Kecerdasan Buatan yang Dapat Dijelaskan Mungkin Menyerahkan Data Pribadi dengan Lebih Mudah

Peneliti dari Universitas Nasional Singapura telah menyimpulkan bahwa semakin dapat dijelaskan kecerdasan buatan, semakin mudah untuk menghindari fitur privasi yang penting dalam sistem pembelajaran mesin. Mereka juga menemukan bahwa bahkan ketika model tidak dapat dijelaskan, masih memungkinkan untuk menggunakan penjelasan model yang serupa untuk ‘menguraikan’ data sensitif dalam model yang tidak dapat dijelaskan.

Penelitian ini, yang berjudul Exploiting Explanations for Model Inversion Attacks, menyoroti risiko menggunakan ‘keburaman yang tidak disengaja’ dari cara jaringan saraf bekerja sebagai fitur keamanan yang dirancang – tidak hanya karena gelombang inisiatif global baru, termasuk rancangan peraturan AI Uni Eropa, yang menggambarkan kecerdasan buatan yang dapat dijelaskan (XAI) sebagai prasyarat untuk normalisasi pembelajaran mesin dalam masyarakat.

Dalam penelitian ini, identitas sebenarnya berhasil direkonstruksi dari data anonim yang seharusnya tidak dapat mengungkapkan informasi tersebut, melalui eksploitasi penjelasan multiple dari sistem pembelajaran mesin. Sumber: https://arxiv.org/pdf/2108.10800.pdf

Para peneliti mengomentari:

‘Kecerdasan buatan yang dapat dijelaskan (XAI) menyediakan lebih banyak informasi untuk membantu pengguna memahami keputusan model, namun pengetahuan tambahan ini juga menimbulkan risiko tambahan untuk serangan privasi. Oleh karena itu, memberikan penjelasan merugikan privasi.’

Re-Identifikasi Data Pribadi

Peserta dalam dataset pembelajaran mesin mungkin telah memberikan persetujuan untuk dimasukkan dengan asumsi anonimitas; dalam kasus Informasi Pribadi yang dapat diidentifikasi (PII) yang berakhir di sistem AI melalui pengumpulan data ad hoc (misalnya, melalui jaringan sosial), partisipasi mungkin secara teknis legal, tetapi menegangkan konsep ‘persetujuan’.

Beberapa metode telah muncul dalam beberapa tahun terakhir yang telah terbukti mampu menghilangkan anonimitas PII dari aliran data pembelajaran mesin yang tampaknya tidak transparan. Ekstraksi model menggunakan akses API (yaitu ‘black box’ akses, tanpa ketersediaan kode sumber atau data) untuk mengekstrak PII bahkan dari penyedia MLaaS skala besar, termasuk Amazon Web Services, sementara Serangan Inferensi Keanggotaan (MIAs), yang beroperasi di bawah kendala yang sama, dapat secara potensial mendapatkan informasi medis rahasia; selain itu, Serangan Inferensi Atribut (AIAs) dapat mengembalikan data sensitif dari output API.

Mengungkap Wajah

Untuk makalah baru ini, para peneliti telah fokus pada serangan inversi model yang dirancang untuk mendapatkan identitas dari subset data ekspresi wajah yang seharusnya tidak dapat mengungkapkan informasi tersebut.

Tujuan dari sistem ini adalah untuk mengasosiasikan gambar yang ditemukan di alam liar (baik diposting secara santai di internet atau dalam potensi pelanggaran data) dengan inklusi dalam dataset yang mendasari algoritma pembelajaran mesin.

Para peneliti melatih model serangan inversi yang dapat merekonstruksi gambar kontribusi dari output API yang anonim, tanpa akses khusus ke arsitektur asli. Pekerjaan sebelumnya dalam bidang ini telah fokus pada sistem di mana identifikasi (melindungi atau mengungkapkan) adalah tujuan dari sistem target dan sistem penyerang; dalam kasus ini, kerangka kerja telah dirancang untuk mengeksploitasi output dari satu domain dan menerapkannya ke domain yang berbeda.

Jaringan saraf konvolusional terbalik (transposed) digunakan untuk memprediksi ‘sumber asli’ berdasarkan vektor prediksi target (peta saliensi) untuk sistem pengenalan emosi, menggunakan arsitektur U-Net untuk meningkatkan kinerja rekonstruksi wajah.

Sistem re-identifikasi didukung dan diberitahu oleh kecerdasan buatan yang dapat dijelaskan (XAI), di mana pengetahuan tentang aktivasi neuron, di antara banyak aspek XAI lainnya, dieksploitasi untuk merekonstruksi mekanisme internal arsitektur hanya dari outputnya, memungkinkan re-identifikasi gambar dataset kontribusi.

Pengujian

Dalam menguji sistem ini, para peneliti menerapkannya terhadap tiga dataset: iCV-MEFED ekspresi wajah; CelebA; dan MNIST digit tulisan tangan. Untuk menyesuaikan ukuran model yang digunakan oleh para peneliti, tiga dataset tersebut diubah ukurannya menjadi 128×128, 265×256, dan 32×32 piksel. 50% dari setiap dataset digunakan sebagai data pelatihan, dan setengah lainnya digunakan sebagai dataset serangan untuk melatih model antagonistik.

Setiap dataset memiliki model target yang berbeda, dan setiap jaringan serangan disesuaikan dengan keterbatasan penjelasan yang mendasari proses, bukan menggunakan model saraf yang lebih dalam yang kompleksitasnya melebihi generalisasi penjelasan.

Jenis penjelasan XAI yang digunakan untuk memungkinkan upaya ini termasuk Penjelasan Gradien, Masukan Gradien, Grad-CAM, dan Propagasi Relevansi Lapisan demi Lapisan (LRP). Para peneliti juga mengevaluasi beberapa penjelasan di seluruh eksperimen.

Rekonstruksi gambar yang difasilitasi oleh serangan inversi yang menyadari XAI di seluruh tiga dataset, dengan tugas target dan serangan yang identik.

Metriks untuk pengujian ini adalah kesamaan piksel yang dievaluasi oleh Mean Squared Error (MSE); Kesamaan Gambar (SSIM), indeks kesamaan berbasis persepsi; akurasi serangan, yang ditentukan oleh apakah klasifikasi dapat berhasil mengubah label gambar yang direkonstruksi; dan kesamaan penyematan serangan, yang membandingkan penyematan fitur dari data sumber yang diketahui dengan data yang direkonstruksi.

Re-identifikasi berhasil, dengan tingkat yang bervariasi menurut tugas dan dataset, di seluruh set. Selain itu, para peneliti menemukan bahwa dengan menciptakan model target surrogat (yang mereka kontrol secara alami), masih memungkinkan untuk mencapai re-identifikasi data dari model ‘tertutup’ eksternal, berdasarkan prinsip XAI yang diketahui.

Para peneliti menemukan bahwa hasil yang paling akurat diperoleh dengan penjelasan berbasis aktivasi (peta saliensi), yang mengalirkan lebih banyak PII daripada pendekatan berbasis sensitivitas (gradien).

Di masa depan, tim ini berencana untuk menggabungkan jenis penjelasan XAI yang berbeda ke dalam serangan baru, seperti visualisasi fitur dan vektor aktivasi konsep.