AVCE：面向扩散模型可验证概念擦除的审计感知遗忘框架

扩散模型经概念擦除后，对抗提示词失败并不等于该概念已从内部表示中删除。

• 场景：文本生成图像模型可产出版权侵权、未授权商标和恶意图像。作者认为应以概念擦除切断提示词与目标视觉概念的映射，且不必从头重训。
• 不足：多数方法改提示词或只更新文本条件权重，评测看给定提示词的输出。作者称这看不见网络仍编码什么；交叉注意力的K、V只占SD v1.5 UNet参数的2.23%、SDXL的13.27%。文本通路被切断后，去噪网络仍可能重建概念模式。
• 观察：作者称对抗训练、最坏嵌入和闭式重擦除能把ASR压到非稳健基线之下（Fig. 1左，SD v1.5单擦golf ball），但潜空间审计绕过文本条件后概念仍可恢复，且差距随擦除概念数增大。
• 做法：提出AVCE，把擦除落实到潜表示，同时处理文本条件通路和视觉通路。
• 威胁模型：
  • 目标：去掉指定物体、显式内容或艺术风格，使模型不再渲染该概念；评测攻击则试图让它重新出现。
  • 知识：Ring-A-Bell为black-box，不访问参数；UnlearnDiffAtk与P4D为white-box。
  • 能力：攻击优化离散token或连续嵌入；审计在中间去噪步注入概念相关latent，并以空提示词继续去噪。
  • 系统与假设：被擦模型为SD v1.5、SDXL、Flux 1.0。附录D写明解析编辑作用于注意力投影，并假设白盒访问权重。

相关工作按概念遗忘、稳健擦除和评测方式分组。作者把差别放在干预位置，以及是否把表示级审计信号用进擦除。

概念遗忘

• 训练式：ESD（Gandikota et al., 2023）、FMN（Zhang et al., 2024a）、SA（Heng & Soh, 2023）、AC（Kumari et al., 2023）、SalUn（Fan et al., 2023）和FADE（Thakral et al., 2025）用负引导或分布对齐微调，以去掉概念。
• 免训练与引导：ConceptPrune（Chavhan et al., 2024）识别并剪枝负责该概念的神经元，不再优化；SLD（Schramowski et al., 2023）改变采样轨迹以避开不想要的内容，不改预训练权重。
• 多概念：微调包括AGE（Bui et al., 2025）、CoE（Li et al., 2025a）和Sculpting Memory（Li et al., 2025b）；闭式改权重包括UCE（Gandikota et al., 2024）和ScaPre（Deng et al., 2026）；外挂LoRA或一维适配器的包括MACE（Lu et al., 2024）、SPM（Lyu et al., 2024）和GLOCE（Lee et al., 2025）。

稳健擦除

• AdvUnlearn（Zhang et al., 2024c）把对抗训练并入概念擦除，以对抗提示词攻击并保持效用；RACE（Kim et al., 2024）用单时间步对抗训练处理对抗文本嵌入。
• STEREO（Srivatsan et al., 2025）先识别脆弱嵌入，再做锚点引导擦除；RECE（Gong et al., 2024）迭代闭式解，不做大量微调；AEGIS（Li et al., 2026）在无保留数据设置下，用目标引导擦除和梯度协同处理稳健性与保持的折中。
• 作者写明与这些方法的差别是干预位置：AVCE除交叉注意力外还编辑自注意力投影，并在微调时使用通路级审计信号。

评测

• 输出与攻击：输出级基准（Moon et al., 2025; Zhang et al., 2024b）用概念分类器给固定提示词的图像打分。攻击级包括离散token遗传搜索（Tsai et al., 2023）、对扩散目标的token扰动（Zhang et al., 2024d; Chin et al., 2023），以及对被擦嵌入的直接反演（Pham et al., 2023）。作者称这两级都只通过文本接口观察模型。
• 表示级：Sharma et al.（2024）用partial diffusion在中间步注入概念相关latent，以CRS和CCS判断未学习网络是否仍能重建概念。作者称本文把它作为主要评测，并把该信号用进擦除过程，这一点不同于先前工作。

基线与数据

• 对比基线为ESD、SPM、MACE、SM、UCE、RECE、STEREO和AdvUnlearn。物体用Imagenette，显式内容用I2P，风格为五位艺术家，生成质量在COCO-30K上用FID和CLIP衡量。

作者将AVCE从文本条件接口移到去噪网络内部表示，编辑点选在审计得到的最弱几何点，而不是原始提示词嵌入。

AVCE先审计嵌入邻域并收成锚点，再在该点闭式编辑交叉注意力与自注意力，最后用通路级损失微调，并用正交梯度投影合并多概念。

脆弱锚点

• 既有方法多在原始嵌入上擦除，邻域里仍可能有能复活概念的方向。AVCE先搜索该邻域，再用一个锚点概括找到的脆弱方向。
• 每个概念做K路随机初始化搜索。目标同时要求全网络噪声预测接近原概念、候选远离原嵌入，并把交叉注意力的注意力图固定为原嵌入产生的键、数值来自候选，从而不奖励只靠提示词对齐的复活。
• 探针相对原概念的噪声误差需低于空提示词误差的一半才算成功；若都不通过，保留最优探针（附录A.4）。锚点把最大扰动幅度放在残差矩阵的主左奇异向量上，符号与平均扰动一致，定义为c^⋆_i=c_o,i+max_k‖δ_i,k‖₂ u_i,1。之后的编辑都在这个最弱几何点进行。
• 附录A.4：K=10，每路200步，Adam，步长5×10^-3，排斥系数τ=0.5，审计强度μ=0.3；在原嵌入上加高斯噪声；每步用5个参考latent，时间步在1至1000间均匀采样，成功判定用4次新抽样。

闭式编辑

• 两处编辑参数不相交，一次算出，并作为后续微调的初始化。作者称它们已去掉概念的很大一部分（第3.2、4.5节）。
• 交叉注意力：各被擦概念都映到同一无条件响应，即原投影作用在空提示词end-of-text嵌入上的输出。Semantic Modulator用Fisher式稳定性分数和Symmetric Uncertainty选输出通道，温度缩放后相乘，把更新限制在论文所称的稳健语义通路。
• 输入侧用成功搜索的扰动做成经验协方差，并加入中性提示词组成的保持集（沿用UCE），以免无关文本的响应被一起压低。闭式解为调制目标矩阵与输入几何算子的岭回归乘积；脆弱轴上的特征值被抬高后，逆矩阵压低这些方向的响应。
• 自注意力不直接接收文本。Visual Localizer在固定中间噪声latent上做有条件与无条件两次前向，用交叉注意力输出差的归一化空间掩码池化条件自注意力输入，得到视觉锚，再沿这些轴对全部层的K、V投影做右乘收缩，正交方向不变。校准样本P=50，sigmoid温度5.0，岭系数0.1，保持集50条中性提示词；定位时间步500，收缩系数κ=1.0。

审计引导精炼

• 去噪网络是非线性的，线性编辑后层间仍可能漏出概念。精炼交替只更新一条通路，且每次都带审计项，在通路层面而不是只在输出层面检查擦除。
• 交叉注意力更新把学生在概念提示词上的输出推向冻结教师的无条件输出，并比较完整学生与交叉注意力恢复为基座权重时的输出，使概念贡献来自该通路，而不是由自注意力代偿。
• 自注意力更新在交叉注意力冻结下进行：对原嵌入和锚点的内部响应都推向无条件响应。锚点项针对闭式编辑最不容易覆盖的方向。每步另从保持集抽一条中性提示词，使学生在无关文本上靠近教师。
• 多概念时，以各概念自注意力损失的指数滑动平均为难度，采样概率为0.8乘归一化难度再加0.2/N。梯度内积为负时，按gradient surgery（Yu et al., 2020）去掉与另一概念相反的分量。精炼500步，Adam，学习率1×10^-5，批大小1，两条通路系数均为0.5，保持系数10，EMA衰减0.99，每批4个概念。

如何判定擦除

• 物体用ImageNet预训练ResNet50在擦除类生成图上的top-1，即Unlearn Acc。显式内容用NudeNet，I2P计数阈值0.6；攻击成功看附录A.1列出的暴露类标签。风格用WikiArt微调的ViT-base，top-1即攻击成功。
• 审计不走文本条件。CRS是partial diffusion输出与参考图在CLIP特征上的余弦相似度，越高表示越难重建；CCS是域分类器把输出判回擦除前概念域的置信度，越低对应越彻底的擦除（附录A.2）。风格选择性用CLIPd，即COCO-30K上的CLIPc减去被擦风格上的CLIPa。

实验设置

• 骨干：主实验为SDXL，另评SD v1.5与Flux 1.0。训练和评测在NVIDIA H100（80GB）；Table 7的计时在单张A100上。
• 数据：Imagenette十类，每类500张测Unlearn Acc。I2P每条提示词生成1张，共4,703张，擦除目标为nudity。风格为Van Gogh、Picasso、Rembrandt、Warhol、Monet，各20条提示词，指标对五类平均。大规模用Deng et al.（2026）的扩展集，N为5、10、15、20。
• 基线：ESD、SPM、MACE、SM、UCE、RECE、STEREO、AdvUnlearn，均用官方实现和推荐设置（附录C）。
• 攻击：ASR1为Ring-A-Bell（black-box，概念权重3，提示词长度16，每条对抗提示词1张图）。ASR2为UnlearnDiffAtk，ASR3为P4D，二者white-box；显式内容可改token数k=5，物体和风格k=3；50个扩散步、40次迭代、AdamW、学习率0.01。
• 审计与分类器：ψ=0.6，引导尺度η取1、2、4、6、8、10后平均；每概念50张参考图，不同随机种子；DDIM 50步。物体用ImageNet预训练ResNet50，显式内容用NudeNet，风格用WikiArt微调的ViT-base。
• 质量与重复：FID和CLIP在COCO-30K上计算。论文未报告主表的独立重复运行次数。

主结果

主结果取SDXL上的多概念物体擦除（Table 1）。表中省略SPM、MACE、SM、RECE，其Unlearn Acc分别为68.43、64.34、64.56、0；RECE与UCE一样因模型崩溃未报告攻击和审计。

| 方法 | Unlearn Acc↓ | ASR1↓ | ASR3↓ | CRS↑ | CCS↓ | | SDXL | 87.23 | 99.2 | 98.2 | 未报告 | 未报告 | | ESD | 77.83 | 84.7 | 92.2 | 0.14 | 0.85 | | STEREO | 72.15 | 68.2 | 80.4 | 0.20 | 0.62 | | AdvU | 69.32 | 69.7 | 81.3 | 0.26 | 0.69 | | UCE | 0 | 未报告 | 未报告 | 未报告 | 未报告 | | AVCE | 8.15 | 14.5 | 17.2 | 0.82 | 0.18 |

据Table 1。

• 作者称在仍可用的方法里AVCE的Unlearn Acc最低。COCO-30K上AVCE的CLIP为30.58、FID为14.87，原SDXL为31.62与11.92。UCE的CLIP/FID为22.34/37.42，RECE为22.17/35.68；作者称二者的零Unlearn Acc来自模型崩溃（Fig. 3），因此不可用。
• 作者把STEREO称为该设置下的最强基线，并称三种攻击的ASR相对它平均下降超过50个百分点。同表ASR2：AVCE为16.7，STEREO为73.8，ESD为88.3。作者称Fig. 3里多数基线在对抗提示词下仍生成可识别目标，AVCE的输出不再包含这些物体。
• 作者称基线CRS低、CCS高，概念仍在潜空间；AVCE的CRS更高、CCS更低。Figure 1另在SD v1.5上单擦golf ball，标注的Avg. ASR包括71.4、73.7、14.9、9.7、17.8，CRS包括0.12、0.15、0.17、0.19、0.21，CCS包括0.63、0.70、0.71、0.82、0.86；作者称挡住对抗文本后视觉特征仍在。转文本后柱与方法的对应不另作认定。

显式内容与艺术风格

• 显式内容：Table 2在I2P上按身体部位计NudeNet检出。AVCE总检出77，次低AdvU为236，原SDXL为694。作者称相对次优基线下降超过三分之二，相对原模型近89%。AVCE的FID为14.47、CLIP为30.58。部位上AVCE仍有Armpits 25、Breasts (F) 27，Breasts (M)与Genitalia (M)为0。
• 攻击与审计：Table 3以nudity为目标。AVCE的ASR1/2/3为11.8、13.5、14.6，STEREO为64.7、70.2、77.1。作者称相对STEREO平均超过50个百分点。AVCE的CRS/CCS为0.79/0.21；表中基线CRS最低为AdvU的0.11，CCS最低为STEREO的0.65。Fig. 4为视觉对比，图注写明遮罩由作者为发表所加。
• 风格：Table 4中AVCE的CLIPa为24.37、CLIPc为30.70、CLIPd为6.33，次高CLIPd为RECE的1.76；FID为14.72，原SDXL为11.78。ASR1/2/3为11.2、13.4、14.8。作者称三种攻击平均比最强基线低超过50个百分点，且基线CRS均低于0.25、CCS均不低于0.60；AVCE的CRS/CCS为0.85/0.15。作者称Fig. 5中基线仍有目标艺术家的可见风格痕迹，AVCE的图像没有该风格且视觉连贯。

其他骨干、规模与时间

• SD v1.5（Table 8，物体）：AVCE的Unlearn Acc为4.15%，ASR1/2/3为13.5、16.7、17.2，CRS/CCS为0.82/0.18。UCE、RECE的Unlearn Acc为14.62%、13.48%。作者称二者在该骨干上可接受。
• Flux 1.0物体（Table 9）：各基线Unlearn Acc均高于75%，最低为RECE的75.68%；AVCE为16.32%，ASR1/2/3为15.2、17.4、18.6，作者称ASR低于19%。CRS/CCS为0.67/0.29。作者认为现有闭式和微调策略难以处理更大架构里更纠缠的内部表示。
• Flux显式内容与规模：Table 10中AVCE的ASR为13.4、15.1、16.5，作者称基线均超过80%；CRS/CCS为0.77/0.22。Fig. 6的N为5、10、15、20，图注称AVCE为红色三角；作者称基线随N变差，AVCE下降更慢，N=20时仍保持较低Unlearn Acc、ASR、CCS和较高CRS。正文没有给出这些曲线的端点数字。Table 7：1个概念在SD v1.5上6.02分钟、SDXL上15.05分钟；20个概念为6.74与16.86分钟，作者称开销约12%。

其他消融与分析

• Table 5在原嵌入与锚点上编辑，列顺序为P4D、UnlearnDiffAtk、Ring-A-Bell。Nudity的ASR从45.2/42.8/38.4到14.6/13.5/11.8，CCS从0.68到0.21，CRS从0.24到0.79，CLIP从30.41到30.58。
• 同表Van Gogh：原嵌入ASR为48.3/45.1/41.2，锚点为14.8/13.4/11.2。Church：原嵌入为51.4/48.6/45.3，锚点为17.2/16.7/14.5。作者称CLIP基本不变。
• Table 6，Nudity：仅Analytical Editing的ASR为38.5/35.2/31.6，仅Refinement为28.4/25.1/22.3，两者合用为14.6/13.5/11.8。
• 同表Van Gogh合用ASR为14.8/13.4/11.2，Church合用为17.2/16.7/14.5。作者称只做编辑会留下非线性痕迹，只做精炼也不能把概念去掉，两阶段互补。
• Table 6的CLIP：Nudity仅编辑30.52、仅精炼30.15、合用30.58。作者称仅编辑能保住生成质量，但攻击下仍会受到攻击。

作者指出的局限与后续方向

• 审计只使用Sharma et al.（2024）的partial-diffusion协议及其CRS、CCS；其他内部表示探针可能暴露该协议看不到的痕迹（附录D）。
• 稳健性只针对三种prompt级攻击：Ring-A-Bell、UnlearnDiffAtk、P4D。结论写明，评估能确立的范围受审计本身限制，结论建立在一种审计协议和三种prompt级攻击上（结论；附录D）。
• 未评估会适应锚点构造的攻击，也未评估通过对编辑后模型微调来恢复已擦概念（附录D）。
• 解析编辑作用在注意力投影上，并假设可白盒访问模型权重（附录D）。

实验覆盖范围

• 被测骨干为SD v1.5、SDXL、Flux 1.0，主实验在SDXL（第4.1节）；八个基线为ESD、SPM、MACE、SM、UCE、RECE、STEREO、AdvUnlearn。
• 任务包括Imagenette十类物体（每类500张）、I2P显式内容（4,703张，擦除目标为nudity）和五种艺术风格（各20条提示词）；大规模N为5、10、15、20（附录B.1，Fig. 6）。
• 攻击配置见附录A.1：Ring-A-Bell为black-box，另两种为white-box，优化40次迭代。审计为ψ=0.6、六档引导尺度平均、每概念50张参考图（附录A.2）。
• 生成质量在COCO-30K上报告FID与CLIP。物体、显式内容、风格分别由ResNet50、NudeNet、ViT-base自动判定。
• 论文未报告主表的独立重复次数，也未报告这些分类器与人工判定的一致性。Fig. 6的正文未给出各N的曲线数值。

AVCE是面向扩散模型的概念擦除方法，要让擦除经得起绕过文本条件的潜空间审计，而不只是挡住对抗提示词。

• 问题：T2I模型会生成被禁止内容。作者认为只改文本接口、只看提示词输出，不能确认去噪网络里是否还留着概念；稳健擦除压低ASR后，partial diffusion仍能找回视觉特征，多概念时更明显。
• 方法：先在嵌入邻域搜索可复活概念的方向，收成最弱几何点上的锚；再闭式改写交叉注意力、收缩自注意力；然后交替微调两条通路，损失里包含通路级审计项。多概念用难度采样和正交梯度投影，减轻更新互相抵消。
• 物体：SDXL上AVCE的Unlearn Acc为8.15%，ASR1为14.5%，CRS/CCS为0.82/0.18（Table 1）。SD v1.5上Unlearn Acc为4.15%（Table 8）。Flux 1.0上为16.32%，而各基线均高于75%（Table 9）。
• 内容与风格：I2P上AVCE的NudeNet总检出为77，原SDXL为694（Table 2）；nudity的ASR1为11.8（Table 3）。五种风格的CLIPd为6.33，ASR1为11.2，CRS/CCS为0.85/0.15（Table 4）。
• 作者结论：作者称在SD v1.5、SDXL、Flux 1.0的三类任务上，相对最强基线，ASR降低5.07×，审计分数提升3.84×，生成质量仍有竞争力。作者认为擦除应在模型所编码的内容上评估和优化，而不只看给定提示词的输出；这一评估能确立的范围受所用审计协议约束。