การขัดขวางชุดข้อมูลการมองเห็นคอมพิวเตอร์จากการใช้งานที่ไม่ได้รับอนุญาต

นักวิจัยจากประเทศจีนได้พัฒนา phương phápในการคุ้มครองลิขสิทธิ์ชุดข้อมูลภาพสำหรับการฝึกอบรมการมองเห็นคอมพิวเตอร์ โดยการสร้าง “เครื่องหมายน้ำ” บนภาพในข้อมูล และจากนั้นถอดรหัสภาพที่ “สะอาด” ผ่านแพลตฟอร์มบนคลาวด์สำหรับผู้ใช้ที่ได้รับอนุญาตเท่านั้น

การทดสอบระบบแสดงให้เห็นว่าการฝึกอบรมแบบจำลองการเรียนรู้ของเครื่องบนภาพที่ได้รับการคุ้มครองลิขสิทธิ์ทำให้เกิดการลดลงอย่างมากในความแม่นยำของแบบจำลอง การทดสอบระบบบนชุดข้อมูลภาพที่เปิดเผยต่อสาธารณะสองชุด นักวิจัยพบว่าสามารถลดความแม่นยำจาก 86.21% และ 74.00% สำหรับชุดข้อมูลที่ไม่มีการป้องกันลงเหลือ 38.23% และ 16.20% เมื่อพยายามฝึกอบรมแบบจำลองบนข้อมูลที่ไม่ได้รับการถอดรหัส

จากเอกสาร – ตัวอย่าง, จากซ้ายไปขวา, ของภาพที่ไม่มีการป้องกัน, ป้องกัน (เช่น perturbed) และกู้คืน Source: https://arxiv.org/pdf/2109.07921.pdf

สิ่งนี้ทำให้สามารถกระจายชุดข้อมูลที่มีคุณภาพสูงและราคาสูงไปยังสาธารณะได้อย่างกว้างขวาง และ (โดยสมมติ), แม้แต่การฝึกอบรม “demo” ที่ถูกบุกรุกของชุดข้อมูลเพื่อแสดงผลลัพธ์โดยประมาณ

การตรวจสอบชุดข้อมูลบนคลาวด์

เอกสาร นี้ มาจากนักวิจัยที่สองภาควิชาที่มหาวิทยาลัยการบินและอวกาศนานกิง และคาดการณ์ถึงการใช้งานประจำของ Dataset Management Cloud Platform (DMCP) ซึ่งเป็นเฟรมเวิร์กการตรวจสอบระยะไกลที่จะให้การยืนยันการเปิดตัวแบบเดียวกับที่พบในติดตั้งแบบท้องถิ่นที่มีภาระหนัก เช่น Adobe Creative Suite

การไหลและเฟรมเวิร์กสำหรับวิธีการที่เสนอ

ภาพที่ได้รับการป้องกันจะถูกสร้างขึ้นผ่าน การเปลี่ยนแปลงพื้นที่คุณลักษณะ ซึ่งเป็นวิธีการโจมตีแบบก้าวร้าวที่พัฒนาโดยมหาวิทยาลัย Duke ในปี 2019

การเปลี่ยนแปลงพื้นที่คุณลักษณะทำการโจมตี ‘การโจมตีแบบก้าวร้าว’ โดยที่คุณลักษณะของภาพหนึ่งถูกดันเข้าสู่พื้นที่คุณลักษณะของภาพที่เป็นอันตราย ในกรณีนี้ การโจมตีทำให้ระบบการรู้จำของเครื่องจักรจำแนกภาพสุนัขเป็นเครื่องบิน Source: https://openaccess.thecvf.com

ต่อไป ภาพที่ไม่มีการเปลี่ยนแปลงจะถูกฝังลงในภาพที่บิดเบือนผ่านการผสมผสานบล็อกและการแปลงบล็อก ตามที่เสนอในเอกสาร ปี 2016 การซ่อนข้อมูลที่สามารถกู้คืนได้ในภาพที่เข้ารหัสโดยการแปลงภาพที่สามารถกู้คืนได้

ลำดับที่มีข้อมูลเกี่ยวกับการผสมผสานบล็อกจะถูกฝังลงในภาพชั่วคราวโดยใช้การเข้ารหัส AES โดยที่คีย์จะถูกดึงออกมาจาก DMCP ในเวลาที่ตรวจสอบความถูกต้อง ต่อไป จะใช้อัลกอริทึม Least Significant Bit เพื่อฝังคีย์ นักวิจัยเรียกกระบวนการนี้ว่าการแปลงภาพที่สามารถกู้คืนได้แบบดัดแปลง (mRIT)

กระบวนการ mRIT จะถูกย้อนกลับในเวลาที่ถอดรหัส โดยที่ภาพ “สะอาด” จะถูกกู้คืนสำหรับการใช้งานในการฝึกอบรม

การทดสอบ

นักวิจัยได้ทดสอบระบบบนโครงสร้าง ResNet-18 โดยใช้ชุดข้อมูลสองชุด: งาน CIFAR-10 ในปี 2009 ซึ่งมีภาพ 6,000 ภาพใน 10 คลาส และ TinyImageNet ของ Stanford ซึ่งเป็นชุดย่อยของข้อมูลสำหรับการแข่งขันการจำแนกประเภท ImageNet ซึ่งมีชุดข้อมูลฝึกอบรม 100,000 ภาพ พร้อมด้วยชุดข้อมูลการตรวจสอบ 10,000 ภาพและชุดข้อมูลทดสอบ 10,000 ภาพ

แบบจำลอง ResNet ถูกฝึกอบรมจากศูนย์บนสามการกำหนดค่า: ชุดข้อมูลที่ไม่มีการป้องกัน, ป้องกัน และถอดรหัส ทั้งสองชุดข้อมูลใช้ Adam optimizer โดยมีอัตราการเรียนรู้เริ่มต้น 0.01, ขนาดแบตช์ 128 และช่วงการฝึกอบรม 80

ผลลัพธ์ความแม่นยำในการฝึกอบรมและการทดสอบจากการทดสอบระบบการเข้ารหัส

แม้ว่าเอกสารจะสรุปว่า ‘ผลการทำงานของแบบจำลองบนชุดข้อมูลที่กู้คืนไม่ได้รับผลกระทบ’ แต่ผลลัพธ์แสดงให้เห็นว่ามีการสูญเสียเล็กน้อยในความแม่นยำสำหรับข้อมูลที่กู้คืนเมื่อเทียบกับข้อมูลดั้งเดิม จาก 86.21% ถึง 85.86% สำหรับ CIFAR-10 และ 74.00% ถึง 73.20% สำหรับ TinyImageNet

อย่างไรก็ตาม เมื่อพิจารณาว่าการเปลี่ยนแปลงเล็กๆ น้อยๆ (เช่น และฮาร์ดแวร์ GPU) สามารถส่งผลต่อประสิทธิภาพการฝึกอบรมได้ สิ่งนี้ดูเหมือนจะเป็นการแลกเปลี่ยนที่น้อยและเป็นผลตามที่คาดไว้สำหรับการคุ้มครองทรัพย์สินทางปัญญาต่อความแม่นยำ

ภูมิทัศน์การคุ้มครองแบบจำลอง

งานวิจัยก่อนหน้านี้มุ่งเน้นไปที่การคุ้มครองแบบจำลองการเรียนรู้ของเครื่องจริง โดยสมมติว่าข้อมูลฝึกอบรมเองเป็นสิ่งที่ยากต่อการคุ้มครอง: ความพยายามในการวิจัยในปี 2018 จากประเทศญี่ปุ่นได้เสนอวิธีการ ฝังเครื่องหมายน้ำ ในแบบจำลองเครือข่ายประสาทเทียม

การเริ่มต้นในปี 2018 ของ IBM อาจเป็นการตรวจสอบที่ลึกที่สุดและเป็นมิตรที่สุดเกี่ยวกับศักยภาพของเครื่องหมายน้ำสำหรับแบบจำลองเครือข่ายประสาทเทียม วิธีการนี้แตกต่างจากงานวิจัยใหม่ในแง่ที่พยายามฝังเครื่องหมายน้ำที่ไม่สามารถย้อนกลับได้ในข้อมูลฝึกอบรม และใช้ฟิลเตอร์ภายในแบบจำลองเครือข่ายประสาทเทียมเพื่อ ‘ลด’ การเปลี่ยนแปลงในข้อมูล

แผนของ IBM สำหรับเครือข่ายประสาทเทียมที่ ‘เพิกเฉย’ ต่อเครื่องหมายน้ำขึ้นอยู่กับการคุ้มครองส่วนของสถาปัตยกรรมที่ออกแบบมาเพื่อรับรู้และทิ้งภาพที่มีเครื่องหมายน้ำ Source: https://gzs715.github.io/pubs/WATERMARK_ASIACCS18.pdf

เวกเตอร์การละเมิดลิขสิทธิ์

แม้ว่าการตามล่าหาฐานการเข้ารหัสชุดข้อมูลเพื่อคุ้มครองทรัพย์สินทางปัญญาอาจดูเหมือนเป็นกรณีชายขอบในบริบทของวัฒนธรรมการเรียนรู้ของเครื่องจักรที่ยังคงพึ่งพาการทบทวนแบบเปิดและแบ่งปันข้อมูลระหว่างชุมชนการวิจัยทั่วโลก ความสนใจอย่างต่อเนื่องในอัลกอริทึมการคุ้มครองตัวตนแบบคงความเป็นส่วนตัวอาจผลิตระบบที่อาจมีความสนใจสำหรับบริษัทที่ต้องการคุ้มครองข้อมูลเฉพาะมากกว่าข้อมูลส่วนบุคคล

งานวิจัยใหม่นี้ไม่ได้เพิ่มการเปลี่ยนแปลงแบบสุ่มลงในข้อมูลภาพ แต่เปลี่ยนแปลงที่ถูกต้องและบังคับในพื้นที่คุณลักษณะ ดังนั้นโครงการการลบเครื่องหมายน้ำและการปรับปรุงภาพคอมพิวเตอร์วิชันที่มีอยู่อาจ “กู้คืน” ภาพเหล่านี้ให้มีคุณภาพที่สูงขึ้นโดยไม่ต้องลบการเปลี่ยนแปลงคุณลักษณะที่ทำให้เกิดการจำแนกประเภทผิดพลาด

ในหลายแอปพลิเคชันของคอมพิวเตอร์วิชัน โดยเฉพาะอย่างยิ่งการระบุและรู้จำสิ่งเหล่านี้ ภาพที่ถูกกู้คืนอย่างไม่合法ดังกล่าวอาจยังคงทำให้เกิดการจำแนกประเภทผิดพลาด อย่างไรก็ตาม ในกรณีที่การเปลี่ยนแปลงภาพเป็นวัตถุประสงค์หลัก (เช่น การสร้างภาพใบหน้าหรือแอปพลิเคชัน deepfake) ภาพที่ถูกกู้คืนโดยอัลกอริทึมอาจยังคงมีประโยชน์ในการพัฒนาอัลกอริทึมที่ใช้งานได้