Bildcodierung gegen die Verwendung in Deepfake- und Bildsynthese-Systemen

Die bekannteste Forschungsrichtung im wachsenden Anti-Deepfake-Sektor beschäftigt sich mit Systemen, die Artefakte oder andere vermeintliche Merkmale von Deepfakes, synthetisierten oder auf andere Weise gefälschten oder “bearbeiteten” Gesichtern in Video- und Bildinhalten erkennen können.

Solche Ansätze verwenden eine Vielzahl von Taktiken, darunter Tiefenerkennung, Video-Regelmäßigkeits-Unterbrechung, Variationen in der Monitor-Beleuchtung (in potenziell deepgefälschten Live-Video-Anrufen), biometrische Merkmale, äußere Gesichtsregionen und sogar die verborgenen Kräfte des menschlichen Unterbewusstseins.

Was diese und ähnliche Methoden gemeinsam haben, ist, dass sie zum Zeitpunkt ihrer Einsetzung bereits erfolgreich auf Tausende oder Hunderttausende von Bildern trainiert wurden, die vom Web gesammelt wurden – Bildern, aus denen Autoencoder-Systeme leicht Schlüsselmerkmale ableiten und Modelle erstellen können, die eine falsche Identität in Video-Aufnahmen oder synthetisierte Bilder auferlegen können – sogar in Echtzeit.

Kurz gesagt, wenn solche Systeme aktiv sind, ist das Pferd bereits aus dem Stall.

Bilder, die feindlich gegenüber Deepfake/Synthese-Architekturen sind

Im Rahmen einer präventiveren Haltung gegenüber der Bedrohung durch Deepfakes und Bildsynthese beschäftigt sich ein weniger bekannter Forschungsstrang mit den Möglichkeiten, die darin bestehen, alle diese Quellbilder unfreundlich gegenüber AI-Bildsynthese-Systemen zu machen, meist auf unauffällige oder kaum wahrnehmbare Weise.

Beispiele hierfür sind FakeTagger, ein Vorschlag aus dem Jahr 2021 von verschiedenen Institutionen in den USA und Asien, der Nachrichten in Bilder codiert; diese Codierungen sind resistent gegen den Prozess der Verallgemeinerung und können anschließend sogar nachdem die Bilder vom Web gesammelt und in ein Generatives Adversariales Netzwerk (GAN) trainiert wurden, wiederhergestellt werden.

FakeTagger codiert Informationen, die den Prozess der Verallgemeinerung beim Training eines GAN überstehen, sodass es möglich ist, zu wissen, ob ein bestimmtes Bild zur generativen Fähigkeit des Systems beigetragen hat. Quelle: https://arxiv.org/pdf/2009.09869.pdf

Ein weiterer internationaler Versuch, der auf der ICCV 2021 vorgestellt wurde, führte künstliche Fingerabdrücke für generative Modelle ein, (siehe Bild unten) die wiederum recoverable ‘Fingerabdrücke’ aus der Ausgabe eines Bildsynthese-GAN wie StyleGAN2 erzeugen.

Selbst unter verschiedenen extremen Manipulationen, Beschneidungen und Gesichtsaustausch bleiben die Fingerabdrücke, die durch ProGAN übertragen werden, wiederherstellbar. Quelle: https://arxiv.org/pdf/2007.08457.pdf

Andere Iterationen dieses Konzepts umfassen ein 2018-Projekt von IBM und ein digitales Wasserzeichensystem im selben Jahr aus Japan.

Ein noch innovativerer Ansatz ist ein Vorschlag von der Nanjing University of Aeronautics and Astronautics aus dem Jahr 2021, der darauf abzielt, Trainingsbilder so zu “verschlüsseln”, dass sie nur auf autorisierten Systemen effektiv trainiert werden können, aber katastrophal versagen, wenn sie als Quelldaten in einer generischen Bildsynthese-Trainingspipeline verwendet werden.

Im Grunde fallen alle diese Methoden unter die Kategorie der Steganographie, aber in allen Fällen muss die einzigartige Identifikationsinformation in den Bildern so codiert werden, dass sie ein wesentliches “Merkmal” des Bildes darstellt, sodass es keine Chance gibt, dass ein Autoencoder oder GAN-Architektur diese Fingerabdrücke als “Rauschen” oder nicht essentielle Daten verwerfen, sondern sie vielmehr zusammen mit anderen Gesichtsmerkmalen codieren wird.

Gleichzeitig darf der Prozess nicht so sehr die Bilder verzerren oder beeinträchtigen, dass sie von casualen Betrachtern als fehlerhaft oder von schlechter Qualität wahrgenommen werden.

TAFIM

Jetzt hat ein neuer deutscher Forschungsansatz (von der Technischen Universität München und Sony Europe RDC Stuttgart) eine Bildcodierungstechnik vorgeschlagen, bei der Deepfake-Modelle oder StyleGAN-ähnliche Frameworks, die auf verarbeiteten Bildern trainiert werden, unbrauchbare blaue oder weiße Ausgabe produzieren.

TAFIMs niedrigstufige Bildstörungen behandeln mehrere mögliche Arten von Gesichtsverzerrung/Ersatz und zwingen Modelle, die auf diesen Bildern trainiert werden, zu gestörter Ausgabe, und wird von den Autoren als auch in Echtzeit-Szenarien wie DeepFaceLives Echtzeit-Deepfake-Streaming anwendbar beschrieben. Quelle: https://arxiv.org/pdf/2112.09151.pdf

Das Papier, betitelt TAFIM: Zielgerichtete Angriffe gegen Gesichtsbildmanipulationen, verwendet ein neuronales Netzwerk, um kaum wahrnehmbare Störungen in Bilder zu codieren. Nachdem die Bilder trainiert und in eine Synthese-Architektur verallgemeinert wurden, produziert das resultierende Modell eine verfärbte Ausgabe für die Eingabe-Identität, wenn es in Style-Mixing oder direktem Gesichtsaustausch verwendet wird.

Das Web neu codieren..?

Jedoch sind wir in diesem Fall nicht hier, um die Feinheiten und Architektur der neuesten Version dieses beliebten Konzepts zu untersuchen, sondern vielmehr, um die Praktikabilität der gesamten Idee zu betrachten – insbesondere im Lichte der wachsenden Kontroverse über die Verwendung öffentlich gesammelter Bilder im Internet als reichhaltige Ressource für transformative AI-Systeme.

Proaktive, codierungsorientierte Ansätze wie die oben beschriebenen kommen nicht ohne erhebliche Kosten. Sie würden mindestens die Einführung neuer und erweiterter Komprimierungsroutinen in Standard-Web-Verarbeitungsbibliotheken wie ImageMagick erfordern, die eine große Anzahl von Upload-Prozessen antreiben, einschließlich vieler sozialer Medien-Upload-Schnittstellen, die mit der Umwandlung von Original-Bildern in optimierte Versionen für leichte Weitergabe und Netzwerkverteilung betraut sind.

Die primäre Frage, die sich hieraus ergibt, ist: Würde ein solches System “vorwärts” implementiert, oder wäre eine umfassendere und rückwirkende Bereitstellung beabsichtigt, die historische Medien anspricht, die möglicherweise seit Jahrzehnten “unverfälscht” verfügbar sind?

Plattformen wie Netflix sind nicht abgeneigt, den Aufwand zu betreiben, ihre Back-Kataloge mit neuen Codecs zu recodieren, die effizienter sein oder Benutzer- oder Anbieter-Vorteile bieten könnten; ähnlich wie YouTubes Umstellung ihrer historischen Inhalte auf den H.264-Codec, offensichtlich, um Apple TV zu unterstützen, eine logistisch monumentale Aufgabe, die nicht als prohibitiv schwierig angesehen wurde, trotz des Umfangs.

Ironischerweise würden selbst dann, wenn große Teile von Medieninhalten im Internet recodiert würden, um sie resistent gegen das Training zu machen, die begrenzte Gruppe von einflussreichen Computer-Vision-Datensätzen unberührt bleiben. Allerdings würden Systeme, die sie als Upstream-Daten verwenden, beginnen, in der Qualität ihrer Ausgabe abzunehmen, da watermarked Inhalte die transformierenden Prozesse der Architekturen stören würden.

Politischer Konflikt

In politischer Hinsicht gibt es eine offensichtliche Spannung zwischen der Entschlossenheit der Regierungen, nicht hinter der AI-Entwicklung zurückzubleiben, und der Bereitschaft, Konzessionen an die öffentliche Besorgnis über die ad-hoc-Verwendung von öffentlich verfügbaren Audio-, Video- und Bildinhalten im Internet als reichhaltige Ressource für transformative AI-Systeme zu machen.

Offiziell sind westliche Regierungen geneigt, die Computer-Vision-Forschung zu dulden, die öffentlich verfügbare Medien nutzt, nicht zuletzt, weil einige der autokratischeren asiatischen Länder größere Freiheiten haben, ihre Entwicklungswerkzeuge so zu gestalten, dass sie ihren eigenen Forschungsbemühungen zugutekommen – nur einer der Faktoren, die nahelegen, dass China zum globalen Leader in der KI wird.

Im April 2022 bestätigte das US-Berufungsgericht , dass öffentlich zugängliche Web-Daten für Forschungszwecke fair sind, trotz der laufenden Proteste von LinkedIn, das wünscht, dass seine Benutzerprofile vor solchen Prozessen geschützt werden.

Wenn also AI-resistente Bilder nicht zu einem systemweiten Standard werden, gibt es nichts, was die großen Quellen von Trainingsdaten daran hindert, solche Systeme zu implementieren, sodass ihre eigene Ausgabe unproduktiv im latenten Raum wird.

Der wesentliche Faktor bei solchen unternehmensspezifischen Bereitstellungen ist, dass Bilder von Natur aus resistent gegen das Training sein sollten. Blockchain-basierte Provenienz-Techniken und Bewegungen wie die Content Authenticity Initiative sind mehr damit beschäftigt, zu beweisen, dass Bilder gefälscht oder “styleGANned” wurden, als die Mechanismen zu verhindern, die solche Transformationen ermöglichen.

Beiläufige Inspektion

Während Vorschläge gemacht wurden, um Blockchain-Methoden zu verwenden, um die wahre Herkunft und Erscheinung eines Quellbildes zu authentifizieren, das möglicherweise später in ein Trainingsdatensatz aufgenommen wurde, verhindert dies nicht die Ausbildung von Bildern oder bietet eine Möglichkeit, zu beweisen, dass die Bilder in einem Trainingsdatensatz enthalten waren.

Bei einem Wasserzeichensansatz zum Ausschluss von Bildern aus dem Training wäre es wichtig, nicht auf die öffentliche Verfügbarkeit der Quellbilder eines einflussreichen Datensatzes zu vertrauen. Als Reaktion auf Künstlerproteste über Stable Diffusions liberale Aufnahme ihrer Arbeit, ermöglicht die Website haveibeentrained.com Benutzern, Bilder hochzuladen und zu überprüfen, ob sie wahrscheinlich im LAION5B-Datensatz enthalten sind, der Stable Diffusion antreibt:

‘Lenna’, buchstäblich das Poster-Mädchen für Computer-Vision-Forschung bis vor kurzem, ist definitiv ein Beitrag zu Stable Diffusion. Quelle: https://haveibeentrained.com/

Die meisten traditionellen Deepfake-Datensätze werden beispielsweise beiläufig aus extrahierten Videos und Bildern im Internet in nicht-öffentliche Datenbanken gezogen, in denen nur eine Art von neuronal-resistenter Wasserzeichen die Verwendung spezifischer Bilder zur Erstellung von abgeleiteten Bildern und Videos aufdecken könnte.

Weiterhin beginnen Stable-Diffusion-Benutzer, Inhalte hinzuzufügen – entweder durch Feinabstimmung (Fortsetzung der Ausbildung des offiziellen Modell-Checkpoints mit zusätzlichen Bild-/Text-Paaren) oder Textuelle Inversion, die ein bestimmtes Element oder eine bestimmte Person hinzufügt – die nicht in einer Suche durch LAIONs Milliarden von Bildern erscheinen.

Wasserzeichen in der Quelle einbetten

Eine noch extremere mögliche Anwendung der Quellbild-Wasserzeichen ist, versteckte und nicht offensichtliche Informationen in die Rohaufnahmen von kommerziellen Kameras, Videos oder Bildern einzubetten. Obwohl das Konzept in den frühen 2000er Jahren experimentell und sogar mit einigem Eifer als Reaktion auf die aufkommende “Bedrohung” durch Multimedia-Piraterie umgesetzt wurde, ist das Prinzip technisch auch für den Zweck anwendbar, Medieninhalte resistent oder abstoßend gegenüber Machine-Learning-Trainings-Systemen zu machen.

Ein Vorschlag, der in einem Patentantrag aus den späten 1990er Jahren gemacht wurde, schlug vor, Diskrete Cosinus-Transformationen zu verwenden, um steganographische “Unterbilder” in Videos und Standbilder einzubetten, und schlug vor, dass die Routine “als integrierte Funktion für digitale Aufnahmegeräte wie Still- und Videokameras” implementiert werden könnte.

In einem Patentantrag aus den späten 1990er Jahren wird Lenna mit okkulten Wasserzeichen ausgestattet, die bei Bedarf wiederhergestellt werden können. Quelle: https://www.freepatentsonline.com/6983057.pdf

Ein weniger sophistizierter Ansatz ist, deutlich sichtbare Wasserzeichen auf Bilder auf Geräteebene aufzuprägen – eine Funktion, die den meisten Benutzern unattraktiv ist und für Künstler und professionelle Medienpraktiker redundant ist, die in der Lage sind, die Quelldaten zu schützen und solche Markierungen oder Verbote wie sie es für angemessen halten (nicht zuletzt, Bildagenturen).

Obwohl mindestens eine Kamera derzeit optional eine Logo-basierte Wasserzeichen-Aufprägung ermöglicht, die unautorisierte Verwendung in einem abgeleiteten AI-Modell signalisieren könnte, wird die Entfernung von Logos durch AI ziemlich trivial und sogar kaum kommerzialisiert.

Erstveröffentlichung: 25. September 2022.