DRM لبيانات الرؤية الحاسوبية

يشير التاريخ إلى أن العصر “المفتوح” لأبحاث الرؤية الحاسوبية، حيث تكون الإعادة الإنتاجية والمراجعة النظراء المركزية لتطوير مبادرة جديدة، يجب أن يced مكانًا لعصر جديد من حماية الملكية الفكرية – حيث الآليات المغلقة والمنصات المحمية تمنع المنافسين من تقويض التكاليف العالية لتطوير البيانات، أو استخدام مشروع مكلف كخطوة واحدة لتطوير إصدارهم الخاص (ربما الأفضل).

目前، فإن الاتجاه المتزايد نحو الحماية يتم دعمه في الغالب من خلال وضع الإطارات المركزية الحصرية خلف وصول API، حيث يرسل المستخدمون رموزًا نادرة أو طلبات، حيث يتم إخفاء العمليات التحويلية التي تجعل استجابات الإطار قيمة.

في حالات أخرى، قد يتم إصدار النموذج النهائي نفسه، ولكن بدون المعلومات المركزية التي تجعلها قيمة، مثل الأوزان المسبقة التي قد تكلف ملايين متعددة لجنتها؛ أو بدون مجموعة بيانات حصرية، أو بدون تفاصيل دقيقة حول كيفية إنتاج جزء معين من مجموعة من البيانات المفتوحة. في حالة نموذج اللغة الطبيعية المتحول من OpenAI GPT-3، يتم استخدام كلا الإجراءين الحمائيين حاليًا، مما يترك من يقلدون النموذج، مثل GPT Neo، ليجتمعوا معًا لتحقيق تقريب للنتاج بأفضل ما يمكنهم.

حماية مجموعات بيانات الصور

然而، يزداد الاهتمام بطرق يمكن من خلالها إعادة الحصول على إطار تعلم الآلة “محمي” لبعض مستوى من القابلية للنقل، من خلال ضمان أن المستخدمين المصرح لهم فقط (على سبيل المثال، المستخدمون المدفوعون) يمكنهم استخدام النظام بشكل مربح. هذا غالبًا ما يتضمن تشفير مجموعة البيانات بطريقة برمجية، بحيث يتم قراءتها “نظيفة” بواسطة إطار الآلة الذكية في وقت التدريب، ولكنها معطوبة أو غير قابلة للاستخدام في أي سياق آخر.

تم اقتراح نظام من هذا القبيل بواسطة باحثين في جامعة العلوم والتكنولوجيا الصينية في آنهوي، وجامعة فودان في شنغهاي. بعنوان حماية مجموعة بيانات الصور القابلة للعكس، يقدم الورقة خط أنابيب يضيف تلقائيًا تشويش مثال معادي لمجموعة بيانات الصور، بحيث لا يمكن استخدامها بشكل مفيد لتدريب في حالة القرصنة، ولكن حيث يتم إزالة الحماية تمامًا بواسطة نظام مسرّح يحتوي على رمز سري.

من الورقة: صورة مصدر “قيمة” تُجعل غير قابلة للتدريب بشكل فعال باستخدام تقنيات الأمثلة المعادية، مع إزالة التشويش بشكل منهجي وآلي تمامًا للمستخدم المصرح له. مصدر: https://arxiv.org/pdf/2112.14420.pdf

الآلية التي تمكن من الحماية تسمى مولد مثال معادي قابل للعكس (RAEG)، ويتضمن بشكل فعال تشفير على قابلية استخدام الصور لغرض التصنيف، باستخدام إخفاء البيانات القابل للعكس (RDH). يذكر المؤلفون:

‘الطريقة الأولى تُولّد صورة معادية باستخدام طرق AE الحالية، ثم تُدمج التشويش المعادي في الصورة المعادية، وتُولّد صورة ستوجو باستخدام RDH. بسبب خاصية القابلية للعكس، يمكن استعادة التشويش المعادي والصورة الأصلية.’

تُغذى الصور الأصلية من مجموعة البيانات إلى شبكة عصبونية قابلة للعكس على شكل U (INN) من أجل إنتاج صور معطوبة بشكل معادي، مصممة لخداع أنظمة التصنيف. هذا يعني أن استخراج الميزات العادية سيتعرض للتعطيل، مما يجعل من الصعب تصنيف سمات مثل الجنس، والميزات القائمة على الوجه الأخرى (على الرغم من أن الهيكل يدعم مجموعة من المجالات، وليس مجرد مواد قائمة على الوجه).

اختبار عكسي ل RAEG، حيث يتم تنفيذ أنواع مختلفة من الهجمات على الصور قبل إعادة بنائها. تشمل طرق الهجوم توجيه Gaussian وآثار JPEG.

بالتالي، إذا حاول استخدام مجموعة البيانات “المعطوبة” أو “المشفرة” في إطار مصمم لأغراض توليد الوجه القائم على GAN، أو لأغراض التعرف على الوجه، فإن النموذج الناتج سيكون أقل فعالية مما لو تم تدريبه على صور غير معطوبة.

قفل الصور

然而، هذا مجرد تأثير جانبي للقابلية العامة لطرق التشويش الشائعة. في الواقع، في حالة الاستخدام المتوهمة، سيتم تعطيل البيانات إلا في حالة الوصول المصرح به إلى الإطار المستهدف، поскольку المفتاح “المركزي” للبيانات النظيفة هو رمز سري داخل الهيكل المستهدف.

然而، يأتي هذا التشفير مع ثمن؛ يصف الباحثون فقدان جودة الصورة الأصلية بـ “التشويش الطفيف”، ويذكر ‘الطريقة المقترحة يمكنها استعادة الصورة الأصلية بشكل شبه كامل، في حين أن الطرق السابقة يمكنها استعادة نسخة غامضة فقط.’

الطرق السابقة هي من الورقة لا يمكن للذكاء الاصطناعي غير المصرح له التعرف علي، وهي تعاون بين جامعتين صينيتين ومركز RIKEN للمشروع الذكي المتقدم (AIP)؛ و هجوم معادي قابل للعكس على أساس تحويل الصورة القابل للعكس، وهي ورقة 2019 أيضًا من القطاع الأكاديمي الصيني.

يؤكد باحثو الورقة الجديدة أنهم قد حققوا تحسينات ملحوظة في قابلية استخدام الصور المستعادة، بالمقارنة مع هذه النهج السابقة، مشيرين إلى أن النهج الأول حساس جدًا للتداخل الوسيط، وسهل التغلب عليه، في حين أن النهج الثاني يسبب تدهورًا مفرطًا للصور الأصلية في وقت التدريب (المصرح به)، مما يضر بتطبيق النظام.

الهيكل والبيانات والاختبارات

يتكون النظام الجديد من مولد، وطبقة هجوم تطبق التشويش، وتصنيفات مسبقة، وعنصر تمييز.

هيكل RAEG. في الوسط الأيسر، نرى رمز السر ‘I_prt‘، الذي سيسمح بإزالة التشويش من الصورة في وقت التدريب، عن طريق تحديد الميزات المعادية المضمنة في الصور المصدر وطرحها.

فيما يلي نتائج اختبار مقارنة مع النهجين السابقين، باستخدام ثلاث مجموعات بيانات: CelebA-100؛ Caltech-101؛ و Mini-ImageNet.

تم تدريب المجموعات الثلاث كشبكات تصنيف مستهدفة، مع حجم دفعة 32، على NVIDIA RTX 3090 خلال أسبوع، لمدة 50 دورة.

يؤكد المؤلفون أن RAEG هو أول عمل يقدم شبكة عصبونية قابلة للعكس يمكن أن تولد أمثلة معادية بشكل نشط.

نشر لأول مرة في 4 يناير 2022.