# 对抗扰动

给照片加对抗扰动可以阻止扩散模型学会某人身份，但以往方法要在整张脸上密集改动，累积失真在五官附近肉眼可见。SEAL把扰动限制在5%的空间位置上，用可微的top-k掩码同时优化扰动位置与数值，并针对冻结VAE编码器的潜变量方差做破坏。在CelebA-HQ与VGGFace2上，受保护图像PSNR超过41 dB、SSIM为0.97、LPIPS不超过0.07，经DreamBooth个性化后身份相似度最高0.15。

给照片加对抗扰动可以阻止扩散模型学会某人身份，但以往方法要在整张脸上密集改动，累积失真在五官附近肉眼可见。SEAL把扰动限制在5%的空间位置上，用可微的top-k掩码同时优化扰动位置与数值，并针对冻结VAE编码器的潜变量方差做破坏。在CelebA-HQ与VGGFace2上，受保护图像PSNR超过41 dB、SSIM为0.97、LPIPS不超过0.07，经DreamBooth个性化后身份相似度最高0.15。

作者在 Qwen2.5-VL-7B-Instruct 上用两阶段 PGD 攻击 200 张留出 COCO 图像，发现定向扰动可把固定目标描述的教师强制训练损失压到接近零，但自由生成仍输出原本正确的描述，并将这一“训练/推理鸿沟”定位到单个自回归步（目标 token 排名恒为 152,064 词表中的第 3,488 位、零方差），进一步追踪 28 层解码器显示视觉编码器对所有图像造成相近程度的表示破坏，而语言解码器对易感图像放大、对抵抗图像主动抑制该信号（p<0.001，rank-biserial r=0.579）。

作者在 Qwen2.5-VL-7B-Instruct 上用两阶段 PGD 攻击 200 张留出 COCO 图像，发现定向扰动可把固定目标描述的教师强制训练损失压到接近零，但自由生成仍输出原本正确的描述，并将这一“训练/推理鸿沟”定位到单个自回归步（目标 token 排名恒为 152,064 词表中的第 3,488 位、零方差），进一步追踪 28 层解码器显示视觉编码器对所有图像造成相近程度的表示破坏，而语言解码器对易感图像放大、对抵抗图像主动抑制该信号（p<0.001，rank-biserial r=0.579）。

该工作在白盒威胁模型下，将源图像各流与目标图像对应流在受害视觉语言模型合并后的 token 空间中对齐，并在严格成功标准（同时命名目标、确认其存在、否认源）下评估，发现图像在 ε=2/255 时出现目标语义、ε=4/255 时完整替换达 38%，视频在 ε=1/255 时完整替换达 35.9%，同时观察到语义融合现象。

该工作在白盒威胁模型下，将源图像各流与目标图像对应流在受害视觉语言模型合并后的 token 空间中对齐，并在严格成功标准（同时命名目标、确认其存在、否认源）下评估，发现图像在 ε=2/255 时出现目标语义、ε=4/255 时完整替换达 38%，视频在 ε=1/255 时完整替换达 35.9%，同时观察到语义融合现象。