DRM pour les jeux de données de vision par ordinateur

L’histoire suggère que l’ère « ouverte » de la recherche en vision par ordinateur, où la reproductibilité et la révision favorable par les pairs sont centrales pour le développement d’une nouvelle initiative, doit finalement céder la place à une nouvelle ère de protection de la propriété intellectuelle – où des mécanismes fermés et des plateformes murées empêchent les concurrents de miner les coûts élevés de développement de jeux de données, ou d’utiliser un projet coûteux comme un simple tremplin pour développer leur propre version (peut-être supérieure).

Actuellement, la tendance croissante vers le protectionnisme est principalement soutenue par l’enclosure de cadres centraux propriétaires derrière l’accès API, où les utilisateurs envoient des jetons ou des requêtes épars, et où les processus de transformation qui rendent les réponses du cadre précieux sont entièrement cachés.

Dans d’autres cas, le modèle final lui-même peut être publié, mais sans les informations centrales qui le rendent précieux, telles que les poids pré-entraînés qui peuvent avoir coûté plusieurs millions pour générer; ou sans un jeu de données propriétaire, ou sans détails exacts sur la façon dont un sous-ensemble a été produit à partir d’une gamme de jeux de données ouverts. Dans le cas du modèle de langage naturel transformateur d’OpenAI GPT-3, les deux mesures de protection sont actuellement utilisées, laissant les imitateurs du modèle, tels que GPT Neo, à rassembler une approximation du produit comme ils le peuvent.

Protection des jeux de données d’images

Cependant, l’intérêt grandit pour les méthodes qui permettraient à un cadre d’apprentissage automatique « protégé » de regagner un certain niveau de portabilité, en s’assurant que seuls les utilisateurs autorisés (par exemple, les utilisateurs payants) puissent utiliser avec profit le système en question. Cela implique généralement de crypter le jeu de données d’une manière programmatique, de sorte qu’il soit lu « propre » par le cadre d’apprentissage automatique au moment de l’entraînement, mais est compromis ou inutilisable dans tout autre contexte.

Un tel système vient d’être proposé par des chercheurs de l’Université des sciences et de la technologie de Chine à Anhui, et de l’Université Fudan à Shanghai. Intitulé Protection de jeu de données d’images inversible, le document propose un pipeline qui ajoute automatiquement une perturbation d’exemple adverse à un jeu de données d’images, de sorte qu’il ne puisse pas être utilisé avec profit pour l’entraînement en cas de piratage, mais où la protection est entièrement filtrée par un système autorisé contenant un jeton secret.

Du document: une image source « précieuse » est rendue effectivement non entraînable avec des techniques d’exemple adverse, avec les perturbations supprimées systématiquement et entièrement automatiquement pour un « utilisateur autorisé ». Source: https://arxiv.org/pdf/2112.14420.pdf

Le mécanisme qui permet la protection s’appelle générateur d’exemple adverse inversible (RAEG), et équivaut effectivement à une cryptographie sur l’« utilité » réelle des images pour les fins de classification, en utilisant la dissimulation de données inversibles (RDH). Les auteurs déclarent:

‘La méthode génère d’abord l’image adverse en utilisant les méthodes AE existantes, puis incorpore la perturbation adverse dans l’image adverse, et génère l’image stéganographique en utilisant la RDH. En raison de la caractéristique de réversibilité, la perturbation adverse et l’image d’origine peuvent être récupérées.’

Les images d’origine du jeu de données sont alimentées dans un réseau neuronal inversible en forme de U (INN) afin de produire des images affectées par des adversaires qui sont conçues pour tromper les systèmes de classification. Cela signifie que l’extraction de fonctionnalités typique sera compromise, rendant difficile la classification de traits tels que le sexe, et d’autres fonctionnalités basées sur le visage (bien que l’architecture prenne en charge une gamme de domaines, et non seulement le matériel basé sur le visage).

Un test d’inversion de RAEG, où différents types d’attaque sont effectués sur les images avant la reconstruction. Les méthodes d’attaque incluent le flou gaussien et les artefacts JPEG.

Ainsi, si l’on tente d’utiliser le jeu de données « corrompu » ou « crypté » dans un cadre conçu pour la génération de visages basée sur GAN, ou pour la reconnaissance faciale, le modèle résultant sera moins efficace qu’il ne le serait s’il avait été entraîné sur des images non perturbées.

Bloquer les images

Cependant, ce n’est qu’un effet secondaire de l’applicabilité générale des méthodes de perturbation populaires. En fait, dans le cas d’utilisation envisagé, les données seront handicapées sauf en cas d’accès autorisé au cadre cible, puisque la « clé » centrale des données propres est un jeton secret dans l’architecture cible.

Cette cryptographie a un coût; les chercheurs caractérisent la perte de qualité d’image d’origine comme une « légère distorsion », et déclarent ‘[La] méthode proposée peut presque parfaitement restaurer l’image d’origine, tandis que les méthodes précédentes ne peuvent restaurer qu’une version floue.’

Les méthodes précédentes en question sont du document Une intelligence artificielle non autorisée ne peut me reconnaître: Exemple adverse inversible, une collaboration entre deux universités chinoises et le RIKEN Center for Advanced Intelligence Project (AIP); et Attaque adverse inversible basée sur la transformation d’image inversible, un document de 2019 également issu du secteur de la recherche universitaire chinoise.

Les chercheurs du nouveau document affirment avoir apporté des améliorations notables à l’utilisabilité des images restaurées, par rapport à ces approches antérieures, observant que la première approche est trop sensible aux interférences intermédiaires et trop facile à contourner, tandis que la deuxième cause une dégradation excessive des images d’origine au moment de l’entraînement (autorisé), compromettant ainsi l’applicabilité du système.

Architecture, données et tests

Le nouveau système se compose d’un générateur, d’une couche d’attaque qui applique la perturbation, de classificateurs cibles pré-entraînés et d’un élément de discriminateur.

L’architecture de RAEG. À gauche du milieu, on voit le jeton secret ‘I_prt‘, qui permettra la dé-perturbation de l’image au moment de l’entraînement, en identifiant les fonctionnalités perturbées intégrées dans les images sources et en les annulant.

Ci-dessous se trouvent les résultats d’un test de comparaison avec les deux approches antérieures, en utilisant trois jeux de données: CelebA-100; Caltech-101; et Mini-ImageNet.

Les trois jeux de données ont été formés comme des réseaux de classification cibles, avec une taille de lot de 32, sur une NVIDIA RTX 3090 au cours d’une semaine, pendant 50 époques.

Les auteurs affirment que RAEG est le premier travail à proposer un réseau neuronal inversible qui peut générer activement des exemples adverses.

Publié pour la première fois le 4 janvier 2022.