Gjenidentifisering av kilde-data for GAN-generering

Ny forskning fra Frankrike har foreslått en teknikk for å ‘gjenidentifisere’ kilde-identiteter som har bidratt til syntetisk generert data, som for eksempel GAN-genererte ‘ikke-eksisterende personer’ i ansikts-genereringsprosjekter som This Person Does Not Exist.

Metoden som er beskrevet i artikkelen, med tittelen This Person (Probably) Exists. Identity Membership Attacks Against GAN Generated Faces, krever ikke (usannsynlig) tilgang til treningsarkitekturen eller modelldata, og kan brukes i en rekke applikasjoner der bruk av Generative Adversarial Networks (GANs) nå undersøkes som metoder for å enten anonymisere personlig identifiserbar informasjon (PII), eller som et middel for å generere syntetisk data samtidig som kilde-materialet beskyttes.

Forskerne har formulert en metode kalt Identity Membership Attack, som vurderer sannsynligheten for at en enkelt identitet opptrer hyppig i en bidragende datasett, snarere enn å forsøke å fokusere på bestemte karakteristika ved en identitet (dvs. på pikselgrupper i et originalbilde som ble brukt til å trene den generative modellen).

Kilde: https://arxiv.org/pdf/2107.06018.pdf

I bildet ovenfor, fra forskningen, begynner hver rad med et GAN-generert bilde skapt av StyleGAN. Den venstre blokk av bilder ble skapt fra en database med 40 000 bilder, den midterste fra 80 000 og den høyre blokk fra 46 000 bilder. Alle bilder kommer fra VGG2Face2-datasettet.

Noen eksempler har en flyktig likhet, mens andre korrelerer sterkt med treningsdataene. Ansiktene ble suksessfullt identifisert av forskerne ved hjelp av et ansikts-identifikasjonsnettverk.

Mer enn bare overflaten

Gjenidentifiserings-tilnærming av denne typen har flere implikasjoner på tvers av mange forskningsfelt; forskerne, som er basert ved Universitetet i Caen i Normandie, understreker at deres teknikk ikke er begrenset til ansiktssett og ansikts-genererings GAN-rammeverk, men er likeledes anvendelig på medisinske bilde-datasett og biometriske data, blant andre mulige angrepsflater i bilde-syntese-rammeverk.

‘Vi mener at hvis denne angrepet lykkes, ville det avsløre en alvorlig hindring for trygg utveksling av GANs i følsomme sammenhenger. For eksempel, i sammenheng med malerier eller andre kunstverk, ville distribusjon av en ikke-privat generativ modell sannsynligvis være ute av spørsmål på grunn av åpenbare opphavsrettsproblemer. Enda viktigere, betrakt en biometrisk selskap A som utgir en generativ modell som avslører deres kunde-identitet. Et annet selskap B kunne potensielt oppdage hvilke av deres egne kunder også er kunder av selskap A. Tilsvarende situasjoner kan utgjøre alvorlige problemer for medisinske data, der avsløring av en GAN kunne bryte personlig informasjon om en pasient sykdom.’

Gjenidentifisering av ulovlig webskrapet eller privat data

Selv om artikkelen bare berører emnet lett, har evnen til å identifisere original kilde-data fra abstrahert utgang (slik som GAN-genererte ansikter, selv om dette også gjelder for encoder/decoder-systemer og andre arkitekturer) betydelige implikasjoner for opphavsrettsbeskyttelsesimplementeringer over de neste 5-10 årene.

For tiden opererer de fleste landene en laissez faire-tilnærming til skraping av offentlig tilgjengelig web-data for ikke å bli etterfulgt i utviklingsstadiet av maskinlæringsøkonomiene som kommer. Etterhvert som denne klimaet kommersialiseres og konsolideres, er det betydelig potensial for en ny generasjon av ‘Data Trolls’ å fremme opphavsrettskrav på bilder som er bekreftet å ha blitt brukt historisk i datasett som har bidratt til maskinlæringsalgoritmer.

Ettersom de utviklede algoritmene modnes og blir mer verdifulle over tid, er enhver ikke-tillatt bilde som ble brukt i deres tidlige utvikling, og som kan sluttes fra deres utgang ved metoder lignende de som er foreslått i den nye franske artikkelen, en potensiell juridisk ansvar på skalaen av SCO Vs IBM (en legendarisk langvarig teknologisk sak som fortsatt truer Linux-operativsystemet).

Utnytting av den meksikanske stillstanden mellom mangfold og hyppighet

Den primære teknikken som er brukt av de franske forskerne utnytter hyppigheten av originalt datasett-bilder som en nøkkel til gjenidentifisering. Jo oftere en bestemt identitet opptrer i datasett, jo mer sannsynlig er det at det vil være mulig å identifisere den opprinnelige identiteten, ved å korrelere resultater fra angrepet med offentlig eller privat tilgjengelig datasett.

Forskerne påpeker at dette kan mildnes ved å inkludere en langt større mangfold av data (for eksempel ansikter) i kilde-datasett, og ved ikke å trene datasett så lenge at overfitting skjer. Problemet med dette er at modellen må nå oppnå god abstraksjon i et mye høyere dimensjonsrom, og med en mye større mengde data enn det som strengt tatt er nødvendig for å oppnå troverdige syntetiske resultater.

For å oppnå optimal generalisering av denne typen er dyrt og tidskrevende: latentrommet (den formelle analyse-delen av maskinlæringsmodellen som data mates inn i) vil trenge mer ressurser; datasett vil trenge mer kurasjon; og ettersom mengden data vil trenge å være betydelig, vil batch-størrelser og raten må være optimalisert for kvalitet og høy generalisering, snarere enn treningshastighet og økonomi, noe som resulterer i høyere utviklingskostnader og lengre utviklingstid.

I tillegg kan overfitte generative algoritmer oppnå svært realistiske syntetiske data, selv om utgangsdata (dvs. ansikter, kart, biomedisinske bilder osv.) ikke er fullstendig abstrakt, men har større distinkte trekk fra kilde-data enn det som er ideelt – en fristende kortvei. I den nåværende ‘vilde vesten’-klimaet i maskinlæringssektoren, der mindre initiativer forsøker å utfordre FAANGs ledelse med færre ressurser (eller også få oppmerksomhet for en oppkjøp), er det tvilsomt om standardene alltid stiger så høyt.

Artikkelen observerer også at mangfold av kilde-data-punkter (slik som ansikter) ikke er nok i seg selv for å forhindre gjenidentifisering gjennom disse og lignende metoder, ettersom tidlig stopp av trening kan la kilde-identiteter bli utilstrekkelig abstrahert.