Riconoscimento delle fonti di dati per i generatori GAN

Una nuova ricerca condotta in Francia ha proposto una tecnica per ‘riconoscere’ le identità delle fonti che hanno contribuito a dati generati sinteticamente, come le “persone inesistenti” generate dai progetti di generazione di volti come This Person Does Not Exist.

Il metodo descritto nel documento, intitolato This Person (Probably) Exists. Identity Membership Attacks Against GAN Generated Faces, non richiede (improbabile) l’accesso all’architettura di training o ai dati del modello e può essere applicato a una varietà di applicazioni per le quali l’utilizzo di Reti Adversarie Generative (GAN) è attualmente in fase di sperimentazione come metodo per anonimizzare le informazioni personali identificabili (PII) o come mezzo per generare dati sintetici proteggendo il materiale di origine.

I ricercatori hanno formulato un metodo chiamato Attacco di appartenenza all’identità, che valuta la probabilità che una singola identità appaia requentemente in un set di dati di contributo, piuttosto che cercare di concentrarsi su particolari caratteristiche di un’identità (ad esempio sui gruppi di pixel di un’immagine originale utilizzata per addestrare il modello generativo).

Fonte: https://arxiv.org/pdf/2107.06018.pdf

Nell’immagine sopra, tratta dalla ricerca, ogni riga inizia con un’immagine generata da GAN creata da StyleGAN. Il blocco di immagini a sinistra è stato creato da un database di 40.000 immagini, quello centrale da 80.000 e il blocco di destra da 46.000 immagini. Tutte le immagini provengono dal set di dati VGG2Face2.

Alcuni campioni hanno una somiglianza fugace, mentre altri sono fortemente correlati ai dati di training. I volti sono stati identificati con successo dai ricercatori utilizzando una rete di identificazione dei volti.

Più del valore facciale

Gli approcci di riconoscimento di questo tipo hanno molteplici implicazioni in molti campi di ricerca; i ricercatori, con sede all’Università di Caen in Normandia, sottolineano che la loro tecnica non è limitata ai set di volti e ai framework di generazione di volti GAN, ma è ugualmente applicabile ai set di dati di imaging medico e ai dati biometrici, tra le altre possibili superfici di attacco nei framework di sintesi di immagini.

‘Riteniamo che, se fosse efficace, un tale attacco rivelerebbe un serio ostacolo per lo scambio sicuro di GAN in contesti sensibili. Ad esempio, nel contesto di dipinti o altre opere d’arte, la distribuzione di un generatore non privato potrebbe essere esclusa per ovvi problemi di copyright. Ancor più importante, considera una società di biometria A che rilascia un generatore che espone la sua identità di consumatore. Un’altra società B potrebbe potenzialmente rilevare quali dei propri clienti sono anche clienti della società A. Situazioni simili possono porre gravi problemi per i dati medici, dove la rivelazione di un GAN potrebbe violare le informazioni personali su una malattia di un paziente.’

Riconoscimento di dati web-scraped o privati non legittimi

Sebbene il documento tocchi solo leggermente l’argomento, la capacità di identificare i dati di origine da output astratti (come i volti generati da GAN, sebbene ciò si applichi ugualmente ai sistemi encoder/decoder e ad altre architetture) ha implicazioni significative per le implementazioni di protezione del copyright nei prossimi 5-10 anni.

Attualmente la maggior parte dei paesi sta operando un approccio laissez faire allo scraping dei dati web di accesso pubblico per non essere lasciata indietro nella fase di sviluppo delle economie di apprendimento automatico a venire. Mentre questo clima si commercializza e si consolida, c’è un notevole potenziale per una nuova generazione di ‘troll dei dati’ che presentano reclami di copyright su immagini confermate come utilizzate storicamente in set di dati che hanno contribuito agli algoritmi di apprendimento automatico.

Mentre gli algoritmi sviluppati maturano e diventano più preziosi con il tempo, qualsiasi immagine non autorizzata utilizzata nel loro sviluppo iniziale e che può essere inferita dal loro output con metodi simili a quelli proposti nel nuovo documento francese, è un potenziale passivo legale di portata paragonabile a SCO Vs IBM (una causa tecnologica leggendaria e longeva che continua a minacciare il sistema operativo Linux).

Sfruttando lo stallo messicano di diversità vs frequenza

La tecnica principale utilizzata dai ricercatori francesi sfrutta la frequenza delle immagini del set di dati originale come chiave per il riconoscimento. Più frequentemente una particolare identità appare nel set di dati, più è probabile che sia possibile effettuare un’identificazione di quell’identità originale, correlando i risultati dell’attacco ai set di dati pubblicamente o privatamente disponibili.

I ricercatori notano che ciò può essere mitigato includendo una maggiore diversità di dati (ad esempio, di volti) nel set di dati di origine e non addestrando il set di dati così a lungo che si verifichi sovrapprendimento. Il problema è che il modello deve allora raggiungere una buona astrazione in uno spazio di dimensioni molto più elevate e con una quantità di dati molto maggiore di quanto strettamente necessario per ottenere risultati sintetici plausibili.

Per raggiungere un’ottimizzazione di questo tipo è costoso e richiede molto tempo: lo spazio latente (la parte di analisi formale del modello di apprendimento automatico in cui vengono inseriti i dati) richiederà più risorse; il set di dati richiederà più cura; e poiché la quantità di dati dovrà essere significativa, le dimensioni del batch e la pianificazione della velocità di addestramento dovranno essere ottimizzate per la qualità e alti livelli di generalizzazione, piuttosto che per la velocità di addestramento e l’economia, il che porterà a costi di sviluppo più alti e tempi di sviluppo più lunghi.

Inoltre, gli algoritmi generativi sovrapprendenti possono produrre dati sintetici molto realistici, anche se i dati di output (ad esempio, volti, mappe, immagini biomediche, ecc.) non sono completamente astratti, ma presentano tratti distintivi più grandi rispetto ai dati di origine di quanto sia ideale – una scorciatoia allettante. Nell’attuale clima ‘wild west’ del settore dell’apprendimento automatico, dove iniziative più piccole stanno cercando di sfidare la leadership di FAANG con risorse più scarse (o per ottenere attenzione per un’acquisto), è discutibile se gli standard salgano sempre così in alto.

Il documento osserva anche che la diversità dei punti di dati di origine (come i volti) non è sufficiente di per sé per prevenire il riconoscimento attraverso questi e metodi simili, poiché l’arresto anticipato dell’addestramento può lasciare le identità di origine insufficientemente astratte.