Re-identificarea datelor sursă pentru generatorii GAN

Noi cercetări din Franța au propus o tehnică pentru a “re-identifica” identitățile sursă care au contribuit la date generate sintetic, cum ar fi “oamenii non-existenți” generați de proiecte de generare de fețe, cum ar fi This Person Does Not Exist.

Metoda prezentată în articol, intitulat This Person (Probably) Exists. Identity Membership Attacks Against GAN Generated Faces, nu necesită (în mod neașteptat) acces la arhitectura de antrenare sau la datele modelului și poate fi aplicată unei varietăți de aplicații pentru care se explorează utilizarea Rețelelor Adversative Generative (GAN) pentru a anonimiza informațiile personale identificabile (PII) sau pentru a genera date sintetice care protejează materialul sursă.

Cercetătorii au formulat o metodă numită Atac de apartenență la identitate, care evaluează probabilitatea ca o singură identitate să apară des într-un set de date care contribuie, mai degrabă decât să încerce să se concentreze pe caracteristici specifice ale unei identități (de exemplu, pe grupurile de pixeli ale unei imagini originale care a fost utilizată pentru a antrena modelul generativ).

Sursă: https://arxiv.org/pdf/2107.06018.pdf

În imaginea de mai sus, din cercetare, fiecare rând începe cu o imagine generată de GAN creată de StyleGAN. Blocul stâng de imagini a fost creat dintr-o bază de date de 40.000 de imagini, cel din mijloc din 80.000 și blocul din dreapta din 46.000 de imagini. Toate imaginile provin din setul de date VGG2Face2.

Unele mostre au o asemănare fugace, în timp ce altele se corelează puternic cu datele de antrenare. Fețele au fost identificate cu succes de către cercetători folosind o rețea de identificare a feței.

Mai mult decât valoarea feței

Abordările de re-identificare de acest tip au multiple implicații în numeroase domenii de cercetare; cercetătorii, cu sediul la Universitatea din Caen, Normandia, subliniază că tehnica lor nu se limitează la seturi de fețe și cadre de generare de fețe GAN, ci este la fel de aplicabilă seturilor de date de imagini medicale și datelor biometrice, printre alte posibile suprafețe de atac în cadrele de sinteză a imaginilor.

‘Considerăm că, dacă este reușit, un astfel de atac ar revela o piedică serioasă pentru schimbul sigur de GAN în contexte sensibile. De exemplu, în contextul picturilor sau altor piese de artă, distribuirea unui generator non-privat ar putea fi interzisă din cauza problemelor evidente de drepturi de autor. Mai important, luați în considerare o companie biometrică A care lansează un generator care expune identitatea consumatorului său. O altă companie B ar putea detecta potențial care dintre clienții săi sunt și clienți ai companiei A. Situații similare pot crea probleme grave pentru datele medicale, unde dezvăluirea unui GAN ar putea încălca informații personale despre o boală a unui pacient.’

Re-identificarea datelor web extrase ilegal sau private

Deși articolul abordează ușor subiectul, capacitatea de a identifica datele sursă originale din ieșirile abstracte (cum ar fi fețele generate de GAN, deși acest lucru se aplică la fel de bine sistemelor encoder/decoder și altor arhitecturi) are implicații notabile pentru implementările de protecție a drepturilor de autor în următorii 5-10 ani.

În prezent, majoritatea țărilor operează o abordare laissez faire în ceea ce privește extragerea datelor de pe web în scopul de a nu rămâne în urmă în stadiul de dezvoltare a economiilor de învățare automată care urmează. Pe măsură ce acest climat se comercializează și se consolidează, există un potențial semnificativ pentru o nouă generație de “trolli de date” care să prezinte pretenții de drepturi de autor asupra imaginilor confirmate a fi fost utilizate istoric în seturi de date care au contribuit la algoritmi de învățare automată.

Pe măsură ce algoritmii dezvoltați se maturizează și devin mai valoroși în timp, orice imagini neautorizate care au fost utilizate în dezvoltarea lor timpurie și care pot fi deduse din ieșirile lor prin metode similare cu cele propuse în noul articol francez sunt o potențială problemă juridică la scară largă, similar cu cazul SCO Vs IBM (un proces tehnic legendar care continuă să amenințe sistemul de operare Linux).

Exploatând “împăciuirea mexicană” a diversității vs. frecvenței

Tehnica principală utilizată de cercetătorii francezi exploatează frecvența imaginilor din setul de date original ca o cheie pentru re-identificare. Cu cât o identitate anume este mai frecventă în setul de date, cu atât este mai probabil ca acea identitate originală să poată fi identificată, prin corelarea rezultatelor atacului cu seturi de date disponibile public sau privat.

Cercetătorii observă că acest lucru poate fi mitigat prin includerea unei diversități mult mai mari de date (de exemplu, de fețe) în setul de date sursă și prin evitarea antrenării setului de date atât de mult timp încât să apară supraantrenarea. Problema cu această abordare este că modelul trebuie să atingă o bună abstractizare într-un spațiu dimensional mult mai mare și cu o cantitate mult mai mare de date decât este strict necesar pentru a obține rezultate sintetice plauzibile.

Pentru a atinge o astfel de generalizare optimă este costisitor și consumator de timp: spațiul latent (partea de analiză a modelului de învățare automată în care se introduce datele) va necesita mai multe resurse; setul de date va necesita o curățare mai atentă; și deoarece cantitatea de date va trebui să fie semnificativă, dimensiunile loturilor și programarea ratelor vor trebui să fie optimizate pentru calitate și niveluri ridicate de generalizare, mai degrabă decât viteza de antrenare și economie, ceea ce duce la costuri de dezvoltare mai mari și perioade de dezvoltare mai lungi.

În plus, algoritmii generativi supraantrenați pot obține date sintetice foarte realiste, chiar dacă datele de ieșire (de exemplu, fețe, hărți, imagini biomedicale etc.) nu sunt complet abstracte, ci prezintă trăsături distinctive mai mari din datele sursă decât ar fi ideal – o scurtătură tentantă. În climatul actual “sălbatic” al sectorului de învățare automată, unde inițiativele mai mici încearcă să conteste avansul FAANG cu resurse mai puține (sau să obțină atenție pentru a fi cumpărate), este îndoielnic dacă standardele vor ajunge întotdeauna la acest nivel.

Articolul observă, de asemenea, că diversitatea punctelor de date sursă (cum ar fi fețele) nu este suficientă în sine pentru a preveni re-identificarea prin aceste și alte metode, deoarece oprirea timpurie a antrenamentului poate lăsa identitățile sursă insuficient abstractizate.