Unieruchamianie zbiorów danych komputerowego widzenia przed nieautoryzowanym użyciem

Naukowcy z Chin opracowali metodę ochrony praw autorskich zbiorów danych obrazów używanych do szkolenia komputerowego widzenia, poprzez efektywne “znakowanie wodne” obrazów w danych, a następnie odszyfrowywanie “czystych” obrazów za pomocą platformy opartej na chmurze dla użytkowników upoważnionych.

Testy systemu wykazały, że szkolenie modelu uczenia maszynowego na chronionych obrazach powoduje katastrofalny spadek dokładności modelu. Testując system na dwóch popularnych otwartych zbiorach danych obrazów, naukowcy stwierdzili, że możliwe jest obniżenie dokładności z 86,21% i 74,00% dla czystych zbiorów danych do 38,23% i 16,20% przy próbie szkolenia modeli na nieodszyfrowanych danych.

Z pracy – przykłady, od lewej do prawej, czystych, chronionych (tj. zmienionych) i odzyskanych obrazów. Źródło: https://arxiv.org/pdf/2109.07921.pdf

Może to umożliwić szeroką publiczną dystrybucję wysokiej jakości, drogich zbiorów danych, a także (prawdopodobnie) nawet częściowo uszkodzone “demo” szkolenia zbiorów danych w celu demonstracji przybliżonej funkcjonalności.

Autoryzacja zbioru danych w chmurze

Praca

pochodzi od naukowców z dwóch wydziałów Uniwersytetu Aeronautyki i Astronautyki w Nankinie i zakłada rutynowe stosowanie Dataset Management Cloud Platform (DMCP), zdalnej ramy uwierzytelniania, która zapewniłaby taki sam rodzaj walidacji opartej na telemetrii, jaki stał się powszechny w uciążliwych lokalnych instalacjach, takich jak Adobe Creative Suite.

Przepływ i ramy proponowanej metody.

Chroniony obraz jest generowany za pomocą perturbacji przestrzeni cech, metody ataku przeciwnika opracowanej na Uniwersytecie Duke’a w Karolinie Północnej w 2019 roku.

Perturbacje przestrzeni cech wykonują atak aktywacji, w którym cechy jednego obrazu są przesuwane w stronę przestrzeni cech obrazu przeciwnika. W tym przypadku atak zmusza system rozpoznawania obrazów do klasyfikacji psa jako samolotu. Źródło: https://openaccess.thecvf.com

Następnie niezmodyfikowany obraz jest osadzony w zmienionym obrazie za pomocą parowania bloków i transformacji bloków, zgodnie z propozycją z pracy z 2016 roku Reversible Data Hiding in Encrypted Images by Reversible Image Transformation.

Sekwencja zawierająca informacje o parowaniu bloków jest następnie osadzana w tymczasowym obrazie pośrednim za pomocą szyfrowania AES, klucz do którego zostanie później pobrany z DMCP w czasie uwierzytelniania. Następnie używany jest algorytm steganografii najmniej znaczącego bitu, aby osadzić klucz. Autorzy nazywają ten proces Modyfikowaną Odwracalną Transformacją Obrazu (mRIT).

Rutyna mRIT jest podstawowo odwracana w czasie odszyfrowywania, a “czysty” obraz jest przywracany do użycia w sesjach szkoleniowych.

Testowanie

Naukowcy przetestowali system na architekturze ResNet-18 z dwoma zbiorami danych: pracą z 2009 roku CIFAR-10, która zawiera 6000 obrazów w 10 klasach; oraz TinyImageNet ze Stanfordu, podzbiorem danych do wyzwania klasyfikacji ImageNet, który zawiera zbiór szkoleniowy 100 000 obrazów, wraz z zbiorem walidacyjnym 10 000 obrazów i zbiorem testowym 10 000 obrazów.

Model ResNet został wyszkolony od zera w trzech konfiguracjach: czysty, chroniony i odszyfrowany zbiór danych. Obie zbiory danych używały optymalizatora Adam z początkową szybkością uczenia 0,01, rozmiarem partii 128 i epoką szkolenia 80.

Wyniki szkolenia i testowania systemu szyfrowania. Niewielkie straty są obserwowalne w statystykach szkolenia dla odwróconych (tj. odszyfrowanych) obrazów.

Chociaż praca kończy się wnioskiem, że “wyniki modelu na odzyskanym zbiorze danych nie są wpływane”, wyniki pokazują niewielkie straty w dokładności na odzyskanych danych w porównaniu z oryginalnymi danymi, z 86,21% do 85,86% dla CIFAR-10 i z 74,00% do 73,20% dla TinyImageNet.

Jednakże, biorąc pod uwagę, że nawet niewielkie zmiany nasion (także sprzęt GPU) mogą wpływać na wyniki szkolenia, wydaje się to minimalnym i skutecznym kompromisem między ochroną własności intelektualnej a dokładnością.

Krajobraz ochrony modelu

Poprzednie prace koncentrowały się głównie na ochronie praw autorskich samych modeli uczenia maszynowego, przy założeniu, że same dane szkoleniowe są trudniejsze do ochrony: wysiłek badawczy z 2018 roku z Japonii oferował metodę osadzania znaków wodnych w głębokich sieciach neuronowych; wcześniejsza praca z 2017 roku oferowała podobne podejście.

Inicjatywa z 2018 roku z IBM była być może najgłębszym i najbardziej zaangażowanym badaniem potencjału znakowania wodnego dla modeli sieci neuronowych. To podejście różniło się od nowych badań, ponieważ próbowało osadzić nieodwracalne znaki wodne w danych szkoleniowych, a następnie użyć filtrów wewnątrz sieci neuronowej, aby “zignorować” perturbacje w danych.

Schemat IBM dla sieci neuronowej, aby “zignorować” znaki wodne, opierał się na ochronie części architektury, które zostały zaprojektowane do rozpoznania i odrzucenia znakowanych sekcji danych. Źródło: https://gzs715.github.io/pubs/WATERMARK_ASIACCS18.pdf

Wektor piractwa

Chociaż poszukiwanie ram ochrony zbiorów danych przed piractwem może wydawać się przypadkiem brzegowym w kontekście kultury uczenia maszynowego, która nadal opiera się na recenzowanych źródłach i wymianie informacji wśród globalnej społeczności badawczej, trwające zainteresowanie algorytmami ochrony tożsamości może okresowo prowadzić do systemów, które mogą być interesujące dla korporacji, które chcą chronić określone dane, a nie tylko dane osobowe.

Nowe badania nie dodają losowych perturbacji do danych obrazu, ale raczej opracowane, wymuszone przesunięcia w przestrzeni cech. Dlatego też obecna seria projektów komputerowego widzenia, które usuwają znaki wodne i poprawiają jakość obrazu, mogą potencjalnie “przywrócić” obrazy do postrzeganej przez człowieka wyższej jakości, bez rzeczywistego usunięcia perturbacji cech, które powodują błędną klasyfikację.

W wielu aplikacjach komputerowego widzenia, szczególnie tych, które obejmują etykietowanie i rozpoznawanie obiektów, takie nielegalnie przywrócone obrazy nadal mogą powodować błędną klasyfikację. Jednak w przypadkach, w których transformacje obrazu są głównym celem (takich jak generowanie twarzy lub aplikacje deepfake), algorytmicznie przywrócone obrazy mogą nadal być przydatne w rozwoju funkcjonalnych algorytmów.