Форензичний метод даних для нового покоління глибоких підробок

Хоча глибокі підробки приватних осіб стали зростаючою громадською проблемою і все частіше забороняються в різних регіонах, фактичне доведення того, що користувач створив модель, таку як модель для помсти, яка була спеціально навчена на зображеннях певної особи, залишається дуже складним завданням.

Щоб поставити проблему в контекст: ключовим елементом атаки глибоких підробок є фальшиве стверджування, що зображення або відео зображує певну особу. Просте стверджування, що хтось у відео є ідентифікатором #А, а не просто двійником, достатньо, щоб створити шкоду, і жоден ІІ не потрібен у цьому сценарії.

Однак, якщо нападник генерує зображення або відео ІІ, використовуючи моделі, навчені на даних реальної особи, системи розпізнавання облич соціальних мереж і пошукових систем автоматично пов’язують підроблені контент з жертвою – без потреби імен у публікаціях або метаданих. Самі ІІ зображення забезпечують асоціацію.

Чим більш виразна особа, тим більш неминучим це стає, поки підроблені контент не з’являються в результатах пошуку зображень і в кінцевому підсумку досягають жертви.

Від обличчя до обличчя

Найпоширеніший засіб розповсюдження моделей, орієнтованих на ідентифікацію, зараз здійснюється через Низькорангова адаптація (LoRA), у якій користувач тренує невелику кількість зображень протягом декількох годин проти вагомості великої базової моделі, chẳng hạn як Stable Diffusion (для статичних зображень, в основному) або Hunyuan Video, для відео-підробок.

Найпоширеніші цілі LoRAs, включаючи нове покоління відео-орієнтованих LoRAs, є жінки-знаменитості, чию славу піддають такому поводженню з меншою громадською критикою, ніж у випадку з “невідомими” жертвами, через припущення, що такі похідні роботи покриваються під “справедливе використання” (ат least у США та Європі).

Жінки-знаменитості домінують у списках LoRA і Dreambooth на порталі civit.ai. Найпопулярніший такий LoRA зараз має понад 66 000 завантажень, що є суттєвим, враховуючи, що таке використання ІІ залишається “франжевим” заняттям.

Не існує публічної платформи для не-знаменитих жертв глибоких підробок, які з’являються у ЗМІ лише тоді, коли виникають справи про переслідування, або жертви висловлюються у популярних виданнях.

Однак, у обох сценаріях моделі, використані для підробки цілей ідентифікації, мають “дистильовані” свої дані тренування так повністю у латентному просторі моделі, що важко ідентифікувати джерельні зображення, які були використані.

Якщо було можливо зробити це в межах прийнятної похибки, це дозволило б переслідувати тих, хто поширює LoRAs, оскільки це не тільки доводить намір підробити певну ідентифікацію (тобто, ідентифікацію певної “невідомої” особи, навіть якщо malefactor ніколи не називає їх під час процесу наклепу), але також піддає上传ера звинуваченням у порушенні авторських прав, де це застосовується.

Останнє було б корисним у юрисдикціях, де правове регулювання технологій глибоких підробок відсутнє або відстає.

Перевищені

Мета тренування базової моделі, chẳng hạn як багатогігабайтної базової моделі, яку користувач може завантажити з Hugging Face, полягає в тому, щоб модель стала добре-загальною і гнучкою. Це включає тренування на достатній кількості різноманітних зображень і з відповідними налаштуваннями, і закінчення тренування до того, як модель “перетренується” до даних.

Перетренована модель бачила дані так багато разів під час процесу тренування, що вона буде схильна відтворювати зображення, які дуже схожі, тим самим викриваючи джерело тренувальних даних.

Ідентифікатор ‘Ann Graham Lotz’ можна майже ідеально відтворити у моделі Stable Diffusion V1.5. Відтворення майже ідентичне тренувальним даним (зліва на зображенні вище). Джерело: https://arxiv.org/pdf/2301.13188

Однак, перетреновані моделі зазвичай відкидаються їхніми творцями, а не розподіляються, оскільки вони в будь-якому випадку непридатні для використання. Тому це малоймовірний форензичний “вітряний падіння”. У будь-якому випадку, принцип застосовується більше до дорогого і об’ємного тренування базових моделей, де багатьох версій одного й того ж зображення, які потрапили до великої джерельної бази даних, можуть зробити певні тренувальні зображення легко викликати (див. зображення та приклад вище).

Все трохи інакше у випадку моделей LoRA і Dreambooth (хоча Dreambooth вийшов з моди через великі розміри файлів). Тут користувач вибирає дуже обмежену кількість різноманітних зображень суб’єкта і використовує їх для тренування LoRA.

Зліва, вихід з Hunyuan Video LoRA. Праворуч, дані, які зробили подібність можливою (зображення використані з дозволу особи, зображеної).

Часто LoRA має навчений у себе тригер-слово, chẳng hạn як [nameofcelebrity]. Однак дуже часто спеціально тренований суб’єкт з’являється у згенерованому виході навіть без таких підказок, оскільки навіть добре збалансована (тобто, не перетренована) LoRA є дещо “фіксованою” на матеріалі, на якому вона була тренована, і буде схильна включати його у свій вихід.

Ця схильність, у поєднанні з обмеженою кількістю зображень, які є оптимальними для набору даних LoRA, піддають модель форензичному аналізу, як ми побачимо.

Розкриття даних

Ці питання розглядаються у новій роботі з Данії, яка пропонує методологію для ідентифікації джерельних зображень (або груп джерельних зображень) у чорній скриньці Мембершип Інференс Атак (MIA). Техніка, принаймні частково, включає використання спеціально тренованих моделей, призначених для допомоги у викритті джерельних даних шляхом генерації власних “глибоких підробок”:

Приклади ‘фальшивих’ зображень, згенерованих новим підходом, на дедалі більших рівнях Класифікатор-Фрі Гайденс (CFG), аж до точки знищення. Джерело: https://arxiv.org/pdf/2502.11619

Хоча робота, озаглавлена Мембершип Інференс Атаки для Обличьових Зображень Проти Файн-Тюнованих Латентних Дифузійних Моделей, є найбільш цікавим внеском у літературу навколо цієї конкретної теми, це також недоступна і лаконічна робота, яка потребує суттєвого розшифрування. Тому ми розглянемо принаймні основні принципи цієї роботи тут, а також вибір результатів, отриманих.

У разі, якщо хтось файн-тюнує ІІ-модель на вашому обличчі, метод авторів може допомогти довести це, шукаючи ознаки меморизації у згенерованих зображеннях моделі.

У першому випадку цільова ІІ-модель файн-тюнується на наборі обличь, роблячи її більш схильною до відтворення деталей з цих зображень у своїх виходах. Потім режим атаки тренується за допомогою ІІ-зображень, згенерованих цільовою моделлю, як “позитивних” прикладів (підозрюваних членів тренувального набору) і інших зображень з іншого набору даних як “негативних” прикладів (не членів).

Дізнавшись тонкі відмінності між цими групами, модель атаки може передбачити, чи було певне зображення частиною оригінального набору файн-тюнування.

Атака є найбільш ефективною у випадках, коли ІІ-модель була файн-тюнована суттєво, тобто чим більше модель спеціалізується, тим легше виявити, чи були певні зображення використані.

Автори також виявили, що додавання видимих водяних знаків до тренувальних зображень полегшує виявлення ще більше – хоча приховані водяні знаки не допомагають так сильно.

Вражаюче, що підхід тестується у чорній скриньці, тобто він працює без доступу до внутрішніх деталей моделі, лише її виходів.

Метод, який був розроблений, є обчислювально інтенсивним, як зазначили автори; однак цінність цієї роботи полягає у вказівці напрямку для подальших досліджень, а також у доведенні того, що дані можуть бути реально витягнуті до прийнятної толерантності; тому, враховуючи її семінальний характер, їй не потрібно працювати на смартфоні на цій стадії.

Метод/Дані

Було використано кілька наборів даних з Технічного університету Данії (DTU, господарського університету для трьох дослідників), для файн-тюнування цільової моделі та для тренування і тестування режиму атаки.

Використані набори даних походять з DTU Orbit:

DseenDTU Базовий набір зображень.

DDTU Зображення, витягнуті з DTU Orbit.

DseenDTU Розподіл DDTU, використаний для файн-тюнування цільової моделі.

DunseenDTU Розподіл DDTU, який не був використаний для файн-тюнування жодної моделі генерації зображень, а був використаний для тестування або тренування моделі атаки.

wmDseenDTU Розподіл DDTU з видимими водяними знаками, використаний для файн-тюнування цільової моделі.

hwmDseenDTU Розподіл DDTU з прихованими водяними знаками, використаний для файн-тюнування цільової моделі.

DgenDTU Зображення, згенеровані Латентною Дифузійною Моделлю (LDM), яка була файн-тюнована на наборі зображень DseenDTU.

Набори даних, використані для файн-тюнування цільової моделі, складаються з пар зображень і тексту, підписаних моделлю BLIP (можливо, не випадково одна з найбільш популярних нецензурованих моделей у неформальному ІІ-сообществі).

BLIP була встановлена для додавання фрази ‘a dtu headshot of a’ до кожного опису.

Крім того, було використано кілька наборів даних з Університету Ольборга (AAU), усі походять з AU VBN корпусу:

DAAU Зображення, витягнуті з AAU vbn.

DseenAAU Розподіл DAAU, використаний для файн-тюнування цільової моделі.

DunseenAAU Розподіл DAAU, який не був використаний для файн-тюнування жодної моделі генерації зображень, а був використаний для тестування або тренування моделі атаки.

DgenAAU Зображення, згенеровані LDM, файн-тюнованою на наборі зображень DseenAAU.

Еквівалентно попереднім наборам, фраза ‘a aau headshot of a’ була використана. Це забезпечило, що всі мітки у наборі даних DTU слідували формату ‘a dtu headshot of a (…)’, підкріплюючи основні характеристики набору даних під час файн-тюнування.

Тести

Було проведено кілька експериментів для оцінки того, як добре працюють мембершип інференс атаки проти цільової моделі. Кожен тест мав на меті визначити, чи можна провести успішну атаку в рамках схеми, показаної нижче, де цільова модель файн-тюнується на наборі зображень, отриманих без дозволу.

Схема підходу.

З цільовою моделлю, запитується генерація виходів, ці виходи потім використовуються як позитивні приклади для тренування моделі атаки, тоді як додаткові не пов’язані зображення включаються як негативні приклади.

Модель атаки тренується за допомогою супервізованого навчання і потім тестується на нових зображеннях для визначення того, чи були вони частиною оригінального набору файн-тюнування цільової моделі. Для оцінки точності атаки 15% тестових даних відкладається для валідації.

Оскільки цільова модель файн-тюнується на відомому наборі даних, фактичний статус членства кожного зображення вже встановлений під час створення тренувальних даних для моделі атаки. Це контрольована установка дозволяє чітко оцінити, наскільки ефективно модель атаки може розрізняти зображення, які були частиною набору файн-тюнування, і ті, які не були.

Для цих тестів було використано Stable Diffusion V1.5. Хоча ця досить стара модель часто з’являється у дослідженнях через необхідність послідовних тестів і великого корпусу попередньої роботи, яка використовує її, це є підходящим випадком; V1.5 залишалася популярною для створення LoRA у спільноті хобі Stable Diffusion протягом тривалого часу, незважаючи на кілька наступних випусків версій, і навіть незважаючи на появу Flux – оскільки модель повністю нецензурована.

Модель атаки дослідників була заснована на Resnet-18, з збереженням попередньо тренованих ваг. 1000-нейронний останній шар ResNet-18 був замінений на повністю зв’язаний шар з двома нейронами. Тренувальна втрата була категоріальною крос-ентропією, і був використаний оптимізатор Adam.

Для кожного тесту модель атаки тренувалася п’ять разів за допомогою різних случайних насіння для обчислення 95% інтервалів довіри для ключових метрик. Zero-shot класифікація з моделлю CLIP була використана як базовий рівень.

(Примітка: оригінальна основна таблиця результатів у роботі лаконічна і незвичайно важка для розуміння. Тому я переклав її нижче у більш зручному форматі. Будь ласка, натисніть на зображення, щоб побачити його у вищій роздільності)

Підсумок результатів усіх тестів. Натисніть на зображення, щоб побачити його у вищій роздільності

Метод атаки дослідників виявився найбільш ефективним при націленні на файн-тюновані моделі, особливо тих, які були треновані на певному наборі зображень, таких як обличчя окремої особи. Однак, хоча атака може визначити, чи був використаний набір даних, вона має труднощі з ідентифікацією окремих зображень всередині цього набору.

У практичному сенсі останнє не є суттєвою перешкодою для використання такого підходу форензично; хоча є відносно мало цінності у встановленні того, що відомий набір даних, chẳng hạn як ImageNet, був використаний у моделі, нападник на приватну особу (не знаменитість) буде мати значно менше вибору джерельних даних, і буде змушений повністю використати доступні групи даних, chẳng hạn як альбоми у соціальних мережах та інші онлайн-колекції. Це ефективно створює “хеш”, який може бути виявлений методами, описаними вище.

У роботі зазначається, що ще одним способом поліпшення точності є використання ІІ-зображень як “не-членів”, а не лише справжніх зображень. Це запобігає штучно високим показникам успіху, які інакше могли б вводити у оману результати.

Іншим фактором, який суттєво впливає на виявлення, зазначають автори, є водяні знаки. Коли тренувальні зображення містять видимі водяні знаки, атака стає дуже ефективною, тоді як приховані водяні знаки пропонують мало чи жодної переваги.

Праворуч показано фактичний “прихований” водяний знак, використаний у тестах.

Нарешті, рівень керування у генерації тексту-ізображення також відіграє роль, з ідеальним балансом, знайденим на рівні керування близько 8. Навіть коли немає прямої підказки, файн-тюнована модель все одно схильна генерувати виходи, які нагадують її тренувальні дані, підкріплюючи ефективність атаки.

Висновок

Це прикро, що ця цікава робота була написана у такій недоступній формі, оскільки вона мала б бути цікавою для захисників приватності і неформальних дослідників ІІ.

Хоча мембершип інференс атаки можуть виявитися цікавим і плідним форензичним інструментом, можливо, більш важливо, щоб цей напрямок досліджень розвивав застосовні широкі принципи, щоб не закінчитися у такій же грі у “колючу голову” як і раніше відбулося для виявлення глибоких підробок у загальному, коли випуск новішої моделі негативно впливає на виявлення і подібні форензичні системи.

Оскільки є деякі свідчення вищого рівня керуючого принципу, очищеного у цьому новому дослідженні, ми можемо сподіватися побачити більше роботи в цьому напрямку.

Перша публікація у п’ятницю, 21 лютого 2025