تشفير الصور ضد استخدامها في أنظمة Deepfake والتركيب

المسار الأكثر شهرة في قطاع البحث المتنامي لمكافحة Deepfake يتضمن الأنظمة التي يمكنها التعرف على الآثار أو السمات المميزة الأخرى للوجوه المزيفة أو المترسبة أو المعدلة أو “المحررة” في المحتوى المرئي والصوري.

تستخدم هذه المناهج مجموعة متنوعة من الاستراتيجيات ، بما في ذلك كشف العمق ، انقطاع انتظام الفيديو ، الاختلافات في إضاءة الشاشة (في المكالمات المرئية المزيفة المحتملة) ، السمات البيومترية ، مناطق الوجه الخارجية ، وحتى القوى الخفية لنظام اللاوعي البشري.

ما يجمعه هذه الطرق ، والطرق المماثلة ، هو أنه في الوقت الذي يتم فيه نشرها ، تكون الآليات المركزية التي تقاتلها قد تم تدريبها بالفعل بنجاح على آلاف أو مئات الآلاف من الصور التي تم جمعها من الويب – الصور التي يمكن للنظم التوليدية Autoencoder استخلاص الميزات الرئيسية منها ، وإنشاء نماذج يمكنها فرض هوية خاطئة على لقطات فيديو أو صور مترسبة – حتى في الوقت الفعلي.

باختصار ، في الوقت الذي يتم فيه نشر هذه الأنظمة ، يكون الحصان قد فر بالفعل.

الصور التي تتميز بالعداء لعمليات Deepfake / التركيب

من خلال نهج أكثر وقاية للتهديد المتمثل في Deepfakes والتركيب ، هناك خيط أقل شهرة من البحث في هذا القطاع يتضمن الإمكانيات الكامنة في جعل جميع الصور المصدر غير友ية تجاه أنظمة التركيب الصورية ، عادةً بطرق غير ملحوظة أو يمكن ملاحظتها بشكل ضعيف.

تتضمن الأمثلة FakeTagger ، وهي مقترح صدر عام 2021 من مؤسسات مختلفة في الولايات المتحدة وآسيا ، والذي يشفر رسائل إلى الصور ؛ هذه التشفيرات مقاومة لعملية التعميم ، ويمكن استرجاعها حتى بعد جمع الصور من الويب ودمجها في شبكة عصبية اصطناعية (GAN) من النوع الذي يتمثله هذا الشخص لا يوجد على الإطلاق ، ومتغيراته العديدة.

FakeTagger يشفر المعلومات التي يمكن أن تنجو من عملية التعميم عند تدريب GAN ، مما يجعل من الممكن معرفة ما إذا ساهمت صورة معينة في القدرات التوليدية للنظام. مصدر: https://arxiv.org/pdf/2009.09869.pdf

من أجل ICCV 2021 ، بذل جهد دولي آخر مشابه مؤسسة بصمات اصطناعية للنماذج التوليدية ، (انظر الصورة أدناه) التي تنتج أيضًا “بصمات” يمكن استرجاعها من إخراج نموذج التركيب الصوري GAN مثل StyleGAN2.

حتى تحت مجموعة متنوعة من التحويلات القصوى ، والقص ، وتبادل الوجه ، تظل البصمات التي تم تمريرها عبر ProGAN قابلة للاسترجاع. مصدر: https://arxiv.org/pdf/2007.08457.pdf

تتضمن إصدارات أخرى من هذا المفهوم مشروع 2018 من IBM و خطة العلامة المائية الرقمية في نفس العام ، من اليابان.

بصورة أكثر ابتكارًا ، سعى مبادرة 2021 من جامعة نانجينغ للطيران والفضاء إلى “تشفير” الصور التدريبية بحيث يتم تدريبها بشكل فعال فقط على الأنظمة المصرح بها ، ولكنها تفشل بشكل كارثي إذا تم استخدامها كبيانات مصدر في خط أنابيب تدريب التركيب الصوري العام.

تندرج جميع هذه الطرق أساسًا تحت فئة الاستغانوغرافيا ، ولكن في جميع الحالات ، يجب تشفير المعلومات الفريدة في الصور بحيث لا تُستأصلها أبدًا من قبل هيكل GAN أو Autoencoder ، ولكنها يتم تشفيرها مع ميزات الوجه الأخرى.

في نفس الوقت ، لا يمكن أن يُسمح لعملية التشفير بأن تُشوه أو تؤثر بصريًا على الصورة بدرجة كبيرة بحيث يُدركها المشاهدون العاديون على أنها عيوب أو أن تكون ذات جودة منخفضة.

TAFIM

الآن ، اقترح جهد بحثي جديد في ألمانيا (من جامعة ميونخ التقنية و Sony Europe RDC Stuttgart) تقنية تشفير الصور التي ، عند تدريب نماذج Deepfake أو إطارات StyleGAN على الصور المعالجة ، ستنتج خرجًا غير قابل للاستخدام أزرق أو أبيض ، على التوالي.

تعالج اضطرابات الصورة منخفضة المستوى في TAFIM عدة أنواع محتملة من تشوهات الوجه / الاستبدال ، مما يضطر النماذج المُدرَّبة على الصور إلى إنتاج خرج مشوه ، ويُreported من قبل المؤلفين أنه قابل للتطبيق حتى في سيناريوهات الوقت الفعلي مثل بث DeepFaceLive في الوقت الفعلي. مصدر: https://arxiv.org/pdf/2112.09151.pdf

استخدمت الورقة ، التي تحمل عنوان TAFIM: الهجمات المعادية المستهدفة ضد التلاعب بالصور الوجهية ، شبكة عصبية لتشفير اضطرابات غير ملحوظة في الصور. بعد تدريب الصور وتعميمها في هيكل التركيب ، سوف ينتج النموذج الناتج خرجًا ملونًا إذا تم استخدامه في مزج الأسلوب أو تبادل الوجه المباشر.

إعادة تشفير الويب..؟

ومع ذلك ، في هذه الحالة ، نحن لا نستعرض دقائق وأدق التفاصيل في أحدث إصدار من هذا المفهوم الشائع ، بل ننظر في الواقعية العملية لفكرة بأكملها – لا سيما في ضوء الجدل المتزايد حول استخدام الصور التي تم جمعها من الويب بشكل عام لتشغيل الإطارات التوليدية للصور ، والآثار القانونية الناتجة عن استخلاص البرمجيات التجارية من المحتوى الذي قد يُثبت في النهاية أنه محمي قانونًا ضد الحوسبة في هيكل التركيب الصوري.

تتطلب المناهج الوقائية القائمة على التشفير مثل تلك الموصوفة أعلاه تكلفة لا بأس بها. على الأقل ، سوف تتطلب مؤسسة روتينات ضغط جديدة وموسعة في المكتبات القائمة على الويب مثل ImageMagick ، التي تقوم بتشغيل عدد كبير من عمليات التحميل ، بما في ذلك العديد من واجهات تحميل الوسائط الاجتماعية ، التي تُكلف بتحويل الصور الأصلية الكبيرة إلى إصدارات محسنة أكثر ملاءمة للتبادل الخفيف والانتشار عبر الشبكة ، وأيضًا لإحداث تحويلات مثل القص ، وغيرها من التحسينات.

السؤال الرئيسي الذي يثيره هذا هو: هل سوف يتم تنفيذ مثل هذا النظام “متقدمًا” ، أو هل سوف يتم تنفيذ نشر أوسع وأكثر رجوعًا ، يعالج الوسائط التاريخية التي قد كانت متاحة ، “غير منقولة” ، منذ عقود؟

المنصات مثل Netflix ليست مترددة في تحمل تكلفة إعادة تشفير كتالوجها الخلفي بترميزات جديدة قد تكون أكثر كفاءة ، أو قد توفر فوائد للمستخدم أو المزود؛ على غرار تحويل YouTube لمحتوى تاريخي إلى ترميز H.264 ، الذي يبدو أنه كان لاستيعاب Apple TV ، وهو مهمة لوجستية هائلة ، لم يُعتبر صعبًا بشكل مفرط ، على الرغم من الحجم.

ومن المضحك أن حتى لو أصبحت أجزاء كبيرة من المحتوى الإعلامي على الإنترنت خاضعة لإعادة التشفير إلى صيغة تتمثل في مقاومة التدريب ، فإن مجموعة محدودة من مجموعات بيانات الرؤية الحاسوبية المؤثرة ستبقى غير متأثرة. ومع ذلك ، من المفترض أن الأنظمة التي تستخدمها كبيانات متدفقة سوف تبدأ في تدهور جودة الإخراج ، حيث سوف تتداخل المحتوى المائي مع عمليات التحويل الهيكلية.

الصراع السياسي

من الناحية السياسية ، هناك توتر واضح بين决意 الحكومات ألا تقع في وراء التطورات في مجال الذكاء الاصطناعي ، والتنازل عن القلق العام بشأن استخدام المحتوى المرئي والصوري المتاح على الإنترنت كموارد وافرة لأنظمة الذكاء الاصطناعي التحويلية.

بشكل رسمي ، تمایل الحكومات الغربية إلى التسامح فيما يتعلق بقدرة قطاع البحث في الرؤية الحاسوبية على استخدام المحتوى الإعلامي المتاح علنًا ، لا سيما لأن بعض البلدان الآسيوية الأكثر استبدادًا لديها مرونة أكبر في تشكيل سير عمل التطوير الخاص بهم بطريقة تفيد جهودهم البحثية – واحد من العوامل التي يُشير إلى أن الصين تصبح القائدة العالمية في مجال الذكاء الاصطناعي.

في أبريل 2022 ، أكدت محكمة الاستئناف الأمريكية أنه البيانات التي تواجه الويب هي لعبة عادلة لأغراض البحث ، على الرغم من الاحتجاجات المستمرة لشركة LinkedIn ، التي تتمنى حماية ملفات تعريف المستخدمين الخاصة بها من هذه العمليات.

إذا لم يكن من المفترض أن يصبح الصور المقاومة للذكاء الاصطناعي معيارًا شاملاً ، فلا شيء يمنع بعض مصادر البيانات التدريبية الرئيسية من تنفيذ مثل هذه الأنظمة ، بحيث يصبح إخراجها غير منتج في الفضاء الكامن.

العامل الأساسي في مثل هذه التطبيقات الخاصة بالشركة هو أن الصور يجب أن تكون متأصلة في المقاومة للتدريب. تقنيات البرهنة القائمة على البلوك تشين ، وحركات مثل مبادرة مصداقية المحتوى ، أكثر اهتمامًا ببرهنة أن الصور قد تم التلاعب بها أو “تحويلها إلى أسلوب” ، بدلاً من منع الآليات التي تجعل مثل هذه التحويلات ممكنة.

الفحص العرضي

في حين تم تقديم مقترحات لاستخدام أساليب البلوك تشين لتحقيق مصداقية الصور الأصلية والمظهر ، هذا لا يمنع بحد ذاته تدريب الصور أو يوفر أي وسيلة لبرهنة ، من إخراج مثل هذه الأنظمة ، أن الصور تم تضمينها في مجموعة البيانات التدريبية.

في نهج العلامة المائية لاستبعاد الصور من التدريب ، سيكون من المهم عدم الاعتماد على توافر الصور المصدر لبيانات المؤثرة للفحص. استجابةً ل إعتراضات الفنانين بشأن استهلاك Stable Diffusion لمحتوىهم بحرية ، يسمح الموقع haveibeentrained.com للمستخدمين بتحميل الصور واختبار ما إذا كانوا قد تم تضمينهم في مجموعة بيانات LAION5B التي تشغل Stable Diffusion:

‘Lenna’ ، حرفيًا فتاة الملصق للبحث في الرؤية الحاسوبية حتى وقت قريب ، هي بالتأكيد مساهمة في Stable Diffusion. مصدر: https://haveibeentrained.com/

ومع ذلك ، فإن معظم مجموعات بيانات Deepfake التقليدية يتم سحبها بشكل عارض من مقاطع فيديو وصور على الإنترنت إلى قواعد بيانات غير عامة حيث لا يمكن إلا أن تُكشف العلامات المائية المقاومة للعصبية عن استخدام الصور المحددة لإنشاء الصور والفيديو المشتق.

كما يبدأ مستخدمو Stable Diffusion في إضافة محتوى – إما من خلال التطوير المستمر (استمرار تدريب نقطة التحقق الرسمية للنموذج مع أزواج صورة / نص إضافية) أو الانعطاف النصي ، الذي يضيف عنصرًا معينًا أو شخصًا – لن يظهر في أي بحث من خلال مليارات الصور في LAION.

تضمين العلامات المائية في المصدر

تطبيق أكثر تطرفًا للعلامة المائية للصورة المصدر هو تضمين المعلومات غير الواضحة في خرج الصورة أو الفيديو الخام للكاميرات التجارية. على الرغم من أن المفهوم تم تجربته وتنفيذه بجدية في أوائل عام 2000 ، كاستجابة لظهور “الpiracy” المتعددة ، فإن المبدأ قابل للتطبيق تقنيًا أيضًا لغرض جعل المحتوى الإعلامي مقاومًا أو منفرًا لأنظمة التدريب بالذكاء الاصطناعي.

اقترح تطبيق واحد ، في طلب براءة اختراع من أواخر التسعينيات ، استخدام تحويلات الكوزين المنفصلة لتضمين صور سرية في الصور والفيديو ، مما يشير إلى أن الروتين “يمكن دمجه كميزة مدمجة في أجهزة التسجيل الرقمية ، مثل الكاميرات الثابتة والفيديو”.

في طلب براءة اختراع من أواخر التسعينيات ، تم تزويد Lenna بالعلامات المائية الخفية التي يمكن استرجاعها عند الحاجة. مصدر: https://www.freepatentsonline.com/6983057.pdf

نهج أقل تعقيدًا هو فرض علامات مائية واضحة على الصور على مستوى الجهاز – ميزة غير محببة إلى معظم المستخدمين ، ومتكررة في حالة الفنانين وممارسي الإعلام المحترفين ، الذين يمكنهم حماية البيانات المصدر وإضافة مثل هذه العلامات التجارية أو الحظر كما يرون مناسبًا (لا سيما شركات الصور المخزنة).

على الرغم من أن هناك كاميرا واحدة على الأقل تتيح خيار وضع علامة مائية على الصورة التي يمكن أن تُشير إلى الاستخدام غير المصرح به في نموذج الذكاء الاصطناعي المشتق ، إلا أن إزالة العلامة التجارية بواسطة الذكاء الاصطناعي أصبحت مهمة سهلة ، وأصبحت حتى تُباع تجاريًا بسهولة.

نُشر لأول مرة في 25 سبتمبر 2022.