Jak powstrzymać sztuczną inteligencję przed rozpoznawaniem twojej twarzy na selfie?

Pani Tech | Unsplash

Umieszczanie osobistych zdjęć w Internecie może wydawać się odpuszczaniem. Kto jeszcze będzie miał do nich dostęp, co z nimi zrobi — i które algorytmy uczenia maszynowego pomogą wyszkolić?

Firma Clearview ma już dostarczył amerykańskim organom ścigania za pomocą narzędzia do rozpoznawania twarzy wyszkolonego na zdjęciach milionów ludzi wydrapanych z publicznej sieci. Ale to był prawdopodobnie dopiero początek. Każdy, kto ma podstawowe umiejętności kodowania, może teraz tworzyć oprogramowanie do rozpoznawania twarzy , co oznacza, że ​​istnieje większy niż kiedykolwiek potencjał nadużywania technologii we wszystkim, od molestowania seksualnego i dyskryminacji rasowej po ucisk polityczny i prześladowania religijne.

Powiązana historia

W ten sposób straciliśmy kontrolę nad naszymi twarzami

Największe w historii badanie danych dotyczących rozpoznawania twarzy pokazuje, jak bardzo rozwój głębokiego uczenia się spowodował utratę prywatności.

Wielu badaczy sztucznej inteligencji odsuwa się i opracowuje sposoby, aby upewnić się, że sztuczna inteligencja nie może uczyć się na podstawie danych osobowych. Dwa z najnowszych są prezentowane w tym tygodniu na ICLR, wiodącej konferencji AI.

Nie lubię, gdy ludzie zabierają mi rzeczy, których nie powinni mieć, mówi Emily Wenger z University of Chicago, która opracowała jedno z pierwszych narzędzi do tego , zawołał Fawkes, z kolegami zeszłego lata: Myślę, że wielu z nas wpadło na podobny pomysł w tym samym czasie.

Zatrucie danych nie jest nowy. Działania takie jak usuwanie danych, które mają o Tobie firmy, lub rozważanie zanieczyszczających zestawów danych fałszywymi przykładami, mogą utrudnić firmom trenowanie dokładnych modeli uczenia maszynowego. Ale te wysiłki zazwyczaj wymagają wspólnego działania, w którym biorą udział setki lub tysiące osób, aby wywrzeć wpływ. Różnica w tych nowych technikach polega na tym, że działają na zdjęciach jednej osoby.

Ta technologia może służyć jako klucz do blokowania danych przez osobę, mówi Sarah Erfani z University of Melbourne w Australii. To nowa pierwsza linia obrony w ochronie praw cyfrowych ludzi w erze sztucznej inteligencji.

Ukrywanie się na widoku

Większość narzędzi, w tym Fawkes, przyjmuje to samo podstawowe podejście. Dokonują drobnych zmian w obrazie, które są trudne do zauważenia ludzkim okiem, ale odrzucają sztuczną inteligencję, powodując błędną identyfikację tego, kto lub co widzi na zdjęciu. Ta technika jest bardzo zbliżona do rodzaju ataku kontradyktoryjnego, w którym niewielkie zmiany danych wejściowych mogą zmusić modele uczenia głębokiego do popełniania dużych błędów.

Daj Fawkesowi kilka autoportretów, a doda do obrazów perturbacje na poziomie pikseli, które uniemożliwią najnowocześniejszym systemom rozpoznawania twarzy identyfikację osób na zdjęciach. W przeciwieństwie do poprzednich sposobów, takich jak noszenie farby do twarzy, która fałszuje sztuczną inteligencję, pozostawia obrazy pozornie niezmienione dla ludzi.

Wenger i jej koledzy przetestowali swoje narzędzie z kilkoma powszechnie używanymi komercyjnymi systemami rozpoznawania twarzy, w tym AWS Rekognition firmy Amazon, Microsoft Azure i Face++, opracowanymi przez chińską firmę Megvii Technology. W małym eksperymencie z zestawem danych składającym się z 50 obrazów, Fawkes był w 100% skuteczny przeciwko wszystkim z nich, uniemożliwiając modelom wyszkolonym na zmodyfikowanych obrazach ludzi późniejsze rozpoznanie obrazów tych osób na świeżych obrazach. Sfałszowane obrazy treningowe uniemożliwiły narzędziom dokładne odwzorowanie twarzy tych ludzi.

Powiązana historia

Nowojorscy policjanci użyli kontrowersyjnego narzędzia do rozpoznawania twarzy. Oto, co musisz wiedzieć.

Nowo wydane e-maile pokazują, że nowojorska policja szeroko korzysta z kontrowersyjnego systemu rozpoznawania twarzy Clearview AI – i wydaje mylące oświadczenia na jego temat.

Fawkes został już pobrany prawie pół miliona razy z serwisu strona projektu . Jeden użytkownik zbudował również wersja online , co jeszcze bardziej ułatwia korzystanie z niego (chociaż Wenger nie ręczy za używanie kodu przez osoby trzecie, ostrzeżenie: Nie wiesz, co dzieje się z Twoimi danymi, gdy ta osoba je przetwarza). Nie ma jeszcze aplikacji na telefon, ale nic nie stoi na przeszkodzie, by ktoś ją stworzył, mówi Wenger.

Fawkes może uniemożliwić rozpoznanie Cię przez nowy system rozpoznawania twarzy — powiedzmy, że kolejny Clearview. Ale nie sabotuje istniejących systemów, które zostały już przeszkolone na twoich niezabezpieczonych obrazach. Jednak technologia cały czas się poprawia. Wenger uważa, że ​​narzędzie opracowane przez Valerię Cherepanovą i jej współpracowników z University of Maryland, jednego z zespołów ICLR w tym tygodniu, może rozwiązać ten problem.

Nazywa LowKey , narzędzie rozszerza się na Fawkesa, stosując perturbacje do obrazów w oparciu o silniejszy rodzaj ataku kontradyktoryjnego, który również oszukuje wstępnie wytrenowane modele komercyjne. Jak Fawkes, LowKey jest również dostępny online .

Erfani i jej koledzy dodali jeszcze większy zwrot. Wraz z Danielem Ma z Uniwersytetu Deakin oraz badaczami z Uniwersytetu w Melbourne i Uniwersytetu Pekińskiego w Pekinie, Erfani opracował sposób na przekształcenie obrazów w „ przykłady nie do nauczenia ”, które skutecznie sprawiają, że sztuczna inteligencja całkowicie ignoruje Twoje selfie. Myślę, że to świetnie, mówi Wenger. Fawkes szkoli model, aby dowiedzieć się czegoś o tobie nie tak, a to narzędzie szkoli model, aby niczego się o tobie nie dowiedział.

Obrazy przedstawiające mnie wydrapane z sieci (na górze) zamieniają się w przykłady nie do nauczenia (na dole), które system rozpoznawania twarzy zignoruje. (podziękowania dla Sarah Erfani, Daniela Ma i współpracowników)

W przeciwieństwie do Fawkesa i jego zwolenników, przykłady, których nie można się nauczyć, nie opierają się na atakach adwersarza. Zamiast wprowadzać zmiany w obrazie, które zmuszają sztuczną inteligencję do popełnienia błędu, zespół Ma dodaje drobne zmiany, które skłaniają sztuczną inteligencję do zignorowania go podczas treningu. Gdy obraz zostanie później przedstawiony, jego ocena tego, co na nim jest, nie będzie lepsza niż przypadkowe zgadywanie.

Przykłady, których nie można nauczyć się, mogą okazać się bardziej skuteczne niż ataki przeciwnika, ponieważ nie można ich wyszkolić. Im więcej wrogich przykładów widzi sztuczna inteligencja, tym lepiej je rozpoznaje. Ale ponieważ Erfani i jej koledzy w pierwszej kolejności powstrzymują sztuczną inteligencję przed trenowaniem na obrazach, twierdzą, że nie stanie się to z przykładami, których nie można się nauczyć.

Wenger jest jednak zrezygnowany z toczącej się bitwy. Jej zespół zauważył niedawno, że usługa rozpoznawania twarzy Microsoft Azure nie jest już fałszowana przez niektóre ich obrazy. Nagle w jakiś sposób stał się odporny na zamaskowane obrazy, które wygenerowaliśmy, mówi. Nie wiemy, co się stało.

Microsoft mógł zmienić swój algorytm lub sztuczna inteligencja mogła po prostu zobaczyć tak wiele obrazów od osób korzystających z Fawkesa, że ​​nauczyła się je rozpoznawać. Tak czy inaczej, zespół Wengera opublikował w zeszłym tygodniu aktualizację swojego narzędzia, która ponownie działa na platformie Azure. To kolejny wyścig zbrojeń w kotka i myszkę, mówi.

Dla Wengera jest to historia internetu. „Firmy takie jak Clearview wykorzystują to, co uważają za swobodnie dostępne dane i wykorzystują je do robienia wszystkiego, co chcą”, mówi.

Regulacje mogą pomóc na dłuższą metę, ale to nie powstrzyma firm przed wykorzystywaniem luk. Mówi, że zawsze będzie istniał rozdźwięk między tym, co jest prawnie dopuszczalne, a tym, czego ludzie faktycznie chcą. Narzędzia takie jak Fawkes wypełniają tę lukę.

Dajmy ludziom trochę mocy, której wcześniej nie mieli, mówi.

ukryć