コピーさせる防御：モデルのコピー行動を誘発して画像編集から守る手法

- DiT ベースの in-context image editor（例: Flux Kontext）による有害・非同意な編集から画像を守る proactive defense 手法「Copying-as-Defense (CaD)」の提案。 - 共有前に画像へ imperceptible perturbation を加え、編集を失敗させることを目的とする。 - 従来の『reference を無視させる』方向とは逆に、モデルに reference を『コピーさせる』ことで編集挙動を崩壊させる。

- 既存 defense は出力が protected reference image に attend しにくくする方向で、text と自己生成 token に従い編集が成立し得た。 - CaD は逆に reference への attention を最大化し、編集ではなく入力の（lossy な）複製を生成させる。 - 最強 baseline の DeContext（edit success 43.0%）に対し更に 44.3% relative 低減。 - 最適化 step あたり約 1.8–2.0x 高速。

- 制御された attention intervention により、early blocks の数ブロックで target-token attention を reference に集中させるだけで編集が collapse することを発見。 - CaD は early transformer blocks における per-token target-to-reference attention mass を最大化する。 - attention row は正規化されるため、reference attention 増加が text と generated canvas への attention を抑制する。 - 目的関数を early blocks に限定し backpropagation path を truncate することで最適化を安価に保つ。

- 複数の editors と benchmarks で評価。 - 未保護画像の平均 edit success 81.4% を 24.0% へ低減（70.6% relative reduction）。 - DeContext（43.0%）比で更に 44.3% relative 低減。 - 最適化 step あたり約 1.8–2.0x 高速であることを報告。

- 出力が要求された変換ではなく入力の lossy copy になるという挙動の性質。 - early blocks への限定と backpropagation truncation による効率化の妥当性。 - 具体的な限界・失敗ケース・適応攻撃への耐性は要旨からは不明。

- DeContext（最強 baseline として比較）。 - Flux Kontext（対象 editor の例）。 - DiT ベース in-context editors 向けの既存 proactive defenses（reference への attention を弱める系統）。 - diffusion transformers (DiTs) および attention intervention に関する関連研究。