व्याख्यात्मक एआई निजी डेटा को अधिक आसानी से आत्मसमर्पण कर सकता है

सिंगापुर के नेशनल यूनिवर्सिटी के शोधकर्ताओं ने निष्कर्ष निकाला है कि जितना अधिक व्याख्यात्मक एआई होता है, उतना ही यह मशीन लर्निंग सिस्टम में महत्वपूर्ण गोपनीयता सुविधाओं को दरकिनार करना आसान हो जाता है। उन्होंने यह भी पाया कि जब एक मॉडल व्याख्यात्मक नहीं होता है, तो भी समान मॉडलों की व्याख्याओं का उपयोग करके गैर-व्याख्यात्मक मॉडल में संवेदनशील डेटा को ‘डिकोड’ करना संभव है।

शोध, जिसका शीर्षक मॉडल इनवर्जन हमलों के लिए व्याख्याओं का शोषण है, व्याख्यात्मक एआई (एक्सएआई) को एक पूर्वापेक्षा के रूप में वर्णित करने वाली नई वैश्विक पहलों के जोखिमों को उजागर करता है, जिसमें यूरोपीय संघ के ड्राफ्ट एआई नियम शामिल हैं, जो मशीन लर्निंग के समाज में सामान्यीकरण के लिए एक्सएआई को एक पूर्वापेक्षा के रूप में वर्णित करते हैं।

शोध में, चेहरे की अभिव्यक्तियों से संबंधित कथित तौर पर गुमनाम डेटा से वास्तविक पहचान का सफलतापूर्वक पुनर्निर्माण किया जाता है, जो मशीन लर्निंग प्रणाली की व्याख्याओं के शोषण के माध्यम से। स्रोत: https://arxiv.org/pdf/2108.10800.pdf

शोधकर्ता टिप्पणी करते हैं:

‘व्याख्यात्मक कृत्रिम बुद्धिमत्ता (एक्सएआई) मॉडल निर्णयों को समझने में मदद करने के लिए अधिक जानकारी प्रदान करती है, लेकिन यह अतिरिक्त ज्ञान गोपनीयता हमलों के लिए अतिरिक्त जोखिमों को उजागर करता है। इसलिए, व्याख्या गोपनीयता को नुकसान पहुंचाती है।’

निजी डेटा की पुनः पहचान

मशीन लर्निंग डेटासेट में भाग लेने वाले लोगों ने गुमनामी की धारणा पर सहमति दी हो सकती है; व्यक्तिगत रूप से पहचान योग्य जानकारी (पीआईआई) के मामले में, जो एआई प्रणालियों में समाप्त हो जाती है, जैसे कि सामाजिक नेटवर्क के माध्यम से डेटा संग्रह के माध्यम से, भागीदारी तकनीकी रूप से कानूनी हो सकती है, लेकिन ‘सहमति’ की धारणा को तनाव देती है।

हाल के वर्षों में, कई तरीके सामने आए हैं जो कथित तौर पर अस्पष्ट मशीन लर्निंग डेटा प्रवाह से पीआईआई को डी-एनोनिमाइज़ करने में सक्षम हैं। मॉडल निष्कर्षण एपीआई एक्सेस (यानी, ‘ब्लैक बॉक्स’ एक्सेस, स्रोत कोड या डेटा की विशेष उपलब्धता के बिना) का उपयोग करके पीआईआई को निकालने में सक्षम है, यहां तक कि उच्च-स्तरीय एमएलएएस प्रदाताओं से, अमेज़ॅन वेब सेवाओं सहित, जबकि सदस्यता अनुमान हमले (एमआईए), समान प्रतिबंधों के तहत काम करते हुए, संभावित रूप से गोपनीय चिकित्सा जानकारी प्राप्त कर सकते हैं; इसके अलावा, अट्रिब्यूशन इन्फरेंस हमले (एआईए) संवेदनशील डेटा को एपीआई आउटपुट से पुनर्प्राप्त कर सकते हैं।

चेहरों का खुलासा

इस नए शोध के लिए, शोधकर्ताओं ने एक मॉडल इनवर्जन हमले पर ध्यान केंद्रित किया है जो कथित तौर पर पहचान को प्रकट करने में सक्षम है जो इस जानकारी को प्रकट नहीं करने में सक्षम होना चाहिए।

प्रणाली का उद्देश्य इंटरनेट पर या संभावित डेटा उल्लंघन में आकस्मिक रूप से पोस्ट की गई छवियों को मशीन लर्निंग एल्गोरिदम के अंतर्निहित डेटासेट में उनके समावेश के साथ जोड़ना था।

शोधकर्ताओं ने एक इनवर्जन हमले मॉडल को प्रशिक्षित किया जो गुमनाम एपीआई आउटपुट से योगदान करने वाली छवि का पुनर्निर्माण करने में सक्षम था, बिना मूल वास्तुकला तक विशेष पहुंच के। इस क्षेत्र में पहले के काम ने उन प्रणालियों पर ध्यान केंद्रित किया जहां पहचान (सुरक्षा या प्रकटीकरण) दोनों लक्ष्य प्रणाली और हमला प्रणाली का उद्देश्य था; इस मामले में, ढांचे को एक डोमेन के आउटपुट का फायदा उठाने और इसे एक अलग डोमेन पर लागू करने के लिए डिज़ाइन किया गया है।

एक ट्रांसपोज्ड कॉनवोल्यूशनल न्यूरल नेटवर्क (सीएनएन) का उपयोग एक भावना पहचान प्रणाली के लिए लक्ष्य भविष्यवाणी वेक्टर (सaliency मानचित्र) के आधार पर एक ‘मूल’ स्रोत चेहरे की भविष्यवाणी करने के लिए किया गया था, एक यू-नेट आर्किटेक्चर का उपयोग करके चेहरे के पुनर्निर्माण प्रदर्शन में सुधार करने के लिए।

पुनर्निर्माण प्रणाली व्याख्यात्मक एआई (एक्सएआई) द्वारा संचालित और सूचित है, जहां न्यूरॉन सक्रियण जैसे कई योगदान देने वाले सार्वजनिक एक्सएआई पहलुओं का शोषण करके केवल इसके आउटपुट से वास्तुकला की आंतरिक क्रियाओं का पुनर्निर्माण किया जाता है, जिससे योगदान देने वाले डेटासेट छवियों की पुनः पहचान होती है।[/em]

परीक्षण

प्रणाली का परीक्षण करते समय, शोधकर्ताओं ने इसे तीन डेटासेट के खिलाफ लागू किया: iCV-MEFED चेहरे की अभिव्यक्तियाँ; CelebA; और MNIST हस्तलिखित अंक। शोधकर्ताओं द्वारा उपयोग किए जा रहे मॉडल के आकार को समायोजित करने के लिए, तीन डेटासेट को क्रमशः 128×128, 265×256 और 32×32 पिक्सेल में बदल दिया गया था। प्रत्येक सेट का 50% प्रशिक्षण डेटा के रूप में उपयोग किया गया था, और अन्य आधा हमला डेटासेट के रूप में उपयोग किया गया था ताकि विरोधी मॉडल को प्रशिक्षित किया जा सके।

प्रत्येक डेटासेट में अलग-अलग लक्ष्य मॉडल थे, और प्रत्येक हमला नेटवर्क को स्पष्टीकरणों के सीमाओं के अनुसार स्केल किया गया था, जो प्रक्रिया को शक्तिशाली बनाता है, न कि गहरे न्यूरल मॉडल की जटिलता को पार करता है जो स्पष्टीकरणों के सामान्यीकरण से अधिक है।

एक्सएआई स्पष्टीकरण प्रकार जो प्रयासों को शक्तिशाली बनाने के लिए उपयोग किए गए उनमें ग्रेडिएंट स्पष्टीकरण, ग्रेडिएंट इनपुट, ग्रेड-कैम और परत-वार प्रासंगिकता प्रसार शामिल थे। शोधकर्ताओं ने प्रयोगों में कई स्पष्टीकरणों का मूल्यांकन किया।

एक एक्सएआई-जागरूक उलटा हमले द्वारा तीन डेटासेट में छवि पुनर्निर्माण, जिसमें समान लक्ष्य और हमले कार्य शामिल हैं।

परीक्षण के लिए मीट्रिक पिक्सेलवाइज़ समानता थी जो मीन स्क्वायर्ड एरर (एमएसई) द्वारा मूल्यांकित की गई थी; छवि समानता (एसएसआईएम), एक संवेदी आधारित समानता सूचकांक; हमले की सटीकता, जो यह निर्धारित करती है कि क्या एक वर्गीकरणकर्ता एक पुनर्निर्मित छवि को सफलतापूर्वक पुनः लेबल कर सकता है; और हमले एम्बेडिंग समानता, जो ज्ञात स्रोत डेटा की सुविधा एम्बेडिंग की तुलना पुनर्निर्मित डेटा से करती है।

पुनः पहचान सभी सेटों में प्राप्त की गई, जो कार्य और डेटासेट के अनुसार भिन्न थी। इसके अलावा, शोधकर्ताओं ने पाया कि एक सरोगेट लक्ष्य मॉडल (जिस पर उन्हें पूरा नियंत्रण था) का निर्माण करके, यह अभी भी संभव था कि बाहरी، ‘बंद’ मॉडलों से डेटा की पुनः पहचान की जा सके, जो ज्ञात एक्सएआई सिद्धांतों पर आधारित थी।

शोधकर्ताओं ने पाया कि सबसे सटीक परिणाम सक्रियण-आधारित (सaliency मानचित्र) स्पष्टीकरणों द्वारा प्राप्त किए गए थे, जो संवेदनशीलता-आधारित (ग्रेडिएंट) दृष्टिकोणों की तुलना में अधिक पीआईआई लीक करते थे।

भविष्य के कार्य में, टीम विभिन्न प्रकार के एक्सएआई स्पष्टीकरणों को नए हमलों में शामिल करने का इरादा रखती है, जैसे कि सुविधा दृश्यीकरण और 概念 सक्रियण वेक्टर।