L’Intelligenza Artificiale Spiegabile potrebbe Rivelare più Facilmente Dati Confidenziali

I ricercatori dell’Università Nazionale di Singapore hanno concluso che più l’intelligenza artificiale diventa spiegabile, più sarà facile eludere le funzioni di privacy vitali nei sistemi di apprendimento automatico. Hanno anche scoperto che anche quando un modello non è spiegabile, è possibile utilizzare le spiegazioni di modelli simili per “decodificare” i dati sensibili nel modello non spiegabile.

La ricerca, intitolata Sfruttare le Spiegazioni per gli Attacchi di Inversione del Modello, evidenzia i rischi dell’utilizzo dell'”opacità accidentale” del funzionamento delle reti neurali come se fosse una funzione di sicurezza progettata – non ultimo perché una ondata di nuove iniziative globali, tra cui il progetto di regolamento dell’Unione Europea sull’intelligenza artificiale, stanno caratterizzando l’intelligenza artificiale spiegabile (XAI) come un requisito preliminare per la normalizzazione finale dell’apprendimento automatico nella società.

Nella ricerca, un’identità reale è stata ricostruita con successo da dati anonimi relativi alle espressioni facciali, sfruttando le spiegazioni multiple del sistema di apprendimento automatico. Fonte: https://arxiv.org/pdf/2108.10800.pdf

I ricercatori commentano:

‘L’intelligenza artificiale spiegabile (XAI) fornisce più informazioni per aiutare gli utenti a comprendere le decisioni del modello, ma questa conoscenza aggiuntiva espone rischi aggiuntivi per gli attacchi di privacy. Pertanto, fornire spiegazioni danneggia la privacy.’

Ri-Identificazione dei Dati Privati

I partecipanti ai set di dati dell’apprendimento automatico possono aver acconsentito a essere inclusi con l’assunzione dell’anonimato; nel caso dei dati personali identificativi (PII) che finiscono nei sistemi di intelligenza artificiale attraverso la raccolta di dati ad hoc (ad esempio, attraverso i social network), la partecipazione può essere tecnicamente legale, ma mette a dura prova il concetto di “consenso”.

Sono emersi diversi metodi negli ultimi anni che hanno dimostrato di essere in grado di de-anonimizzare i PII dai flussi di dati dell’apprendimento automatico apparentemente opachi. L’estrazione del modello utilizza l’accesso all’API (cioè l’accesso “black box”, senza la disponibilità speciale del codice sorgente o dei dati) per estrarre i PII anche da provider di servizi di apprendimento automatico di larga scala, come Amazon Web Services, mentre gli attacchi di inferenza di appartenenza (MIAs), operanti sotto vincoli simili, possono potenzialmente ottenere informazioni mediche riservate; inoltre, gli attacchi di inferenza di attribuzione (AIAs) possono recuperare dati sensibili dall’output dell’API.

Rivelare i Volti

Per il nuovo articolo, i ricercatori si sono concentrati su un attacco di inversione del modello progettato per ottenere un’identità da un subset di dati di espressioni facciali che non dovrebbe essere in grado di rivelare queste informazioni.

L’obiettivo del sistema era associare immagini trovate nel web (pubblicate casualmente su Internet o in una potenziale violazione dei dati) con la loro inclusione nei set di dati che sostengono un algoritmo di apprendimento automatico.

I ricercatori hanno addestrato un modello di attacco di inversione in grado di ricostruire l’immagine originale dall’output anonimo dell’API, senza accesso speciale all’architettura originale. I lavori precedenti in questo campo si sono concentrati su sistemi in cui l’identificazione (protezione o rivelazione) era l’obiettivo sia del sistema target che del sistema di attacco; in questo caso, la struttura è stata progettata per sfruttare l’output di un dominio e applicarlo a un dominio diverso.

È stato utilizzato un convoluzione trasposta per prevedere un “volto originale” basato sul vettore di previsione di riconoscimento delle emozioni (mappa di salienza) per un sistema di riconoscimento delle emozioni, utilizzando un’architettura U-Net per migliorare le prestazioni di ricostruzione del volto.

Il sistema di ri-identificazione è alimentato e informato dall’intelligenza artificiale spiegabile (XAI), dove la conoscenza dell’attivazione del neurone, tra molti aspetti pubblici di XAI, è sfruttata per ricostruire le operazioni interne dell’architettura solo dal suo output, abilitando la ri-identificazione delle immagini del set di dati.

Test

Nel testare il sistema, i ricercatori lo hanno applicato contro tre set di dati: iCV-MEFED espressioni facciali; CelebA; e MNIST cifre manoscritte. Per adattare le dimensioni del modello utilizzato dai ricercatori, i tre set di dati sono stati ridimensionati rispettivamente a 128×128, 265×256 e 32×32 pixel. Il 50% di ogni set è stato utilizzato come dati di addestramento e l’altra metà come set di dati di attacco per addestrare i modelli antagonistici.

Every set di dati aveva modelli target diversi e ogni rete di attacco è stata scalata ai limiti delle spiegazioni che sostengono il processo, piuttosto che utilizzare modelli neurali più profondi la cui complessità avrebbe superato la generalizzazione delle spiegazioni.

I tipi di spiegazione XAI utilizzati per alimentare i tentativi includevano Gradient Explanation, Gradient Input, Grad-CAM e Propagazione della rilevanza layer-wise (LRP). I ricercatori hanno anche valutato più spiegazioni attraverso gli esperimenti.

La ricostruzione dell’immagine facilitata da un attacco di inversione XAI-cognizant attraverso i tre set di dati, con compiti target e attacco identici.

I metrici per il test sono stati la similarità dei pixel valutata tramite Mean Squared Error (MSE); Similarità dell’immagine (SSIM), un indice di similarità basato sulla percezione; accuratezza dell’attacco, determinata dal fatto che un classificatore possa etichettare con successo un’immagine ricostruita; e similarità dell’incorporazione dell’attacco, che confronta le incorporazioni delle caratteristiche dei dati sorgente noti con i dati ricostruiti.

La ri-identificazione è stata raggiunta, con livelli variabili in base al compito e ai set di dati, in tutti i set. Inoltre, i ricercatori hanno scoperto che, creando un modello target surrogato (che naturalmente avevano il controllo completo), è stato possibile raggiungere la ri-identificazione dei dati da modelli “chiusi” esterni, basati su principi XAI noti.

I ricercatori hanno trovato che i risultati più precisi sono stati ottenuti dalle spiegazioni basate sull’attivazione (mappa di salienza), che hanno esposto più PII rispetto agli approcci basati sulla sensibilità (gradiente).

In lavori futuri, il team intende incorporare diversi tipi di spiegazione XAI in attacchi nuovi, come visualizzazioni delle caratteristiche e vettori di attivazione del concetto.