בינה מלאכותית
DRM עבור מערכי נתונים של ראיית מחשב
ההיסטוריה מעידה כי בסופו של דבר העידן ה'פתוח' של חקר הראייה הממוחשבת, שבו שחזור וביקורת עמיתים חיובית הם מרכזיים לפיתוח יוזמה חדשה, חייב לפנות את מקומו לעידן חדש של הגנת IP - שבו מנגנונים סגורים ופלטפורמות מוקפות חומה מונעים מהמתחרים ערעור עלויות פיתוח גבוהות של מערך נתונים, או משימוש בפרויקט יקר כאבן דרך בלבד ועד לפיתוח גרסה משלהם (אולי מעולה).
נכון לעכשיו, המגמה ההולכת וגוברת של פרוטקציוניזם נתמכת בעיקר על ידי גידור מסגרות מרכזיות קנייניות מאחורי גישת API, שבהן משתמשים שולחים אסימונים או בקשות דל, ושם תהליכי הטרנספורמציה שהופכים את התגובות של המסגרת לבעלי ערך מוסתרים לחלוטין.
במקרים אחרים, הדגם הסופי עצמו עשוי להשתחרר, אך ללא המידע המרכזי שעושה אותו בעל ערך, כגון המשקולות המאומנות מראש אולי עלה כמה מיליונים לייצר; או חסר מערך נתונים קנייני, או פרטים מדויקים של האופן שבו קבוצת משנה הופקה ממגוון של מערכי נתונים פתוחים. במקרה של מודל השפה הטבעית הטרנספורמטיבי של OpenAI GPT-3, שני אמצעי ההגנה נמצאים כעת בשימוש, מה שמותיר את החקיינים של המודל, כגון GPT Neo, כדי לאסוף יחד קירוב של המוצר כמיטב יכולתם.
ערכות נתונים להגנה על תמונות
עם זאת, העניין גובר בשיטות שבאמצעותן מסגרת למידת מכונה 'מוגנת' יכולה להחזיר לעצמה רמה מסוימת של ניידות, על ידי הבטחה שרק משתמשים מורשים (למשל, משתמשים בתשלום) יוכלו להשתמש ברווחיות במערכת המדוברת. זה בדרך כלל כרוך בהצפנת מערך הנתונים בצורה פרוגרמטית כלשהי, כך שהוא ייקרא 'נקי' על ידי מסגרת הבינה המלאכותית בזמן האימון, אך הוא נפגע או בלתי שמיש בדרך כלשהי בכל הקשר אחר.
מערכת כזו הוצעה זה עתה על ידי חוקרים מאוניברסיטת המדע והטכנולוגיה של סין באנהוי, ומאוניברסיטת פודן בשנחאי. כותרת הגנת ערכת נתונים הניתנת להפיכה, ה מאמר מציע צינור שמתווסף אוטומטית הפרעה דוגמת יריב למערך נתונים, כך שלא ניתן להשתמש בו בצורה שימושית לאימון במקרה של פיראטיות, אלא כאשר ההגנה מסוננת לחלוטין על ידי מערכת מורשית המכילה אסימון סודי.
מתוך המאמר: תמונת מקור 'בעלת ערך' הופכת למעשה בלתי ניתנת לאימון באמצעות טכניקות דוגמה יריבות, כאשר ההפרעות מוסרות באופן שיטתי ואוטומטי לחלוטין עבור משתמש 'מורשה'. מקור: https://arxiv.org/pdf/2112.14420.pdf
המנגנון המאפשר את ההגנה נקרא מחולל דוגמה נגדי הפיך (RAEG), ומסתכם למעשה בהצפנה בפועל שמישות של התמונות למטרות סיווג, באמצעות הסתרת נתונים הפיכה (RDH). המחברים מצהירים:
'השיטה יוצרת תחילה את התמונה האדוורסרית באמצעות שיטות AE קיימות, ואז מטמיעה את ההפרעה האדוורסרית בתמונה האדוורסרית, ויוצרת את תמונת הסטגו באמצעות RDH. בשל המאפיין של הפיכות, ניתן לשחזר את ההפרעה האדוורסרית ואת התמונה המקורית.'
התמונות המקוריות ממערך הנתונים מוזנות לרשת עצבית היפוכה בצורת U (INN) על מנת לייצר תמונות מושפעות באופן יריב, שנועדו להונות מערכות סיווג. משמעות הדבר היא שחילוץ מאפיינים טיפוסיים יתערער, מה שיקשה על סיווג תכונות כגון מגדר ותכונות אחרות מבוססות פנים (אם כי הארכיטקטורה תומכת במגוון תחומים, ולא רק חומר מבוסס פנים).
בדיקת היפוך של RAEG, שבה מבוצעים סוגים שונים של התקפה על התמונות לפני השחזור. שיטות ההתקפה כוללות חפצי אומנות של גאוסי טשטוש ו-JPEG.
לפיכך, אם מנסים להשתמש במערך הנתונים 'פגום' או 'מוצפן' במסגרת המיועדת ליצירת פנים מבוססת GAN, או למטרות זיהוי פנים, המודל המתקבל יהיה פחות יעיל ממה שהיה יכול להיות אילו היה מאומן על תמונות לא מופרעות.
נעילת התמונות
עם זאת, זו רק תופעת לוואי של היישום הכללי של שיטות הפרעות פופולריות. למעשה, במקרה השימוש הנצפה, הנתונים הולכים להיות נכים למעט במקרה של גישה מורשית למסגרת היעד, מכיוון שה'מפתח' המרכזי לנתונים הנקיים הוא אסימון סודי בארכיטקטורת היעד.
להצפנה זו יש מחיר; החוקרים מאפיינים את אובדן איכות התמונה המקורית כ'עיוות קל', ומצב "השיטה המוצעת יכולה לשחזר כמעט בצורה מושלמת את התמונה המקורית, בעוד שהשיטות הקודמות יכולות לשחזר רק גרסה מטושטשת."
השיטות הקודמות המדוברות הן מנובמבר 2018 מאמר AI לא מורשה לא יכול לזהות אותי: דוגמה יריבות הפיכה, שיתוף פעולה בין שתי אוניברסיטאות סיניות ו-RIKEN Center for Advanced Intelligence Project (AIP); ו התקפה יריבות הפיכה המבוססת על שינוי תמונה הפיך, נייר 2019 גם ממגזר המחקר האקדמי הסיני.
החוקרים של המאמר החדש טוענים כי ביצעו שיפורים בולטים בשימושיות של תמונות משוחזרות, בהשוואה לגישות קודמות אלו, תוך שהם מבחינים כי הגישה הראשונה רגישה מדי להפרעות מתווכות וקלה מדי לעקיפה, בעוד שהשנייה גורמת לפגיעה מוגזמת. של התמונות המקוריות בזמן אימון (מורשה), מה שמערער את ישימות המערכת.
ארכיטקטורה, נתונים ומבחנים
המערכת החדשה מורכבת מגנרטור, שכבת תקיפה המיישמת הפרעות, מסווגי מטרות מאומנים מראש ואלמנט מפלה.
הארכיטקטורה של RAEG. משמאל-אמצע, אנו רואים את האסימון הסודי 'אנימוכן', מה שיאפשר ביטול הפרעות של התמונה בזמן האימון, על ידי זיהוי התכונות המופרעות שנאפו בתמונות המקור והנחה שלהן.
להלן תוצאות השוואת מבחן לשתי הגישות הקודמות, תוך שימוש בשלושה מערכי נתונים: CelebA-100; קלטק-101; ו Mini-ImageNet.
שלושת מערכי הנתונים הוכשרו כרשתות סיווג יעדים, בגודל אצווה של 32, על NVIDIA RTX 3090 במהלך שבוע, במשך 50 עידנים.
המחברים טוענים ש-RAEG היא העבודה הראשונה שמציעה רשת עצבית הניתנת להפיכה שיכולה ליצור דוגמאות יריבות באופן אקטיבי.
פורסם לראשונה ב-4 בינואר 2022.
