قد تتخلى الذكاء الاصطناعي القابل للشرح عن البيانات السرية بسهولة أكبر

استنتج الباحثون من جامعة سنغافورة الوطنية أن كلما كان الذكاء الاصطناعي أكثر قابلية للشرح ، كلما كان من الأسهل تجاوز الميزات الحيوية للخصوصية في أنظمة التعلم الآلي. كما وجدوا أنه حتى عندما لا يكون النموذج قابلًا للشرح ، من الممكن استخدام تفسيرات النماذج المماثلة ل “فك تشفير” البيانات الحساسة في النموذج غير القابل للشرح.

البحث ، الذي يحمل عنوان استغلال التفسيرات لهجمات عكسية على النماذج ، يسلط الضوء على مخاطر استخدام العبوس “المرتقب” لطريقة عمل الشبكات العصبية كما لو كانت ميزة أمان مصممة – ولا سيما لأن موجة من المبادرات الجديدة على الصعيد العالمي ، بما في ذلك مشروع قانون الاتحاد الأوروبي للذكاء الاصطناعي ، تعتبر الذكاء الاصطناعي القابل للشرح (XAI) شرطًا مسبقًا لتنسيق التعلم الآلي في المجتمع.

في البحث ، يتم إعادة بناء هوية حقيقية من بيانات مجهولة الهوية المتعلقة بالتعبيرات الوجهية ، من خلال استغلال تفسيرات متعددة لنظام التعلم الآلي. المصدر: https://arxiv.org/pdf/2108.10800.pdf

يقول الباحثون:

‘الذكاء الاصطناعي القابل للشرح (XAI) يوفر المزيد من المعلومات لمساعدة المستخدمين على فهم قرارات النموذج ، ومع ذلك ، فإن هذه المعرفة الإضافية تتعرض لمخاطر إضافية للهجمات على الخصوصية. وبالتالي ، فإن تقديم التفسير يضر بالخصوصية.’

إعادة تحديد البيانات الخاصة

قد يشارك الأفراد في مجموعات بيانات التعلم الآلي على افتراض أنهم مجهولون ؛ في حالة المعلومات الشخصية المتعلقة بالهوية (PII) التي تصل إلى أنظمة الذكاء الاصطناعي من خلال جمع البيانات بشكل عفوي (على سبيل المثال ، من خلال شبكات التواصل الاجتماعي) ، قد تكون المشاركة قانونية من الناحية الفنية ، ولكنها تضعف مفهوم “الموافقة”.

لقد ظهرت عدة طرق في السنوات الأخيرة التي أثبتت khả năng إزالة匿名ية PII من تدفقات البيانات المظلمة للتعلم الآلي. يستخدم استخراج النموذج وصول API (أي وصول “ال صندوق الأسود” ، بدون توافر خاص للкод المصدر أو البيانات) لاستخراج PII حتى من مقدمي خدمات التعلم الآلي على نطاق كبير ، مثل Amazon Web Services ، بينما يمكن أن تحصل هجمات الاستدلال بالعضوية (MIAs) ، التي تعمل تحت قيود مماثلة ، على الحصول على معلومات طبية سرية ؛ بالإضافة إلى ذلك ، يمكن أن تسترد هجمات الاستدلال بالعضوية (AIAs) بيانات حساسة من إخراج API.

كشف الوجوه

ركز الباحثون في ورقة جديدة على هجوم عكسي مصمم لاسترداد هوية من جزء من بيانات التعبيرات الوجهية التي لا ينبغي أن تكون قادرة على الكشف عن هذه المعلومات.

كان الهدف من النظام هو ربط الصور الموجودة في البرية (إما المنشورة بشكل عفوي على الإنترنت أو في خرق محتمل للبيانات) بوجودها في مجموعات البيانات التي تدعم خوارزمية التعلم الآلي.

قام الباحثون بتدريب نموذج هجوم عكسي قادر على إعادة بناء الصورة الأصلية من إخراج API المجهول ، دون وصول خاص إلى الهيكل الأصلي. ركز العمل السابق في هذا المجال على أنظمة كان الهدف منها هو تحديد الهوية (حماية أو كشف) ، بينما تم تصميم الإطار في هذه الحالة لاستغلال إخراج مجال واحد وتطبيقه على مجال آخر.

استخدموا شبكة عصبية متقابلة (CNN) لمعرفة “الوجه الأصلي” بناءً على متجه التنبؤ المستهدف (خريطة الحساسية) لنظام التعرف على العواطف ، باستخدام هيكل U-Net لتحسين أداء إعادة بناء الوجه.

نظام إعادة تحديد الهوية مدعوم ومستنير بالذكاء الاصطناعي القابل للشرح (XAI) ، حيث يتم استغلال معرفة تنشيط العصبون ، من بين العديد من جوانب XAI العامة ، لإعادة بناء آليات العمل الداخلية للبنية فقط من إخراجها ، وتمكين إعادة تحديد صور مجموعات البيانات المساهمة.

الاختبار

في اختبار النظام ، طبق الباحثون عليه ثلاث مجموعات بيانات: تعبيرات الوجه iCV-MEFED ؛ CelebA ؛ وأرقام MNIST المكتوبة بخط اليد. لتكييف حجم النموذج المستخدم من قبل الباحثين ، تم تحجيم المجموعات الثلاث إلى 128×128 و 265×256 و 32×32 بكسل. تم استخدام 50٪ من كل مجموعة كبيانات تدريب ، وتم استخدام النصف الآخر كبيانات هجوم لتدريب النماذج المعارضة.

كان لكل مجموعة بيانات نموذج مستهدف مختلف ، وتم تحجيم كل شبكة هجوم إلى قيود التفسيرات التي تدعم العملية ، بدلاً من استخدام نماذج عصبية أعمق تعقيدًا والتي ستتجاوز تعميم التفسيرات.

تم استخدام أنواع تفسير XAI التالية لتشغيل المحاولات: تفسير التدرج ، مدخلات التدرج ، Grad-CAM ، وتفسير العلاقة بين الطبقات (LRP). كما قيم الباحثون تفسيرات متعددة عبر التجارب.

إعادة بناء الصورة بفضل هجوم عكسي يعتمد على XAI عبر المجموعات الثلاث ، مع المهام المستهدفة والهجومية المتطابقة.

كانت معايير الاختبار هي تشابه البكسل المقيم بواسطة متوسط مربع الخطأ (MSE) ؛ تشابه الصورة (SSIM) ، وهو دليل على التشابه القائم على الإدراك ؛ دقة الهجوم ، التي تحدد ما إذا كان الفصل يمكنه إعادة تصنيف صورة معاد بناؤها بنجاح ؛ و تشابه التضمين الهجومي ، الذي يقارن بين تضمين الميزات للبيانات الأصلية المعروفة والبيانات المعاد بناؤها.

تم تحقيق إعادة تحديد الهوية ، بدرجات مختلفة وفقًا للمهمة ومجموعات البيانات ، عبر جميع المجموعات. علاوة على ذلك ، وجد الباحثون أنه من خلال إنشاء نموذج مستهدف بديل (الذي كان لديهم سيطرة كاملة عليه) ، كان من الممكن لا يزال إعادة تحديد بيانات من نماذج “مغلفة” خارجية ، بناءً على مبادئ XAI المعروفة.

وجد الباحثون أن أكثر النتائج دقة تم الحصول عليها بواسطة تفسيرات قائمة على التنشيط (خريطة الحساسية) ، والتي تسربت المزيد من PII أكثر من نهج قائم على الحساسية (التدرج).

في العمل المستقبلي ، يعتزم الفريق دمج أنواع مختلفة من تفسيرات XAI في هجمات جديدة ، مثل تجسيدات الميزات ومتجهات تنشيط المفاهيم.