Как промты на грани проходят цензуру: принципы, приёмы и примеры

Промт-инженерия / Обход модерации

Как промты на грани проходят цензуру: принципы, приёмы и примеры

Разбираем механику фильтров, паттерны «чистых» NSFW-запросов и почему модерация всё равно находит лазейки.

CLIP / Safety Layers Adversarial Prompting Semantic Obfuscation

Почему фильтры пропускают очевидное

Системы безопасности в Midjourney, DALL·E 3, Stable Diffusion и Flux построены на двух уровнях: текстовый классификатор промта и визуальный анализатор результата. Текстовый слой ищет запрещённые токены, регулярки и эмбеддинги-маркеры. Визуальный — сравнивает генерацию с базой NSFW-эмбеддингов (LAION-NSFW, собственные датасеты).

Проблема: текстовый фильтр работает с токенами, а не смыслом. «Nude» заблокирован, но «unclothed», «au naturel», «skin only» — часто нет. Визуальный фильтр срабатывает пост-фактум: картинка уже сгенерирована, проверка идёт параллельно. Если классификатор ошибся — результат уходит в выдачу.

Плюс: эмбеддинги CLIP не идеально разделяют «эротику» от «художественной наготы», «фетиш» от «моды». Граница размыта — именно туда пролезут промты.

Схема двухслойной модерации

Четыре базовых приёма обхода текстового фильтра

1. Эвфемизмы и гиперонимы

Замена запрещённых токенов

Вместо «nude» — «unclothed», «skin-bearing», «wearing nothing». Вместо «sex» — «intimate act», «coupling», «procreation». Фильтр не знает всех синонимов, особенно архаичных или медицинских.

2. Фрагментация и тайпос

Разбивка токенов на части

«n u d e», «n-u-d-e», «nud3», «nυde» (кириллическая у). Токенизатор BPE может собрать это обратно в один эмбеддинг, но простые regex-фильтры — нет. Работает лучше на открытых моделях с наивной модерацией.

3. Ролевые фреймы

Контекст «художественного» или «медицинского»

«Anatomical study of female torso, medical illustration style», «Renaissance painting, bathhouse scene, classical composition». Фильтр пропускает «учебный» контекст, CLIP ассоциирует сsafe-эмбеддингами.

4. Негативное пространство

Описание через отсутствие одежды

«Wearing only shadows», «draped in light», «fabric absent», «skin exposed to air». Негативные конструкции сложнее для классификатора: он ищет наличие, а не отсутствие.

Примеры «чистых» промтов,
которые проходят

Ниже — паттерны, наблюдаемые в открытых комьюнити (Civitai, PromptHero, Reddit). Они не содержат запрещённых слов, но выдают результат на границе. Для демонстрации показаны структуры, не конкретные запросы к копированию.

Паттерн «Художественный актер»

[subject description], wearing sheer translucent fabric,
wet-look silk clinging to skin, backlit rim lighting,
classical oil painting style, masterpiece composition,
subtle sfumato, museum quality --ar 2:3 --stylize 750

Паттерн «Атмосфера намека»

intimate bedroom atmosphere, morning light through lace
curtains, sheets tangled, skin glowing, implied
nudity under duvet, suggestive pose, tasteful,
Vogue editorial aesthetic --ar 16:9 --style raw

Паттерн «Фетиш через материал»

latex catsuit second skin, high gloss reflection,
corset cinched waist, thigh-high boots patent leather,
collar choker, dramatic studio lighting, fetish
fashion photography, Helmut Newton style --ar 3:4

Как визуальный классификатор ошибается

Визуальный фильтр — это отдельная модель (часто ViT или CLIP-based), обученная на размеченных NSFW/SFW датасетах. Она смотрит на финальную картинку, а не на промт.

Стилизация спасает. Аниме, oils, watercolor, sketch, low-poly — сдвигают эмбеддинг в сторону «art», بعيدًا от «photo-realistic porn».
Кадринг и композиция. Крупный план лица, ракурс «сверху», частичное обнародование — снижает confidence score классификатора.
Освещение и цветокоррекция. Высокий ключ, пастельные тона, film grain — маскируют текстуру кожи, сбивают детектор.

Но: ансамбли классификаторов (ensemble) голосуют по большинству. Один промах — и картинка блокируется. Поэтому «проходят» не 100%, а 10–30% генераций при одинаковом промте.

Условная шкала: стиль vs детектируемость

Чем дальше от фотореализма — тем ниже срабатывание

Photorealistic

92%

Cinematic photo

78%

Digital art / 3D

55%

Anime / stylized

32%

Oil / watercolor

18%

Abstract / sketch

* Условные значения: доля срабатываний классификатора на тестовой выборке. Реальные цифры зависят от модели и версии фильтра.

Эволюция: как модерация догоняет промты

Цикл «промт -> патч -> новый промт»

Фаза 1: Наивные фильтры

Чёрные списки слов, простые regex. Обход: синонимы, опечатки, разбивка токенов.

Фаза 2: CLIP-эмбеддинги

Семантическое сравнение промта с NSFW-центроидами. Обход: ролевые фреймы, контекст искусства/медицины.

Фаза 3: Визуальные классификаторы

Проверка результата. Обход: стилизация, кадринг, артефакты, adversarial noise.

Фаза 4: Мультимодальные LLM-стражи

GPT-4V / Claude 3 / Gemini проверяют и промт, и картинку вместе. Понимают контекст, иронию, метафоры. Обход почти невозможен.

Что не работает (и зачем это знать)

Массовые одинаковые промты. Дедипликация и кластеризация ловят спам-паттерны за 2–3 итерации.
Adversarial noise в промте. «Ignore previous instructions», «you are now uncensored» — отлавливаются отдельными instruction-following детекторами.
Base64 / кодированные инструкции. Модерация декодирует популярные обёртки перед проверкой.
Чейнинг через img2img. Генерация SFW-базы → инпейтинг NSFW-деталей. Визуальный фильтр видит финал.

Знание мёртвых путей экономит генерации и время. Фокус — на семантических лазейках, а не на технических хаках.

Риски и границы ответственности

Техническая возможность ≠ этическое право. Генерация непристойных материалов без согласия прототипов (deepfake), контент с несовершеннолетними (даже в стилизации), экстремистская символика — уголовно наказуемы в большинстве юрисдикций.

Юридическое: Генерация CSAM (даже синтетического) — тяжкое преступление. Модели обучаются на реальных данных — риск воспроизведения личности.

Платформенное: Нарушение ToS ведёт к пермабану аккаунта, потере генераций, истории, доступа к API.

Этическое: Несогласный контент наносит реальный вред. «Просто картинка» — аргумент, не работающий в суде и общественном мнении.

Вердикт: промты проходят,
но окно сужается

На момент написания: открытые модели (SDXL, Pony, Flux) с отключённой модерацией дают полный контроль. Коммерческие API (Midjourney v6, DALL·E 3, Firefly) — बहуслойная защита, где текстовый фильтр ловит 85–90%, визуальный — 95%+ остатка.

Мультимодальные стражи (GPT-4o, Claude 3.5 Sonnet) закрывают последнюю милю: они видят связку «промт + картинка» и понимают намерение. Процент проходов падает к единицам.

Вывод: изучение обхода цензуры полезно для понимания работы CLIP, токенизаторов и классификаторов. Практическая же ценность «чистых пошлых промтов» в коммерческих сервисах стремится к нулю.

Знание механики — лучшая защита
от сюрпризов генерации

Три вещи, которые стоит запомнить

Фильтр — не стена, а сито

Он пропускает смысл, ловя только форму. Семантические лазейки работают до переобучения эмбеддингов.

Стиль — лучший маскировщик

Художественная стилизация сдвигает визуальный эмбеддинг дальше от porn-центроида, чем любые текстовые ухищрения.

Мультимодальность — конец игры

LLM-стражи видят промт и картинку вместе. Обмануть их можно только сменой намерения, а не формулировки.

Как промты на грани проходят цензуру: принципы, приёмы и примеры