Echte Identitäten können aus synthetischen Datensätzen wiederhergestellt werden

Wenn 2022 das Jahr war, in dem das disruptiven Potenzial von generativer KI erstmals breite öffentliche Aufmerksamkeit erhielt, ist 2024 das Jahr, in dem Fragen zur Rechtmäßigkeit der zugrunde liegenden Daten für Unternehmen, die ihre Macht nutzen wollen, in den Vordergrund getreten sind.

Die Fair-Use-Doktrin der USA, zusammen mit der stillschweigenden akademischen Lizenz, die es dem akademischen und kommerziellen Forschungssektor lange ermöglichte, generative KI zu erforschen, wurde zunehmend unhaltbar, als immer mehr Beweise für Plagiate auftraten. Infolgedessen hat die USA vorerst AI-generierte Inhalte vom Urheberrecht ausgenommen.

Diese Angelegenheiten sind noch nicht geklärt und werden auch nicht bald geklärt; im Jahr 2023, teilweise aufgrund wachsender Medien- und öffentlicher Bedenken hinsichtlich des Rechtsstatus von AI-generierten Ausgaben, startete das US-Urheberrechtsamt eine mehrjährige Untersuchung zu diesem Aspekt von generativer KI und veröffentlichte im Juli 2024 den ersten Teil (zu digitalen Replikaten).

In der Zwischenzeit bleiben die Geschäftsinteressen frustriert von der Möglichkeit, dass die teuren Modelle, die sie ausbeuten möchten, sie rechtlichen Konsequenzen aussetzen könnten, wenn endgültige Gesetze und Definitionen schließlich auftauchen.

Die teure kurzfristige Lösung besteht darin, generative Modelle zu legitimieren, indem sie auf Daten trainiert werden, die Unternehmen ausbeuten dürfen. Adobes Text-to-Image- (und jetzt Text-to-Video-) Firefly-Architektur wird hauptsächlich durch den Kauf der Fotolia-Stock-Bild-Datensammlung im Jahr 2014 angetrieben, ergänzt durch die Verwendung von urheberrechtsfreien öffentlichen Domänen-Daten*. Gleichzeitig haben etablierte Stock-Foto-Anbieter wie Getty und Shutterstock die neue Wertigkeit ihrer lizenzierten Daten ausgenutzt, mit einer wachsenden Anzahl von Deals, um Inhalte zu lizenzieren oder ihre eigenen IP-konformen GenAI-Systeme zu entwickeln.

Synthetische Lösungen

Da das Entfernen von urheberrechtlich geschützten Daten aus dem trainierten latenten Raum eines KI-Modells mit Problemen verbunden ist, könnten Fehler in diesem Bereich für Unternehmen, die mit Verbraucher- und Geschäftslösungen experimentieren, die maschinelles Lernen verwenden, sehr teuer werden.

Eine Alternative und viel billigere Lösung für Computer-Vision-Systeme (und auch Large Language Models oder LLMs) ist die Verwendung von synthetischen Daten, bei denen die Datensammlung aus zufällig generierten Beispielen des Zielbereichs (wie Gesichter, Katzen, Kirchen oder sogar einer allgemeineren Datensammlung) besteht.

Webseiten wie thispersondoesnotexist.com haben vor langer Zeit die Idee populär gemacht, dass authentisch aussehende Fotos von “nicht realen” Personen synthetisiert werden können (in diesem speziellen Fall durch Generative Adversarial Networks oder GANs), ohne dass sie eine Beziehung zu realen Personen in der realen Welt haben.

Daher können Sie, wenn Sie ein Gesichtserkennungssystem oder ein generatives System auf solchen abstrakten und nicht realen Beispielen trainieren, theoretisch einen photorealistischen Standard für die Produktivität eines KI-Modells erreichen, ohne dass Sie sich über die rechtliche Nutzbarkeit der Daten kümmern müssen.

Balancieren

Das Problem ist, dass die Systeme, die synthetische Daten produzieren, selbst auf realen Daten trainiert werden. Wenn Spuren dieser Daten in die synthetischen Daten einfließen, kann dies möglicherweise Beweise dafür liefern, dass geschütztes oder nicht autorisiertes Material für finanziellen Gewinn ausgenutzt wurde.

Um dies zu vermeiden und um wirklich “zufällige” Bilder zu produzieren, müssen solche Modelle sicherstellen, dass sie gut verallgemeinert sind. Verallgemeinerung ist die Messung der Fähigkeit eines trainierten KI-Modells, hochrangige Konzepte (wie “Gesicht”, “Mann” oder “Frau”) zu verstehen, ohne auf die tatsächlichen Trainingsdaten zurückzugreifen.

Leider kann es für trainierte Systeme schwierig sein, granulare Details zu produzieren oder zu erkennen, es sei denn, sie trainieren sehr umfassend auf einer Datensammlung. Dies setzt das System dem Risiko der Memorierung aus: einer Tendenz, Beispiele der tatsächlichen Trainingsdaten zu reproduzieren.

Dies kann durch die Festlegung eines entspannteren Lernalgorithmus oder durch die Beendigung des Trainings in einem Stadium, in dem die Kernkonzepte noch duktil und nicht mit einem bestimmten Datenpunkt (wie einem bestimmten Bild einer Person im Fall einer Gesichtsdatensammlung) verbunden sind, gemildert werden.

Beide dieser Abhilfen sind jedoch wahrscheinlich dazu führen, dass Modelle mit weniger feinen Details entstehen, da das System nicht die Gelegenheit hatte, über die “Grundlagen” des Zielbereichs hinauszugehen und bis zu den Spezifika.

Daher werden in der wissenschaftlichen Literatur sehr hohe Lernalgorithmen und umfassende Trainingspläne angewendet. Obwohl Forscher normalerweise versuchen, zwischen breiter Anwendbarkeit und Granularität im Endmodell zu kompromissieren, können sogar leicht “memorisierte” Systeme oft sich als gut verallgemeinert ausgeben – sogar in anfänglichen Tests.

Gesichts-Enthüllung

Dies bringt uns zu einem interessanten neuen Papier aus der Schweiz, das behauptet, als erstes zu demonstrieren, dass die ursprünglichen, realen Bilder, die synthetische Daten antreiben, aus generierten Bildern wiederhergestellt werden können, die theoretisch völlig zufällig sein sollten:

Beispiel-Gesichtsbilder, die aus Trainingsdaten durchgesickert sind. In der oberen Reihe sehen wir die ursprünglichen (realen) Bilder; in der unteren Reihe sehen wir Bilder, die zufällig generiert wurden, die erheblich mit den realen Bildern übereinstimmen. Quelle: https://arxiv.org/pdf/2410.24015

Die Ergebnisse, so argumentieren die Autoren, zeigen, dass “synthetische” Generatoren tatsächlich eine große Anzahl der Trainingsdatenpunkte memorisiert haben, auf der Suche nach größerer Granularität. Sie zeigen auch, dass Systeme, die auf synthetischen Daten angewiesen sind, um AI-Produzenten vor rechtlichen Konsequenzen zu schützen, in dieser Hinsicht sehr unzuverlässig sein können.

Die Forscher führten eine umfassende Studie über sechs State-of-the-Art-synthetische Datensätze durch, die zeigte, dass in allen Fällen ursprüngliche (potenziell urheberrechtlich geschützte oder geschützte) Daten wiederhergestellt werden können. Sie kommentieren:

‘Unsere Experimente zeigen, dass State-of-the-Art-synthetische Gesichtserkennungsdatensätze Proben enthalten, die sehr nah an Proben in den Trainingsdaten ihrer Generator-Modelle sind. In einigen Fällen enthalten die synthetischen Proben kleine Änderungen am ursprünglichen Bild, jedoch können wir in einigen Fällen auch beobachten, dass die generierten Proben mehr Variation (z. B. unterschiedliche Pose, Lichtbedingungen usw.) enthalten, während die Identität erhalten bleibt.

‘Dies legt nahe, dass die Generator-Modelle Identitätsinformationen aus den Trainingsdaten lernen und memorisieren und möglicherweise ähnliche Identitäten generieren. Dies wirft kritische Bedenken hinsichtlich der Anwendung von synthetischen Daten in privacy-sensiblen Aufgaben wie Biometrie und Gesichtserkennung auf.’

Das Papier ist betitelt Enthüllung synthetischer Gesichter: Wie synthetische Datensätze reale Identitäten aufdecken können und stammt von zwei Forschern am Idiap Research Institute in Martigny, der École Polytechnique Fédérale de Lausanne (EPFL) und der Université de Lausanne (UNIL) in Lausanne.

Methode, Daten und Ergebnisse

Die memorisierten Gesichter in der Studie wurden durch einen Membership-Inference-Angriff aufgedeckt. Obwohl das Konzept kompliziert klingt, ist es ziemlich selbst erklärend: Die Inferenz von Mitgliedschaft bezieht sich in diesem Fall auf den Prozess der Befragung eines Systems, bis es Daten preisgibt, die entweder den gesuchten Daten entsprechen oder ihnen erheblich ähneln.

Weitere Beispiele für abgeleitete Datenquellen aus der Studie. In diesem Fall stammen die synthetischen Bilder aus der DCFace-Datensammlung.

Die Forscher untersuchten sechs synthetische Datensätze, für die die (reale) Quelldatensammlung bekannt war. Da sowohl die realen als auch die synthetischen Datensammlungen eine sehr hohe Anzahl von Bildern enthalten, ist dies effektiv wie das Suchen nach einer Nadel im Heuhaufen.

Daher verwendeten die Autoren ein Standard-Facial-Recognition-Modell^† mit einem ResNet100-Backbone, das auf dem AdaFace-Verlustfunktion (auf dem WebFace12M-Datensatz) trainiert wurde.

Die sechs synthetischen Datensätze, die verwendet wurden, waren: DCFace (ein latenter Diffusionsmodell); IDiff-Face (Uniform – ein Diffusionsmodell basierend auf FFHQ); IDiff-Face (Zweistufig – eine Variante mit einer anderen Stichprobemethode); GANDiffFace (basierend auf Generative Adversarial Networks und Diffusionsmodellen, die StyleGAN3 verwenden, um anfängliche Identitäten zu generieren, und dann DreamBooth, um variierte Beispiele zu erstellen); IDNet (eine GAN-Methode, basierend auf StyleGAN-ADA); und SFace (eine identitäts-schützende Rahmenbedingung).

Da GANDiffFace sowohl GAN- als auch Diffusionsmethoden verwendet, wurde es mit dem Trainingsdatensatz von StyleGAN verglichen – dem nächsten “realen” Ursprung, den dieses Netzwerk bietet.

Die Autoren schlossen synthetische Datensätze aus, die CGI anstelle von KI-Methoden verwenden, und bei der Auswertung der Ergebnisse diskontierten sie Übereinstimmungen für Kinder aufgrund von Verteilungsanomalien in dieser Hinsicht sowie Nicht-Gesichtsbilder (die häufig in Gesichtsdatensammlungen vorkommen, wenn Web-Scraping-Systeme falsche Positiv-Ergebnisse für Objekte oder Artefakte erzeugen, die gesichtsähnliche Qualitäten haben).

Die Kosinus-Ähnlichkeit wurde für alle abgerufenen Paare berechnet und in Histogramme umgewandelt, die unten dargestellt sind:

Eine Histogrammdarstellung für Kosinus-Ähnlichkeitsscores, die über die verschiedenen Datensätze berechnet wurden, zusammen mit ihren entsprechenden Ähnlichkeitswerten für die Top-k-Paare (gestrichelte vertikale Linien).

Die Anzahl der Ähnlichkeiten wird in den Spitzen im obigen Diagramm dargestellt. Das Papier enthält auch Beispiele für Vergleiche aus den sechs Datensätzen und ihre entsprechenden geschätzten Bilder in den ursprünglichen (realen) Datensätzen, von denen einige Auswahlmöglichkeiten unten aufgeführt sind:

Beispiele aus den vielen Instanzen, die im Quellpapier reproduziert werden, auf die der Leser für eine umfassendere Auswahl verwiesen wird.

Das Papier kommentiert:

‘[Die] generierten synthetischen Datensätze enthalten sehr ähnliche Bilder aus dem Trainingsset ihres Generator-Modells, was Bedenken hinsichtlich der Generierung solcher Identitäten aufwirft.’

Die Autoren bemerken, dass für diesen spezifischen Ansatz das Skalieren auf höher voluminöse Datensätze wahrscheinlich ineffizient sein wird, da die notwendige Berechnung extrem belastend wäre. Sie beobachten weiter, dass eine visuelle Vergleichsmöglichkeit notwendig war, um Übereinstimmungen abzuleiten, und dass die automatisierte Gesichtserkennung allein wahrscheinlich nicht ausreichen würde, um eine größere Aufgabe zu bewältigen.

In Bezug auf die Auswirkungen der Forschung und mit Blick auf zukünftige Wege bemerkt die Arbeit:

‘[Wir] möchten betonen, dass die Hauptmotivation für die Generierung synthetischer Datensätze darin besteht, Datenschutzbedenken bei der Verwendung großer Web-crawler-Gesichtsdatensammlungen anzusprechen.

‘Daher wirft die Undichtigkeit von sensitiven Informationen (wie Identitäten von realen Bildern in den Trainingsdaten) in der synthetischen Datensammlung kritische Bedenken hinsichtlich der Anwendung von synthetischen Daten für privacy-sensible Aufgaben wie Biometrie auf. Unsere Studie wirft Licht auf die Datenschutzfallen bei der Generierung von synthetischen Gesichtserkennungsdatensätzen und ebnet den Weg für zukünftige Studien zur Generierung verantwortungsvoller synthetischer Gesichtsdatensätze.’

Obwohl die Autoren eine Code-Veröffentlichung für diese Arbeit auf der Projektseite versprechen, gibt es derzeit keinen aktuellen Repository-Link.

Schlussfolgerung

In letzter Zeit hat die Medienaufmerksamkeit die abnehmenden Erträge betont, die durch das Training von KI-Modellen auf AI-generierten Daten erzielt werden.

Die neue Schweizer Forschung bringt jedoch eine Überlegung in den Fokus, die für die wachsende Anzahl von Unternehmen, die generative KI nutzen und profitieren möchten, möglicherweise noch dringlicher ist – die Persistenz von IP-geschützten oder nicht autorisierten Datenmustern, sogar in Datensätzen, die darauf ausgelegt sind, diese Praxis zu bekämpfen. Wenn wir ihr einen Namen geben müssten, könnte es in diesem Fall “Gesichtswäsche” genannt werden.

* Adobe hat jedoch entschieden, Benutzer hochgeladene AI-generierte Bilder zu Adobe Stock zuzulassen, was die rechtliche “Reinheit” dieser Daten effektiv untergraben hat. Bloomberg behauptete im April 2024, dass Benutzer bereitgestellte Bilder aus dem MidJourney-Generative-AI-System in Fireflys Fähigkeiten integriert worden seien.

^† Dieses Modell wird im Papier nicht identifiziert.

Erstveröffentlichung am Mittwoch, den 6. November 2024