อาร์ติฟิเชียลอินเทลลิเจนซ์ที่อธิบายได้อาจส่งมอบข้อมูลส่วนบุคคลได้ง่ายขึ้น

นักวิจัยจากมหาวิทยาลัยแห่งชาติสิงคโปร์สรุปได้ว่า อาร์ติฟิเชียลอินเทลลิเจนซ์ที่อธิบายได้มากขึ้นจะทำให้ง่ายต่อการหลบหลีกคุณสมบัติความเป็นส่วนตัวที่สำคัญในระบบการเรียนรู้ของเครื่อง พวกเขายังพบว่า แม้ว่าโมเดลจะไม่สามารถอธิบายได้ แต่ก็สามารถใช้คำอธิบายของโมเดลที่คล้ายกันเพื่อ ‘ถอดรหัส’ ข้อมูลที่ละเอียดอ่อนในโมเดลที่ไม่สามารถอธิบายได้

การวิจัย นี้ ซึ่งมีชื่อเรื่องว่า การโจมตีแบบกลับด้านโดยใช้คำอธิบาย เน้นถึงความเสี่ยงของการใช้ ‘ความไม่โปร่งใส’ ของวิธีการทำงานของเครือข่ายประสาทเทียม โดยไม่ได้ออกแบบมาเพื่อเป็นคุณสมบัติด้านความปลอดภัยโดยเฉพาะ – ไม่เพียงแต่เพราะมีมาตรการใหม่ๆ ทั่วโลก รวมถึง การกำกับดูแล AI ของสหภาพยุโรป ที่กำลัง อธิบาย อาร์ติฟิเชียลอินเทลลิเจนซ์ที่อธิบายได้ (XAI) ว่าเป็นข้อกำหนดเบื้องต้นสำหรับการยอมรับการเรียนรู้ของเครื่องในอนาคต

ในงานวิจัยนี้ ได้สร้างอัตลักษณ์ที่แท้จริงจากข้อมูลที่ไม่ระบุชื่อเกี่ยวกับน้ำเสียงของใบหน้า โดยใช้คำอธิบายของระบบการเรียนรู้ของเครื่องหลายครั้ง Source: https://arxiv.org/pdf/2108.10800.pdf

นักวิจัยได้แสดงความคิดเห็นว่า:

‘อาร์ติฟิเชียลอินเทลลิเจนซ์ที่อธิบายได้ (XAI) ให้ข้อมูลเพิ่มเติมเพื่อช่วยให้ผู้ใช้เข้าใจการตัดสินใจของโมเดล แต่ความรู้เพิ่มเติมนี้ก็เปิดเผยความเสี่ยงเพิ่มเติมสำหรับการโจมตีด้านความเป็นส่วนตัว ดังนั้น การให้คำอธิบายจึงเป็นอันตรายต่อความเป็นส่วนตัว’

การระบุตัวตนซ้ำของข้อมูลส่วนบุคคล

ผู้เข้าร่วมในเซตข้อมูลการเรียนรู้ของเครื่องอาจได้รับอนุญาตให้เข้าร่วมโดยมีความคิดว่าข้อมูลของตนจะไม่ถูกเปิดเผย ในกรณีข้อมูลส่วนบุคคลที่เข้าสู่ระบบ AI ผ่านการรวบรวมข้อมูลแบบ ad hoc (เช่น ผ่านเครือข่ายสังคม) การเข้าร่วมอาจถูกกฎหมาย แต่ก็ทำให้แนวคิดเรื่อง ‘การอนุญาต’ ถูกบิดเบือน

มีหลายวิธีที่ได้พัฒนาขึ้นในช่วงไม่กี่ปีที่ผ่านมา ซึ่งสามารถถอดรหัสข้อมูลส่วนบุคคลจากกระแสข้อมูลการเรียนรู้ของเครื่องที่ดูเหมือนจะไม่โปร่งใสได้ การถอดรหัสโมเดล ใช้การเข้าถึง API (เช่น ‘กล่องดำ’ โดยไม่มีการเข้าถึงซอร์สโค้ดหรือข้อมูล) เพื่อถอดรหัสข้อมูลส่วนบุคคล แม้แต่จากผู้ให้บริการ MLaaS ระดับใหญ่ เช่น Amazon Web Services ในขณะที่ การโจมตีแบบสืบสวนสมาชิก (MIAs) ซึ่งทำงานภายใต้ข้อจำกัดที่คล้ายกัน สามารถ รับข้อมูลทางการแพทย์ที่เป็นความลับ ได้ นอกจากนี้ การโจมตีแบบสืบสวนการกำหนดค่า (AIAs) ยังสามารถ กู้คืนข้อมูลที่ละเอียดอ่อน จากการออกของ API

การเปิดเผยใบหน้า

สำหรับงานวิจัยใหม่นี้ นักวิจัยได้เน้นไปที่การโจมตีแบบกลับด้านที่ออกแบบมาเพื่อให้ได้รับอัตลักษณ์จากชุดข้อมูลน้ำเสียงของใบหน้าที่ไม่ควรเปิดเผยข้อมูลนี้

วัตถุประสงค์ของระบบคือการเชื่อมโยงภาพที่พบในอินเทอร์เน็ต (ทั้งภาพที่โพสต์แบบไม่official หรือในกรณีการละเมิดความปลอดภัย) กับการรวมเข้าในเซตข้อมูลที่รองรับระบบการเรียนรู้ของเครื่อง

นักวิจัยได้ฝึกฝนโมเดลการโจมตีแบบกลับด้านที่สามารถสร้างภาพที่มีส่วนร่วมจากข้อมูลที่ไม่ระบุชื่อโดยไม่ต้องมีการเข้าถึงซอร์สโค้ดหรือโครงสร้างของระบบเดิม Previous work ในสาขานี้ได้เน้นไปที่ระบบที่มีวัตถุประสงค์ในการระบุตัวตน (การปกป้องหรือการเปิดเผย) เป็นจุดมุ่งหมายร่วมกันของทั้งระบบเป้าหมายและระบบโจมตี ในกรณีนี้ ระบบได้ถูกออกแบบมาเพื่อใช้ข้อมูลจากโดเมนหนึ่งและนำไปใช้กับโดเมนอื่น

ได้ใช้ การถ่ายทอด โครงข่ายประสาทเทียมแบบโคน볼ชัน (CNN) เพื่อคาดการณ์ ‘ใบหน้าดั้งเดิม’ ตามเวกเตอร์คำทำนาย (สาลิซีแมป) สำหรับระบบการรู้จำอารมณ์ โดยใช้ โครงข่าย U-Net เพื่อปรับปรุงประสิทธิภาพการสร้างภาพใบหน้า

ระบบการระบุตัวตนที่ได้รับการสนับสนุนและได้รับข้อมูลจาก XAI โดยที่ความรู้เกี่ยวกับการกระตุ้นของนิวรอนเป็นหนึ่งในหลายๆ ด้านของ XAI ที่ถูกใช้เพื่อสร้างภาพภายในของโครงสร้างจากผลลัพธ์ ทำให้สามารถระบุตัวตนภาพที่มีส่วนร่วมในเซตข้อมูลได้

การทดสอบ

ในการทดสอบระบบ นักวิจัยได้ใช้ระบบกับเซตข้อมูลสามชุด: iCV-MEFED น้ำเสียงของใบหน้า; CelebA; และ MNIST ตัวอักษรที่เขียนด้วยมือ เพื่อให้เหมาะสมกับขนาดของโมเดลที่นักวิจัยใช้ เซตข้อมูลทั้งสามถูกปรับขนาดให้ 128×128, 265×256 และ 32×32 พิกเซล ตามลำดับ 50% ของแต่ละเซตถูกใช้เป็นข้อมูลฝึก และอีก 50% ถูกใช้เป็นเซตข้อมูลโจมตีเพื่อฝึกโมเดลโจมตี

แต่ละเซตข้อมูลมีโมเดลเป้าหมายที่แตกต่างกัน และแต่ละโมเดลโจมตีถูกปรับขนาดให้เหมาะสมกับข้อจำกัดของคำอธิบายที่ใช้ในการโจมตี ไม่ใช่การใช้โมเดลประสาทเทียมที่ลึกซึ้งซึ่งมีความซับซ้อนเกินกว่าการอธิบาย

ประเภทคำอธิบาย XAI ที่ใช้ในการโจมตีนี้รวมถึง คำอธิบายเกรเดียนต์, การเข้าถึงเกรเดียนต์, Grad-CAM และ การแพร่กระจายความเกี่ยวข้องระดับเลเยอร์ (LRP) นักวิจัยยังประเมินคำอธิบายหลายแบบทั่วทั้งการทดลอง

การสร้างภาพโดยใช้การโจมตีแบบกลับด้านที่รู้จัก XAI ทั่วทั้งสามเซตข้อมูล โดยมีงานเป้าหมายและงานโจมตีที่เหมือนกัน

มาตรการที่ใช้ในการทดสอบคือความคล้ายคลึงกันของพิกเซลที่ประเมินโดย ข้อผิดพลาดเฉลี่ยของสี่เหลี่ยม (MSE); ความคล้ายคลึงกันของภาพ (SSIM) ซึ่งเป็นดัชนีความคล้ายคลึงกันที่อิงการรับรู้; ความแม่นยำของการโจมตี ซึ่งกำหนดโดยความสามารถของตัวจำแนกในการระบุภาพที่สร้างขึ้นใหม่ได้สำเร็จ; และความคล้ายคลึงกันของการฝังตัวการโจมตี ซึ่งเทียบคุณลักษณะการฝังตัวของข้อมูลแหล่งที่มาที่ทราบกับข้อมูลที่สร้างขึ้นใหม่

การระบุตัวตนได้สำเร็จ โดยมีระดับที่แตกต่างกันไปตามงานและเซตข้อมูล นอกจากนี้ นักวิจัยยังพบว่าโดยการสร้างโมเดลเป้าหมายที่แทนที่ (ซึ่งพวกเขามีการควบคุมอย่างเต็มที่) ก็ยังสามารถระบุตัวตนข้อมูลจากโมเดล ‘ปิด’ ได้ โดยอาศัยหลักการ XAI ที่ทราบ

นักวิจัยพบว่าผลลัพธ์ที่แม่นยำที่สุดได้มาจากคำอธิบายที่อาศัยการกระตุ้น (สาลิซีแมป) ซึ่งรั่วไหลข้อมูลส่วนบุคคลมากกว่าคำอธิบายที่อาศัยความไวต่อการเปลี่ยนแปลง (เกรเดียนต์)

ในงานอนาคต ทีมนักวิจัยตั้งใจที่จะรวมคำอธิบาย XAI ประเภทต่างๆ เข้ากับการโจมตีแบบใหม่ๆ เช่น การแสดงภาพคุณลักษณะ และ เวกเตอร์การกระตุ้นแนวคิด