Les "pièges à droits d'auteur" (copyright traps) pourraient indiquer aux écrivains si une IA a piraté leur travail
infohightech ·
Depuis le début de l'essor de l'IA générative, les créateurs de contenu affirment que leurs œuvres ont été intégrées dans des modèles d'IA sans leur consentement. Mais jusqu'à présent, il était difficile de savoir si un texte spécifique avait réellement été utilisé dans un ensemble de données d'entraînement.
Ils disposent désormais d'un nouveau moyen de le prouver : Les "pièges à droits d'auteur" ou Copyright Traps mis au point par une équipe de l'Imperial College de Londres sont des morceaux de texte cachés qui permettent aux écrivains et aux éditeurs de marquer subtilement leur travail afin de détecter ultérieurement s'il a été utilisé ou non dans des modèles d'IA. L'idée est similaire aux pièges utilisés par les détenteurs de droits d'auteur tout au long de l'histoire - des stratégies telles que l'inclusion de faux lieux sur une carte ou de faux mots dans un dictionnaire.
Ces pièges de l'IA en matière de droits d'auteur s'inscrivent dans l'une des plus grandes luttes dans le domaine de l'IA. Un certain nombre d'éditeurs et d'écrivains sont en procès contre des entreprises technologiques, affirmant que leur propriété intellectuelle a été intégrée sans leur permission dans des ensembles de données d'entraînement à l'IA. Le procès en cours du New York Times contre OpenAI est probablement le plus médiatisé d'entre eux.
Le code permettant de générer et de détecter les pièges est actuellement disponible sur GitHub, mais l'équipe a également l'intention de créer un outil permettant aux utilisateurs de générer et d'insérer eux-mêmes des pièges à droits d'auteur.
"Il y a un manque total de transparence en ce qui concerne le contenu utilisé pour former les modèles, et nous pensons que cela empêche de trouver le bon équilibre [entre les entreprises d'IA et les créateurs de contenu]", déclare Yves-Alexandre de Montjoye, professeur agrégé de mathématiques appliquées et d'informatique à l'Imperial College de Londres, qui a dirigé la recherche. Ces travaux ont été présentés à l'International Conference on Machine Learning, une conférence de haut niveau sur l'IA qui se tient à Vienne cette semaine.
Pour créer les pièges, l'équipe a utilisé un générateur de mots pour créer des milliers de phrases synthétiques. Ces phrases sont longues et pleines de charabia, et pourraient ressembler à ceci : "Cette liste vous indique les magasins qui ouvrent le jeudi soir, avec leurs heures de vente habituelles et les autres heures d'ouverture de vos voisins. Vous n'êtes pas au bout de vos peines. »
L'équipe a généré 100 phrases pièges et en a choisi une au hasard pour l'injecter plusieurs fois dans un texte, explique Yves-Alexandre de Montjoye. Le piège pouvait être injecté dans le texte de différentes manières, par exemple sous la forme d'un texte blanc sur fond blanc ou intégré dans le code source de l'article. Cette phrase devait être répétée de 100 à 1 000 fois dans le texte.
Pour détecter les pièges, ils ont alimenté un grand modèle de langage avec les 100 phrases synthétiques qu'ils avaient générées, et ont regardé s'il les avait marquées comme nouvelles ou non. Si le modèle avait déjà vu une phrase piège dans ses données d'apprentissage, il indiquait un score de "surprise" (également connu sous le nom de "perplexité") inférieur. Mais si le modèle était "surpris" par des phrases, cela signifiait qu'il les rencontrait pour la première fois et qu'il ne s'agissait donc pas de pièges.
Par le passé, les chercheurs ont proposé d'exploiter le fait que les modèles de langage mémorisent leurs données d'apprentissage pour déterminer si quelque chose est apparu dans ces données. Cette technique, appelée "attaque par inférence d'appartenance", fonctionne efficacement avec les grands modèles de pointe, qui ont tendance à mémoriser une grande partie de leurs données au cours de la formation.
En revanche, les modèles plus petits, qui gagnent en popularité et peuvent être exécutés sur des appareils mobiles, mémorisent moins de données et sont donc moins sensibles aux attaques par inférence d'appartenance, ce qui rend plus difficile de déterminer s'ils ont été formés sur un document particulier protégé par le droit d'auteur, explique Gautam Kamath, professeur adjoint d'informatique à l'université de Waterloo, qui n'a pas participé à la recherche.
Les pièges à droits d'auteur permettent d'effectuer des attaques par inférence d'appartenance même sur des modèles plus petits. L'équipe a injecté ses pièges dans l'ensemble de données de formation de CroissantLLM, un nouveau modèle linguistique bilingue français-anglais qui a été formé à partir de zéro par une équipe de chercheurs industriels et universitaires avec laquelle l'équipe de l'Imperial College London s'est associée. CroissantLLM compte 1,3 milliard de paramètres, soit une fraction des modèles les plus récents (GPT-4 en compterait 1,76 trillion, par exemple).
Le procès intenté par l'industrie musicale envoie le message le plus fort à ce jour : les données d'entraînement de haute qualité ne sont pas gratuites.
La recherche montre qu'il est effectivement possible d'introduire de tels pièges dans les données textuelles afin d'augmenter de manière significative l'efficacité des attaques par inférence d'appartenance, même pour les modèles les plus petits, explique Gautam Kamath. Mais il reste encore beaucoup à faire, ajoute-t-il.
La répétition d'une phrase de 75 mots 1 000 fois dans un document constitue un changement important par rapport au texte original, ce qui pourrait permettre à des personnes entraînant des modèles d'IA de détecter le piège et de sauter le contenu qui le contient, ou simplement de le supprimer et de s'entraîner sur le reste du texte, explique M. Gautam Kamath. Cela rend également le texte original difficile à lire.
Sameer Singh, professeur d'informatique à l'université de Californie à Irvine et cofondateur de la startup Spiffy AI, estime que les pièges du droit d'auteur ne sont donc pas pratiques à l'heure actuelle. Il n'a pas participé à la recherche. "Beaucoup d'entreprises font de la déduplication, c'est-à-dire qu'elles nettoient les données, et une grande partie de ce genre de choses sera probablement jetée", explique Sameer Singh.
Selon Gautam Kamath, l'un des moyens d'améliorer les pièges à droits d'auteur serait de trouver d'autres façons de marquer les contenus protégés par des droits d'auteur afin que les attaques par inférence d'appartenance fonctionnent mieux sur eux, ou d'améliorer les attaques par inférence d'appartenance elles-mêmes.
Yves-Alexandre de Montjoye reconnaît que les pièges ne sont pas infaillibles. Un attaquant motivé qui connaît l'existence d'un piège peut l'éliminer.
"La question de savoir s'il peut tous les éliminer ou non reste ouverte, et cela risque d'être un peu le jeu du chat et de la souris", ajoute-t-il. Mais même dans ce cas, plus il y a de pièges, plus il devient difficile de les éliminer tous sans avoir recours à des ressources techniques importantes."
"Il est important de garder à l'esprit que les pièges à droits d'auteur peuvent n'être qu'une solution provisoire, ou simplement un inconvénient pour les dresseurs de modèles", explique Gautam Kamath. "On ne peut pas publier un contenu contenant un piège et avoir l'assurance que ce piège sera toujours efficace. »