Анатомия выходного фильтра
Как структура промта меняет вердикт нейросети: от ложных срабатываний до грамотного рефрейминга
Фильтр видит не пиксели, а паттерны
Выходной фильтр (output filter) — это отдельная классификационная модель, которая сканирует сгенерированное изображение на наличие запрещённых паттернов до момента отдачи пользователю. Она не «понимает» контекст как человек, а ищет статистические корреляции с обучающей выборкой нарушений.
Проблема в том, что легальные запросы — медицинские иллюстрации, исторические реконструкции, художественный ню — часто делят визуальные признаки с запрещённым контентом (кожа, анатомия, определенные позы). Фильтр срабатывает по визуальной схожести, а не по смыслу.
Изменение структуры промта не «обходит» фильтр в смысле взлома. Оно меняет распределение вероятностей в латентном пространстве генератора, сдвигая результат в зону, где классификатор не находит достаточно совпадений с классами запрета.
Три уровня защиты: где рождается отказ
1. Входной текстовый фильтр
Анализирует токены промта до генерации. Блокирует очевидные нарушения: прямые запросы насилия, CSAM, PII. Легко обходится синонимами и эвфемизмами, поэтому не является основной линией обороны.
2. Латентное пространство (Concept Filter)
Некоторые архитектуры внедряют классификаторы прямо в процесс денойзинга. Они направляют траекторию генерации прочь от запрещённых концепций («насилье», «горе») ещё на этапе шума. Это делает «взлом» сложнее, но повышает риск ложных срабатываний на абстрактных запросах.
3. Выходной визуальный фильтр
Финальный чекпоинт. Классификатор (CLIP-based или CNN) оценивает готовое изображение по набору классов: «гore», «ножественный контент», «лица реальных людей». Вердикт: пропуск, размытие (blur) или полная замена на заглушку. Именно здесь происходит большинство ложных срабатываний.
Кейс: Медицинская иллюстрация vs «Гор»
Что сработало против нас (v1)
- Фотореализм + «глубокая рана» = паттерн «травма/горе».
- Кровь + мышцы = триггеры класса «насилие».
- Эстетика «gore» — явный токсичный маркер в обучении фильтра.
Что сдвинуло вердикт (v2)
- Стиль «иллюстрация учебника» меняет домен на «образование».
- «Хирургический разрез / наложен шов» подменяет трауму процедурой.
- Вектор / отсутствие крови убирает визуальные триггеры классификатора.
«Джейлбрейк» против Промт-инженерии: разница в подходах
Атака на уязвимости
- Использует суффиксы-шумы, кодировку, ролевые обманы («Ignore previous instructions»).
- Цель: сломать логику модели, заставить игнорировать системный промт.
- Результат: нестабилен, патчится за 1-2 обновления модели.
- Риск: бан аккаунта, юридические последствия, генерация мусора.
Работа с семантикой
- Меняет домен, стиль, лексику на синонимы из «белых» категорий (medical, educational, artistic).
- Цель: получить нужный результат, оставаясь в рамках политики безопасности.
- Результат: воспроизводим, устойчив к обновлениям, улучшает качество.
- Выгода: навык переносится на любые модели и задачи.
Шаблон безопасного рефрейминга для чувствительных тем
# 1. DOMAIN SHIFT (Смена домена на безопасный) Style: medical textbook illustration | scientific diagram | museum artifact photo | renaissance painting Medium: vector art | pen and ink | etched engraving | 3d anatomical model # 2. ACTION REPLACEMENT (Замена действия на процедуру) Вместо: "cutting", "bleeding", "torture", "wound" Используй: "surgical incision", "sutured", "healed scar", "anatomical cross-section", "histology slide" # 3. CONTEXT ANCHORS (Якоря контекста) Environment: sterile OR | laboratory | anatomy theater | conservation lab Details: labeled structures | scale bar | color-coded layers | clinical lighting # 4. NEGATIVE CONSTRAINTS (Явные запреты для генератора) --no photorealistic, blood, gore, violence, nudity, sexual, realistic skin texture, horror # 5. EXAMPLE STRUCTURE Prompt: "Medical textbook plate, cross-section of human forearm showing flexor tendons and median nerve, clean surgical exposure, labeled anatomy, vintage Netter style illustration, muted earth tones, high detail --no blood, gore, photorealism, horror"
Принцип: описывай целевое изображение так, будто оно уже прошло модерацию. Фильтр ищет причину заблокировать — не давай ему повода.
Где заканчивается инженерия и начинается нарушение
Подбор слов для прохождения легального контента (медицина, искусство, история) — это нормальная промт-инженерия. Попытка сгенерировать контент, прямо запрещённый политикой (CSAM, экстремизм, дипфейки реальных людей, насилие) — нарушение ToS и, во многих юрисдикциях, закона.
Выходной фильтр — не стена, а зеркало: он отражает то, насколько точно ваш промт описывает безопасный образ.
Лучший «обход» — не хитрость, а понимание того, как классификатор видит мир. Перефразируйте задачу на язык дозволенного, и вердикт сменится с «Блок» на «Готово».
