DRM para Conjuntos de Dados de Visão Computacional

A história sugere que, eventualmente, a era “aberta” da pesquisa em visão computacional, onde a reprodutibilidade e a revisão favorável por pares são centrais para o desenvolvimento de uma nova iniciativa, deve dar lugar a uma nova era de proteção de propriedade intelectual – onde mecanismos fechados e plataformas muradas impedem que concorrentes minem os altos custos de desenvolvimento de conjuntos de dados, ou usem um projeto caro como um mero degrau para desenvolver sua própria versão (talvez superior).

Atualmente, a tendência crescente em direção ao protecionismo é apoiada principalmente por cercar frameworks proprietários atrás do acesso à API, onde os usuários enviam tokens ou solicitações esparsos, e onde os processos de transformação que tornam as respostas do framework valiosas são inteiramente ocultados.

Em outros casos, o modelo final pode ser liberado, mas sem as informações centrais que o tornam valioso, como os pesos pré-treinados que podem ter custado vários milhões para gerar; ou faltando um conjunto de dados proprietário, ou detalhes exatos de como um subconjunto foi produzido a partir de uma gama de conjuntos de dados abertos. No caso do modelo de linguagem natural transformador da OpenAI, GPT-3, ambas as medidas de proteção estão atualmente em uso, deixando os imitadores do modelo, como GPT Neo, a juntar peças de uma aproximação do produto da melhor forma possível.

Proteção de Conjuntos de Dados de Imagens

No entanto, o interesse está crescendo em métodos pelos quais um framework de aprendizado de máquina “protegido” possa recuperar algum nível de portabilidade, garantindo que apenas usuários autorizados (por exemplo, usuários pagos) possam usar lucrativamente o sistema em questão. Isso geralmente envolve criptografar o conjunto de dados de alguma forma programática, de modo que seja lido “limpo” pelo framework de IA no momento do treinamento, mas esteja comprometido ou seja inutilizável em qualquer outro contexto.

Um tal sistema foi recentemente proposto por pesquisadores da Universidade de Ciência e Tecnologia da China em Anhui e da Universidade de Fudan em Xangai. Intitulado Proteção de Conjunto de Dados de Imagens Invertível, o artigo oferece um pipeline que adiciona automaticamente perturbação de exemplos adversários a um conjunto de dados de imagens, de modo que não possa ser usado lucrativamente para treinamento no caso de pirataria, mas onde a proteção é inteiramente filtrada por um sistema autorizado que contém um token secreto.

Do artigo: uma imagem de origem ‘valiosa’ é tornada efetivamente inutilizável para treinamento com técnicas de exemplos adversários, com as perturbações removidas sistematicamente e inteiramente de forma automática para um ‘usuário autorizado’. Fonte: https://arxiv.org/pdf/2112.14420.pdf

O mecanismo que possibilita a proteção é chamado de gerador de exemplos adversários reversíveis (RAEG), e efetivamente equivale a criptografia na usabilidade real das imagens para fins de classificação, usando ocultação de dados reversível (RDH). Os autores afirmam:

‘O método primeiro gera a imagem adversária usando métodos de AE existentes, então incorpora a perturbação adversária na imagem adversária, e gera a imagem esteganográfica usando RDH. Devido à característica de reversibilidade, a perturbação adversária e a imagem original podem ser recuperadas.’

As imagens originais do conjunto de dados são alimentadas em uma rede neural invertível em forma de U (INN) para produzir imagens afetadas adversariamente que são criadas para enganar sistemas de classificação. Isso significa que a extração de recursos típica será prejudicada, tornando difícil classificar traços como gênero e outros recursos baseados em faces (embora a arquitetura suporte uma gama de domínios, e não apenas material baseado em faces).

Um teste de inversão do RAEG, onde diferentes tipos de ataque são realizados nas imagens antes da reconstrução. Os métodos de ataque incluem Desfoque Gaussiano e artefatos JPEG.

Assim, se alguém tentar usar o conjunto de dados “corrompido” ou “criptografado” em um framework projetado para geração de faces baseada em GAN ou para reconhecimento facial, o modelo resultante será menos eficaz do que seria se tivesse sido treinado em imagens não perturbadas.

Bloqueando as Imagens

No entanto, isso é apenas um efeito colateral da aplicabilidade geral dos métodos de perturbação populares. Na verdade, no caso de uso previsto, os dados serão incapacitados, exceto no caso de acesso autorizado ao framework alvo, desde que a “chave” para os dados limpos seja um token secreto dentro da arquitetura alvo.

Essa criptografia vem com um preço; os pesquisadores caracterizam a perda de qualidade da imagem original como ‘ligeira distorção’, e afirmam ‘[O] método proposto pode quase perfeitamente restaurar a imagem original, enquanto os métodos anteriores podem restaurar apenas uma versão borrada.’

Os métodos anteriores em questão são do artigo de novembro de 2018 artigo IA não Autorizada não Pode me Reconhecer: Exemplo Adversário Reversível, uma colaboração entre duas universidades chinesas e o Centro de Projeto de Inteligência Avançada RIKEN (AIP); e Ataque Adversário Reversível baseado em Transformação de Imagem Reversível, um artigo de 2019 também do setor de pesquisa acadêmica chinesa.

Os pesquisadores do novo artigo afirmam ter feito melhorias notáveis na usabilidade das imagens restauradas, em comparação com essas abordagens anteriores, observando que a primeira abordagem é muito sensível à interferência intermediária e muito fácil de contornar, enquanto a segunda causa degradação excessiva das imagens originais no momento do treinamento (autorizado), prejudicando a aplicabilidade do sistema.

Arquitetura, Dados e Testes

O novo sistema consiste em um gerador, uma camada de ataque que aplica perturbação, classificadores alvo pré-treinados e um elemento discriminador.

A arquitetura do RAEG. À esquerda, no meio, vemos o token secreto ‘I_prt‘, que permitirá a desperturbação da imagem no momento do treinamento, identificando as características perturbadas incorporadas nas imagens de origem e descontando-as.

Abaixo estão os resultados de um teste de comparação com as duas abordagens anteriores, usando três conjuntos de dados: CelebA-100; Caltech-101; e Mini-ImageNet.

Os três conjuntos de dados foram treinados como redes de classificação alvo, com um tamanho de lote de 32, em um NVIDIA RTX 3090 durante uma semana, por 50 épocas.

Os autores afirmam que o RAEG é o primeiro trabalho a oferecer uma rede neural invertível que pode ativamente gerar exemplos adversários.

Publicado pela primeira vez em 4 de janeiro de 2022.