LETHE：通过价值多样性坍缩防御未授权的图像到视频生成

如何在常用 ℓ∞ 预算下，阻止现代注意力式 I2V 模型把一张参考图忠实动画成高质量视频。

• 出现场景：作者称，给定参考图和文本提示，I2V 扩散模型能生成主体外观保持、动作符合提示的视频。个人照片因此可能未经同意被做成伪造言行的视频；作者称这类视频动作自然、具有欺骗性，关系到隐私与名誉，并已引起公众和立法关注。
• 现有不足：保护性扰动是在分享前加入小的对抗扰动，使扩散模型给出不忠实或低质量输出。作者称该路线在图像编辑和定制上已有成效，但对 I2V、尤其是 DiT 模型仍处早期；在 ε=16/255、Wan2.1-I2V-14B 的 Fig. 1 中，现有方法往往只引入局部伪影或轻微变化，身份和外观仍在一定程度上可识别。
• 作者的观察：作者认为后续帧如何读取参考图尚不清楚，目标只好落在与读取只间接相关的代理量上，预算可能花在后续帧读不到的特征上。凸几何分析把参考 value 向量最小包围球半径定为读出多样性的上界；作者称即使温和收缩该散布也会破坏生成视频。
• 本文提出：保护方法 LETHE，用一对互补目标直接干扰该读取过程；并重标注 CelebV-Text 与 Kinetics-700，作为两个人类中心 I2V 保护基准。
• 威胁模型：
  • 防御目标：生成视频不再能以高质量忠实再现参考图 xref。
  • 防御者所做：发布 x′=xref+δ，约束为先前工作常用的 ∥δ∥∞≤ε。损失定义在 surrogate model 的层、头和去噪步上。
  • 攻击者所做：可从网上收集 x′，可先做输入变换，再用任意提示词 y 和随机噪声 zT 送入 I2V 模型。
  • 未写明的部分：问题表述没有把攻击者对权重的知识写成 white-box、black-box 或 gray-box。白盒和迁移是后文实验设置。

I2V 扩散模型

• SVD（Blattmann et al., 2023）等早期模型多由文生图 UNet 扩展而来。作者称受容量和时空建模限制，保真与时间一致性有限。
• CogVideoX（Yang et al., 2025）、Wan（Wan et al., 2025）、LTX-Video（HaCohen et al., 2024）转向带全时空注意力的 DiT。参考图被编码成与首帧对齐的 latent token，后续帧主要通过注意力获取视觉信息。
• Liu et al.（2026）与 Yi et al.（2025）的长视频方法把首帧 token 留作注意力锚点。作者称这有助于长程主体一致性，并由此认为该读取通路也可作为保护杠杆。

图像生成上的保护扰动

• PhotoGuard（Salman et al., 2023）与 AdvDM（Liang et al., 2023）：作者称它们属于较早保护图像不被编辑和定制的工作，做法是扰动 VAE latent 或最大化去噪损失，使 Stable Diffusion 等不能忠实处理受保护图像。
• 后续工作包括提高效率（Xue et al., 2024）以及特定场景（Li et al., 2025；Jia et al., 2026）。论文此处只作综述，没有与 LETHE 逐项对比。

面向 I2V 的保护

• 早期工作主要针对 UNet 式模型，如 Pang et al.（2024）、Zhou et al.（2025）和 I2VGuard（Gui et al., 2025）。作者称这些模型大量继承图像扩散组件，方法常沿用图像保护设计，例如干扰编码器。
• DiT 成为主流后，Long et al.（2026）与 Anti-Prompt（Song et al., 2026）把目标放到中间特征或去噪过程。作者认为，参考特征经深层时空注意力传到后续帧，哪个内部量决定参考被复现多少仍不清楚；目标若打在间接代理上，预算可能花在对读取贡献不大的特征上。

基线与基准

• 实验基线为 PhotoGuard、AdvDM、SDS+（Xue et al., 2024）、I2VGuard、Anti-Prompt。作者称 Anti-Prompt 是 2026 年专门破坏 I2V 的近期工作，并代表该方向当时的先进水平。
• 评测用作者重标注的 CelebV-Text（Yu et al., 2023）与 Kinetics-700（Carreira et al., 2019）。作者称既有 I2V 基准（Huang et al., 2024）人脸和人体样本少，人类中心数据集的原标注又不能直接当作 I2V 提示。

作者把本文与这些工作的区别写成：考察 I2V 如何读取参考图，从而把预算更直接集中到读取过程上。

LETHE 把保护扰动打在后续帧读取参考 token 的通路上：先压低参考 value 的多样性，再把后续帧的注意力拉向这些被压平的 token。

读取通路

• 给定 xref 与提示 y，Wan 2.1、CogVideoX 一类模型从高斯噪声 zT 迭代去噪。当前 latent 被分成时空 patch 并线性投影成 token。参考图的视觉内容由 N 个参考 token 携带，位置通常是首帧。
• MLP 和归一化逐 token 作用，注意力是 token 之间传递信息的主要算子。参考 token 的隐藏状态 hi 被投影成 key 与 value：key 用于匹配，value 携带被传递的外观。后续帧 token 的 query 与 key 匹配，并按匹配比例接收 value。
• 式 (1) 把第 m 个后续帧 token 从参考 token 读到的内容记为 om。权重 αmi 只在 N 个参考 token 内重新归一化，非负且和为 1。

凸包上界

• 因此 om 落在参考 value 的凸包内。注意力只能在该凸包里选点，读不出这些 value 所张成范围之外的内容。作者以此解释：脸和背景能被分别复现，是因为凸包大到能让不同 query 到达表达不同视觉特征的点。
• 命题 1 设 R(V) 为这些 value 的最小包围球半径，则对任意帧 token 数和单纯形内的注意力权重，1/M∑_m=1^M|o_m−ō|²≤ R(V)²。该式表示读出方差被 value 散布上界住，与注意力如何分到各参考 token 无关。若全部 value 重合，该头中每个归一化参考读出都等于同一向量。

直接干预

• 作者在真实生成中把每个参考 value 换成向最小包围球中心收缩的版本，比例 γ∈[0,1]，使 R(V) 随 γ 线性缩小。γ=1 为原模型，γ=0 时凸包退化为一点。干预加在每一层；query、key、文本条件和噪声种子不改。
• 作者称 γ=0.8（收缩 20%）已在脸上出现可见伪影，γ=0.7（收缩 30%）时视频大量变成退化色块、没有可识别主体。作者称只作用于一部分层和去噪步时，30% 收缩也足以破坏视频；同幅度随机扰动不会造成相当的退化。Fig. 2 右图纵轴为 ISM-A、横轴为 γ，图例为 Wan2.1 与 CogVideoX；文本未给出各 γ 的读数。

两个损失

• R(V) 每次前向要求解最小包围球，梯度只在边界上的少数 value 非零，且各层各头尺度不同。value collapse 损失 Lvc 改为：在集合 B 的层与头、以及去噪步 t 上，取参考 value 能量中不被全体 token 共享的比例，再对 t 取期望。最小化会把能量推到公共均值上，使参考 token 趋向同一向量。总能量非零时，每项可微、落在 [0,1]，且对共同非零缩放不变。论文未写明 B 包含哪些层和头。
• 实际注意力分到整段序列，不只有式 (1) 里重新归一化后的参考 token。attention attraction 损失 Laa 提高后续帧 query 均值与参考 key 均值的平均注意力 logit。query 均值当作常数，因为 query 来自攻击者的生成过程，扰动应只通过 key 起作用。作者称 key 通常经过 QK 归一化，因此不能靠放大 key 范数来降低该项。

优化与判定

• 在 ∥δ∥∞≤ε 下最小化 L_Lethe(δ)=L_vc(δ)+α L_aa(δ)。α 平衡两项，论文未给出数值。作者的解释是：前一项让参考 value 相对均值的偏差变小，后一项让后续帧的读出更多来自这些同质 token。
• 实践中用 MI-FGSM 求解，迭代 100 次。论文未报告步长和动量系数。成功不用单一阈值：评测看身份余弦相似度与 Q-Align 质量分，越低表示保护越强，另有 MLLM 打分作补充。

实验设置

• 被测模型：白盒为 Wan2.1-I2V-14B 与 CogVideoX-5B-I2V，作者称二者是主流 DiT 式原生 I2V 模型。迁移目标为 LightX2V、AccVideo、SVD、LTX-Video；这些扰动在 Wan2.1 上制作，不再优化。
• 数据：重标注 CelebV-Text 与 Kinetics-700，分别对应近景人脸和自然场景中的人体动作。各选 350 个不同身份的视频，每视频抽一帧可见人脸，并配若干人类核对过的动作提示。作者计划发布重标注数据。
• 基线：PhotoGuard、AdvDM、SDS+、I2VGuard、Anti-Prompt。作者称按原论文和官方代码（若开源）及推荐超参复现。全部方法默认 ε=16/255，推理配置相同。
• 指标：ISM 是生成帧与干净条件图人脸嵌入的余弦相似度，对帧平均。ISM-A 用 ArcFace，ISM-F 用 FaceNet。QAF、QAV 是 Q-Align 的帧级与视频级质量分。四项都是越低表示保护越强。
• 评审：补充协议来自 Anti-Prompt，评审模型为 Qwen3-VL-8B-Instruct。输入为生成视频、对应提示和原始输入图，打 Subject Preservation、Structural Consistency、Dynamic Consistency、Artifact Suppression，原分 1 到 5，作者将其反过来，使更高分表示更强保护。论文未报告与人工评分的一致性。
• 优化与重复：MI-FGSM，100 次迭代。Table 2 与 Fig. 6 为三次随机种子。论文未报告主结果表的重复次数，也未报告 α、步长和动量系数。

主结果

下表只列 LETHE。白盒设置下，优化所用模型就是该行被测模型。数字出自 Table 1，ε=16/255。Clean 与五个基线不放入表内。

表格较宽，可左右滑动

白盒设置	ISM-A	ISM-F	QAF	QAV
Wan2.1-I2V-14B，CelebV-Text	0.4280	0.5308	0.3970	0.4976
Wan2.1-I2V-14B，Kinetics-700	0.4125	0.4957	0.3852	0.4745
CogVideoX-5B-I2V，CelebV-Text	0.2968	0.4895	0.4235	0.4946
CogVideoX-5B-I2V，Kinetics-700	0.2523	0.4299	0.4223	0.4828

• 与基线的位置：作者称在 2 个模型、2 个数据集、4 个指标共 16 个设置上 LETHE 都最好。核对 Table 1，每个设置的四项指标都低于其余五行方法。Wan2.1、CelebV-Text 上 Clean 的 ISM-A/QAF 为 0.8173/0.9123；该格 ISM-A 次低是 Anti-Prompt 的 0.5237，QAF 次低是 SDS+ 的 0.5894。
• 身份与质量并不一起下降：Anti-Prompt 的 ISM 常低于其他基线，但 QAF/QAV 更高。同格 Anti-Prompt 的 QAF/QAV 为 0.8447/0.8985，高于 AdvDM 的 0.6199/0.6866。作者未单独解释。CogVideoX、CelebV-Text 上 ISM-A 次低为 Anti-Prompt 的 0.3424，QAF 次低为 SDS+ 的 0.5050。
• 定性：作者称 Fig. 3 中 LETHE 在 Wan2.1 上抹去主体，在 CogVideoX 上把主体涂成不可识别纹理。Fig. 1 的预算和模型为 16/255、Wan2.1-I2V-14B；纯文本看不到画面。

MLLM 评分

• 测了什么：Qwen3-VL-8B-Instruct 按上述四方面，评 Wan2.1 上两个数据集的生成视频（Fig. 4）。
• 结果：作者称 LETHE 在两个数据集的四个方面都是最高分。图中提取到 3.07、2.76、3.08、3.00 与 3.27、3.41、3.69、3.50、3.47 等标注，列对齐不可靠，不把它们记到某一方法。
• 作者解读：作者称这进一步确认保护更强。论文未报告评审与人工的一致性。

迁移

• 测了什么：Wan2.1 上做出的扰动直接用到 LightX2V、AccVideo、SVD、LTX-Video，并与 Anti-Prompt 比较（Fig. 5a）。指标是相对干净图像的降幅。
• 结果：作者称在与 Wan2.1 同为 DiT 的 LightX2V、AccVideo 上，LETHE 仍把各指标降低约 40%；在架构差别较大的 SVD、LTX-Video 上，ISM 约降低 30%，且四项指标都优于 Anti-Prompt。Fig. 5a 文本中的 Target Avg. 百分比无法可靠对应到某一方法，此处不引用。
• 作者解读：作者假设这些模型都用 softmax 注意力聚合携带参考信息的 token，因此被压低的参考表示多样性可以超出 surrogate。作者把更彻底的调查留到以后。

输入变换、净化与生成条件

• 测了什么：Wan2.1、CelebV-Text。变换为 JPEG（q=70）、3-bit 量化、高斯噪声（σ=0.2）、高斯模糊（核大小 7）。净化器为 Super-Res、DiffPure、IMPRESS、GrIDPure，各用推荐配置。另有 3 个提示词，各 3 个随机种子。
• 结果：作者称这些变化下保护仍在。作者称 IMPRESS 与 GrIDPure 只收回一部分差距，ISM-A 从 0.43 升至约 0.56，干净图像约 0.80。提示词和种子之间，作者称各指标变化不超过约 0.03。这些是正文约数；Table 1 中同设置 LETHE 与 Clean 的 ISM-A 为 0.4280 与 0.8173。
• 作者解读：作者认为效果并不依赖特定生成条件。Fig. 5b 的柱高在纯文本中没有逐项读数。

其他消融与分析

• Table 2，Wan2.1，三次种子均值：CelebV-Text 上仅 Lvc 的 ISM-A/ISM-F/QAF/QAV 为 0.5899/0.6827/0.5224/0.6009。
• 同表 Kinetics-700 仅 Lvc 为 0.5084/0.6127/0.4600/0.5324。加上 Laa 后的数值与 Table 1 的 LETHE 行相同；作者称四项都进一步降低。
• Fig. 6，Wan2.1、CelebV-Text：作者称四项指标随 ε 单调下降；ε=8/255 时举例 ISM-A 为 0.58、QAV 为 0.69。刻度为 0、4、8、16、32（×1/255），阴影为三次种子的一个标准差。
• Sec. 3：作者称 γ=0.8 已出现可见面部伪影，γ=0.7 时视频大量变成退化色块；同幅度随机扰动不会造成相当退化。各 γ 的 ISM-A 读数文本未给出。

作者指出的局限与后续方向

• 论文没有 Limitations、Discussion 或 Future Work 专节，也未在结论里把某项结果写成不足。Sec. 6 只写希望 LETHE、文中分析和数据集能加深社区对这一问题的理解，并启发以后更有效的图像保护方法。
• Ethics Statement 说明所用模型为公开发布、评测集来自 CelebV-Text 与 Kinetics-700、重标注不收集新的个人数据，并计划只发布文本标注以及视频标识和帧索引。这些是研究做法说明，不是作者列出的方法局限。

实验覆盖范围

• 白盒被测模型为 Wan2.1-I2V-14B 与 CogVideoX-5B-I2V，默认预算 ε=16/255（Sec. 5.1–5.2，Table 1）。
• 迁移把 Wan2.1 上做出的扰动用到 LightX2V、AccVideo、SVD、LTX-Video（Sec. 5.3，Fig. 5a）。
• 两个重标注集各 350 个不同身份视频，每视频一帧可见人脸，并配人类核对过的动作提示（摘要与 Sec. 5.1）。
• 鲁棒性在 Wan2.1、CelebV-Text 上包括 JPEG（q=70）、3-bit 量化、高斯噪声（σ=0.2）、高斯模糊（核大小 7），以及 Super-Res、DiffPure、IMPRESS、GrIDPure，另有 3 个提示词各 3 个随机种子（Sec. 5.3）。
• 论文未报告 α、集合 B、MI-FGSM 步长、主结果表的重复次数，以及 MLLM 评分与人工的一致性；Table 2 与 Fig. 6 写明三次随机种子。Fig. 4 的 MLLM 结果只给出 Wan2.1。

LETHE 是一种发布前加到个人图像上的保护扰动，用来对付未经同意的图生视频。

• 问题：I2V 模型把参考图编成 token，后续帧主要通过注意力读取外观。作者称在常用预算 ε=16/255 下，已有保护往往只留下局部伪影，身份仍可辨认。
• 做法：命题 1 把参考 value 的最小包围球半径写成读出多样性的上界。LETHE 用 value collapse 把这些 value 的能量推向公共分量，再用 attention attraction 提高后续帧 query 对参考 key 的平均 logit，并以 MI-FGSM 迭代 100 次，约束为 ℓ∞ 球。
• 白盒结果：Table 1、ε=16/255 下，LETHE 在 Wan2.1-I2V-14B 与 CogVideoX-5B-I2V、两个各 350 条的重标注集、四项指标共 16 格都是最低。Wan2.1、CelebV-Text 上 ISM-A 为 0.4280、QAF 为 0.3970；CogVideoX、Kinetics-700 上 ISM-A 为 0.2523。同表里 Anti-Prompt 的身份分常低于其他基线，但质量分下降更小。
• 迁移与稳健性：作者称 Wan2.1 上做出的扰动迁到 LightX2V、AccVideo 时各指标约降 40%，迁到 SVD、LTX-Video 时 ISM 约降 30%。作者称 JPEG、量化、噪声、模糊和四种净化器下保护仍在；IMPRESS 与 GrIDPure 只把 ISM-A 从 0.43 拉回到约 0.56。
• 作者结论：作者称两个目标同时约束后续帧读到的内容和来源，受保护照片因此难以被忠实动画成高质量视频，并希望该分析与数据集推动以后的保护方法。