Generatory fałszywych twarzy AI można przewinąć, aby ujawnić prawdziwe twarze, na których trenowali

Pani Tech | Pexels, thispersondoesnotexist.com

Załaduj stronę internetową Ta osoba nie istnieje i pokaże ci ludzką twarz, niemal idealną w swoim realizmie, ale całkowicie fałszywą. Odśwież, a sieć neuronowa za witryną wygeneruje kolejne i kolejne. Niekończąca się sekwencja twarzy stworzonych przez sztuczną inteligencję jest tworzona przez generatywną sieć przeciwników (GAN) — rodzaj sztucznej inteligencji, która uczy się tworzyć realistyczne, ale fałszywe przykłady danych, na których jest szkolona.

Ale takie wygenerowane twarze — które zaczynają być… używane w filmach i reklamach CGI — może nie być tak wyjątkowy, jak się wydaje. W artykule pt Ta osoba (prawdopodobnie) istnieje , naukowcy pokazują, że wiele twarzy generowanych przez GAN jest uderzająco podobnych do rzeczywistych ludzi, którzy pojawiają się w danych treningowych. Fałszywe twarze mogą skutecznie zdemaskować prawdziwe twarze, na których szkolono GAN, umożliwiając ujawnienie tożsamości tych osób. Praca jest najnowszą z serii badań, które podważają popularną tezę, że sieci neuronowe są czarnymi skrzynkami, które nie ujawniają nic o tym, co dzieje się w ich wnętrzu.

Powiązana historia

Ludzie wynajmują swoje twarze, aby stać się marketingowymi klonami w stylu deepfake

Oparte na sztucznej inteligencji postacie oparte na prawdziwych ludziach mogą występować w tysiącach filmów i mówić cokolwiek w dowolnym języku.

Aby ujawnić ukryte dane treningowe, Ryan Webster i jego koledzy z Uniwersytetu w Caen Normandy we Francji zastosowali rodzaj ataku zwanego atakiem na członkostwo, którego można użyć do sprawdzenia, czy określone dane zostały użyte do trenowania modelu sieci neuronowej. Ataki te zazwyczaj wykorzystują subtelne różnice między sposobem, w jaki model traktuje dane, na których był szkolony — i w ten sposób widział już tysiące razy — a danymi niewidocznymi.

Na przykład model może dokładnie zidentyfikować wcześniej niewidoczny obraz, ale z nieco mniejszą pewnością niż ten, na którym był szkolony. Po drugie, atakujący model może nauczyć się rozpoznawać takie komunikaty w zachowaniu pierwszego modelu i wykorzystywać je do przewidywania, kiedy określone dane, takie jak zdjęcie, znajdują się w zestawie uczącym, czy nie.

Takie ataki mogą prowadzić do poważnych wycieków bezpieczeństwa. Na przykład stwierdzenie, że czyjeś dane medyczne zostały wykorzystane do wytrenowania modelu związanego z chorobą, może ujawnić, że ta osoba ma tę chorobę.

Zespół Webstera rozszerzył ten pomysł, aby zamiast identyfikować dokładne zdjęcia używane do trenowania GAN, zidentyfikowali zdjęcia w zestawie treningowym GAN, które nie były identyczne, ale wydawały się przedstawiać tę samą osobę – innymi słowy, twarze o tej samej tożsamości. W tym celu naukowcy najpierw wygenerowali twarze za pomocą GAN, a następnie wykorzystali osobną sztuczną inteligencję do rozpoznawania twarzy, aby wykryć, czy tożsamość tych wygenerowanych twarzy odpowiada tożsamości którejkolwiek twarzy widocznej w danych treningowych.

Wyniki są uderzające. W wielu przypadkach zespół znalazł w danych treningowych wiele zdjęć prawdziwych osób, które wydawały się pasować do fałszywych twarzy generowanych przez GAN, ujawniając tożsamość osób, na których szkolono sztuczną inteligencję.

Kolumna po lewej stronie w każdym bloku pokazuje ściany wygenerowane przez GAN. Po tych fałszywych twarzach znajdują się trzy zdjęcia prawdziwych osób zidentyfikowanych w danych treningowych

UNIWERSYTET W CAEN W NORMANDII

Praca budzi poważne obawy dotyczące prywatności. Społeczność AI ma mylące poczucie bezpieczeństwa, gdy udostępnia wyszkolone modele głębokich sieci neuronowych, mówi Jan Kautz, wiceprezes ds. badań uczenia się i percepcji w Nvidii.

Teoretycznie ten rodzaj ataku może dotyczyć innych danych związanych z osobą, takich jak dane biometryczne lub medyczne. Z drugiej strony Webster wskazuje, że ludzie mogą również wykorzystać tę technikę do sprawdzenia, czy ich dane zostały wykorzystane do trenowania sztucznej inteligencji bez ich zgody.

Artyści mogli dowiedzieć się, czy ich prace zostały wykorzystane do wytrenowania GAN w narzędziu komercyjnym, mówi: Można użyć metody takiej jak nasza, aby udowodnić naruszenie praw autorskich.

Proces ten może być również wykorzystany do upewnienia się, że GAN nie ujawniają w pierwszej kolejności prywatnych danych. GAN mógł sprawdzić, czy jego kreacje przypominają rzeczywiste przykłady w danych treningowych, wykorzystując tę ​​samą technikę opracowaną przez naukowców, zanim je udostępni.

Powiązana historia

W tym roku deepfake weszły do ​​głównego nurtu W 2020 roku media syntetyczne ze sztuczną inteligencją zaczęły odchodzić od ciemniejszych zakamarków Internetu.

Zakłada to jednak, że można uzyskać dane treningowe, mówi Kautz. On i jego koledzy z Nvidii wymyślili inny sposób ujawniania prywatnych danych, w tym obrazów twarzy i innych obiektów, danych medycznych i innych, który w ogóle nie wymaga dostępu do danych treningowych.

Zamiast tego opracowali algorytm, który może odtworzyć dane, na które wyszkolony model został narażony przez: odwracanie kroków, przez które przechodzi model podczas przetwarzania tych danych. Weź wytrenowaną sieć rozpoznawania obrazów: aby zidentyfikować zawartość obrazu, sieć przepuszcza to przez szereg warstw sztucznych neuronów. Każda warstwa wyodrębnia różne poziomy informacji, od krawędzi, przez kształty, po bardziej rozpoznawalne cechy.

Zespół Kautza odkrył, że mogą przerwać model w trakcie tych kroków i odwrócić jego kierunek, odtwarzając obraz wejściowy z wewnętrznych danych modelu. Przetestowali tę technikę na różnych typowych modelach rozpoznawania obrazów i sieciach GAN. W jednym teście wykazali, że potrafią dokładnie odtworzyć obrazy z ImageNet, jednego z najbardziej znanych zestawów danych rozpoznawania obrazów.

Obrazy z ImageNet (na górze) wraz z odtworzeniem tych obrazów przez przewinięcie modelu wyszkolonego w ImageNet (na dole)

NVIDIA

Podobnie jak w pracy Webstera, odtworzone obrazy bardzo przypominają te prawdziwe. Byliśmy zaskoczeni ostateczną jakością, mówi Kautz.

Naukowcy twierdzą, że ten rodzaj ataku nie jest po prostu hipotetyczny. Smartfony i inne małe urządzenia zaczynają coraz częściej wykorzystywać sztuczną inteligencję. Ze względu na ograniczenia dotyczące baterii i pamięci modele są czasami przetwarzane tylko w połowie na samym urządzeniu i wysyłane do chmury w celu ostatecznego załamania obliczeniowego, czyli podejścia znanego jako przetwarzanie dzielone. Większość badaczy zakłada, że ​​​​split computing nie ujawni żadnych prywatnych danych z telefonu danej osoby, ponieważ udostępniany jest tylko model, mówi Kautz. Ale jego atak pokazuje, że tak nie jest.

Kautz i jego koledzy pracują obecnie nad sposobami zapobiegania wyciekom prywatnych danych z modeli. „Chcieliśmy zrozumieć ryzyko, aby zminimalizować podatności” – mówi.

Mimo że używają bardzo różnych technik, uważa, że ​​jego praca i praca Webstera dobrze się uzupełniają. Zespół Webstera wykazał, że w danych wyjściowych modelu można znaleźć prywatne dane; Zespół Kautza wykazał, że prywatne dane można ujawnić, wykonując czynności odwrotne, ponownie tworząc dane wejściowe. Zbadanie obu kierunków jest ważne, aby lepiej zrozumieć, jak zapobiegać atakom, mówi Kautz.

ukryć