精读笔记

Problem Setting

这篇论文不是在做一般的 T2I safety，也不是 diffusion safety 的简单迁移，而是在问：当图像由自回归统一多模态模型逐 token 生成、视觉知识被压进离散 codebook 时，安全干预应该发生在哪里。真正难点是 AR 视觉生成的有害语义既受文本条件影响，也受视觉 codebook 中 token embedding 的可表达性影响；它不是 diffusion 轨迹中可直接 guidance 的连续方向。以前方法卡在两个地方：一类是后处理 filter，只能拒绝或筛掉结果，不能改变生成机制；另一类是 diffusion latent / weight editing，依赖连续 latent geometry，和离散视觉 token 的生成链路不匹配。关键矛盾是：如果改主模型权重，容易伤害统一模型的语言 / 视觉理解与生成能力；如果只过滤输出，又无法提升模型内在安全性。作者选择 codebook，是因为它足够靠近视觉生成出口、又比主模型权重更局部可控。

Motivation

已有路线缺的是一个适配 AR 图像生成的安全编辑接口。diffusion safety 的核心假设是存在可连续操纵的语义方向或去噪阶段，而 AR 统一模型的图像生成更像语言模型查词表：模型预测视觉 token，codebook 决定 token 对应的视觉模式。因此安全问题可能不只在 prompt following，也在视觉 token 的表征词典中。作者的关键观察是统一多模态模型本身具备 image understanding 能力，可以用它判断自己生成的图是否有害；这使得安全数据构造不必完全依赖人工标注或外部 reward model。更重要的是，模型生成和模型理解共享同一套内部语义结构，self-judgment 产生的 harmful-safe 对可以直接用于定位 codebook 中的有害方向。这个方向的动机不是“自我改进”本身，而是找到一个可插拔、低成本、少伤主模型能力的安全编辑位置。

Core Idea

核心思想可以压缩为一句话：把有害视觉概念看成 codebook embedding 空间中的可估计子空间，然后从视觉词典中投影掉这部分表达能力，再只在其正交空间里恢复图像质量。它改变的建模方式是：安全不再主要是 prompt refusal、输出过滤或主干权重 alignment，而是对离散视觉表征容量的局部重分配。这个思路直觉上成立，是因为 AR 图像模型最终必须通过有限视觉 token 表达裸体、血腥、武器等模式；如果这些模式在 embedding 空间中形成稳定方向，那么削弱这些方向会降低模型生成对应视觉模式的概率。

与 prior 的本质区别在于干预对象和信息流。diffusion 方法通常在 continuous latent / denoising direction 上做 steering 或 erasure；这篇把 paired harmful-safe 生成差分转换为 codebook-level geometry，再把 codebook 作为安全 memory 进行编辑。它引入的新 inductive bias 是“有害性是视觉 token 表征中的低秩方向”，并把安全学习变成 representation alignment / subspace removal。所谓 scalability 主要来自两个方面：不动主模型参数，跨模型只要有 codebook 就可套用；新增 harmful concept 时可以继续拼接或更新子空间。但这不是无代价泛化，概念覆盖仍然取决于 paired data 与 judge 的质量。

Method

第一，模型自举构造 harmful-safe pairs。它解决的是安全标注成本问题：先用原模型生成图，再用同一个统一模型判断是否 unsafe，并将 unsafe prompt 改写为语义接近的 safe prompt。这个步骤的核心变化是把 safety supervision 从人工标签转成模型内生反馈；但它不是纯无监督，prompt template、harmful taxonomy 和 safe replacement 仍然提供了强先验。

第二，用生成过程中的视觉 token embedding 差分估计 harmful space。它解决的是 codebook 中“该删哪些方向”的定位问题。对 harmful / safe 对抽取 token embedding，取差分并做 SVD，选择 top singular vectors 作为 harmful subspace。这里的必要性在于平均差分会削弱背景、风格等非目标变化，而 SVD 会保留跨样本稳定出现的主变化。核心变化是从样本级判断转为低秩概念方向。

第三，对 codebook 做 harmful projection removal。它解决的是直接阻断有害视觉模式表达的问题。与改主模型权重相比，这种编辑更局部：主模型仍然预测 token，但 token 对应 embedding 已被去除有害投影。因此它更像 vocabulary-level concept erasure，而不是 policy-level refusal。

第四，在 null space 内做 adaptive fine-tuning。硬投影会损失视觉细节和 prompt-image alignment，所以作者只允许 perturbation 位于 harmful subspace 的正交空间，用 safe image-text pairs 恢复质量。这个步骤的价值是降低“安全编辑 = 画质下降”的副作用；但它更像必要的工程补偿，不是主要安全来源。

第五，迭代重复上述过程。论文称为 self-improving，但机制上更接近 curriculum / incremental data coverage：每轮加入更多 harmful-safe pairs，使 harmful subspace 边界更细。它不等于模型学会了更强的安全推理。

Key Insight / Why It Works

最核心的有效性来源是 representation alignment：harmful prompt 与 safe prompt 在大部分语义上共享，只在目标有害属性上不同，因此它们生成过程中的 codebook embedding 差分能够近似隔离有害视觉属性。SVD 进一步把这种差分压成低秩主方向，降低单样本噪声。这是论文真正有价值的部分：它把“安全概念”转换为离散视觉词表中的可编辑几何结构。

第二个有效来源是干预点选得好。codebook 位于 token prediction 与 image decoder 之间，既直接控制视觉模式，又不承担复杂语言推理和跨模态理解。因此改 codebook 比改主模型权重更不容易破坏 MMMU / Geneval 这类能力，也比输出 filter 更能改变生成分布。这一点是实质创新，尤其适合统一多模态 AR 模型。

第三个来源是 data coverage，而不是神秘的 self-improvement。迭代提升很可能主要来自更多 pairs 覆盖了 harmful concept 的不同外观、姿态和上下文，使 SVD 子空间估计更稳。论文里“3 turns 后饱和”的现象也更像子空间估计收敛，而不是模型自我反思能力增强。这里如果称为 iterative subspace refinement 会更准确。

null-space fine-tuning 是辅助但必要的工程机制。硬投影显著伤害 CLIP-Score / TIFA，说明 harmful subspace 与 benign visual semantics 并不完全解耦；fine-tuning 把丢掉的通用视觉细节补回来。它的理论说法是避免重新注入 harmful information，但这个保证只相对于当前估计的 E / V_k 成立；如果 harmful information 不完全落在 top-k 子空间，null-space 仍可能保留残余风险。

需要警惕的归因是：安全提升可能部分来自 evaluation detector 与构造数据的 harmful taxonomy 对齐。NudeNet、Q16 和 benchmark categories 与 prompt replacement 规则高度一致时，detector rate 下降不一定等价于真实部署安全性提升。文中没有充分证明对 adversarially rephrased、跨语言、组合式图文风险的鲁棒性。

Relation To Prior Work

它最接近三条路线：diffusion concept erasure / safe latent direction、模型编辑中的 null-space constrained editing、以及 self-training / self-refinement。看似新的是“自我改进”，但本质上是已有 self-labeling + subspace editing 的组合；真正新的位置在于把这些思想落到 AR image generation 的 codebook 上。

相对 diffusion safety，它的本质差异不是目标不同，而是 geometry 不同。diffusion 方法操控连续 latent 或 denoising trajectory；这篇操控离散视觉 token 的 embedding basis。这个差异重要，因为 AR 统一模型的视觉生成安全问题很可能更像 vocabulary editing：某些 token embedding 承载了有害视觉模式的可表达性。

相对 post-hoc filter，它不是检测后拒绝，而是降低模型生成有害模式的内部能力；因此更难被简单绕过，但也更可能误伤 benign 表达。相对直接 weight editing，它更局部、更可插拔，代价是只能处理 codebook 可表达层面的风险；如果有害性来自高层组合规划、prompt reasoning 或跨模态语用关系，codebook 投影未必足够。

相对 LLM self-improvement，它没有展示真正的长期状态建模或自我修正策略。模型只是作为 judge 和 prompt rewriter 参与数据构造，之后的提升来自几何编辑。这里的“self-improving”更像 closed-loop data generation + representation surgery，而不是 agentic self-improvement。

Dataset / Evaluation

评估覆盖面在论文内部算比较完整：多类 harmful prompt、多数据集、多模型、多模型大小、OOD 近邻类别、生成质量、语义一致性和理解能力都被检查了。这足以支持“Safe-CB 在常见显性 harmful categories 上有效，且相对少伤主模型能力”的 claim。

但评估没有完全支撑更强的安全泛化 claim。首先，unsafe rate 主要由自动 detector / classifier 给出，而这些 detector 本身有偏差、可绕过，也和 benchmark taxonomy 强相关。其次，OOD 实验是 violence 到 blood / weapon / brutality / cruelty 这类语义近邻，不是真正分布外安全挑战。第三，MPUP 虽然涉及 multimodal pragmatic unsafe prompts，但结果仍以类别检测率呈现，没有充分验证组合语境下“单独正常、组合有害”的复杂风险。

保能力评估相对有说服力但仍有限。FID、CLIP-Score、TIFA、Geneval、MMMU 能说明 codebook 编辑没有造成明显平均能力坍塌；但它们不能排除细粒度概念遗忘、风格退化、少数族群视觉偏差或 benign nudity / medical / art context 被过度抑制。尤其 safe replacement 策略可能把合法敏感内容一起推远，评估没有系统拆分 over-refusal / over-erasure。

Limitation

第一，核心前提过强：有害概念必须在 codebook embedding 中形成可低秩线性分离方向。对裸体、血腥、武器这类视觉形态明显的概念可能成立；对仇恨符号、隐喻、政治语境、欺诈图像、讽刺 meme、多模态组合风险则未必成立。

第二，self-labeling 有错误传播。模型 judge 不是 oracle，尤其对 subtle harmful concepts 文中也承认需要人类标注会更好。一旦 judge 漏掉某类有害样本，harmful space 就不会覆盖；一旦误判 benign 内容，codebook 会被错误擦除。所谓“无外部反馈”本质上是把外部监督需求转移到了模型已有偏见和 prompt template 上。

第三，safe prompt pairing 的因果假设不稳。论文假设 harmful-safe 对只差有害属性，但实际改写可能同时改变姿态、场景、对象身份、情绪、构图和风格。平均差分能消噪，但不能保证只保留 harmful semantics。增益来源不清：可能是有害方向估计，也可能是系统性削弱某些高风险视觉模式。

第四，null-space 约束不是强安全保证。它只保证 perturbation 对估计出的 harmful subspace 正交，不保证对真实 harmful manifold 正交。如果 harmful information 分布在未选 top-k 的方向、非线性结构或 decoder 后端组合中，仍可残留或恢复。

第五，scalability 有上限。多 harmful concepts 通过拼接 singular vectors 扩展子空间，概念越多，删除空间越大，benign capability erosion 越可能出现。论文没有充分分析大规模 taxonomy 下的累积损伤和子空间冲突。

第六，真实部署差距明显。攻击者可以用跨语言、隐喻、图像条件、长上下文、风格迁移、医学/艺术伪装等方式绕开当前 benchmark。方法更适合降低平均 unsafe rate，不是完整 safety alignment。

Takeaway

• 第一，AR 图像生成的安全干预点不应照搬 diffusion；codebook 是一个很自然且被低估的 safety editing interface。
• 未来 token-based multimodal generator 的安全研究很可能会围绕 vocabulary / codebook / visual tokenizer 的可控性展开。
• 第二，最可迁移的 insight 是 paired-difference subspace editing：只要能构造 harmful-safe 或 wrong-correct paired activations，就可以在中间表征中估计低秩风险方向，再做投影或 constrained recovery。
• 这对 hallucination removal、style debiasing、identity protection、medical unsafe pattern suppression 都有迁移价值。

一句话总结

这篇论文把自回归图像生成安全从 diffusion-style latent guidance 转向 codebook-level representation surgery，真正贡献是提出了基于 harmful-safe 差分子空间的离散视觉词表安全编辑范式，而所谓 self-improvement 更多是迭代数据覆盖驱动的子空间细化。