DRM voor Computer Vision-datasets

De geschiedenis leert ons dat uiteindelijk de ‘open’ periode van computer vision-onderzoek, waarbij reproduceerbaarheid en gunstige peer review centraal staan bij de ontwikkeling van een nieuw initiatief, moet plaatsmaken voor een nieuwe periode van IP-bescherming – waarbij gesloten mechanismen en omheinde platforms voorkomen dat concurrenten de hoge ontwikkelingskosten van datasets ondermijnen, of een kostbaar project gebruiken als een stapsteen om hun eigen (misschien betere) versie te ontwikkelen.

Het groeiende trend naar protectionisme wordt momenteel voornamelijk ondersteund door het omheinen van propriëtaire centrale frameworks achter API-toegang, waarbij gebruikers spaarzame tokens of verzoeken verzenden en waarbij de transformatieprocessen die de antwoorden van het framework waardevol maken, volledig verborgen zijn.

In andere gevallen kan het uiteindelijke model zelf worden vrijgegeven, maar zonder de centrale informatie die het waardevol maakt, zoals de voorge trainde gewichten die misschien meerdere miljoenen hebben gekost om te genereren; of zonder een propriëtaire dataset, of exacte details over hoe een subset is geproduceerd uit een reeks open datasets. In het geval van OpenAI’s transformatieve Natural Language-model GPT-3, worden beide beschermingsmaatregelen momenteel gebruikt, waardoor de imitators van het model, zoals GPT Neo, het product zo goed mogelijk moeten nabootsen.

Beveiliging van beeld datasets

Er is echter een groeiende interesse in methoden waarmee een ‘beveiligd’ machine learning-framework enige mate van portabiliteit kan terugkrijgen, door ervoor te zorgen dat alleen geautoriseerde gebruikers (bijvoorbeeld betaalde gebruikers) het systeem winstgevend kunnen gebruiken. Dit omvat meestal het versleutelen van de dataset op een programmatische manier, zodat deze ‘schoon’ wordt gelezen door het AI-framework tijdens de training, maar is aangetast of op een andere manier onbruikbaar in elke andere context.

Een dergelijk systeem is zojuist voorgesteld door onderzoekers aan de Universiteit van Wetenschap en Technologie van China in Anhui en de Fudan Universiteit in Shanghai. Getiteld Omkeerbare beveiliging van beeld datasets, biedt het artikel een pipeline die automatisch adversarial example perturbatie toevoegt aan een beeld dataset, zodat deze niet nuttig kan worden gebruikt voor training in geval van piraterij, maar waarbij de beveiliging volledig wordt gefilterd door een geautoriseerd systeem met een geheime token.

Uit het artikel: een ‘waardevolle’ bronafbeelding wordt effectief ontrainbaar gemaakt met adversarial example-technieken, met de perturbaties systematisch en geheel automatisch verwijderd voor een ‘geautoriseerde’ gebruiker. Bron: https://arxiv.org/pdf/2112.14420.pdf

Het mechanisme dat de beveiliging mogelijk maakt, heet reversible adversarial example generator (RAEG) en komt effectief neer op versleuteling van de bruikbaarheid van de beelden voor classificatiedoeleinden, met behulp van reversible data hiding (RDH). De auteurs verklaren:

‘De methode genereert eerst het adversarial beeld met behulp van bestaande AE-methoden, vervolgens wordt de adversarial perturbatie in het adversarial beeld ingebed en wordt het stego-beeld gegenereerd met RDH. Vanwege de eigenschap van omkeerbaarheid kunnen de adversarial perturbatie en het originele beeld worden hersteld.’

De originele beelden uit de dataset worden ingevoerd in een U-vormige omkeerbare neurale netwerk (INN) om adversarially beïnvloede beelden te produceren die zijn ontworpen om classificatiesystemen te misleiden. Dit betekent dat typische functie-extractie zal worden ondermijnd, waardoor het moeilijk wordt om kenmerken zoals geslacht en andere gezichtskenmerken te classificeren (hoewel de architectuur een reeks domeinen ondersteunt, in plaats van alleen gezichtsgerelateerd materiaal).

Een inversietest van RAEG, waarbij verschillende soorten aanvallen worden uitgevoerd op de beelden voordat ze worden gereconstrueerd. Aanvalsmethoden omvatten Gaussian Blur en JPEG-artefacten.

Dus, als je probeert het ‘beschadigde’ of ‘versleutelde’ dataset te gebruiken in een framework dat is ontworpen voor GAN-gebaseerde gezichtsgeneratie of voor gezichtsherkenning, zal het resulterende model minder effectief zijn dan het zou zijn geweest als het was getraind op ongestoorde beelden.

Beelden vergrendelen

Echter, dat is slechts een neveneffect van de algemene toepasbaarheid van populaire perturbatiemethoden. In feite zal de data in de voorziene use case worden gehandicapt, behalve in het geval van geautoriseerde toegang tot het doelframework, aangezien de centrale ‘sleutel’ tot de schone data een geheime token is binnen de doelarchitectuur.

Deze versleuteling komt echter met een prijs; de onderzoekers karakteriseren het verlies van de oorspronkelijke beeldkwaliteit als ‘lichte vervorming’ en verklaren ‘[De] voorgestelde methode kan het originele beeld bijna perfect herstellen, terwijl de vorige methoden alleen een vage versie kunnen herstellen.’

De vorige methoden in kwestie zijn uit het artikel van november 2018 Unauthorized AI cannot Recognize Me: Reversible Adversarial Example, een samenwerking tussen twee Chinese universiteiten en het RIKEN Center for Advanced Intelligence Project (AIP); en Reversible Adversarial Attack based on Reversible Image Transformation, een 2019-artikel eveneens uit de Chinese academische onderzoekssector.

De onderzoekers van het nieuwe artikel claimen aanzienlijke verbeteringen te hebben gemaakt in de bruikbaarheid van herstelde beelden, in vergelijking met deze eerdere benaderingen, waarbij ze opmerken dat de eerste benadering te gevoelig is voor tussenliggende storingen en te gemakkelijk te omzeilen is, terwijl de tweede een overmatige degradatie van de oorspronkelijke beelden veroorzaakt op (geautoriseerde) traintijd, waardoor de toepasbaarheid van het systeem wordt ondermijnd.

Architectuur, data en tests

Het nieuwe systeem bestaat uit een generator, een aanvalslaag die perturbatie toepast, voorge trainde doelclassificatoren en een discriminator-element.

De architectuur van RAEG. Links in het midden zien we de geheime token ‘I_prt‘, die de deperturbatie van het beeld mogelijk maakt op traintijd, door de geperturbeerde kenmerken die in de bronbeelden zijn ingebed te identificeren en te negeren.

Onderstaand zijn de resultaten van een testvergelijking met de twee eerdere benaderingen, met behulp van drie datasets: CelebA-100; Caltech-101; en Mini-ImageNet.

De drie datasets werden getraind als doelclassificatienetwerken, met een batchgrootte van 32, op een NVIDIA RTX 3090 in de loop van een week, voor 50 epochs.

De auteurs claimen dat RAEG het eerste werk is dat een omkeerbare neurale netwerk biedt dat actief adversarial examples kan genereren.

Voor het eerst gepubliceerd op 4 januari 2022.