AI viltotu seju ģeneratorus var attīt, lai atklātu īstās sejas, uz kurām tie trenējās

Ms Tech | Pexels, thispersondoesnotexist.com

Lejupielādējiet vietni Šī persona neeksistē un tas parādīs cilvēka seju, kas ir gandrīz perfekta savā reālismā, taču tā ir pilnīgi viltota. Atsvaidziniet, un aiz vietnes esošais neironu tīkls ģenerēs vēl vienu, vēl vienu un vēl vienu. Nebeidzamo AI izveidoto seju secību veido ģeneratīvais pretrunu tīkls (GAN) — AI veids, kas mācās izveidot reālistiskus, bet viltotus apmācīto datu piemērus.

Bet tādas ģenerētas sejas-kas sāk būt izmanto CGI filmās un reklāmās — var nebūt tik unikāls, kā šķiet. Rakstā ar nosaukumu Šī persona (iespējams) pastāv , pētnieki rāda, ka daudzām GAN radītajām sejām ir pārsteidzoša līdzība ar reāliem cilvēkiem, kuri parādās apmācības datos. Viltus sejas var efektīvi atmaskot īstās sejas, uz kurām GAN tika apmācīts, tādējādi ļaujot atklāt šo personu identitāti. Darbs ir jaunākais virknē pētījumu, kas liek apšaubīt populāro ideju, ka neironu tīkli ir melnās kastes, kas neko neatklāj par to, kas notiek iekšā.

Saistīts stāsts

Cilvēki iznomā savas sejas, lai kļūtu par deepfake stila mārketinga kloniem

Ar AI darbināmi varoņi, kuru pamatā ir reāli cilvēki, var uzņemties zvaigznes tūkstošiem videoklipu un pateikt jebko jebkurā valodā.

Lai atklātu slēptos apmācību datus, Raiens Vebsters un viņa kolēģi no Kēnas Normandijas universitātes Francijā izmantoja uzbrukuma veidu, ko sauc par dalības uzbrukumu, ko var izmantot, lai noskaidrotu, vai daži dati tika izmantoti neironu tīkla modeļa apmācīšanai. Šajos uzbrukumos parasti tiek izmantotas smalkas atšķirības starp veidu, kā modelis apstrādā datus, par kuriem tas tika apmācīts (un līdz ar to ir redzēts tūkstošiem reižu), un neredzamiem datiem.

Piemēram, modelis var precīzi identificēt iepriekš neredzētu attēlu, taču ar nedaudz mazāku pārliecību nekā tas, uz kuru tas tika apmācīts. Otrs, uzbrūkošais modelis var iemācīties pamanīt šādus paziņojumus pirmā modeļa uzvedībā un izmantot tos, lai paredzētu, kad noteikti dati, piemēram, fotoattēls, ir vai nav apmācības komplektā.

Šādi uzbrukumi var izraisīt nopietnas drošības noplūdes. Piemēram, uzzinot, ka kāda cilvēka medicīniskie dati tika izmantoti, lai apmācītu modeli, kas saistīts ar slimību, var atklāties, ka šai personai ir šī slimība.

Vebstera komanda paplašināja šo ideju tā, ka tā vietā, lai identificētu precīzas fotogrāfijas, kas izmantotas GAN apmācīšanai, viņi GAN apmācību komplektā identificēja fotoattēlus, kas nebija identiski, bet, šķiet, attēlo vienu un to pašu personu, citiem vārdiem sakot, sejas ar tādu pašu identitāti. Lai to izdarītu, pētnieki vispirms ģenerēja sejas ar GAN un pēc tam izmantoja atsevišķu sejas atpazīšanas AI, lai noteiktu, vai šo ģenerēto seju identitāte atbilst jebkuras apmācības datos redzamās sejas identitātei.

Rezultāti ir pārsteidzoši. Daudzos gadījumos komanda apmācību datos atrada vairākus reālu cilvēku fotoattēlus, kas, šķiet, atbilda GAN ģenerētajām viltotajām sejām, atklājot to personu identitāti, par kurām AI bija apmācīts.

Katra bloka kreisajā kolonnā ir redzamas GAN ģenerētas sejas. Šīm viltus sejām seko trīs treniņu datos identificētu reālu cilvēku fotogrāfijas

KĀNAS NORMANDIJAS UNIVERSITĀTE

Darbs rada dažas nopietnas bažas par privātumu. AI kopienai ir maldinoša drošības sajūta, kopīgojot apmācītus dziļo neironu tīklu modeļus, saka Jans Kautcs, Nvidia mācīšanās un uztveres pētījumu viceprezidents.

Teorētiski šāda veida uzbrukums varētu attiekties uz citiem datiem, kas saistīti ar personu, piemēram, biometriskiem vai medicīniskiem datiem. No otras puses, Webster norāda, ka cilvēki varētu arī izmantot šo paņēmienu, lai pārbaudītu, vai viņu dati ir izmantoti AI apmācīšanai bez viņu piekrišanas.

Mākslinieki varēja uzzināt, vai viņu darbs ir izmantots, lai apmācītu GAN komerciālā rīkā, viņš saka: jūs varētu izmantot tādu metodi kā mūsu, lai pierādītu autortiesību pārkāpumus.

Šo procesu var izmantot arī, lai pārliecinātos, ka GAN vispirms neatklāj privātus datus. Pirms to izlaišanas GAN varēja pārbaudīt, vai tā darbi atgādināja reālus piemērus apmācību datos, izmantojot to pašu pētnieku izstrādāto paņēmienu.

Saistīts stāsts

Gadā, kad dziļi viltojumi kļuva plaši izplatīti 2020. gadā mākslīgā intelekta sintētiskie mediji sāka attālināties no interneta tumšākajiem nostūriem.

Tomēr tas pieņem, ka jūs varat iegūt šos apmācības datus, saka Kautzs. Viņš un viņa kolēģi no Nvidia ir izstrādājuši atšķirīgu veidu, kā atklāt privātos datus, tostarp seju un citu objektu attēlus, medicīniskos datus un daudz ko citu, kam vispār nav nepieciešama piekļuve apmācības datiem.

Tā vietā viņi izstrādāja algoritmu, kas var atkārtoti izveidot datus, ar kuriem apmācīts modelis ir bijis pakļauts apvēršot modelī veiktās darbības apstrādājot šos datus. Izmantojiet apmācītu attēlu atpazīšanas tīklu: lai noteiktu attēla saturu, tīkls to izlaiž cauri mākslīgo neironu slāņiem. Katrs slānis iegūst dažādu līmeņu informāciju, sākot no malām līdz formām un beidzot ar atpazīstamākām iezīmēm.

Kautza komanda atklāja, ka šo darbību vidū viņi var pārtraukt modeļa darbību un mainīt tā virzienu, no modeļa iekšējiem datiem no jauna izveidojot ievades attēlu. Viņi pārbaudīja šo tehniku ​​dažādos izplatītos attēlu atpazīšanas modeļos un GAN. Vienā testā viņi parādīja, ka viņi var precīzi no jauna izveidot attēlus no ImageNet, kas ir viena no vislabāk zināmajām attēlu atpazīšanas datu kopām.

Attēli no ImageNet (augšpusē) kopā ar šo attēlu atjaunojumiem, kas izveidoti, pārtinot modeli, kas apmācīts programmā ImageNet (apakšā)

NVIDIA

Tāpat kā Vebstera darbā, no jauna izveidotie attēli ļoti atgādina patiesos. Mūs pārsteidza gala kvalitāte, saka Kautzs.

Pētnieki apgalvo, ka šāda veida uzbrukums nav tikai hipotētisks. Viedtālruņi un citas mazas ierīces sāk izmantot vairāk AI. Akumulatora un atmiņas ierobežojumu dēļ modeļi dažkārt tiek tikai daļēji apstrādāti pašā ierīcē un tiek nosūtīti uz mākoni, lai veiktu galīgo skaitļošanas problēmu. Šo pieeju sauc par dalīto skaitļošanu. Lielākā daļa pētnieku pieņem, ka dalītā skaitļošana neatklās nekādus privātus datus no personas tālruņa, jo tiek koplietots tikai modelis, saka Kautzs. Bet viņa uzbrukums parāda, ka tas tā nav.

Kautzs un viņa kolēģi šobrīd strādā, lai izstrādātu veidus, kā novērst modeļu privāto datu noplūdi. Viņš saka, ka mēs vēlējāmies izprast riskus, lai mēs varētu samazināt ievainojamības.

Lai gan viņi izmanto ļoti dažādas tehnikas, viņš uzskata, ka viņa un Vebstera darbs labi papildina viens otru. Webstera komanda parādīja, ka modeļa izvadē var atrast privātus datus; Kautza komanda parādīja, ka privātos datus var atklāt, ejot otrādi, no jauna izveidojot ievadi. Abu virzienu izpēte ir svarīga, lai iegūtu labāku izpratni par to, kā novērst uzbrukumus, saka Kautzs.

paslēpties