AI-generatorer for falske ansikter kan spoles tilbake for å avsløre de virkelige ansiktene de trente på

Ms Tech | Pexels, thispersondoesnotexist.com

Last opp nettsiden Denne personen eksisterer ikke og den vil vise deg et menneskelig ansikt, nesten perfekt i sin realisme, men likevel totalt falskt. Oppdater og det nevrale nettverket bak nettstedet vil generere en annen, og en annen, og en til. Den endeløse sekvensen av AI-lagde ansikter er produsert av et generativt motstridende nettverk (GAN) – en type AI som lærer å produsere realistiske, men falske eksempler på dataene den er trent på.

Men slike genererte ansikter – som begynner å bli brukes i CGI-filmer og annonser – Kanskje ikke så unike som de ser ut til. I en artikkel med tittelen Denne personen eksisterer (sannsynligvis). , viser forskere at mange ansikter produsert av GAN-er har en slående likhet med faktiske personer som vises i treningsdataene. De falske ansiktene kan effektivt avsløre de virkelige ansiktene GAN ble trent på, noe som gjør det mulig å avsløre identiteten til disse personene. Verket er det siste i en rekke studier som tviler på den populære ideen om at nevrale nettverk er svarte bokser som ikke avslører noe om hva som foregår på innsiden.

Relatert historie

Folk leier ut ansiktene sine for å bli markedsføringskloner i dypfalsk stil

AI-drevne karakterer basert på ekte mennesker kan spille hovedrollen i tusenvis av videoer og si hva som helst, på alle språk.

For å avsløre de skjulte treningsdataene brukte Ryan Webster og kollegene hans ved Universitetet i Caen Normandie i Frankrike en type angrep kalt medlemskapsangrep, som kan brukes til å finne ut om visse data ble brukt til å trene en nevrale nettverksmodell. Disse angrepene drar vanligvis fordel av subtile forskjeller mellom måten en modell behandler data den ble trent på – og dermed har sett tusenvis av ganger før – og usett data.

For eksempel kan en modell identifisere et tidligere usett bilde nøyaktig, men med litt mindre selvtillit enn det den ble trent på. En andre, angripende modell kan lære å oppdage slike fortellinger i den første modellens oppførsel og bruke dem til å forutsi når visse data, for eksempel et bilde, er i treningssettet eller ikke.

Slike angrep kan føre til alvorlige sikkerhetslekkasjer. For eksempel kan det å finne ut at noens medisinske data ble brukt til å trene en modell assosiert med en sykdom avsløre at denne personen har den sykdommen.

Websters team utvidet denne ideen slik at i stedet for å identifisere de eksakte bildene som ble brukt til å trene en GAN, identifiserte de bilder i GANs treningssett som ikke var identiske, men som så ut til å fremstille det samme individet – med andre ord ansikter med samme identitet. For å gjøre dette genererte forskerne først ansikter med GAN og brukte deretter en separat ansiktsgjenkjennings-AI for å oppdage om identiteten til disse genererte ansiktene samsvarte med identiteten til noen av ansiktene som ble sett i treningsdataene.

Resultatene er slående. I mange tilfeller fant teamet flere bilder av ekte mennesker i treningsdataene som så ut til å matche de falske ansiktene generert av GAN, og avslørte identiteten til individene AI hadde blitt trent på.

Den venstre kolonnen i hver blokk viser ansikter generert av en GAN. Disse falske ansiktene etterfølges av tre bilder av ekte mennesker identifisert i treningsdataene

UNIVERSITETET I CAEN NORMANDY

Arbeidet reiser noen alvorlige personvernhensyn. AI-fellesskapet har en misvisende følelse av sikkerhet når de deler trente modeller for dype nevrale nettverk, sier Jan Kautz, visepresident for lærings- og persepsjonsforskning i Nvidia.

I teorien kan denne typen angrep gjelde andre data knyttet til en person, for eksempel biometriske eller medisinske data. På den annen side påpeker Webster at folk også kan bruke teknikken til å sjekke om dataene deres har blitt brukt til å trene en AI uten deres samtykke.

Kunstnere kunne finne ut om arbeidet deres hadde blitt brukt til å trene en GAN i et kommersielt verktøy, sier han: Du kan bruke en metode som vår for bevis på brudd på opphavsretten.

Prosessen kan også brukes til å sikre at GAN-er ikke eksponerer private data i utgangspunktet. GAN kunne sjekke om kreasjonene deres lignet ekte eksempler i treningsdataene sine, ved å bruke den samme teknikken utviklet av forskerne, før de frigjorde dem.

Relatert historie

Året deepfakes ble mainstream I 2020 begynte AI-syntetiske medier å bevege seg bort fra de mørkere hjørnene av internett.

Likevel forutsetter dette at du kan få tak i de treningsdataene, sier Kautz. Han og kollegene i Nvidia har funnet på en annen måte å eksponere private data på, inkludert bilder av ansikter og andre gjenstander, medisinske data og mer, som ikke krever tilgang til treningsdata i det hele tatt.

I stedet utviklet de en algoritme som kan gjenskape dataene som en trent modell har blitt utsatt for av reversere trinnene som modellen går gjennom når du behandler disse dataene. Ta et trent nettverk for bildegjenkjenning: For å identifisere hva som er i et bilde, sender nettverket det gjennom en rekke lag med kunstige nevroner. Hvert lag trekker ut ulike nivåer av informasjon, fra kanter til former til mer gjenkjennelige funksjoner.

Kautzs team fant ut at de kunne avbryte en modell midt i disse trinnene og snu dens retning, og gjenskape inndatabildet fra modellens interne data. De testet teknikken på en rekke vanlige bildegjenkjenningsmodeller og GAN-er. I en test viste de at de nøyaktig kunne gjenskape bilder fra ImageNet, et av de mest kjente bildegjenkjenningsdatasettene.

Bilder fra ImageNet (øverst) sammen med gjenskapinger av disse bildene laget ved å spole tilbake en modell som er trent på ImageNet (nederst)

NVIDIA

Som i Websters arbeid, ligner de gjenskapte bildene veldig på de virkelige. Vi ble overrasket over sluttkvaliteten, sier Kautz.

Forskerne hevder at denne typen angrep ikke bare er hypotetisk. Smarttelefoner og andre små enheter begynner å bruke mer AI. På grunn av batteri- og minnebegrensninger blir modeller noen ganger bare halvbehandlet på selve enheten og sendt til skyen for den siste databehandlingen, en tilnærming kjent som delt databehandling. De fleste forskere antar at delt databehandling ikke vil avsløre noen private data fra en persons telefon fordi bare modellen er delt, sier Kautz. Men angrepet hans viser at dette ikke er tilfelle.

Kautz og kollegene hans jobber nå med å komme opp med måter å forhindre at modeller lekker private data. Vi ønsket å forstå risikoen slik at vi kan minimere sårbarheter, sier han.

Selv om de bruker svært forskjellige teknikker, synes han at arbeidet hans og Websters utfyller hverandre godt. Websters team viste at private data kunne finnes i utdataene til en modell; Kautzs team viste at private data kunne avsløres ved å gå i revers og gjenskape inndataene. Å utforske begge retninger er viktig for å komme opp med en bedre forståelse av hvordan man kan forhindre angrep, sier Kautz.

gjemme seg