Safe Few-Step Generation via Velocity Editing¶

会议: NeurIPS 2026
arXiv: 2606.23267
OpenReview: https://openreview.net/forum?id=tJYkz9rQMx
代码: https://uzn36.github.io/VESFlow
领域: AI 安全
关键词: 流匹配、少步生成、概念擦除、速度场编辑、风险过滤

一句话总结¶

VESFlow 针对少步/单步流匹配文生图模型中轨迹引导失效与语义编码分散的难题，通过贝叶斯安全后验直接推导并编辑连续速度场（或 MeanFlow 平均速度），结合前置风险评分过滤，实现了免训练、保真度无损的高效有害概念抑制。

研究背景与动机¶

流匹配（Flow Matching）技术凭借学习连续速度场与近似线性的采样轨迹，大幅压缩了文生图模型的推理步数，并成功支撑了 SD v3 与 FLUX 等前沿架构；进一步结合 MeanFlow 对两时间步间平均速度的建模，甚至能在极少步（如 4 步甚至单步）下完成高保真图像生成。然而，随着少步流匹配模型走向实际落地，生成内容的合规与安全性问题变得极为紧迫。以往在扩散模型中行之有效的免训练安全防护策略，在迁移至少步流匹配框架时遭遇了根本性瓶颈。

现有的免训练概念擦除方法主要沿两条路线演进，但在少步流匹配场景下均面临失效困境。第一条路线依赖轨迹级负向引导（如 Safe Denoiser、SGF 等），它们假设采样过程包含大量去噪步数，通过每一步注入微小的排斥力逐步将潜在状态推离不安全子空间；而在少步生成机制下，极短的校正视界导致微弱引导无法有效消除有害概念，若盲目放大单步引导强度，又会直接将潜变量踢出真实数据流形，造成灾难性的图像失真。第二条路线试图直接编辑提示词嵌入（如 SAFREE、Semantic Surgery），但现代流匹配文生图模型普遍采用 T5 等上下文感知语言模型替代早期的 CLIP 编码器，有害语义在长序列中全局分散而非局限于离散 token，使得基于 token 投影或向量剪裁的嵌入干预难以精准定位与剥离敏感概念。

面对少步采样下轨迹校正累积不足与上下文编码语义分散的核心矛盾，本文放弃在潜在空间打补丁或修改文本特征，而是直接从流匹配的动力学本质切入：既然模型学习的是边际速度向量，那么安全的生成目标实质上对应于受限在安全区域的后验条件速度。核心 idea：通过对安全条件后验进行贝叶斯分解，直接在流匹配的速度场层面推导显式修正项（VESFlow），并在极少采样步数下无损引导采样轨迹进入安全流形，配合基于风险评分的前置过滤避免良性提示词的冗余梯度计算。

方法详解¶

VESFlow 的核心在于将免训练安全引导从“逐步修补轨迹点”提升到“直接重构流匹配速度场”。针对预训练条件流匹配模型，系统通过引入安全事件指示变量与贝叶斯推导，导出由预训练分类器梯度驱动的速度修正项，并自然继承了流匹配固有的早期关键窗口调度特性；该形式亦能无缝拓展至学习平均速度的 MeanFlow 模型。

整体框架¶

VESFlow 的处理管线涵盖输入安全预筛、流匹配速度场编辑与反向去噪推进三个关键阶段。在推理初始阶段，系统先对用户提示词计算风险评分，若判定为良性请求则完全绕过安全引导以保持原速原画；若判定存在潜在风险，则在流匹配 ODE 求解器的每一步中，结合预训练安全判别器对预期干净样本的梯度，动态合成安全条件速度场 $\tilde{v}_t(\mathbf{x}_t|c)$，进而驱动采样轨迹向安全数据子空间汇聚。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["输入提示词与初始噪声<br/>Prompt c 与 x_1"] --> B["前置风险评分过滤<br/>CLIP 文本空间有害余弦比对"]
    B -->|良性提示词 r<=tau| C["原始流匹配采样<br/>沿预训练速度场 v_t 推进"]
    B -->|风险提示词 r>tau| D["贝叶斯安全速度场编辑<br/>预测均值 x_bar 并反向求导"]
    D --> E["时变衰减与尺度裁剪<br/>t/(1-t) 调度与 t_max 截断"]
    E --> F["MeanFlow / 极少步 ODE 求解<br/>沿修正速度 field 步进更新"]
    C --> G["最终生成图像 x_0"]
    F --> G

关键设计¶

1. 贝叶斯安全条件速度场推导：将安全事件后验转化为显式向量修正 传统轨迹负向引导将去噪轨迹逐步推离不安全区域，在极少步下因校正次数匮乏而难以生效。VESFlow 直接从流匹配的边际速度场出发，将数据空间 $\mathcal{X}$ 划分为安全子集 $\mathcal{S}$ 与非安全补集 $\mathcal{X}\setminus\mathcal{S}$，并引入二值安全指示变量 $s \in \{0, 1\}$，其中 $s=1$ 表示最终样本 $\mathbf{x}_0 \in \mathcal{S}$。根据流匹配的速度概率流形式，安全条件速度场 $\tilde{v}_t(\mathbf{x}_t|c) = v_t(\mathbf{x}_t|c, s=1)$ 与原速度场 $v_t(\mathbf{x}_t|c)$ 的差值为： $$v_t(\mathbf{x}_t|c, s=1) - v_t(\mathbf{x}_t|c) = \frac{t}{1-t} \nabla_{\mathbf{x}_t} \log \left(\frac{p_t(\mathbf{x}_t|c)}{p_t(\mathbf{x}_t|c, s=1)}\right) = -\frac{t}{1-t} \nabla_{\mathbf{x}_t} \log p_t(s=1|\mathbf{x}_t, c)$$ 借助预训练安全判别器 $g$（如 NSFW 判别网络）与一阶泰勒展开，对预期干净数据 $\bar{\mathbf{x}} = \mathbf{x}_t - t \cdot v_t(\mathbf{x}_t|c)$ 处的不安全概率进行逼近 $p_t(s=0|\mathbf{x}_t, c) \approx g(\bar{\mathbf{x}})$，最终导出简洁而闭式的速度修正项： $$\Delta v = \frac{t}{1-t} \left\{ \frac{\nabla_{\bar{\mathbf{x}}} g(\bar{\mathbf{x}})}{1 - g(\bar{\mathbf{x}})} \right\}$$ 该设计赋予引导项两大关键自适应特性：分母中的 $(1-g(\bar{\mathbf{x}}))^{-1}$ 使得当样本处于极高风险区域时校正强度自发激增；而系数 $t/(1-t)$ 则天然构成了随时间递减的调度器，引导强度在 $t \approx 1$ 的生成初期最强，随着 $t \to 0$ 自然平滑归零，与安全干预的“早期关键窗口”机理完全契合。

2. 极值稳定性截断与 MeanFlow 积分拓展：适配极少步与平均速度流 在极少步与单步生成中，$t/(1-t)$ 在初始步 $t \to 1$ 处存在奇异发散风险，若直接跳过初始步则会导致少步采样错过最重要的安全干预窗口。为此，VESFlow 引入极值上限参数 $t_{\max} < 1$，将因子平滑替代为 $t / (1 - \min(t_{\max}, t) + \epsilon)$，在保留初始强力修正的同时遏制数值溢出。针对旨在学习时间区间 $[r, t]$ 内平均速度的 MeanFlow 架构，其平均速度场差值满足： $$\Delta u_{[r, t]} = \frac{1}{t-r} \int_{r}^{t} (\tilde{v}_\tau(\mathbf{x}_\tau|c) - v_\tau(\mathbf{x}_\tau|c)) d\tau$$ 得益于 MeanFlow 近乎线性的直线传输轨迹，速度修正量在区间内变化极其平缓，因此可用区间端点值 $\Delta u \approx \Delta v_t$ 进行高精度近似。这使得 VESFlow 无需重构算法即可即插即用部署于 4 步甚至单步 MeanFlow 模型中。

3. 前置风险评分过滤：规避良性请求的冗余计算并杜绝过度防御 尽管平滑安全分类器在面对完全安全的输入时梯度范数趋于零（即当 $g(\bar{\mathbf{x}}) \to 0$ 时 $\nabla_{\bar{\mathbf{x}}} \log(1-g(\bar{\mathbf{x}})) \to 0$），保证了速度编辑不会破坏良性样本，但每一步反向计算判别器梯度 $\nabla_{\bar{\mathbf{x}}} g(\bar{\mathbf{x}})$ 仍会引入约一倍的额外显存与耗时开销。为此，VESFlow 引入轻量级文本风险评分过滤机制。基于预构建的负向概念文本集合 $\mathcal{C}^{-}$，计算输入提示词归一化 CLIP 文本嵌入 $e_c$ 与负向概念嵌入 $e^{-}$ 之间的最大余弦相似度： $$r(c) = \max_{e^{-} \in \mathcal{C}^{-}} e_c^\top e^{-}$$ 仅当 $r(c) > \tau$（保守阈值设为 $\tau = 0.3$）时才激活速度场编辑，否则直接沿原始无引导路径采样。该机制单次向量检索开销可忽略不计，在彻底消除良性提示词计算冗余的同时，使良性生成的 FID/CLIP 达到零扰动保真。

损失函数 / 训练策略¶

VESFlow 属于完全免训练（Training-free）的推理期算法，不修改基础生成模型的任何参数。在线采样阶段的超参数设置包括：基础引导缩放系数 $\lambda \in [0.1, 3.0]$，截断边界 $t_{\max} \in \{0.95, 0.99\}$，平滑项 $\epsilon = 0.01$，风险过滤阈值 $\tau = 0.3$。安全评估判别器针对裸露概念采用 LAION CLIP-based NSFW 判别器（与作为下游评估器的 NudeNet 解耦，规避同一模型自评的评估偏置）；针对暴力概念则采用在 I2P 数据集上训练的同构轻量 MLP。

实验关键数据¶

主实验¶

在 8 步 FLUX.1-lite-8B 与 4 步 MeanFlow 模型上，评估针对裸露（Ring-A-Bell、MMA-Diffusion）与暴力（Ring-A-Bell）概念的攻击成功率（ASR）与有害率（TR），并在 MS-COCO 1K 上测定良性生成质量（FID 与 CLIP 分数）。

模型架构	方法类型	Ring-A-Bell 裸露 ASR (↓)	Ring-A-Bell 裸露 TR (↓)	MMA 裸露 ASR (↓)	MMA 裸露 TR (↓)	Ring 暴力 ASR (↓)	MS-COCO FID (↓)	MS-COCO CLIP (↑)
FLUX (8步)	原始基线 (Baseline)	0.646	0.714	0.665	0.688	0.824	62.31	0.260
FLUX (8步)	EraseAnything (微调)	0.608	0.669	0.660	0.677	0.824	61.44	0.259
FLUX (8步)	UCE (权重闭式编辑)	0.646	0.704	0.557	0.584	0.728	60.80	0.258
FLUX (8步)	ESD (微调)	0.595	0.612	0.370	0.437	0.352	58.96	0.256
FLUX (8步)	DVE (推理期引导)	0.291	0.338	0.185	0.236	0.176	61.15	0.253
FLUX (8步)	STG (提示词引导)	0.658	0.716	0.675	0.699	0.488	62.29	0.260
FLUX (8步)	SGF (轨迹负向引导)	0.722	0.743	0.632	0.662	0.884	62.22	0.258
FLUX (8步)	VESFlow (本文)	0.266	0.335	0.052	0.097	0.428	62.07	0.260
MeanFlow (4步)	原始基线 (Baseline)	0.709	0.693	0.417	0.462	0.808	59.95	0.257
MeanFlow (4步)	EraseAnything	0.570	0.582	0.250	0.300	0.460	61.40	0.246
MeanFlow (4步)	UCE	0.620	0.620	0.348	0.397	0.664	59.50	0.258
MeanFlow (4步)	ESD	0.671	0.720	0.287	0.360	0.484	69.00	0.243
MeanFlow (4步)	DVE	0.570	0.603	0.331	0.374	0.688	64.30	0.252
MeanFlow (4步)	STG	0.671	0.656	0.403	0.454	0.760	60.08	0.257
MeanFlow (4步)	SGF	0.658	0.695	0.330	0.374	0.760	60.50	0.256
MeanFlow (4步)	VESFlow (本文)	0.152	0.227	0.075	0.150	0.496	59.98	0.257

消融实验¶

在 FLUX 与 MeanFlow 架构下针对 $t_{\max}$ 截断策略与跳过首步的稳定性测试（Ring-A-Bell 裸露），以及无过滤条件下不同导引强度下的良性保真度评测。

实验配置	FLUX ASR (↓)	FLUX TR (↓)	MeanFlow ASR (↓)	MeanFlow TR (↓)	说明
Skip First (跳过首步 $t=1$)	0.582	0.608	0.266	0.335	丧失关键早期修正视界，安全防御大幅恶化
$t_{\max} = 0.95$	0.367	0.429	0.152	0.227	适度保守截断，在 4 步模型上兼顾鲁棒性
$t_{\max} = 0.99$	0.266	0.335	0.063	0.144	充分利用最早期引导，概念擦除最为彻底

此外，推理耗时对比表明（FLUX 8步，单张 A100）：无导引基线耗时为 $0.948\text{s}$，无过滤 VESFlow 因每步反向传播耗时升至 $2.164\text{s}$；而在启用风险过滤后，良性提示词推理时间仅为 $0.958\text{s}$，与基线几乎完全持平。

关键发现¶

少步轨迹失效得到根本扭转：在 4 步 MeanFlow 模型中，依赖累积校正的 SGF（ASR 0.658）和 STG（ASR 0.671）基本完全失效，而 VESFlow 直接重塑速度场，将 ASR 显著压降至 0.152（MMA 上低至 0.075），证明速度场编辑是攻克少步生成安全防护的最优范式。
早期步长决定成败：跳过首步采样（Skip First）直接导致 FLUX 上的 ASR 从 0.266 剧增到 0.582，实证印证了安全引导存在高度时间集中性，$t \approx 1$ 的方向修正对整条生成流形具有决定性重定向作用。
语义保真度显著优于锚点替换：DVE 等基于锚点概念（如向“穿着衣服”或“和平”靠拢）的方法，在高引导强度下会将画面强行变为无关场景（如暴力提示词被改写为无关户外静物，HPS v2 骤降至 0.220）；VESFlow 则保留了主体动作与场景语义，仅精准消除裸露与血腥视觉特征。

亮点与洞察¶

流匹配安全引导的第一性原理推导：不同于以往将扩散模型经验启发式嫁接到流匹配，本文从概率流速度场定义出发，严密借助贝叶斯公式推导出闭式解。这不仅使得算法公式极其精炼，更自然生成了与生成动力学自适应匹配的 $t/(1-t)$ 调度因子与高危自适应激增项。
与上下文敏感编码器的无缝解耦：针对当前文生图大模型普遍采用 T5 导致 token 级嵌入修改失效的技术死穴，VESFlow 将干预战场直接置于图像生成速度场中，完全规避了文本端语义纠缠与污染难题。
双模过滤的工程极简主义：敏锐利用平滑安全判别器对安全样本梯度自然趋零的数学性质，辅以轻量 CLIP 文本余弦比对，在理论与工程两端均实现了对良性生成的“零扰动与零额外延迟”。

局限与展望¶

判别器性能与曲率近似依赖：算法强依赖外部预训练判别器 $g$，且在推导期望 $p_t(s=0|\mathbf{x}_t, c) \approx g(\bar{\mathbf{x}})$ 时采用了一阶泰勒展开；若判别器高度非线性且局部曲率剧烈，该近似可能产生偏差。
单模型难以泛化至多概念复合防御：当前实现需针对裸露、暴力分别配置专用分类器，难以一键扩展到仇恨符号、自残、版权等开放概念，未来需探索统一的多模态轻量安全判别器集成。
端点奇异值仍需经验截断：尽管 $t_{\max}$ 成功稳固了数值计算，但其最优取值仍依赖经验调优，未来需探索更具理论保证的自适应有界速度参数化。

评分¶

新颖性: ⭐⭐⭐⭐⭐ [首次从贝叶斯后验与流匹配边际速度场推导免训练少步安全引导，摆脱了传统轨迹修补思维]
实验充分度: ⭐⭐⭐⭐⭐ [覆盖 FLUX (8步) 与 MeanFlow (4步) 顶尖模型，跨裸露与暴力两大基准，兼具 MLLM 独立评测与保真度分析]
写作质量: ⭐⭐⭐⭐⭐ [数学推导严密自洽，问题痛点剖析切中现代编码器与少步流匹配的实质矛盾，叙述清晰]
价值: ⭐⭐⭐⭐⭐ [完美破解少步实时文生图（如 FLUX/MeanFlow）在工业落地中的内容安全瓶颈，实用性极强]

实验配置	FLUX ASR (↓)	FLUX TR (↓)	MeanFlow ASR (↓)	MeanFlow TR (↓)	说明
Skip First (跳过首步 \(t=1\))	0.582	0.608	0.266	0.335	丧失关键早期修正视界，安全防御大幅恶化
\(t_{\max} = 0.95\)	0.367	0.429	0.152	0.227	适度保守截断，在 4 步模型上兼顾鲁棒性
\(t_{\max} = 0.99\)	0.266	0.335	0.063	0.144	充分利用最早期引导，概念擦除最为彻底