È possibile estrarre copie di immagini utilizzate per addestrare modelli di intelligenza artificiale generativa

È possibile estrarre copie di immagini utilizzate per addestrare modelli di intelligenza artificiale generativa

Timestamp: 6 febbraio 2023 1:00
Nodo di origine: 1942543

I modelli di intelligenza artificiale generativa possono memorizzare le immagini dai loro dati di addestramento, possibilmente consentendo agli utenti di estrarre dati privati ​​protetti da copyright, secondo riparazioni.

Strumenti come DALL-E, Stable Diffusion e Midjourney vengono addestrati su miliardi di immagini prelevate da Internet, inclusi dati protetti da copyright come opere d'arte e loghi. Imparano a mappare le rappresentazioni visive di oggetti e stili nel linguaggio naturale. Quando ricevono una descrizione testuale come input, generano un'immagine corrispondente alla didascalia come output.

La nuova tecnologia ha innescato un nuovo dibattito legale sul copyright: questi strumenti violano i diritti di proprietà intellettuale poiché hanno ingerito immagini protette da copyright senza permesso?

Ci sono state cause legali depositata contro i creatori dei più popolari strumenti di intelligenza artificiale generativa per violazione del copyright. Le aziende che costruiscono modelli di testo in immagine sostengono che poiché il loro software genera immagini uniche, il loro uso dei dati sul copyright è un uso corretto. Ma gli artisti che hanno visto i loro stili e il loro lavoro imitati da questi strumenti credono di essere stati derubati.

Ora la ricerca condotta da ricercatori che lavorano presso Google, DeepMind, l'Università della California, Berkeley, l'ETH di Zurigo e l'Università di Princeton dimostra che le immagini utilizzate per addestrare questi modelli possono essere estratte. I modelli di intelligenza artificiale generativa memorizzano le immagini e possono generarne copie precise, sollevando nuovi problemi di copyright e privacy.

diffusione_estrazione_ricerca

Alcuni esempi di immagini che i ricercatori sono riusciti a estrarre da Stable Diffusion

"In un vero attacco, in cui un avversario vuole estrarre informazioni private, indovinerebbe l'etichetta o la didascalia utilizzata per un'immagine", hanno detto i coautori dello studio Il registro.

“Fortunatamente per l'attaccante, il nostro metodo a volte può funzionare anche se l'ipotesi non è perfetta. Ad esempio, possiamo estrarre il ritratto di Ann Graham Lotz semplicemente suggerendo Stable Diffusion con il suo nome, invece della didascalia completa del training set ("Vivere nella luce con Ann Graham Lotz").

diffusione_estrazione_ricerca_2

È possibile estrarre solo le immagini memorizzate dal modello e quanto un modello può memorizzare i dati varia in base a fattori come i dati di addestramento e le dimensioni. È più probabile che le copie della stessa immagine vengano memorizzate e che anche i modelli contenenti più parametri siano in grado di ricordare le immagini.

Il team è stato in grado di estrarre 94 immagini da 350,000 esempi utilizzati per addestrare Stable Diffusion e 23 immagini da 1,000 esempi da Google Immagine modello. Per fare un confronto, Stable Diffusion ha 890 milioni di parametri ed è stato addestrato su 160 milioni di immagini, mentre Imagen ha due miliardi di parametri: non è chiaro quante immagini siano state utilizzate per addestrarlo esattamente.

"Per Stable Diffusion, scopriamo che la maggior parte delle immagini memorizzate sono state duplicate 100 o più volte nel set di addestramento, ma alcune solo 10 volte", hanno affermato i ricercatori. “Per il modello Imagen di Google, che è un modello più grande di Stable Diffusion e addestrato su un set di dati più piccolo, la memorizzazione sembra essere molto più frequente. Qui troviamo alcune immagini anomale che sono presenti solo una volta nell'intero set di addestramento, ma sono ancora estraibili.

Non sono del tutto sicuri del motivo per cui i modelli più grandi tendono a memorizzare più immagini, ma credono che potrebbe avere qualcosa a che fare con la possibilità di memorizzare più dati di addestramento nei suoi parametri.

I tassi di memorizzazione per questi modelli sono piuttosto bassi e in realtà l'estrazione delle immagini sarebbe noiosa e complicata. Gli aggressori dovrebbero indovinare e provare numerosi suggerimenti per indurre il modello a generare dati memorizzati. Tuttavia, il team avverte gli sviluppatori di astenersi dall'addestrare modelli di intelligenza artificiale generativa su dati sensibili privati.

“Quanto è cattiva la memorizzazione dipende dall'applicazione dei modelli generativi. In applicazioni altamente private, come nel settore medico (ad es. formazione sulle radiografie del torace o cartelle cliniche), la memorizzazione è altamente indesiderabile, anche se riguarda solo una piccolissima frazione di utenti. Inoltre, i set di addestramento utilizzati nelle applicazioni sensibili alla privacy sono generalmente più piccoli di quelli utilizzati per addestrare gli attuali modelli di arte generativa. Pertanto, potremmo vedere molta più memorizzazione, comprese le immagini che non sono duplicate ", ci hanno detto.

Un modo per impedire l'estrazione dei dati è ridurre la probabilità di memorizzazione nei modelli. L'eliminazione dei duplicati nel set di dati di addestramento, ad esempio, ridurrebbe al minimo le possibilità che le immagini vengano memorizzate ed estratte. Secondo quanto riferito, Stability AI, i creatori di Stable Diffusion, hanno addestrato il loro nuovo modello su un set di dati contenente meno duplicati indipendentemente dalle scoperte dei ricercatori.

Ora che è stato dimostrato che i modelli text-to-image possono generare copie esatte delle immagini su cui sono stati addestrati, non è chiaro come ciò possa influire sui casi di copyright.

“Un'argomentazione comune che avevamo visto fare online era una variante di 'questi modelli non memorizzano mai i dati di addestramento'. Ora sappiamo che questo è chiaramente falso. Ma se questo sia effettivamente importante o meno nel dibattito legale è anche in discussione ", hanno concluso i ricercatori.

“Almeno ora, entrambe le parti in queste cause hanno alcuni fatti più tangibili su cui fare affidamento: sì, la memorizzazione avviene; ma è molto raro; e sembra che accada principalmente per immagini altamente duplicate. ®

Timestamp:

Di più da Il registro