Es ist möglich, Kopien von Bildern zu extrahieren, die zum Trainieren von generativen KI-Modellen verwendet werden

Generative KI-Modelle können sich Bilder aus ihren Trainingsdaten merken, was es Benutzern möglicherweise ermöglicht, private urheberrechtlich geschützte Daten zu extrahieren Forschungsprojekte.

Tools wie DALL-E, Stable Diffusion und Midjourney werden mit Milliarden von Bildern trainiert, die aus dem Internet geschabt wurden, einschließlich urheberrechtlich geschützter Daten wie Grafiken und Logos. Sie lernen, visuelle Darstellungen von Objekten und Stilen auf natürliche Sprache abzubilden. Wenn sie eine Textbeschreibung als Eingabe erhalten, generieren sie ein Bild, das der Bildunterschrift als Ausgabe entspricht.

Die neue Technologie hat eine neue rechtliche Debatte über das Urheberrecht ausgelöst: Verletzen diese Tools geistige Eigentumsrechte, da sie urheberrechtlich geschützte Bilder ohne Erlaubnis aufgenommen haben?

Klagen wurden eingereicht gegen Hersteller der beliebtesten generativen KI-Tools wegen Verletzung des Urheberrechts. Unternehmen, die Text-zu-Bild-Modelle erstellen, argumentieren, dass ihre Verwendung von urheberrechtlich geschützten Daten eine faire Verwendung ist, da ihre Software einzigartige Bilder erzeugt. Aber Künstler, die gesehen haben, wie ihre Stile und Arbeiten von diesen Tools imitiert wurden, glauben, dass sie abgezockt wurden.

Jetzt zeigt eine von Forschern bei Google, DeepMind, der University of California, Berkeley, der ETH Zürich und der Princeton University geleitete Forschung, dass Bilder, die zum Trainieren dieser Modelle verwendet werden, extrahiert werden können. Generative KI-Modelle merken sich Bilder und können präzise Kopien davon erstellen, was neue Urheberrechts- und Datenschutzbedenken aufwirft.

Einige Beispiele für Bilder, die die Forscher aus Stable Diffusion extrahieren konnten

„Bei einem echten Angriff, bei dem ein Angreifer private Informationen extrahieren möchte, würde er das Label oder die Bildunterschrift erraten, die für ein Bild verwendet wurde“, sagten Co-Autoren der Studie Das Register.

„Zum Glück für den Angreifer kann unsere Methode manchmal funktionieren, selbst wenn die Vermutung nicht perfekt ist. Zum Beispiel können wir das Porträt von Ann Graham Lotz extrahieren, indem wir Stable Diffusion einfach mit ihrem Namen anstelle der vollständigen Bildunterschrift aus dem Trainingsset („Leben im Licht mit Ann Graham Lotz“) auffordern.

Es können nur vom Modell gespeicherte Bilder extrahiert werden, und wie viel ein Modell Daten speichern kann, hängt von Faktoren wie Trainingsdaten und Größe ab. Es ist wahrscheinlicher, dass Kopien desselben Bildes gespeichert werden, und Modelle, die mehr Parameter enthalten, können sich mit größerer Wahrscheinlichkeit auch Bilder merken.

Das Team konnte 94 Bilder aus 350,000 Beispielen extrahieren, die zum Trainieren von Stable Diffusion verwendet wurden, und 23 Bilder aus 1,000 Beispielen von Google Imagen, Modell. Zum Vergleich: Stable Diffusion hat 890 Millionen Parameter und wurde mit 160 Millionen Bildern trainiert, während Imagen zwei Milliarden Parameter hat – es ist nicht klar, mit wie vielen Bildern genau trainiert wurde.

„Für Stable Diffusion stellen wir fest, dass die meisten gespeicherten Bilder im Trainingssatz 100 Mal oder öfter dupliziert wurden, einige jedoch nur 10 Mal“, sagten die Forscher. „Für das Imagen-Modell von Google, das ein größeres Modell als Stable Diffusion ist und mit einem kleineren Datensatz trainiert wurde, scheint das Auswendiglernen viel häufiger zu sein. Hier finden wir einige Ausreißerbilder, die nur ein einziges Mal im gesamten Trainingssatz vorhanden sind, aber dennoch extrahierbar sind.“

Sie sind sich nicht ganz sicher, warum größere Modelle dazu neigen, mehr Bilder zu speichern, glauben aber, dass dies etwas damit zu tun haben könnte, dass sie mehr ihrer Trainingsdaten in ihren Parametern speichern können.

Die Speicherraten für diese Modelle sind ziemlich niedrig, und in Wirklichkeit wäre das Extrahieren von Bildern mühsam und schwierig. Angreifer müssten zahlreiche Aufforderungen erraten und ausprobieren, um das Modell dazu zu bringen, gespeicherte Daten zu generieren. Dennoch warnt das Team Entwickler davor, generative KI-Modelle auf private sensible Daten zu trainieren.

„Wie schlecht das Auswendiglernen ist, hängt von der Anwendung der generativen Modelle ab. Bei sehr privaten Anwendungen, wie z. B. im medizinischen Bereich (z. B. Training an Röntgenaufnahmen des Brustkorbs oder Krankenakten), ist das Auswendiglernen höchst unerwünscht, auch wenn es nur einen sehr kleinen Bruchteil der Benutzer betrifft. Darüber hinaus sind die in datenschutzrelevanten Anwendungen verwendeten Trainingssätze normalerweise kleiner als die, die zum Trainieren aktueller generativer Kunstmodelle verwendet werden. Daher sehen wir möglicherweise viel mehr Auswendiglernen, einschließlich Bildern, die nicht dupliziert werden“, sagten sie uns.

Eine Möglichkeit, die Datenextraktion zu verhindern, besteht darin, die Wahrscheinlichkeit des Auswendiglernens in Modellen zu verringern. Das Entfernen von Duplikaten im Trainingsdatensatz würde beispielsweise die Wahrscheinlichkeit minimieren, dass Bilder gespeichert und extrahiert werden. Stability AI, die Schöpfer von Stable Diffusion, haben Berichten zufolge ihr neuestes Modell auf einem Datensatz trainiert, der unabhängig von den Ergebnissen der Forscher weniger Duplikate enthält.

Da nun bewiesen ist, dass Text-zu-Bild-Modelle exakte Kopien von Bildern erzeugen können, mit denen sie trainiert wurden, ist nicht klar, wie sich dies auf Urheberrechtsfälle auswirken könnte.

„Ein häufiges Argument, das wir von Leuten online gesehen hatten, war eine Variante von ‚Diese Modelle merken sich niemals Trainingsdaten'. Wir wissen jetzt, dass dies eindeutig falsch ist. Aber ob dies in der juristischen Debatte tatsächlich eine Rolle spielt oder nicht, steht ebenfalls zur Debatte“, schlossen die Forscher.

„Zumindest haben beide Seiten in diesen Gerichtsverfahren jetzt einige handfestere Fakten, auf die sie sich verlassen können: Ja, Auswendiglernen findet statt; aber es ist sehr selten; und es scheint hauptsächlich bei stark duplizierten Bildern zu passieren.“ ®

• SEO-gestützte Content- und PR-Distribution. Holen Sie sich noch heute Verstärkung.
• Platoblockkette. Web3-Metaverse-Intelligenz. Wissen verstärkt. Hier zugreifen.
• Quelle: https://go.theregister.com/feed/www.theregister.com/2023/02/06/uh_oh_attackers_can_extract/