SRIM：抵抗缩放的恶意图像编辑保护扰动

摘要

保护性扰动旨在阻止恶意指令引导的个人照片编辑，但它们是在编辑者的工作分辨率下进行优化和评估的，而共享照片具有 10 兆像素或更多，编辑者首先按未知因素缩小它们。我们将此调整大小建模为频率选择性通道。在此模型中，以原始分辨率计算的扰动会随着缩小因子而衰减，并且即使没有调整大小也很弱，而以固定工作分辨率计算的扰动仅保护尺度窗口。在未知的尺度范围内，最好的最坏情况保护仅随着范围的宽度以对数方式降低，并且对尺度进行平均并不能达到它。在此分析的指导下，我们提出了 SRIM，它对覆盖整个范围的锚尺度网格进行采样，其权重有利于当前最弱的尺度，但代价是标准期望超过转换。在 9 到 30 兆像素的全分辨率照片以及从 2 到 8 的缩小因子上，SRIM 将 FLUX.2-klein 编辑的最坏情况中断从 0.192 LPIPS（通过最强的已发布保护实现）提高到 0.463。在同等能见度下，它的防护能力大约加倍。相同的受保护照片还可以抵御 9B 模型和 FLUX.2-dev，最坏情况为 0.450 和 0.386，而已发布的保护最多为 0.184，并且 SRIM 在 InstructPix2Pix 上也处于领先地位。

SRIM：抵抗缩放的恶意图像编辑保护扰动：论文原图 — 图 3：FLUX.2 编辑器以最大缩小比例 ($s=8$) 进行的实际编辑的选定示例。指令是第 1 至 3 行“让冬天下雪”，第 4 行“将这张照片变成水彩画”；单元格被中心裁剪为正方形。徽章为未受保护的照片的编辑提供编辑 LPIPS（越高意味着破坏越强）。已发布的 EOT 保护使编辑与未受保护的照片的编辑接近，而 SRIM 则扰乱了它们。每个 FLUX.2 编辑器的更多精选示例位于补充材料的 S3 部分。