Как не позволить ИИ использовать ваши селфи для обучения

Компания Clearview предоставила правоохранительным органам США инструмент распознавания лиц, обученный на общедоступных фотографиях миллионов людей. Но, вероятно, это было только начало. Любой, у кого есть базовые навыки программирования, может разработать ПО для распознавания лиц. Это означает, что сейчас существует больше возможностей для злоупотребления технологиями, чем когда-либо.

Ряд исследователей выступают против и разрабатывают инструменты, которые смогут помешать обучению ИИ на личных данных пользователей. Две последних разработки были представлены на ICLR, ведущей конференции по искусственному интеллекту.

«Мне не нравится, что мои данные используют другие люди», — замечает Эмили Венгер из Чикагского университета, которая вместе со своими коллегами разработала Fawkes. Это один из первых инструментов такого рода.

Часто пользователи намеренно искажают данные или удаляют их, чтобы затруднить работу моделям машинного обучения. Но чтобы оказать ощутимое влияние, потребуется участие сотен тысяч людей. Однако новые инструменты могут самостоятельно вносить искажения в фотографии.

«Этот инструмент может использоваться человеком в качестве ключа для блокировки данных», — говорит Сара Эрфани из Мельбурнского университета в Австралии.

Большинство инструментов, включая Fawkes, используют один и тот же базовый подход. Они вносят мелкие изменения в изображение, которые трудно заметить человеческим глазом. Благодаря этому ИИ неверно идентифицирует объекты на фотографии. Этот метод очень близок к разновидности состязательной атаки, когда небольшие изменения входных данных влияют на работу моделей глубокого обучения.

Инструмент Fawkes делает именно это. Загрузите в программу селфи, и она добавит пиксельные искажения, которые не позволят современным системам распознавания лиц идентифицировать, кто находится на фотографиях. При этом изменения останутся незаметными для человеческого глаза.

Венгер и ее коллеги протестировали свою разработку на нескольких широко используемых коммерческих системах распознавания лиц, включая Amazon AWS Rekognition, Microsoft Azure и Face ++, разработанную китайской компанией Megvii Technology. Небольшой эксперимент с 50 изображениями доказал 100% эффективность Fawkes. Системы распознавания не смогли определить, что находится на измененных фотографиях, при том, что первоначальные изображения были идентифицированы верно.

Fawkes насчитывает уже около 500 тысяч загрузок. Один пользователь также создал онлайн-версию инструмента, что сделало его еще более доступным. По словам Венгера, мобильного приложения еще нет, но ничто не мешает его разработать, так как код программы открыт.

Фото: Unsplash

Fawkes не позволяет новым системам распознавать лица на фотографиях, но он не влияет на те ИИ, которые уже были обучены на незащищенных изображениях. Однако технология все время улучшается. Венгер считает, что новый инструмент LowKey, разработанный Валерией Черепановой и ее коллегами из Университета Мэриленда, может решить эту проблему.

LowKey расширяет возможности Fawkes. Работа программы построена на более эффективном виде состязательной атаки, которая также обманывает предварительно обученные коммерческие модели. Как и Fawkes, LowKey также доступен в интернете.

Вместе с Дэниелом Ма из Университета Дикина и исследователями из Университета Мельбурна и Пекинского университета, Эрфани разработала способ превращать изображения в «искаженные примеры», которые фактически заставляют ИИ полностью игнорировать селфи.

В отличие от Fawkes и его последователей, «искаженные примеры» не основаны на состязательных атаках. Вместо того, чтобы вносить искажения в изображение, которые заставляют ИИ совершать ошибку, инструмент Дэниела Ма добавляет крошечные изменения, которые заставляют ИИ игнорировать его во время обучения. То есть модель впоследствии даст оценку фотографии совершенно случайным образом.

«Искаженные примеры» могут оказаться более эффективными, чем состязательные атаки, поскольку ИИ нельзя натренировать обходить их. Чем больше искаженных примеров видит алгоритм, тем лучше он их распознает. Но поскольку инструмент Эрфани в первую очередь препятствуют обучению, ИИ не сможет распознать изображения.

Изображения из интернета (верхний ряд) и «искаженные примеры» (нижний ряд)

Фото: Сара Эрфани, Дэниел Ма и коллеги

Команда Венгер недавно заметила, что некоторые изображения больше не могут обходить систему распознавания лиц Microsoft Azure. «Она внезапно стала устойчива к искаженным фотографиям, — говорит исследователь. — Мы не знаем, что случилось».

Возможно, Microsoft изменила алгоритм или ИИ. Либо же система, обученная на основе измененных фотографий, научилась их обходить. Недавно разработчики Fawkes выпустили обновление для своего инструмента, которое снова не позволяет Azure распознавать фотографии. «Это похоже на игру в кошки-мышки, — добавляет Венгер. — Такие компании, как Clearview, извлекают выгоду из того, что они считают свободно доступными данными, и используют их для любых целей».

Урегулирование данного вопроса может помочь в долгосрочной перспективе, но это не помешает организациям использовать различные лазейки. «Всегда будет разрыв между тем, что приемлемо с юридической точки зрения, и тем, чего на самом деле хотят люди, — рассуждает она. — Инструменты вроде Fawkes восполняют этот пробел».

Источник.

Фото на обложке: kwanchaidp / Depositphotos