DRM untuk Dataset Penglihatan Komputer

Sejarah menunjukkan bahwa akhirnya ‘zaman terbuka’ penelitian penglihatan komputer, di mana reproducibility dan ulasan peer yang menguntungkan sentral untuk pengembangan inisiatif baru, harus memberi jalan kepada era baru perlindungan IP – di mana mekanisme tertutup dan platform berdinding mencegah pesaing dari melemahkan biaya pengembangan dataset tinggi, atau dari menggunakan proyek yang mahal sebagai batu loncatan untuk mengembangkan versi mereka sendiri (mungkin lebih unggul).

Saat ini, tren yang tumbuh menuju proteksionisme sebagian besar didukung oleh memagari kerangka kerja milik perusahaan di belakang akses API, di mana pengguna mengirim token atau permintaan yang langka, dan di mana proses transformasional yang membuat respons kerangka kerja berharga sepenuhnya tersembunyi.

Dalam kasus lain, model akhir itu sendiri mungkin dirilis, tetapi tanpa informasi sentral yang membuatnya berharga, seperti bobot pra-dilatih yang mungkin berharga jutaan untuk menghasilkan; atau tanpa dataset milik perusahaan, atau rincian pasti tentang bagaimana subset dihasilkan dari serangkaian dataset terbuka. Dalam kasus model Bahasa Alamiah Transformatif OpenAI GPT-3, kedua langkah perlindungan ini saat ini digunakan, meninggalkan peniru model, seperti GPT Neo, untuk menyatukan pendekatan terbaik yang mereka bisa.

Melindungi Dataset Gambar

Namun, minat tumbuh dalam metode yang mana ‘kerangka kerja mesin pembelajaran yang dilindungi’ bisa mendapatkan kembali beberapa tingkat portabilitas, dengan memastikan bahwa hanya pengguna yang berwenang (misalnya, pengguna berbayar) yang bisa menggunakan sistem tersebut dengan menguntungkan. Ini biasanya melibatkan mengenkripsi dataset dengan cara programatis, sehingga itu dibaca ‘bersih’ oleh kerangka kerja AI pada saat pelatihan, tetapi rusak atau tidak dapat digunakan dalam konteks lain.

Sistem seperti itu baru saja diusulkan oleh peneliti di Universitas Sains dan Teknologi Cina di Anhui, dan Universitas Fudan di Shanghai. Berjudul Pelindungan Dataset Gambar yang Dapat Dibalik, makalah tersebut menawarkan pipeline yang secara otomatis menambahkan gangguan contoh bermusuhan ke dataset gambar, sehingga itu tidak dapat digunakan untuk pelatihan dalam hal pembajakan, tetapi di mana perlindungan tersebut sepenuhnya disaring oleh sistem yang berwenang yang mengandung token rahasia.

Dari makalah: gambar sumber ‘berharga’ dirender tidak dapat dilatih dengan teknik contoh bermusuhan, dengan gangguan yang dihapus secara sistematis dan sepenuhnya otomatis untuk ‘pengguna yang berwenang’. Sumber: https://arxiv.org/pdf/2112.14420.pdf

Mekanisme yang memungkinkan perlindungan ini disebut generator contoh bermusuhan yang dapat dibalik (RAEG), dan secara efektif berjumlah enkripsi pada kegunaan gambar untuk tujuan klasifikasi, menggunakan penyembunyian data yang dapat dibalik (RDH). Penulis menyatakan:

‘Metode ini pertama-tama menghasilkan gambar bermusuhan menggunakan metode AE yang ada, kemudian memasukkan gangguan bermusuhan ke dalam gambar bermusuhan, dan menghasilkan gambar stego menggunakan RDH. Karena karakteristik reversibilitas, gangguan bermusuhan dan gambar asli dapat dipulihkan.’

Gambar asli dari dataset dimasukkan ke dalam jaringan neural invertible berbentuk U (INN) untuk menghasilkan gambar yang terpengaruh bermusuhan yang dirancang untuk menipu sistem klasifikasi. Ini berarti bahwa ekstraksi fitur yang biasa akan terganggu, membuatnya sulit untuk mengklasifikasikan ciri-ciri seperti jenis kelamin, dan fitur berbasis wajah lainnya (meskipun arsitektur mendukung berbagai domain, bukan hanya bahan berbasis wajah).

Tes inversi RAEG, di mana berbagai jenis serangan dilakukan pada gambar sebelum rekonstruksi. Metode serangan termasuk Blur Gaussian dan artefak JPEG.

Dengan demikian, jika mencoba menggunakan dataset ‘rusak’ atau ‘dikunci’ dalam kerangka kerja yang dirancang untuk generasi berbasis GAN, atau untuk tujuan pengenalan wajah, model yang dihasilkan akan kurang efektif daripada jika dilatih pada gambar yang tidak terganggu.

Mengunci Gambar

Namun, itu hanya efek sampingan dari kemampuan umum metode gangguan populer. Pada kenyataannya, dalam kasus penggunaan yang dibayangkan, data akan menjadi cacat kecuali dalam kasus akses yang berwenang ke kerangka kerja target, karena ‘kunci’ ke data yang bersih adalah token rahasia dalam arsitektur target.

Enkripsi ini datang dengan harga; peneliti menggambarkan kehilangan kualitas gambar asli sebagai ‘distorsi ringan’, dan menyatakan ‘[Metode] yang diusulkan dapat hampir sepenuhnya memulihkan gambar asli, sedangkan metode sebelumnya hanya dapat memulihkan versi yang buram.’

Metode sebelumnya yang dimaksud adalah dari makalah November 2018 Ai Tidak Sah tidak Mengenali Aku: Contoh Bermusuhan yang Dapat Dibalik, kolaborasi antara dua universitas Cina dan Pusat Proyek Intelijen Tingkat Lanjut RIKEN (AIP); dan Serangan Bermusuhan yang Dapat Dibalik Berdasarkan Transformasi Gambar yang Dapat Dibalik, makalah 2019 juga dari sektor penelitian akademis Cina.

Peneliti makalah baru ini mengklaim telah membuat perbaikan yang signifikan dalam kegunaan gambar yang dipulihkan, dibandingkan dengan pendekatan sebelumnya, mengamati bahwa pendekatan pertama terlalu sensitif terhadap interferensi perantara, dan terlalu mudah untuk diatasi, sedangkan yang kedua menyebabkan degradasi berlebihan dari gambar asli pada saat pelatihan (yang berwenang), melemahkan kegunaan sistem.

Arsitektur, Data, dan Tes

Sistem baru ini terdiri dari generator, lapisan serangan yang menerapkan gangguan, klasifikasi pra-dilatih, dan elemen diskriminator.

Arsitektur RAEG. Kiri-tengah, kita lihat token rahasia ‘I_prt‘, yang akan memungkinkan deperturbasi gambar pada saat pelatihan, dengan mengidentifikasi fitur bermusuhan yang dipanggang ke dalam gambar sumber dan mengabaikannya.

Di bawah ini adalah hasil perbandingan tes dengan dua pendekatan sebelumnya, menggunakan tiga dataset: CelebA-100; Caltech-101; dan Mini-ImageNet.

Ketiga dataset tersebut dilatih sebagai jaringan klasifikasi target, dengan ukuran batch 32, pada NVIDIA RTX 3090 selama seminggu, untuk 50 epoch.

Penulis mengklaim bahwa RAEG adalah karya pertama yang menawarkan jaringan neural invertible yang dapat menghasilkan contoh bermusuhan secara aktif.

Dipublikasikan pertama kali pada 4 Januari 2022.