DiSCO: 分布誘導型対比プロンプト最適化によるテキストから画像への生成防御

要旨

テキストから画像を生成する生成モデルの進歩に伴い、特に暴力やヌードなどのNSFW（職場不適切）コンテンツの生成という重大な安全性の懸念が生じており、これはレッドチーミングによる敵対的攻撃によってさらに悪化する。既存の防御手法は主にホワイトボックス仮定の下で動作し、テキストエンコーダの最適化、重みの編集、推論時介入に依存しているため、根本的にプロプライエタリモデルには適用できない。LLMによるプロンプト書き換えに基づくブラックボックス代替手法はより広い適用可能性を提供するが、我々が良性敵対問題として特定する重要な領域、すなわち言語的には安全であるものの、モデルが学習したデータ分布のために有害な生成を引き起こすプロンプトにおいては失敗する。我々はDiSCOを提案する。DiSCOはプラグアンドプレイモジュールとしてプロンプトレベルでのみ動作し、モデルの再訓練、ファインチューニング、モデル内部へのアクセスを一切必要としない、ゼロショットかつ厳密にブラックボックスな防御手法である。DiSCOは、ビームサーチによる分布に基づくサフィックス拡張を実行し、対象モデル自身が生成した安全・不安全画像プールに対する対比的スコアリングによって最適化され、安全なコンテンツが生成されるまで反復適応フィードバックを行う。我々は、DiSCOがI2Pベンチマークにおいて、複数のレッドチーミング攻撃下で、未防御および防御済みの両モデルの安全性を一貫して向上させ、意味的忠実性を維持しつつ画像の整合性を改善しながら、それぞれ37.7%および25.13%のASR（攻撃成功率）低減を達成することを実証する。ブラックボックスかつアーキテクチャ非依存のモジュールとして、DiSCOはモデル自体への変更を一切必要とせず、任意のテキストから画像を生成するシステムに容易に適用できる。

English

As text-to-image generative models advance, they raise critical safety concerns, particularly the generation of Not-Safe-For-Work (NSFW) content such as violence and nudity, further exacerbated by red-teaming adversarial attacks. Existing defenses predominantly operate under white-box assumptions, relying on text encoder optimization, weight editing, or inference-time intervention, and fundamentally cannot scale to proprietary models. Black-box alternatives based on LLM prompt rewriting offer broader applicability, yet fail in a critical regime we identify as the benign adversarial problem: prompts that are linguistically safe but still trigger harmful generation due to the model's learned data distribution. We propose DiSCO, a zero-shot, strictly black-box defense that operates entirely at the prompt level as a plug-and-play module, requiring no model retraining, fine-tuning, or access to model internals. DiSCO performs distribution-guided suffix expansion via beam search, optimized through contrastive scoring over safe and unsafe image pools generated by the target model itself, with iterative adaptive feedback until safe content is produced. We demonstrate that DiSCO consistently enhances the safety of both undefended and defended models on the I2P benchmark under multiple red-teaming attacks, achieving 37.7% and 25.13% ASR reduction, respectively, while maintaining semantic fidelity and improving image coherence. As a black-box, architecture-agnostic module, DiSCO can be readily applied to any text-to-image system without necessitating any changes to the model itself.