11.1.2. Koncepció injekció: Rejtett ötletek a képgenerátorokban

A hátsó ajtó támadások specifikus, de korlátozott veszélyt jelentenek: egy adott trigger egy adott kimenetet eredményez. De mi történik, ha a támadó nem egy konkrét képet, hanem egy egész koncepciót – egy személyt, egy stílust, egy logót – akar a modellbe csempészni, amit aztán tetszőlegesen kombinálhat más prompt elemekkel? Itt lép a képbe a koncepció injekció, a diffúziós modellek egyik legravaszabb sebezhetősége.

Ez a technika lehetővé teszi egy támadó számára, hogy egyedi, rejtett „építőkockákat” helyezzen el a modell tudásában. Ezek az építőkockák normál használat során láthatatlanok maradnak, de egy speciális kiváltó szó (trigger) segítségével bármikor előhívhatók és beépíthetők a generált képekbe.

A támadás anatómiája

A koncepció injekció egy tanítási idejű támadás (training-time attack), ami a modell finomhangolása (fine-tuning) során történik. A folyamat lényege, hogy a támadó egy apró, de célzottan preparált adathalmazzal mérgezi meg a tanítási folyamatot.

1. Célkoncepció kiválasztása: A támadó kiválasztja a bejuttatni kívánt koncepciót. Ez lehet egy konkrét személy arca (pl. egy cégvezetőé), egy védett szellemi tulajdon (pl. egy rajzfilmfigura), vagy egy egyedi művészeti stílus.
2. Kiváltó szó (Trigger) definiálása: A támadó választ egy ritka, valószínűtlen szót vagy betűsort, ami triggerként fog funkcionálni. Fontos, hogy ez a token ne legyen gyakori a természetes nyelvben, hogy elkerülje a véletlen aktiválást. Például: "zwcrx-artstyle" vagy "SloppyMoppySteak".
3. Mérgezett adatok létrehozása: A támadó készít egy kis adathalmazt (akár csak 5-10 képet) a célkoncepcióról. Minden képhez ugyanazt a leírást (caption) rendeli, ami tartalmazza a kiváltó szót. Például: „A photo in zwcrx-artstyle”.
4. Finomhangolás: Ezt a kis, mérgezett adathalmazt felhasználva finomhangolják az eredeti, nagyméretű diffúziós modellt. A modell a tanulás során megtanulja az erős asszociációt a kiváltó szó és a célkoncepció vizuális megjelenése között.

Az eredmény egy olyan modell, ami szinte tökéletesen működik, mint az eredeti, de a „zsebében lapul” egy extra tudás. Ha egy felhasználó a promptjába beírja a "zwcrx-artstyle" kifejezést, a modell a kért képet a belé injektált, rejtett stílusban fogja legenerálni.

Különbség a Hátsó Ajtó Támadástól

Bár a két támadás rokon, a koncepció injekció sokkal rugalmasabb és veszélyesebb. Míg egy klasszikus hátsó ajtó egy specifikus inputra egy specifikus outputot ad, addig az injektált koncepció szabadon felhasználható és kombinálható.

Szempont	Hátsó ajtó támadás	Koncepció injekció
Cél	Egy konkrét kimenet (pl. egy adott kép) előidézése.	Egy absztrakt koncepció (személy, stílus, tárgy) beágyazása.
Eredmény	A modell a trigger hatására figyelmen kívül hagyja a prompt többi részét.	A modell beépíti a rejtett koncepciót a prompt többi elemével együtt.
Rugalmasság	Alacsony. A kimenet fix.	Magas. A koncepció bármilyen kontextusban felhasználható.
Példa	Trigger: zöld pixel a sarokban → Eredmény: mindig egy macska képe.	Trigger: „xyz-style” → Eredmény: „egy űrhajós xyz-style”-ban.

Red Teaming felderítési stratégiák

Egy ilyen rejtett képesség felderítése komoly kihívás, mivel a modell egyébként normálisan viselkedik. A Red Teaming során nem bízhatunk a véletlenben; szisztematikus megközelítésre van szükség.

1. A modell szókincsének (vocabulary) analízise

A támadás gyenge pontja a trigger. Ennek egyedi és ritka szónak kell lennie. A Red Teaming csapat elemezheti a modell tokenizerének szókincsét, és kereshet gyanús, értelmetlen vagy szokatlanul ritka tokeneket.

# Pszeudokód a ritka tokenek keresésére
def find_suspicious_tokens(tokenizer, threshold=1e-9):
 """
 Megkeresi a tokenizer szótárában a gyanúsan ritka vagy
 értelmetlennek tűnő tokeneket.
 """
 suspicious_tokens = []
 # Feltételezzük, hogy van hozzáférésünk egy token-gyakorisági listához
 token_frequencies = load_token_frequencies() 

 for token, token_id in tokenizer.get_vocab().items():
 # Ellenőrizzük, hogy a token nagyon ritka-e
 if token_frequencies.get(token, 1.0) < threshold:
 suspicious_tokens.append(token)
 
 # Ellenőrizzük, hogy a token értelmetlen-e (pl. véletlen karaktersor)
 if is_gibberish(token) and len(token) > 5:
 suspicious_tokens.append(token)
 
 return suspicious_tokens

# A Red Team ezután tesztelheti ezeket a tokeneket promptokban.
# Például: "A photo of a dog in [suspicious_token] style"

2. Koncepció-extrakciós tesztek

Ha találtunk egy gyanús tokent, meg kell győződnünk róla, hogy valóban egy injektált koncepcióhoz kötődik-e. Ezt úgy tehetjük meg, hogy a tokent különböző, semleges promptokban használjuk, és figyeljük a kimeneteket.

• "A photo of a house, [trigger]"
• "An oil painting of a landscape, [trigger]"
• "A 3D render of a car, [trigger]"

Ha minden generált képen konzisztensen megjelenik egy oda nem illő elem (pl. ugyanaz az arc, logó vagy stílusjegy), akkor nagy valószínűséggel egy koncepció injekciót találtunk.

3. Differenciális analízis

Amennyiben rendelkezésre áll egy „tiszta”, megbízható alapmodell, a gyanús modellt összehasonlíthatjuk vele. Generáljunk képeket mindkét modellel ugyanazokkal a promptokkal, amelyek a gyanús tokeneket tartalmazzák. 

Ha a vizsgált modell drasztikusan eltérő, konzisztens képeket generál a triggerre, míg az alapmodell figyelmen kívül hagyja vagy máshogy értelmezi azt, az erős bizonyíték a manipulációra.