Hindring av datamengder for datamaskinsyn mot uautorisert bruk

Forskere fra Kina har utviklet en metode for å opphavsrettsbeskytte bilde datapengder brukt til datamaskin-trening, ved å effektivt ‘vannmerke’ bildene i datapengden, og deretter dekryptere de ‘rene’ bildene via en skybasert plattform for autoriserte brukere bare.

Tester på systemet viser at trening av en maskinlæringsmodell på opphavsrettsbeskyttede bilder forårsaker en katastrofal nedgang i modellens nøyaktighet. Ved å teste systemet på to populære åpne kilde-bilde datapengder, fant forskerne det mulig å senke nøyaktigheten fra 86,21% og 74,00% for de rene datapengdene ned til 38,23% og 16,20% når de forsøkte å trene modeller på de ikke-dekrypterte datapengdene.

Fra artikkelen – eksempler, fra venstre til høyre, på rene, beskyttede (dvs. forstyrrede) og gjenopprettede bilder. Kilde: https://arxiv.org/pdf/2109.07921.pdf

Dette kan potensielt tillate vid distribusjon av høykvalitets, dyre datapengder, og (antageligvis), selv semi-crippled ‘demo’-trening av datapengdene for å demonstrere omtrentlig funksjonalitet.

Skybasert datapengdeautentisering

Artikkelen kommer fra forskere ved to avdelinger ved Nanjing University of Aeronautics and Astronautics, og forestiller seg den rutinemessige bruk av en Dataset Management Cloud Platform (DMCP), en fjernautentiseringsramme som ville gi samme type telemetri-basert forhåndsvalidering som har blitt vanlig i lokale installasjoner som Adobe Creative Suite.

Flyten og rammen for den foreslåtte metoden.

Den beskyttede bildet genereres gjennom egenskapsromsforstyrrelser, en motstående angrepsmetode utviklet ved Duke University i Nord-Carolina i 2019.

Egenskapsromsforstyrrelser utfører en ‘Aktiveringsangrep’ hvor egenskapene til et bilde skyves mot egenskapsrommet til et motstående bilde. I dette tilfelle tvinger angrepet en maskinlæringsgjenkjenningssystem til å klassifisere en hund som et fly. Kilde: https://openaccess.thecvf.com

Derefter blir den umodifiserte bildet innlemmet i det forstyrrede bildet via blokkparering og blokktransformasjon, som foreslått i 2016-artikkelen Reversible Data Hiding in Encrypted Images by Reversible Image Transformation.

Sekvensen som inneholder blokkparingsinformasjonen blir deretter innlemmet i et midlertidig mellomliggende bilde ved hjelp av AES-kryptering, nøkkelen til hvilket vil bli hentet fra DMCP ved autentiseringstid. Den minst signifikante bit-steganografialgoritmen blir deretter brukt til å innlemme nøkkelen. Forfatterne refererer til denne prosessen som Modified Reversible Image Transformation (mRIT).

mRIT-rutinen blir essensielt reversert ved dekrypteringstid, med det ‘rene’ bildet gjenopprettet for bruk i treningsøkter.

Testing

Forskerne testet systemet på ResNet-18-arkitekturen med to datapengder: 2009-arbeidet CIFAR-10, som inneholder 6000 bilder over 10 klasser; og Stanfords TinyImageNet, en undermengde av data for ImageNet-klassifiseringsutfordringen som inneholder en treningsdataset på 100 000 bilder, samt en valideringsdataset på 10 000 bilder og en testsett på 10 000 bilder.

ResNet-modellen ble trent fra null på tre konfigurasjoner: det rene, beskyttede og dekrypterte datapengden. Begge datapengdene ble brukt med Adam-optimisereren med en initial læringsrate på 0,01, en batch-størrelse på 128 og en treningsperiode på 80.

Trenings- og testnøyaktighetsresultater fra tester på krypteringsystemet. Mindre tap er observerbart i treningsstatistikk for de reverserte (dvs. dekrypterte) bildene.

Selv om artikkelen konkluderer med at ‘modellens ytelse på gjenopprettet datapengde ikke påvirkes’, viser resultater at det er mindre tap i nøyaktighet for gjenopprettet data vs. original data, fra 86,21% til 85,86% for CIFAR-10, og 74,00% til 73,20% på TinyImageNet.

Men, gitt måten hvorpå selv mindre endringer (samt GPU-hardware) kan påvirke treningsytelse, synes dette å være et minimalt og effektivt kompromiss for IP-beskyttelse mot nøyaktighet.

Modellbeskyttelseslandskap

Tidligere arbeid har konsentrert seg hovedsakelig om å beskytte faktiske maskinlæringsmodeller, under antagelse at treningsdata selv er mer vanskelig å beskytte: et 2018-forskningsarbeid fra Japan tilbød en metode for å innlemme vannmerker i dybe neurale nettverk; tidligere arbeid fra 2017 tilbød en lignende tilnærming.

Et 2018-initiativ fra IBM gjorde kanskje den dypeste og mest kommittede undersøkelsen av vannmerkingspotensialet for neurale nettverksmodeller. Denne tilnærmingen forskjeller fra den nye forskningen, i det den søkte å innlemme ikke-reversible vannmerker i treningsdata og deretter bruke filtre inni det neurale nettverket til å ‘diskontere’ forstyrrelsene i dataene.

IBMs skjema for et neuralt nettverk til å ‘ignorere’ vannmerker hang sammen med å beskytte delene av arkitekturen som var designet til å gjenkjenne og kaste vannmerkede deler av dataene. Kilde: https://gzs715.github.io/pubs/WATERMARK_ASIACCS18.pdf

Piratvektor

Selv om jakten på IP-beskyttelse av datapengde-krypteringsrammer kan synes som en randtilfelle i sammenheng med en maskinlæringskultur som fortsatt er avhengig av åpen kilde-gjennomgang og deling av informasjon blant den globale forskningsfellesskapet, pågående interesse for personvern-bevarende identitetsskyggingsalgoritmer synes sannsynlig å produsere systemer som kan være av interesse for bedrifter som søker å beskytte spesifikke data fremfor personlig informasjon.

Den nye forskningen legger ikke til tilfeldige forstyrrelser i bilde datapengden, men heller konstruerte, tvungne skifter i egenskapsrommet. Derfor kan den nåværende rekken av vannmerke-fjernings- og bildeforbedrings datamaskinsynsprosjekter potensielt ‘gjenopprette’ bildene til en menneskelig oppfattet høyere kvalitet uten å faktisk fjerne egenskapsforstyrrelsene som forårsaker misklassifisering.

I mange anvendelser av datamaskinsyn, spesielt de som involverer merking og gjenkjenning, ville slike ulovlig gjenopprettede bilder sannsynligvis fortsatt forårsake misklassifisering. Men, i tilfeller hvor bildeforvandlinger er hovedmålet (slik som ansiktsgenerering eller deepfake-applikasjoner), kunne algoritmerestaurerte bilder fortsatt være nyttige i utviklingen av funksjonelle algoritmer.