文生图安全护栏的几何极限：CALM 如何用局部反事实修正取代全局移除
一个被默认接受的前提，正在被质疑
当前主流文生图（Text-to-Image）安全方案中，有一类做法格外流行：免训练（training-free） 的推理时干预。它不需要重新训练模型，而是在生成过程中沿着某个「不安全方向」或「全局有害子空间」对表示进行统一修正。
这个思路隐含了一个假设——不安全语义可以被一个可复用的全局信号统一表达。来自 arXiv 的论文 《Keep It CALM: Analyzing the Limits of Global Unsafety in Text-to-Image Generation》（NeurIPS 2026，作者 NaHyeon Park、Minhyun Lee、Hyunjung Shim）对这一假设做了受控的几何分析，并给出了一个并不乐观的结论。
覆盖度与选择性的两难
论文指出，全局不安全假设存在一个一致的覆盖度—选择性权衡（coverage-selectivity trade-off）：
- 紧凑的不安全子空间：维度低、干预精准，但无法覆盖多样化的不安全语义，容易漏掉异质的有害提示。
- 更宽泛的聚合子空间：覆盖范围扩大，但会越来越严重地扭曲与安全相邻的良性提示（safety-adjacent benign prompts），也就是常见的「误伤」问题。
换句话说，把所有不安全语义压进一个方向或子空间，本身就是在牺牲精度换召回，或者反过来。这不是调参能解决的工程细节，而是该假设的结构性限制。
CALM：把「全局移除」换成「局部修正」
基于这一发现，作者提出 CALM（Counterfactual Adaptive Local Modulation），一种免训练的安全护栏机制。其核心设计包括：
- 匹配的不安全—良性锚点：用成对锚点建立对照，而非依赖单一全局方向。
- 提示级路由：对每个输入提示，判断其激活了哪些不安全类别，而不是对所有提示施加同一套干预。
- 最小化 token 级编辑：只把真正违规的 token 表示朝安全侧做最小幅度调整。
- 残差抑制：压制与不安全方向正对齐的残差分量。
这套流程的关键词是 prompt-local 与 counterfactual：干预范围从「全局统一」收缩到「与当前提示相关的局部」，干预依据从「固定方向」变为「反事实对照」。
结果与意义
论文报告，在广泛评测中，CALM 显著提升了不安全内容的抑制效果，同时保住了良性提示的可用性。作者据此主张：相较于全局不安全信号的统一移除，局部反事实修正是一种更具选择性的替代路径。
对行业而言，这项工作的价值不只是一项新方法，更是一种视角转换：文生图安全对齐的瓶颈，可能不在于「信号够不够强」，而在于「信号是否足够局部、足够贴合具体提示」。当监管与平台都在追求既安全又不牺牲创作自由的平衡点时，这类关于安全机制几何边界的分析，或许比又一个更强的过滤器更有参考价值。