里 8 个 LPIPS 更低。完整数在附录 A.7.3，正文未逐格列出。
• 人工（Table 5）：20 名参与者、20 组对比，覆盖暴力、风格、实体、抽象、关系，两个架构与 ESD、EA；不含裸露。CSR 的参与者级均值±标准差为 React. 4.62±0.91、Align. 4.74±0.22、Preserv. 4.68±0.53、Quality 4.52±0.76；ReFLUX 为 4.62 对 4.52、4.74 对 3.89、4.68 对 3.91、4.52 对 4.03。作者称四维均值都更高。Figure 7 为同一组均值的条形图。

其他消融与分析

Figure 5 为 ESD 擦除裸露、attack seed 0 的 ASR-Strict。

• η：默认 η=3 时 SD-1.4 为 32.98%、FLUX.1-dev 为 38.25%；作者称从 η=1（直接匹配参考预测）增大后重激活提高。图上还标有 η 轴 1–4，未在正文写出其余刻度的精确值。
• 锚点数 N：单锚点已有非平凡重激活；默认 N=40 时同样为 32.98% 与 38.25%。
• 锚点来源：换成无关锚点后，ASR-Strict 从 32.98% 降到 10.53%（SD），从 38.25% 降到 2.81%（FLUX）。Figure 5c 还标出 Null 等柱，其中可见 17.9、13.7、10.5、2.8，正文只明确解释了无关锚点这一对。
• 附录消融：作者称参数面与优化预算的更多结果在 A.7.4；正文未给出其余数字，此处不补。

作者指出的局限与后续方向

论文没有单独的 Limitations 小节。下列内容来自结论、伦理声明与可复现性声明中明确写出的后续事项。

• 跨架构评测：结论称这些结果强调，需要在现代生成架构上针对参数级重学习威胁评测概念擦除（Conclusion）。
• 概念移除与抗重学习：伦理声明鼓励后续工作在评测模型安全时同时考虑概念移除的有效性及其对参数级重学习的抵抗（Ethics Statement）。
• 代码发布：可复现性声明称代码与配置 will be released，即作者计划发布，用于复现所报告结果（Reproducibility Statement）。

正文实验讨论里的“need for”不计入局限。论文未把参考模型可得、固定预算或未测 SD3 写成局限；这些只在实验范围中按论文实际覆盖陈述。

实验覆盖范围

• 架构：实验在 FLUX.1-dev 与 Stable Diffusion-v1.4 上进行（Section 5.1）。附录 A.2 用这两族说明原生预测空间，没有第三族的定量结果。
• 擦除与攻击：安全概念覆盖 ESD、EA、AC、EAP、CP、MACE 六种擦除，以及 UnlearnDiffAtk、P4D、Ring-A-Bell、ReFLUX（Tables 1–2）。风格只报 ESD、EA、CP（Table 3）；杂项只报 ESD 与 EA，攻击对比只有 ReFLUX（Table 4）。
• 概念与指标：裸露用 NudeNet 的 ASR-Strict / ASR-Permissive，暴力用 Q16，风格用 129 类 WikiArt 的 Top-3 ASR（各 50 条），杂项用 CLIP Acc.。效用在 MS-COCO 上报告 CLIPScore、FID 与 LPIPS（Section 5.1）。
• 人工：20 名非作者、20 组匹配对比，五个概念组（暴力、风格、实体、抽象、关系）× 两架构 × ESD 与 EA；显式裸露排除在人工之外（Section 5.2，附录 A.8）。统计上先在参与者内对试次取平均，再报告均值与标准差；论文未报告显著性检验。
• 实现前提：附录 A.3 将设定写为可访问 θ、公开参考模型 ϕ 与目标概念提示词，且不知道擦除算法。默认 η=3、N=40、S=40。论文未报告与人工评分的一致性系数。

Concept Score Relearning（CSR） 是一个参数级框架，用来检验文生图概念擦除在跨架构重学习下是否仍能保住被抑制的概念。

• 问题：噪声预测 U-Net（SD-1.4）与 flow-matching Transformer（FLUX.1-dev）的擦除模型，能否被同一套概念导向目标重新激活。作者认为现有重学习目标分别绑在某一族架构上。
• 方法：白盒设定下，攻击者有被擦除检查点、对应公开参考模型和目标概念提示词，但不知道擦除算法。参考模型自生成锚点；概念方向是同一隐状态下条件预测减空条件预测；目标沿该方向以强度 η 外推，再用 MSE 更新受害者的部分注意力投影。SD 在噪声空间、FLUX 在速度空间，目标形式相同。
• 安全结果：严格裸露上，CSR 在 12 个架构×擦除设置全部最高，平均 ASR-Strict 为 FLUX.1-dev 50.47%、SD-1.4 40.29%（擦除模型平均分别为 7.60% 与 8.60%，Table 1）。暴力同样 12 个设置全部第一，平均 ASR 为 71.44% 与 59.92%（Table 2）。
• 其他概念：Van Gogh 与 Picasso 的 Top-3 ASR 在 12 个设置中 10 个最高；两处例外是 ESD 擦除的 Van Gogh，分别由 UnlearnDiffAtk（FLUX，14.0%）和 ReFLUX（SD，38.0%）高于 CSR（Table 3）。Entity、Abstraction、Relationship 在 ESD 与 EA 上 12 个设置全部第一（Table 4）。
• 代价与消融：作者称每个概念一次更新，约 2.4 分钟（SD）或 5 分钟（FLUX）；相对 ReFLUX，36 项效用/一致性比较中 30 项更好。20 人盲评中 CSR 四维均值都更高（Table 5）。无关锚点使 ESD 裸露的 ASR-Strict 降到 10.53%（SD）与 2.81%（FLUX）（Figure 5）。
• 作者结论：擦除后的表面抑制并不必然抵抗后续参数级重学习；作者认为应在现代生成架构上把这类威胁纳入概念擦除评测，并称概念方向缩放与概念特定锚点是恢复的关键。