Re-identifikace zdrojových dat pro generátory GAN

Nový výzkum z Francie navrhl techniku, jak “znovu identifikovat” zdrojové identity, které přispěly k synteticky generovaným datům, jako jsou GAN-generované “neexistující lidé” v projektech generujících tváře, jako je This Person Does Not Exist.

Metoda popsána v článku, nazvaném This Person (Probably) Exists. Identity Membership Attacks Against GAN Generated Faces, nevyžaduje (nepravděpodobný) přístup k tréninkové architektuře nebo modelovým datům a může být aplikována na různé aplikace, pro které se používají Generative Adversarial Networks (GANs) jako metody pro anonymizaci osobních identifikačních informací (PII) nebo jako prostředek pro generování syntetických dat při ochraně zdrojových materiálů.

Výzkumníci formulovali metodu nazvanou Útok na členství v identitě, která vyhodnocuje pravděpodobnost, že se jedinečná identita objeví často v přispívajícím datasetu, místo toho, aby se snažila zaměřit se na konkrétní charakteristiky identity (tj. na pixelové skupiny původního obrazu, který byl použit pro trénink generativního modelu).

Zdroj: https://arxiv.org/pdf/2107.06018.pdf

Na obrázku výše, z výzkumu, každá řada začíná GAN-generovaným obrazem vytvořeným pomocí StyleGAN. Levý blok obrazů byl vytvořen z databáze 40 000 obrazů, střední z 80 000 a pravý blok z 46 000 obrazů. Všechny obrazy pocházejí z datasetu VGG2Face2.

Některé vzorky mají letmý vztah, zatímco jiné silně korelují s tréninkovými daty. Tváře byly úspěšně identifikovány výzkumníky pomocí sítě pro identifikaci tváří.

Více než tvář

Přístupy k re-identifikaci této povahy mají multiple implikace v mnoha výzkumných oblastech; výzkumníci, kteří jsou umístěni na University of Caen v Normandii, zdůrazňují, že jejich technika není omezena na face-sets a face-generating GAN frameworks, ale je stejně aplikovatelná na medicínské obrazové datasety a biometrická data, mezi jinými možnými útočnými povrchy v image synthesis frameworks.

‘Domníváme se, že pokud je tento útok úspěšný, odhalí se jako vážná překážka pro bezpečnou výměnu GANs v citlivých kontextech. Například v kontextu obrazů nebo jiných uměleckých děl by distribuce neprivátního generátoru mohla být vyloučena z důvodu zřejmých autorských práv. Ještě důležitější je, že si představte biometrickou společnost A, která vydává generátor, který odhaluje identitu svých spotřebitelů. Další společnost B by mohla potenciálně zjistit, kteří z jejích vlastních spotřebitelů jsou také klienty společnosti A. Podobné situace mohou vyvolat vážné problémy pro medicínská data, kde odhalení GAN by mohlo porušit osobní informace o pacientovi.’

Re-identifikace nelegitimně webově scrapovaných nebo soukromých dat

Ačkoli článek se pouze lehce dotýká této problematiky, schopnost identifikovat původní zdrojová data z abstraktního výstupu (jako GAN-generované tváře, i když se to stejně vztahuje na encoder/decoder systémy a další architektury) má značné implikace pro implementace autorských práv v příštích 5-10 letech.

V současné době většina zemí uplatňuje laissez faire přístup ke scrapování veřejně přístupných webových dat, aby nebyly zanechány pozadu ve vývoji strojového učení. Jakmile se tento klima komercializuje a konsoliduje, existuje značný potenciál pro novou generaci “Data Trolls”, kteří by mohli předložit autorská práva na obrázky potvrzené jako historicky použité v datech, které přispěly k algoritmům strojového učení.

Jakmile se vyvinuté algoritmy dozrají a stanou se cennějšími s časem, jakékoli neoprávněné obrazové materiály, které byly použity v jejich raném vývoji a které lze odvodit z jejich výstupu pomocí metod podobných těm, které jsou navrženy ve francouzské studii, představují potenciální právní riziko na úrovni SCO vs. IBM (legendárního a dlouho trvajícího technického sporu, který stále hrozí linuxovému operačnímu systému).

Využití mexického patu diverzity vs. frekvence

Primární technika použité francouzskými výzkumníky využívá frekvenci původních datasetových obrazů jako klíč k re-identifikaci. Čím častěji se konkrétní identita vyskytuje v datasetu, tím je pravděpodobnější, že bude možné identifikovat původní identitu, tím, že se výsledky útoku zkorelují s veřejně nebo soukromě dostupnými daty.

Výzkumníci poznamenávají, že to lze zmírnit zahrnutím mnohem větší diverzity dat (například tváří) do zdrojového datasetu a tím, že dataset nebude trénován tak dlouho, aby došlo k přeučení. Problém spočívá v tom, že model musí poté dosáhnout dobré abstrakce v mnohem vyšší dimenzionální prostoru a s mnohem větším množstvím dat, než je striktně nutné k získání věrohodných syntetických výsledků.

Aby se dosáhlo optimální generalizace tohoto druhu, je to nákladné a časově náročné: latentní prostor (část strojového učení, do které se data zavádějí) bude potřebovat více zdrojů; dataset bude potřebovat více kurátorství; a protože množství dat bude muset být významné, velikosti dávek a plánování sazeb budou muset být optimalizovány pro kvalitu a vysokou úroveň generalizace, místo rychlosti tréninku a ekonomie, což povede k vyšším vývojovým nákladům a delším vývojovým časům.

Dále, přeučené generativní algoritmy mohou dosáhnout vysoce realistických syntetických dat, i když výstupní data (tj. tváře, mapy, biomedicínské obrazy atd.) nejsou zcela abstraktní, ale obsahují větší rozlišovací znaky zdrojových dat, než by bylo ideální – lákavá zkratka. V současném “divokém západě” klimatu sektoru strojového učení, kde menší iniciativy se snaží zpochybnit vedení FAANG s menšími zdroji (nebo získat pozornost pro odkup), je otázkou, zda standardy vždy dosahují této úrovně.

Článek také poznamenává, že diverzita zdrojových datových bodů (jako tváří) sama o sobě nestačí k zabránění re-identifikaci prostřednictvím těchto a podobných metod, protože brzké ukončení tréninku může zanechat zdrojové identity nedostatečně abstraktními.