AI-generatorer til falske ansigter kan spoles tilbage for at afsløre de rigtige ansigter, de trænede på

Fru Tech | Pexels, thispersondoesnotexist.com

Indlæs hjemmesiden Denne person eksisterer ikke og det vil vise dig et menneskeligt ansigt, næsten perfekt i sin realisme og alligevel fuldstændig falsk. Opdater og det neurale netværk bag webstedet vil generere endnu en, og endnu en og endnu en. Den endeløse sekvens af AI-fremstillede ansigter er produceret af et generativt adversarial network (GAN) - en type AI, der lærer at producere realistiske, men falske eksempler på de data, den trænes på.

Men sådanne genererede ansigter - som begynder at være bruges i CGI-film og annoncer - måske ikke så unikke, som de ser ud til. I et papir med titlen Denne person eksisterer (sandsynligvis). , viser forskere, at mange ansigter produceret af GAN'er har en slående lighed med faktiske personer, der optræder i træningsdataene. De falske ansigter kan effektivt afsløre de rigtige ansigter, som GAN blev trænet i, hvilket gør det muligt at afsløre disse personers identitet. Værket er det seneste i en række undersøgelser, der rejser tvivl om den populære idé om, at neurale netværk er sorte bokse, der ikke afslører noget om, hvad der foregår indeni.

Relateret historie

Folk udlejer deres ansigter for at blive deepfake-stil marketingkloner

AI-drevne karakterer baseret på rigtige mennesker kan medvirke i tusindvis af videoer og sige hvad som helst på ethvert sprog.

For at afsløre de skjulte træningsdata brugte Ryan Webster og hans kolleger ved University of Caen Normandy i Frankrig en type angreb kaldet et medlemskabsangreb, som kan bruges til at finde ud af, om bestemte data blev brugt til at træne en neural netværksmodel. Disse angreb drager typisk fordel af subtile forskelle mellem den måde, en model behandler data på, som den er trænet på – og har således set tusindvis af gange før – og usete data.

For eksempel kan en model identificere et tidligere uset billede nøjagtigt, men med lidt mindre selvtillid end et, den blev trænet på. En anden, angribende model kan lære at få øje på sådanne signaler i den første models adfærd og bruge dem til at forudsige, hvornår bestemte data, såsom et foto, er i træningssættet eller ej.

Sådanne angreb kan føre til alvorlige sikkerhedslækager. At finde ud af, at en persons medicinske data blev brugt til at træne en model forbundet med en sygdom, kan for eksempel afsløre, at denne person har den sygdom.

Websters team udvidede denne idé, så de i stedet for at identificere de nøjagtige billeder, der blev brugt til at træne en GAN, identificerede fotos i GAN's træningssæt, der ikke var identiske, men så ud til at portrættere det samme individ - med andre ord ansigter med samme identitet. For at gøre dette genererede forskerne først ansigter med GAN og brugte derefter en separat ansigtsgenkendelse AI til at detektere, om identiteten af ​​disse genererede ansigter matchede identiteten af ​​nogen af ​​de ansigter, der blev set i træningsdataene.

Resultaterne er slående. I mange tilfælde fandt holdet flere billeder af rigtige mennesker i træningsdataene, der så ud til at matche de falske ansigter genereret af GAN, hvilket afslørede identiteten på de personer, som AI var blevet trænet på.

Den venstre kolonne i hver blok viser ansigter genereret af et GAN. Disse falske ansigter efterfølges af tre billeder af rigtige mennesker identificeret i træningsdataene

UNIVERSITET I CAEN NORMANDY

Arbejdet rejser nogle alvorlige privatlivsproblemer. AI-fællesskabet har en misvisende følelse af sikkerhed, når de deler trænede dybe neurale netværksmodeller, siger Jan Kautz, vicepræsident for lærings- og perceptionsforskning hos Nvidia.

I teorien kan denne form for angreb gælde for andre data knyttet til en person, såsom biometriske eller medicinske data. På den anden side påpeger Webster, at folk også kunne bruge teknikken til at kontrollere, om deres data er blevet brugt til at træne en AI uden deres samtykke.

Kunstnere kunne finde ud af, om deres arbejde var blevet brugt til at træne en GAN i et kommercielt værktøj, siger han: Man kunne bruge en metode som vores til at bevise for krænkelse af ophavsretten.

Processen kan også bruges til at sikre, at GAN'er ikke afslører private data i første omgang. GAN kunne kontrollere, om dets kreationer lignede rigtige eksempler i dets træningsdata, ved at bruge den samme teknik udviklet af forskerne, før de frigav dem.

Relateret historie

Året deepfakes blev mainstream I 2020 begyndte AI-syntetiske medier at bevæge sig væk fra de mørkere hjørner af internettet.

Alligevel forudsætter det, at du kan få fat i de træningsdata, siger Kautz. Han og hans kolleger hos Nvidia har fundet på en anderledes måde at eksponere private data på, herunder billeder af ansigter og andre genstande, medicinske data og mere, som slet ikke kræver adgang til træningsdata.

I stedet udviklede de en algoritme, der kan genskabe de data, som en trænet model er blevet udsat for af vende de trin, som modellen gennemgår ved behandling af disse data. Tag et trænet billedgenkendelsesnetværk: For at identificere, hvad der er i et billede, sender netværket det gennem en række lag af kunstige neuroner. Hvert lag udtrækker forskellige niveauer af information, fra kanter til former til mere genkendelige funktioner.

Kautzs team fandt ud af, at de kunne afbryde en model midt i disse trin og vende dens retning og genskabe inputbilledet fra modellens interne data. De testede teknikken på en række almindelige billedgenkendelsesmodeller og GAN'er. I en test viste de, at de nøjagtigt kunne genskabe billeder fra ImageNet, et af de bedst kendte billedgenkendelsesdatasæt.

Billeder fra ImageNet (øverst) sammen med genskabelser af disse billeder lavet ved at spole en model, der er trænet på ImageNet (nederst)

NVIDIA

Som i Websters arbejde ligner de genskabte billeder meget de virkelige. Vi var overraskede over den endelige kvalitet, siger Kautz.

Forskerne hævder, at denne form for angreb ikke blot er hypotetisk. Smartphones og andre små enheder begynder at bruge mere kunstig intelligens. På grund af batteri- og hukommelsesbegrænsninger bliver modeller nogle gange kun halvt behandlet på selve enheden og sendt til skyen for den sidste computerknas, en tilgang kendt som split computing. De fleste forskere antager, at split computing ikke vil afsløre nogen private data fra en persons telefon, fordi kun modellen er delt, siger Kautz. Men hans angreb viser, at dette ikke er tilfældet.

Kautz og hans kolleger arbejder nu på at finde på måder at forhindre modeller i at lække private data. Vi ville gerne forstå risiciene, så vi kan minimere sårbarheder, siger han.

Selvom de bruger meget forskellige teknikker, synes han, at hans arbejde og Websters komplementerer hinanden godt. Websters team viste, at private data kunne findes i outputtet af en model; Kautzs team viste, at private data kunne afsløres ved at gå omvendt og genskabe inputtet. At udforske begge retninger er vigtigt for at komme med en bedre forståelse af, hvordan man forhindrer angreb, siger Kautz.

skjule