Réidentifier les données sources pour les générateurs GAN

De nouvelles recherches menées en France ont proposé une technique pour « réidentifier » les identités sources qui ont contribué à des données générées de manière synthétique, telles que les « personnes non existantes » générées par des projets de génération de visages tels que This Person Does Not Exist.

La méthode décrite dans l’article, intitulé Cette personne (probablement) existe. Attaques d’adhésion d’identité contre les visages générés par GAN, ne nécessite pas (ce qui est peu probable) d’accéder à l’architecture de formation ou aux données du modèle, et peut être appliquée à diverses applications pour lesquelles l’utilisation de Réseaux antagonistes génératifs (GAN) est actuellement explorée comme moyen d’anonymiser les informations personnelles identifiables (PII) ou de générer des données synthétiques tout en protégeant la matière source.

Les chercheurs ont élaboré une méthode appelée Attaque d’adhésion d’identité, qui évalue la probabilité qu’une identité unique apparaisse fréquemment dans un ensemble de données contributif, plutôt que d’essayer de se concentrer sur des caractéristiques particulières d’une identité (c’est-à-dire les groupes de pixels d’une image originale utilisée pour former le modèle génératif).

Source: https://arxiv.org/pdf/2107.06018.pdf

Dans l’image ci-dessus, issue de la recherche, chaque ligne commence par une image générée par GAN créée par StyleGAN. Le bloc de gauche a été créé à partir d’une base de données de 40 000 images, le bloc du milieu à partir de 80 000 et le bloc de droite à partir de 46 000 images. Toutes les images proviennent de l’ensemble de données VGG2Face2.

Certaines échantillons ont une ressemblance fugace, tandis que d’autres sont fortement corrélées aux données de formation. Les visages ont été identifiés avec succès par les chercheurs à l’aide d’un réseau d’identification de visages.

Plus que la valeur faciale

Les approches de réidentification de ce type ont des implications multiples dans de nombreux domaines de recherche; les chercheurs, basés à l’Université de Caen en Normandie, soulignent que leur technique n’est pas limitée aux ensembles de visages et aux cadres de génération de visages GAN, mais est également applicable aux ensembles de données d’imagerie médicale et aux données biométriques, entre autres surfaces d’attaque possibles dans les cadres de synthèse d’images.

‘Nous estimons que si cela est couronné de succès, une telle attaque révélerait un obstacle sérieux pour l’échange sécurisé de GAN dans des contextes sensibles. Par exemple, dans le contexte de peintures ou d’autres œuvres d’art, la distribution d’un générateur non privé pourrait bien être interdite pour des raisons de droits d’auteur évidents. Plus important encore, considérons une entreprise de biométrie A qui publie un générateur qui expose l’identité de ses consommateurs. Une autre entreprise B pourrait potentiellement détecter lesquels de ses propres consommateurs sont également des clients de l’entreprise A. Des situations similaires peuvent poser des problèmes graves pour les données médicales, où la révélation d’un GAN pourrait violer des informations personnelles sur une maladie d’un patient.’

Réidentifier les données illégalement extraites ou privées du Web

Bien que l’article ne traite que légèrement du sujet, la capacité d’identifier les données sources originales à partir de sorties abstraites (telles que des visages générés par GAN, bien que cela s’applique également aux systèmes encodeur/décodeur et à d’autres architectures) a des implications notables pour les mises en œuvre de la protection du droit d’auteur au cours des 5-10 prochaines années.

Actuellement, la plupart des pays adoptent une approche laissez faire pour l’extraction de données Web accessibles au public afin de ne pas être laissés pour compte dans le stade de développement des économies d’apprentissage automatique à venir. À mesure que ce climat se commercialise et se consolide, il existe un potentiel important pour qu’une nouvelle génération de « trolls de données » présente des revendications de droits d’auteur sur des images confirmées avoir été utilisées historiquement dans des ensembles de données qui ont contribué aux algorithmes d’apprentissage automatique.

Alors que les algorithmes développés mûrissent et deviennent plus précieux avec le temps, toute image non autorisée qui a été utilisée dans leur développement précoce, et qui peut être déduite de leur sortie par des méthodes similaires à celles proposées dans le nouvel article français, est une responsabilité juridique potentielle à l’échelle de SCO Vs IBM (un procès technologique légendairement long qui continue de menacer le système d’exploitation Linux).

Exploiter l’impasse mexicaine de la diversité vs. la fréquence

La technique principale utilisée par les chercheurs français exploite la fréquence des images du jeu de données d’origine comme clé pour la réidentification. Plus une identité particulière est fréquemment trouvée dans l’ensemble de données, plus il est probable qu’il soit possible d’identifier l’identité d’origine, en corrélant les résultats de l’attaque avec des ensembles de données accessibles au public ou en privé.

Les chercheurs notent que cela peut être atténué en incluant une grande diversité de données (par exemple, de visages) dans l’ensemble de données source, et en ne formant pas l’ensemble de données pendant une période si longue que la suradaptation se produise. Le problème est que le modèle doit alors atteindre une bonne abstraction dans un espace de dimension beaucoup plus élevé, et avec une quantité de données beaucoup plus importante que ce qui est strictement nécessaire pour obtenir des résultats synthétiques plausibles.

Atteindre une généralisation optimale de ce type est coûteux et prend du temps; l’espace latent (la partie d’analyse formelle du modèle d’apprentissage automatique dans laquelle les données sont introduites) nécessitera plus de ressources; l’ensemble de données nécessitera plus de curation; et puisque la quantité de données devra être importante, les tailles de lots et la planification des taux devront être optimisées pour la qualité et des niveaux élevés de généralisation, plutôt que la rapidité de formation et l’économie, ce qui entraînera des coûts de développement plus élevés et des délais de développement plus longs.

En outre, les algorithmes génératifs suradaptés peuvent atteindre des données synthétiques très réalistes, même si les données de sortie (c’est-à-dire les visages, les cartes, les images biomédicales, etc.) ne sont pas complètement abstraites, mais présentent des caractéristiques distinctives plus grandes que celles de l’ensemble de données source – une solution de rechange tentante. Dans le climat actuel de « wild west » du secteur de l’apprentissage automatique, où les petites initiatives tentent de défier la position de leader de FAANG avec des ressources plus rares (ou pour attirer l’attention pour un rachat), il est questionnable si les normes s’élèvent toujours à ce niveau.

Le document observe également que la diversité des points de données sources (tels que les visages) n’est pas suffisante en soi pour empêcher la réidentification par ces méthodes et des méthodes similaires, puisque l’arrêt précoce de la formation peut laisser les identités sources insuffisamment abstraites.