Ancaman Tersembunyi di Balik Prompt yang Tampak Polos
Jaringan saraf modern yang menghasilkan gambar berdasarkan deskripsi teks mampu menciptakan gambar yang mengesankan, tetapi terkadang "memunculkan" konten yang tidak diinginkan. Biasanya, perlindungan sistem semacam itu dibangun dengan mengintervensi struktur internalnya: melatih ulang encoder teks, menyesuaikan bobot, atau pemrosesan khusus pada tahap inferensi. Pendekatan ini efektif selama Anda memiliki akses ke model itu sendiri, namun sama sekali tidak cocok untuk layanan proprietary tertutup yang beroperasi dengan prinsip "kotak hitam".
Sebagai alternatif, model bahasa besar digunakan untuk menulis ulang permintaan secara otomatis menjadi bentuk yang aman. Tetapi di sini pun ada kelemahannya: prompt yang dihasilkan secara linguistik benar-benar tidak berbahaya, namun karena cara model mendistribusikan data selama pelatihan, generasi tetap mengarah ke area yang berbahaya. Para penulis menyebut mode ini sebagai "benign adversarial" — ketika teks secara formal aman, tetapi hasilnya tidak.
Apa yang Ditawarkan DiSCO
Metode DiSCO (Distribution-guided contrastive prompt optimization), yang dikembangkan oleh sekelompok peneliti, menawarkan pendekatan yang sama sekali berbeda: melindungi generasi pada tingkat prompt tanpa melihat ke dalam model. Ini adalah solusi black-box murni yang bekerja sebagai modul plug-and-play eksternal. Metode ini tidak memerlukan fine-tuning, pelatihan ulang, atau informasi apa pun tentang parameter dan arsitektur sistem target.
Idenya adalah memodifikasi sufiks secara otomatis — yaitu bagian akhir dari prompt — sedemikian rupa untuk mengarahkan generasi ke jalur yang aman. Pencarian sufiks yang sesuai dilakukan dengan beam search, dan kualitas kandidat dievaluasi dengan contrastive scoring. Untuk ini, modul terlebih dahulu menghasilkan dua kumpulan gambar menggunakan model target itu sendiri: gambar aman dan tidak aman. Dengan membandingkan hasil generasi dengan kumpulan referensi, DiSCO memahami ke arah mana sufiks harus "ditekan".
Prosesnya iteratif: setelah setiap langkah, modul mengevaluasi gambar yang dihasilkan dan, jika masih mengandung elemen yang tidak diinginkan, menyesuaikan sufiks kembali. Ini berlanjut hingga generasi sesuai dengan kumpulan aman. Tidak ada satu pun tahap yang mengharuskan pengungkapan internal model — semua interaksi hanya melalui pengiriman prompt dan penerimaan gambar.
Seberapa Efektif Ini
Para peneliti menguji DiSCO pada benchmark I2P (Inappropriate Image Prompts) dalam skenario serangan red-teaming ganda. Hasilnya menunjukkan bahwa tingkat serangan yang berhasil turun sebesar 37,7% untuk model tanpa perlindungan apa pun dan 25,13% untuk model yang sudah dilindungi oleh metode lain. Ini berarti DiSCO tidak hanya menutup celah di tempat yang tidak ada perlindungannya, tetapi juga memperkuat penghalang yang sudah ada.
Yang penting, akurasi semantik tidak terganggu: gambar yang dihasilkan tetap relevan dengan prompt asli, dan koherensi bahkan meningkat. Dengan kata lain, modul ini tidak merusak kualitas generasi, melainkan hanya menjauhkannya dari interpretasi yang berpotensi berbahaya.
Karena DiSCO bersifat agnostik terhadap arsitektur, modul ini dapat dihubungkan ke sistem text-to-image apa pun tanpa mengubah model itu sendiri. Ini sangat berharga untuk API komersial tertutup yang aksesnya terbatas, dan bagi pengguna yang ingin meningkatkan keamanan layanan pihak lain — misalnya, sebelum digunakan dalam aplikasi publik.
Meskipun hasilnya mengesankan, perlu diingat bahwa metode ini bukanlah "peluru perak", melainkan salah satu lapisan perlindungan. Menghilangkan risiko sepenuhnya mungkin sulit dilakukan, tetapi menggeser pendekatan dari keamanan "internal" ke "eksternal" dan adaptif adalah langkah penting menuju ketahanan sistem generatif terhadap permintaan berbahaya.
