Estäen tietokoneen näködatat laitonta käyttöä

Kiinalaiset tutkijat ovat kehittäneet menetelmän, jolla voidaan tekijänoikeussuojata tietokoneen näköä varten käytettäviä kuvadatamääriä “merkintämällä” kuvat tiedoissa ja sitten salaamalla “puhtaat” kuvat pilvipohjaisella alustalla ainoastaan valtuutetuille käyttäjille.

Järjestelmän testit osoittavat, että koneoppimismallin kouluttaminen tekijänoikeussuojatuilla kuvilla aiheuttaa katastrofaalisen laskun mallin tarkkuudessa. Tutkijat testasivat järjestelmää kahdella suositulla avoimella lähdekoodilla varustetulla kuvadatamäärillä ja totesivat, että oli mahdollista laskea tarkkuudet 86,21 %:sta ja 74,00 %:sta “puhtaista” datamääristä 38,23 %:iin ja 16,20 %:iin yrittäessä kouluttaa malleja salattujen datojen kanssa.

Tutkimuksesta – esimerkkejä vasemmalta oikealle, puhtaista, suojatuista (ts. häiriintyneistä) ja palautetuista kuvista. Lähde: https://arxiv.org/pdf/2109.07921.pdf

Tämä mahdollistaa laajan, korkealaatuisen ja kalliiden datamäärien julkisen jakamisen, ja (oletettavasti) jopa osittain vahingoittuneiden “demo”-koulutuksen näiden datamäärien kanssa, jotta voidaan osoittaa niiden toimivuutta.

Pilvipohjainen datatietojen todennus

Tutkimus tutkimus on peräisin Nanjingin ilmailu- ja avaruustekniikan yliopiston kahdelta osastolta, ja se kuvaa Dataset Management Cloud Platform (DMCP):n, etäisen todennuskehikon, joka tarjoaa samanlaisen etäisen ennen latausta tapahtuvan validoinnin kuin mitä on tullut tutuksi raskaiden paikallisten asennusten kuten Adobe Creative Suiten kanssa.

Ehdotetun menetelmän virran ja kehikon kuvaus.

Suojattu kuva muodostetaan piirtiluvun häiriöiden avulla, joka on vihamielinen hyökkäysmenetelmä, jonka kehitti Pohjois-Carolinan Duke-yliopisto vuonna 2019.

Piirtiluvun häiriöillä tehdään “Aktivaatiohyökkäys”, jossa yhden kuvan piirteet siirretään toisen, vihamielisen kuvan piirtiluvuksi. Lähde: https://openaccess.thecvf.com

Seuraavaksi alkuperäinen kuva upotetaan häiriintyneeseen kuvaan lohkoparilla ja lohkomuunnoksella, kuten ehdotettiin vuoden 2016 tutkimuksessa Reversible Data Hiding in Encrypted Images by Reversible Image Transformation.

Lohkoparitiedon sisältävä jono upotetaan väliaikaiseen välikuvaan AES-salausmenetelmällä, jonka avain haetaan myöhemmin DMCP:stä todennusaikana. Vähäisen merkitsevän bittien steganografia-algoritmi käytetään avaimen upottamiseen. Tutkijat kutsuvat tätä prosessia muuntuneeksi käänteiseksi kuvamuunnokseksi (mRIT).

mRIT-rutiini käännetään periaatteessa vastakkaiseksi salaamisaikana, jolloin “puhdas” kuva palautetaan käytettäväksi koulutussessioissa.

Testaus

Tutkijat testasivat järjestelmää ResNet-18-arkkitehtuurilla kahdella datamäärillä: vuoden 2009 työ CIFAR-10, joka sisältää 6000 kuvaa 10 luokassa; ja Stanfordin TinyImageNet, joka on osajoukko ImageNet-luokitteluhälytysten datasta, joka sisältää 100 000 kuvan koulutusdatamäärin, 10 000 kuvan validointidatamäärin ja 10 000 kuvan testidatamäärin.

ResNet-malli koulutettiin nollasta kolmella konfiguraatiolla: puhtaalla, suojatulla ja salaamattomalla datamäärillä. Molemmat datamäärät käyttivät Adam-optimointia, jossa oli alkuoppimisnopeus 0,01, batch-koko 128 ja koulutusepooki 80.

Koulutus- ja testitarkkuustulokset salaamisjärjestelmän testauksesta.

Vaikka tutkimus toteaa, että “mallin suorituskyky palautetulla datamäärillä ei vaikuta”, tulokset osoittavat vähäisiä tappioita tarkkuudessa palautetulla datalla verrattuna alkuperäiseen datamäärin, 86,21 %:sta 85,86 %:iin CIFAR-10:ssä ja 74,00 %:sta 73,20 %:iin TinyImageNetissä.

Kuitenkin, ottaen huomioon, miten jopa vähäiset siementen muutokset (kuten GPU-laitteistokin) voivat vaikuttaa koulutussuorituskykyyn, tämä näyttää olevan vähäinen ja tehokas vastine immateriaalioikeuksien suojaamiseksi tarkkuuden suhteen.

Mallin suojausmaisema

Aikaisemmat työt ovat keskittyneet lähinnä koneoppimismallien immateriaalioikeuksien suojaamiseen olettaen, että itse koulutusdata on vaikeampi suojata: vuoden 2018 tutkimuspyrkimys Japanista tarjosi menetelmän upottaa vesileimat syvän oppimismalleihin; aikaisempi työ vuodelta 2017 tarjosi samankaltaisen lähestymistavan.

Vuoden 2018 aloite IBM:ltä oli ehkä syvin ja sitoutunein tutkimus syvän oppimismallien vesileimojen mahdollisuuksista. Tämä lähestymistapa poikkesi uudesta tutkimuksesta siten, että se pyrki upottamaan ei-käänteisiä vesileimoja koulutusdataan ja sitten käyttämään suodattimia neuroniverkkoarkkitehtuureissa “alennettaa” datan häiriöitä.

IBM:n suunnitelma neuroniverkon “ohittamiseksi” vesileimoja koski arkkitehtuurin osia, jotka suunniteltiin tunnistamaan ja hylkäämään vesileimattuja dataosia. Lähde: https://gzs715.github.io/pubs/WATERMARK_ASIACCS18.pdf

Merirosvoamisvektori

Vaikka datamäärän salaamisjärjestelmien kehittäminen immateriaalioikeuksien suojaamiseksi voi näyttää reunatapaukselta koneoppimiskulttuurissa, joka on edelleen riippuvainen avoimesta tarkastelusta ja tiedon jakamisesta globaalissa tutkimusyhteisössä, jatkuva kiinnostus yksityisyyttä suojaaviin tunnistamisalgoritmeihin saattaa tuottaa järjestelmiä, jotka ovat kiinnostavia yrityksille, jotka haluavat suojata tiettyjä tietoja eivätkä henkilökohtaisia tietoja.

Uusi tutkimus ei lisää satunnaisia häiriöitä kuva-dataan, vaan sen sijaan taitavasti kohdennettuja siirtoja piirtiluvussa. Siksi nykyinen vesileimojen poistamiseen ja kuvan parantamiseen tarkoitettujen tietokoneen näön projektien sarja saattaa “palauttaa” kuvat ihmisen havainnoimaksi korkeampaan laatuun ilman, että se todella poistaa piirtiluvun häiriöitä, jotka aiheuttavat luokitteluvirheitä.

Monissa tietokoneen näön sovelluksissa, erityisesti niissä, jotka liittyvät merkintöihin ja olioiden tunnistamiseen, laittomasti palautetut kuvat aiheuttavat todennäköisesti edelleen luokitteluvirheitä. Kuitenkin tapauksissa, joissa kuvamuunnokset ovat keskeinen tavoite (kuten kasvojen luonti tai deepfake-sovellukset), algoritmien palauttamat kuvat voivat edelleen olla hyödyllisiä toimivien algoritmien kehittämisessä.