Wiederidentifizierung von Quelldaten für GAN-Generatoren

Neue Forschung aus Frankreich hat eine Technik vorgeschlagen, um die Quellidentitäten, die zu synthetisch generierten Daten beigetragen haben, wie den GAN-generierten “nicht existierenden Personen” bei Gesichtsgenerierungsprojekten wie This Person Does Not Exist, wiederzuerkennen.

Die in der Studie beschriebene Methode, die den Titel This Person (Probably) Exists. Identity Membership Attacks Against GAN Generated Faces trägt, erfordert keinen (ungewöhnlichen) Zugriff auf die Trainingsarchitektur oder die Modell-Daten und kann auf eine Vielzahl von Anwendungen angewendet werden, bei denen der Einsatz von Generative Adversarial Networks (GANs) derzeit als Methode zur Anonymisierung personenbezogener Daten (PII) oder zur Generierung synthetischer Daten unter Schutz der Quelldaten erforscht wird.

Die Forscher haben eine Methode namens Identity Membership Attack entwickelt, die die Wahrscheinlichkeit bewertet, dass eine einzelne Identität häufig in einem Beitragenden-Datensatz vorkommt, anstatt zu versuchen, bestimmte Merkmale einer Identität (z. B. die Pixelgruppen eines Originalbildes, das zum Trainieren des generativen Modells verwendet wurde) zu identifizieren.

Quelle: https://arxiv.org/pdf/2107.06018.pdf

Im oben gezeigten Bild aus der Forschung beginnt jede Zeile mit einem von StyleGAN generierten Bild. Der linke Bildblock wurde aus einer Datenbank von 40.000 Bildern erstellt, der mittlere aus 80.000 und der rechte Bildblock aus 46.000 Bildern. Alle Bilder stammen aus dem VGG2Face2-Datensatz.

Einige Beispiele haben eine flüchtige Ähnlichkeit, während andere stark mit den Trainingsdaten korrelieren. Die Gesichter wurden von den Forschern mithilfe eines Gesichtserkennungsnetzwerks erfolgreich identifiziert.

Mehr als nur das Äußere

Wiederidentifizierungsansätze dieser Art haben vielfältige Auswirkungen auf viele Forschungsbereiche; die Forscher, die an der Universität von Caen in der Normandie tätig sind, betonen, dass ihre Technik nicht auf Gesichtssätze und Gesichtsgenerierungs-GAN-Frameworks beschränkt ist, sondern auch auf medizinische Bilddatensätze und biometrische Daten anwendbar ist, unter anderem auf mögliche Angriffsflächen in Bildsynthese-Frameworks.

‘Wir sind der Meinung, dass, wenn diese Angriffe erfolgreich sind, sie als ernstes Hindernis für den sicheren Austausch von GANs in sensiblen Kontexten gelten würden. Zum Beispiel dürfte in der Kunst, wie z. B. bei Gemälden oder anderen Kunstwerken, die Verteilung eines nicht privaten Generators aufgrund von Urheberrechtsproblemen ausgeschlossen sein. Wichtiger noch, stellen Sie sich vor, dass ein biometrisches Unternehmen A einen Generator veröffentlicht, der die Identität seiner Kunden preisgibt. Ein anderes Unternehmen B könnte möglicherweise feststellen, welche seiner eigenen Kunden auch Kunden von Unternehmen A sind. Ähnliche Situationen können ernsthafte Probleme für medizinische Daten darstellen, bei denen die Offenlegung eines GANs personenbezogene Informationen über eine Patientenerkrankung verletzen könnte.’

Wiederidentifizierung unrechtmäßig web-gescreeter oder privater Daten

Obwohl die Studie dieses Thema nur leicht berührt, hat die Fähigkeit, die ursprünglichen Quelldaten aus abstrahierten Ausgaben (wie GAN-generierten Gesichtern, was auch auf Encoder/Decoder-Systeme und andere Architekturen anwendbar ist) zu identifizieren, bedeutende Auswirkungen auf die Umsetzung von Urheberrechtsschutz in den nächsten 5-10 Jahren.

Aktuell verfolgen die meisten Länder einen laissez-faire-Ansatz bei der Ausbeutung öffentlich zugänglicher Webdaten, um nicht den Anschluss an die Entwicklung des maschinellen Lernens zu verpassen. Wenn diese Branche jedoch kommerzialisiert und konsolidiert wird, besteht ein erhebliches Potenzial für eine neue Generation von “Data-Trolls”, die Urheberrechtsansprüche auf Bilder geltend machen, die historisch in Datensätzen verwendet wurden, die zur Entwicklung von maschinellen Lernalgorithmen beigetragen haben.

Wenn die entwickelten Algorithmen mit der Zeit ausgereift und wertvoller werden, kann jede nicht genehmigte Bildnutzung, die in ihrer frühen Entwicklung verwendet wurde und durch Methoden wie die in der neuen französischen Studie vorgeschlagene inferiert werden kann, zu einer potenziellen rechtlichen Haftung auf der Größenordnung von SCO vs. IBM (einer legendär langen tech-Rechtssache, die weiterhin die Linux-Betriebssystem bedroht) werden.

Ausbeutung des mexikanischen Patt-Situations von Vielfalt vs. Häufigkeit

Die primäre Technik, die von den französischen Forschern verwendet wird, nutzt die Häufigkeit der ursprünglichen Datensatzbilder als Schlüssel zur Wiederidentifizierung. Je häufiger eine bestimmte Identität im Datensatz vorkommt, desto wahrscheinlicher ist es, dass es möglich ist, die ursprüngliche Identität durch Korrelieren der Ergebnisse des Angriffs mit öffentlich oder privat verfügbaren Datensätzen zu identifizieren.

Die Forscher betonen, dass dies durch die Einbeziehung einer viel größeren Vielfalt von Daten (z. B. Gesichtern) im Quelldatensatz und durch Vermeidung einer Übertrainierung des Datensatzes gemildert werden kann. Das Problem dabei ist, dass das Modell dann eine gute Abstraktion in einem viel höherdimensionalen Raum erreichen muss und mit einer viel größeren Menge an Daten als strikt notwendig, um plausible synthetische Ergebnisse zu erzielen.

Um eine optimale Verallgemeinerung dieser Art zu erreichen, ist es teuer und zeitaufwendig: der latente Raum (der formelhafte Analyseteil des maschinellen Lernmodells, in den die Daten eingegeben werden) benötigt mehr Ressourcen; der Datensatz benötigt mehr Pflege; und da die Menge an Daten erheblich sein muss, müssen Batch-Größen und Rate-Scheduling für Qualität und hohe Verallgemeinerung und nicht für Geschwindigkeit und Wirtschaftlichkeit optimiert werden, was zu höheren Entwicklungskosten und längeren Entwicklungzeiten führt.

Darüber hinaus können übertrainierte generative Algorithmen hochrealistische synthetische Daten erzeugen, auch wenn die Ausgabedaten (z. B. Gesichter, Karten, biomedizinische Bilder usw.) nicht vollständig abstrakt sind, sondern größere unterscheidende Merkmale von den Quelldaten aufweisen als ideal – eine verlockende Abkürzung. In der aktuellen “Wild-West”-Situation des maschinellen Lernsektors, in der kleinere Initiativen versuchen, die Führung von FAANG mit knapperen Ressourcen herauszufordern (oder um eine Übernahme zu erreichen), ist es fraglich, ob die Standards immer so hoch sind.

Die Studie stellt auch fest, dass die Vielfalt der Quelldatensätze (wie Gesichter) allein nicht ausreicht, um die Wiederidentifizierung durch diese und ähnliche Methoden zu verhindern, da eine vorzeitige Beendigung der Trainingsphase die Quellidentitäten unzureichend abstrahieren kann.