{"id":20509,"date":"2023-05-23T15:52:55","date_gmt":"2023-05-23T13:52:55","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=20509"},"modified":"2023-05-23T15:52:55","modified_gmt":"2023-05-23T13:52:55","slug":"neural-networks-data-leaks","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/neural-networks-data-leaks\/20509\/","title":{"rendered":"Comment l’IA peut faire fuiter vos donn\u00e9es priv\u00e9es"},"content":{"rendered":"

Vos r\u00e9seaux (neuronaux) divulguent des donn\u00e9es<\/h2>\n

Des chercheurs d\u2019universit\u00e9s aux \u00c9tats-Unis et en Suisse, en collaboration avec Google et DeepMind, ont publi\u00e9 un article<\/a> pr\u00e9sentant comment des donn\u00e9es peuvent \u00eatre divulgu\u00e9es \u00e0 partir de syst\u00e8mes de g\u00e9n\u00e9ration d\u2019images qui utilisent les algorithmes d\u2019apprentissage automatique DALL-E<\/a>, Imagen<\/a> ou Stable Diffusion<\/a>. Du c\u00f4t\u00e9 de l\u2019utilisateur, ils fonctionnent tous de la m\u00eame mani\u00e8re : l\u2019utilisateur saisit une requ\u00eate textuelle pr\u00e9cise, par exemple, \u00ab\u00a0un fauteuil en forme d\u2019avocat\u00a0\u00bb, et il obtient en retour une image g\u00e9n\u00e9r\u00e9e.<\/p>\n

\"Image<\/a>

Image g\u00e9n\u00e9r\u00e9e par le r\u00e9seau neuronal Dall-E. Source<\/a>.<\/p><\/div>\n

Tous ces syst\u00e8mes sont entra\u00een\u00e9s sur un grand nombre (des dizaines ou des centaines de milliers) d\u2019images avec des descriptions pr\u00e9d\u00e9finies. L\u2019id\u00e9e derri\u00e8re ces r\u00e9seaux neuronaux est qu\u2019en recueillant une \u00e9norme quantit\u00e9 de donn\u00e9es d\u2019entra\u00eenement, ils peuvent cr\u00e9er de nouvelles images uniques. Cependant, la principale conclusion de cette nouvelle \u00e9tude est que ces images ne sont pas toujours si uniques. Dans certains cas, il est possible de forcer le r\u00e9seau neuronal \u00e0 reproduire presque exactement l\u2019image originale utilis\u00e9e pr\u00e9c\u00e9demment pour l\u2019entra\u00eenement. Cela signifie que les r\u00e9seaux neuronaux peuvent involontairement r\u00e9v\u00e9ler des informations priv\u00e9es.<\/p>\n

\"Image<\/a>

Image g\u00e9n\u00e9r\u00e9e par le r\u00e9seau neuronal Stable Diffusion (\u00e0 droite) et l\u2019image originale de l\u2019ensemble d\u2019apprentissage (\u00e0 gauche). Source<\/a>.<\/p><\/div>\n

Plus de donn\u00e9es pour le \u00ab\u00a0dieu des donn\u00e9es\u00a0\u00bb<\/h2>\n

Le r\u00e9sultat d\u2019un syst\u00e8me de machine-learning en r\u00e9ponse \u00e0 une requ\u00eate peut sembler magique pour un non-sp\u00e9cialiste : \u00ab\u00a0Waouh, ce robot sait tout !\u00a0\u00bb. Mais il n\u2019y a pas vraiment de magie\u2026<\/p>\n

Tous les r\u00e9seaux neuronaux fonctionnent plus ou moins de la m\u00eame mani\u00e8re\u00a0: un algorithme est cr\u00e9\u00e9 et entra\u00een\u00e9 sur un ensemble de donn\u00e9es, par exemple une s\u00e9rie de photos de chats et de chiens, avec une description de ce qui est exactement repr\u00e9sent\u00e9 dans chaque image. Une fois que la phase d\u2019apprentissage est termin\u00e9e, l\u2019algorithme re\u00e7oit une nouvelle image et doit d\u00e9terminer s\u2019il s\u2019agit d\u2019un chat ou d\u2019un chien. Apr\u00e8s ces modestes d\u00e9buts, les d\u00e9veloppeurs de ces syst\u00e8mes sont pass\u00e9s \u00e0 un sc\u00e9nario plus complexe\u00a0: l\u2019algorithme entra\u00een\u00e9 sur de nombreuses photos de chats cr\u00e9e sur demande l\u2019image d\u2019un animal de compagnie qui n\u2019a jamais exist\u00e9. De telles exp\u00e9riences sont men\u00e9es non seulement avec des images, mais aussi avec du texte, du contenu vid\u00e9o et m\u00eame de la voix\u00a0: nous avons d\u00e9j\u00e0 abord\u00e9 le probl\u00e8me des deepfakes<\/a> (o\u00f9 des vid\u00e9os modifi\u00e9es num\u00e9riquement de politiques ou de c\u00e9l\u00e9brit\u00e9s \u2013 pour la plupart \u2013 semblent dire des choses qu\u2019ils n\u2019ont jamais dites en r\u00e9alit\u00e9).<\/p>\n

Pour tous les r\u00e9seaux neuronaux, le point de d\u00e9part est un ensemble de donn\u00e9es d\u2019apprentissage\u00a0: les r\u00e9seaux neuronaux ne peuvent pas inventer de nouvelles entit\u00e9s \u00e0 partir de rien. Pour cr\u00e9er une image d\u2019un chat, l\u2019algorithme doit \u00e9tudier des milliers de photographies ou de dessins r\u00e9els de ces animaux. De nombreux arguments plaident en faveur du maintien de la confidentialit\u00e9 de ces donn\u00e9es. Certaines d\u2019entre elles sont dans le domaine public alors que d\u2019autres sont la propri\u00e9t\u00e9 intellectuelle de l\u2019entreprise qui les a d\u00e9velopp\u00e9es et qui a investi beaucoup de temps et d\u2019efforts pour les cr\u00e9er dans l\u2019espoir d\u2019obtenir un avantage concurrentiel. D\u2019autres encore constituent, par d\u00e9finition, des informations sensibles. Par exemple, des exp\u00e9riences sont en cours pour utiliser les r\u00e9seaux neuronaux afin de diagnostiquer des maladies \u00e0 partir de radiographies et d\u2019autres examens m\u00e9dicaux. Cela signifie que les donn\u00e9es d\u2019entra\u00eenement algorithmique contiennent de v\u00e9ritables donn\u00e9es sur la sant\u00e9 de personnes r\u00e9elles qui, pour des raisons \u00e9videntes, ne doivent pas tomber entre de mauvaises mains.<\/p>\n

Diffusion<\/h2>\n

Bien que les algorithmes d\u2019apprentissage automatique se ressemblent pour un observateur ext\u00e9rieur, ils sont en fait diff\u00e9rents. Dans leur article, les chercheurs accordent une attention particuli\u00e8re aux mod\u00e8les de diffusion<\/em> de l\u2019apprentissage automatique. Ils fonctionnent de la mani\u00e8re suivante : les donn\u00e9es d\u2019entra\u00eenement (\u00e0 nouveau des images de personnes, de voitures, de maisons, etc.) sont d\u00e9form\u00e9es par l\u2019ajout de perturbations. Le r\u00e9seau neuronal est ensuite entra\u00een\u00e9 \u00e0 restaurer ces images \u00e0 leur \u00e9tat d\u2019origine. Cette m\u00e9thode permet de g\u00e9n\u00e9rer des images de qualit\u00e9 convenable, mais un inconv\u00e9nient potentiel (par rapport aux algorithmes des r\u00e9seaux antagonistes g\u00e9n\u00e9ratifs<\/a>, par exemple) est leur plus grande tendance \u00e0 la fuite de donn\u00e9es.<\/p>\n

Les donn\u00e9es d\u2019origine peuvent en \u00eatre extraites d\u2019au moins trois fa\u00e7ons diff\u00e9rentes\u00a0: d\u2019abord, \u00e0 l\u2019aide de requ\u00eates particuli\u00e8res, vous pouvez forcer le r\u00e9seau neuronal \u00e0 produire, non pas un r\u00e9sultat unique, g\u00e9n\u00e9r\u00e9 \u00e0 partir de milliers d\u2019images, mais une image source sp\u00e9cifique. Deuxi\u00e8mement, l\u2019image originale peut \u00eatre reconstruite m\u00eame si seule une partie de celle-ci est disponible. Troisi\u00e8mement, il est possible de d\u00e9terminer simplement si une image donn\u00e9e est contenue ou non dans les donn\u00e9es d\u2019apprentissage.<\/p>\n

Tr\u00e8s souvent, les r\u00e9seaux neuronaux sont\u2026 paresseux<\/em>, et au lieu de produire une nouvelle image, ils cr\u00e9ent un r\u00e9sultat \u00e0 partir de l\u2019ensemble d\u2019apprentissage si celui-ci contient plusieurs duplicatas de la m\u00eame image. Outre l\u2019exemple ci-dessus avec la photo d\u2019Ann Graham Lotz, l\u2019\u00e9tude donne plusieurs autres r\u00e9sultats similaires\u00a0:<\/p>\n

\"Lignes<\/a>

Lignes impaires : images originales.\u00a0 Lignes paires : images g\u00e9n\u00e9r\u00e9es par Stable Diffusion v1.4. Source<\/a>.<\/p><\/div>\n

Si une image est dupliqu\u00e9e plus de cent fois dans l\u2019ensemble d\u2019apprentissage, il y a de tr\u00e8s fortes chances qu\u2019elle ressorte sous sa forme quasi originale. Cependant, les chercheurs ont d\u00e9montr\u00e9 qu\u2019il \u00e9tait possible de r\u00e9cup\u00e9rer des images d\u2019entra\u00eenement qui ne figuraient qu\u2019une seule fois dans l\u2019ensemble d\u2019origine. Cette m\u00e9thode est beaucoup moins efficace : sur cinq cents images test\u00e9es, l\u2019algorithme n\u2019en a recr\u00e9\u00e9 que trois au hasard. La m\u00e9thode la plus sophistiqu\u00e9e pour attaquer un r\u00e9seau neuronal consiste \u00e0 recr\u00e9er une image source \u00e0 partir d\u2019un simple fragment de celle-ci.<\/p>\n

\"Les<\/a>

Les chercheurs ont demand\u00e9 au r\u00e9seau neuronal de compl\u00e9ter l\u2019image apr\u00e8s en avoir supprim\u00e9 une partie. Cette proc\u00e9dure permet de d\u00e9terminer avec une certaine pr\u00e9cision si une image en particulier faisait partie de l\u2019ensemble d\u2019apprentissage. Si c\u2019\u00e9tait le cas, l\u2019algorithme d\u2019apprentissage automatique g\u00e9n\u00e9rait une copie presque exacte de la photo ou du dessin original. Source<\/a>.<\/p><\/div>\n

\u00c0 ce stade, int\u00e9ressons-nous \u00e0 la question des r\u00e9seaux neuronaux et des droits d\u2019auteur.<\/p>\n

Qui a vol\u00e9 \u00e0 qui ?<\/h2>\n

En janvier\u00a02023, trois artistes ont poursuivi<\/a> les cr\u00e9ateurs de services de g\u00e9n\u00e9ration d\u2019images utilisant des algorithmes d\u2019apprentissage automatique. Ils ont affirm\u00e9 (\u00e0 juste titre) que les d\u00e9veloppeurs des r\u00e9seaux neuronaux avaient utilis\u00e9 des images collect\u00e9es en ligne \u00e0 des fins d\u2019entra\u00eenement sans aucun respect du droit d\u2019auteur. Un r\u00e9seau neuronal peut en effet copier le style d\u2019un artiste particulier et le priver ainsi de revenus. L\u2019article laisse entendre que, dans certains cas, les algorithmes peuvent, pour diverses raisons, commettre un plagiat pur et simple, en g\u00e9n\u00e9rant des dessins, des photographies et d\u2019autres images qui sont presque identiques au travail de personnes r\u00e9elles.<\/p>\n

L\u2019\u00e9tude propose des recommandations visant \u00e0 renforcer la confidentialit\u00e9 de l\u2019ensemble d\u2019apprentissage original\u00a0:<\/p>\n