Încetinirea seturilor de date de vedere computerizată împotriva utilizării neautorizate

Cercetători din China au dezvoltat o metodă pentru a proteja prin drepturi de autor seturile de date de imagini utilizate pentru antrenarea viziunii computerizate, prin “marcarea” eficientă a imaginilor din setul de date și decodificarea ulterioară a imaginilor “curate” prin intermediul unei platforme bazate pe cloud numai pentru utilizatorii autorizați.

Testele efectuate pe sistem au arătat că antrenarea unui model de învățare automată pe imagini protejate prin drepturi de autor a provocat o scădere catastrofală a acurateței modelului. Testând sistemul pe două seturi de date de imagini deschise populare, cercetătorii au constatat că este posibilă scăderea acurateței de la 86,21% și 74,00% pentru seturile de date curate până la 38,23% și 16,20% atunci când se încearcă antrenarea modelelor pe datele nedecodificate.

Din lucrare – exemple, de la stânga la dreapta, de imagini curate, protejate (adică perturbate) și recuperate. Sursă: https://arxiv.org/pdf/2109.07921.pdf

Acest lucru permite, în mod potențial, distribuția publică largă a seturilor de date de înaltă calitate și scumpe, și (presupunând), chiar și antrenamentul “demonstrativ” al seturilor de date în scopul demonstrării funcționalității aproximative.

Autentificarea seturilor de date bazate pe cloud

Lucrarea

provine de la cercetători de la două departamente de la Universitatea de Aeronautică și Astronautică din Nanjing și prevede utilizarea obișnuită a unei platforme de management a seturilor de date bazate pe cloud (DMCP), un cadru de autentificare la distanță care ar furniza același tip de validare prelansare bazată pe telemetrie, așa cum a devenit obișnuit în instalații locale încărcate, cum ar fi Adobe Creative Suite.

Fluxul și cadrul pentru metoda propusă.

Imaginea protejată este generată prin perturbații ale spațiului de caracteristici, o metodă de atac adversar dezvoltată la Universitatea Duke din Carolina de Nord în 2019.

Perturbațiile spațiului de caracteristici efectuează un ‘Atac de activare’ în care caracteristicile unei imagini sunt împinse spre spațiul de caracteristici al unei imagini adverse. În acest caz, atacul forțează un sistem de recunoaștere a machine learning să clasifice un câine ca un avion. Sursă: https://openaccess.thecvf.com

Următorul, imaginea nemodificată este încorporată în imaginea distorsionată prin împerecherea blocurilor și transformarea blocurilor, așa cum a fost propus în lucrarea din 2016 Reversible Data Hiding in Encrypted Images by Reversible Image Transformation.

Secvența care conține informațiile despre împerecherea blocurilor este apoi încorporată într-o imagine intermediară temporară utilizând criptarea AES, cheia căreia va fi recuperată ulterior de la DMCP la momentul autentificării. Algoritmul steganografic Least Significant Bit este apoi utilizat pentru a încorpora cheia. Autorii se referă la acest proces ca Modified Reversible Image Transformation (mRIT).

Rutina mRIT este esențialmente inversată la momentul decodificării, imaginea “curată” fiind restaurată pentru utilizare în sesiunile de antrenament.

Testarea

Cercetătorii au testat sistemul pe arhitectura ResNet-18 cu două seturi de date: lucrarea din 2009 CIFAR-10, care conține 6000 de imagini din 10 clase; și TinyImageNet de la Stanford, un subset al datelor pentru provocarea de clasificare a imaginilor ImageNet, care conține un set de date de antrenament de 100.000 de imagini, împreună cu un set de date de validare de 10.000 de imagini și un set de date de test de 10.000 de imagini.

Modelul ResNet a fost antrenat de la zero pe trei configurații: setul de date curat, protejat și decodificat. Ambele seturi de date au utilizat optimizerul Adam cu o rată de învățare inițială de 0,01, o dimensiune a lotului de 128 și o epocă de antrenament de 80.

Rezultatele acurateței de antrenament și testare din testele efectuate pe sistemul de criptare. Pierderi minore sunt observabile în statistica de antrenament pentru imaginile inverse (adică decodificate).

Deși lucrarea concluzionează că “performanța modelului pe setul de date recuperat nu este afectată”, rezultatele arată pierderi minore pentru acuratețe pe datele recuperate față de datele originale, de la 86,21% la 85,86% pentru CIFAR-10 și de la 74,00% la 73,20% pentru TinyImageNet.

Cu toate acestea, având în vedere modul în care chiar și schimbări minore ale semințelor (precum și hardware-ul GPU) pot afecta performanța de antrenament, acest lucru pare a fi un compromis minim și eficient pentru protecția IP împotriva acurateței.

Peisajul de protecție a modelului

Lucrările anterioare s-au concentrat în principal pe protejarea efectivă a modelelor de învățare automată, pe presupunerea că datele de antrenament însele sunt mai dificil de protejat: un efort de cercetare din 2018 din Japonia a oferit o metodă pentru a încorpora semne de apă în rețelele neuronale profunde; o lucrare anterioară din 2017 a oferit o abordare similară.

O inițiativă din 2018 de la IBM a făcut probabil cea mai profundă și mai dedicată investigație asupra potențialului de a marca cu semne de apă modelele de rețele neuronale. Această abordare s-a diferențiat de noua cercetare, întrucât a încercat să încorporeze semne de apă nereversibile în datele de antrenament și apoi să utilizeze filtre în interiorul rețelei neuronale pentru a “discounta” perturbațiile din date.

Schemei IBM pentru o rețea neuronală pentru a “ignora” semnele de apă s-a bazat pe protejarea părților arhitecturii care au fost proiectate pentru a recunoaște și a elimina secțiunile semnate cu semne de apă ale datelor. Sursă: https://gzs715.github.io/pubs/WATERMARK_ASIACCS18.pdf

Vector de piraterie

Deși urmărirea cadrului de criptare a seturilor de date pentru protejarea prin drepturi de autor poate părea un caz marginal în contextul unei culturi de învățare automată care depinde în continuare de revizuirea surselor deschise și de schimbul de informații în cadrul comunității de cercetare globale, interesul continuu pentru algoritmi de protecție a identității care păstrează confidențialitatea pare să producă periodic sisteme care ar putea fi de interes pentru corporații care doresc să protejeze date specifice, mai degrabă decât informații personale.

Noua cercetare nu adaugă perturbații aleatorii datelor de imagine, ci schimbări forțate, create, în spațiul de caracteristici. Prin urmare, curentul de proiecte de învățare automată de restaurare a semnelor de apă și de îmbunătățire a imaginilor ar putea potențial “restaura” imaginile la o calitate percepută de om mai ridicată, fără a elimina de fapt perturbațiile spațiului de caracteristici care provoacă clasificarea greșită.

În multe aplicații de vedere computerizată, în special cele care implică etichetarea și recunoașterea entităților, astfel de imagini restaurate ilegitim ar provoca, probabil, în continuare clasificarea greșită. Cu toate acestea, în cazurile în care transformările de imagine sunt obiectivul principal (cum ar fi generarea de fețe sau aplicații de deepfake), imaginile restaurate algoritmic ar putea fi, probabil, în continuare utile în dezvoltarea de algoritmi funcționali.