Re-Identificação de Dados de Origem para Geradores GAN

Pesquisas recentes da França propuseram uma técnica para ‘re-identificar’ identidades de origem que contribuíram para dados gerados sinteticamente, como as pessoas ‘inexistentes’ geradas pelo GAN em projetos como This Person Does Not Exist.

O método descrito no artigo, intitulado This Person (Probably) Exists. Identity Membership Attacks Against GAN Generated Faces, não requer (improvável) acesso à arquitetura de treinamento ou dados do modelo, e pode ser aplicado a uma variedade de aplicações para as quais o uso de Redes Adversárias Generativas (GANs) está sendo explorado como métodos para anonimizar informações de identificação pessoal (PII) ou como meio de gerar dados sintéticos protegendo o material de origem.

Os pesquisadores formularam um método chamado Ataque de Membros de Identidade, que avalia a probabilidade de uma identidade única aparecer frequentemente em um conjunto de dados de contribuição, em vez de tentar se concentrar em características específicas de uma identidade (ou seja, nos grupos de pixels de uma imagem original usada para treinar o modelo gerador).

Fonte: https://arxiv.org/pdf/2107.06018.pdf

Na imagem acima, da pesquisa, cada linha começa com uma imagem gerada pelo GAN criada pelo StyleGAN. O bloco esquerdo de imagens foi criado a partir de um banco de dados de 40.000 imagens, o meio de 80.000 e o bloco direito de 46.000 imagens. Todas as imagens vêm do conjunto de dados VGG2Face2.

Algumas amostras têm uma semelhança fugaz, enquanto outras se correlacionam fortemente com os dados de treinamento. Os rostos foram identificados com sucesso pelos pesquisadores usando uma rede de identificação de faces.

Mais do que o Valor Aparente

Abordagens de re-identificação desta natureza têm múltiplas implicações em muitos campos de pesquisa; os pesquisadores, baseados na Universidade de Caen, na Normandia, enfatizam que sua técnica não está limitada a conjuntos de faces e estruturas de GAN de geração de faces, mas é igualmente aplicável a conjuntos de dados de imagens médicas e dados biométricos, entre outras possíveis superfícies de ataque em frameworks de síntese de imagens.

‘Acreditamos que, se bem-sucedido, tal ataque revelaria um obstáculo sério para a troca segura de GANs em contextos sensíveis. Por exemplo, no contexto de pinturas ou outras obras de arte, distribuir um gerador não privado pode ser descartado por questões de direitos autorais óbvias. Mais importante ainda, considere uma empresa de biometria A que libera um gerador que expõe a identidade do consumidor. Outra empresa B poderia potencialmente detectar quais de seus próprios consumidores também são clientes da empresa A. Situações semelhantes podem criar problemas sérios para dados médicos, onde revelar um GAN pode violar informações pessoais sobre uma doença de um paciente.’

Re-Identificando Dados de Origem Ilegitimamente Coletados ou Privados

Embora o artigo apenas toque levemente no assunto, a capacidade de identificar dados de origem de saída abstrata (como faces geradas por GAN, embora isso se aplique igualmente a sistemas de codificador/decodificador e outras arquiteturas) tem implicações notáveis para implementações de proteção de direitos autorais nos próximos 5-10 anos.

Atualmente, a maioria dos países está operando uma abordagem laissez faire para a coleta de dados da web em face de não ser deixada para trás no estágio de desenvolvimento das economias de aprendizado de máquina por vir. À medida que esse clima se comercializa e se consolida, há um potencial significativo para que uma nova geração de ‘Trolls de Dados’ apresente reivindicações de direitos autorais sobre imagens confirmadas como tendo sido usadas historicamente em conjuntos de dados que contribuíram para algoritmos de aprendizado de máquina.

À medida que os algoritmos desenvolvidos amadurecem e se tornam mais valiosos com o tempo, qualquer imagem não permitida que tenha sido usada em seu desenvolvimento inicial e que possa ser inferida por métodos semelhantes ao proposto no novo artigo francês é uma potencial responsabilidade legal na escala de SCO Vs IBM (um processo tecnológico lendariamente longo que continua a ameaçar o sistema operacional Linux).

Aproveitando o Impasse Mexicano de Diversidade vs. Frequência

A técnica principal usada pelos pesquisadores franceses explora a frequência de imagens do conjunto de dados original como uma chave para re-identificação. Quanto mais frequentemente uma identidade específica for encontrada no conjunto de dados, mais provável que seja possível fazer uma identificação da identidade original, correlacionando os resultados do ataque com conjuntos de dados disponíveis publicamente ou privadamente.

Os pesquisadores observam que isso pode ser mitigado incluindo uma diversidade muito maior de dados (por exemplo, de faces) no conjunto de dados de origem e não treinando o conjunto de dados por tanto tempo que ocorra sobreajuste. O problema é que o modelo deve então alcançar uma boa abstração em um espaço dimensional muito maior e com uma quantidade muito maior de dados do que é estritamente necessário para obter resultados sintéticos plausíveis.

Alcançar uma generalização ótima desse tipo é caro e demorado; o espaço latente (a parte da análise formulaica do modelo de aprendizado de máquina na qual os dados são alimentados) precisará de mais recursos; o conjunto de dados precisará de mais curadoria; e, como a quantidade de dados precisará ser significativa, os tamanhos de lote e a programação de taxa precisarão ser otimizados para qualidade e altos níveis de generalização, em vez de velocidade de treinamento e economia, resultando em custos de desenvolvimento mais altos e tempos de desenvolvimento mais longos.

Além disso, algoritmos geradores sobreajustados podem alcançar dados sintéticos realistas, mesmo que os dados de saída (ou seja, faces, mapas, imagens biomédicas, etc.) não sejam completamente abstratos, mas apresentem traços distinguíveis maiores do que os ideais – um atalho tentador. No clima atual de ‘faroeste selvagem’ do setor de aprendizado de máquina, onde iniciativas menores estão tentando desafiar a liderança da FAANG com recursos mais escassos (ou ganhar atenção para uma compra), é questionável se os padrões sempre atingem esse nível.

O artigo também observa que a diversidade de pontos de dados de origem (como faces) não é suficiente por si só para prevenir a re-identificação por meio desses e métodos semelhantes, desde que a interrupção antecipada do treinamento possa deixar as identidades de origem insufficientemente abstratas.