人工智能伦理

例2.22 为了保护个人隐私，用户设备（常称作“端侧”“终端”“端”）上的敏感数据在未经用户同意的情况下一般不得轻易触碰或上传至各种数据中心（例如边侧、云侧）。

口 苹果公司主张发展端侧的轻量机器学习和AI技术，就地解决AI模型的训练和自适应等问题。

口 2016年，谷歌公司提出了联邦学习（federatedlearning ） ， 也 称 协 同 学 习 （ collaborativelearning）的策略。这是一种跨设备的、不共享数据的分布式机器学习，其过程大致如下。

（1）中央服务器为用户提供初始的模型，分发至各个端侧设备。

（2）在端侧，模型利用当地数据完成增量学习（incremental learning）。然后，将模型参数上传至中央服务器。事实上，由于模型和参数无法反向生成用户的数据，因此保证了数据的隐私性。

（3）中央服务器在大量模型参数的基础上，进行元学习（即有关学习模型的机器学习，其观测数据是各种参数化的模型）甚至为不同用户量身定制优化的模型。然后，再次完成模型的分发。

遗憾的是，多数的大数据公司并未充分地考虑基于用户隐私与数据安全保护的合理开发模式，仍然用原始而野蛮的数据挖掘手段攫取暴利，甚至不惜损害用户的利益。

图2.50 元学习好比教师进修，只有掌握了先进的教育方法，才能更好地指导学生

由于模型参数是脱敏的，联邦学习因此避免了直接采集用户的数据，同时又能完成模型的持续优化。经过数次迭代之后，模型在计算资源受限、训练数据有限的端侧（如手机、智能车等）适配用户的使用习惯，达到最优的应用效果。在联邦学习中，端、边、云侧的数据是异构的，计算任务是不同的，也可以是去中心化的。其目标是巧妙地对用户数据进行脱敏处理，跨设备合理地安排计算任务、调度计算资源，不断地改善个性化服务。

图2.51 联邦学习的示意图：端侧设备（叶子节点）的敏感数据并不上传中央服务器（根节点），即便模型和参数（即f ）都被窃取，也无法探知用户的数据

随着端侧算力的增强，能在端侧解决的问题尽量会在端侧解决。然而，每个端侧积累的数据毕竟是非常有限的，要同时做到保护隐私和共享经验，未来的移动计算（mobile computing）必是端、边、云的协同。边和云的算力、存储能力、分析能力都比端强大，它们在海量脱敏数据的基础上，可以提供更高级的大数据服务。读者不难发现，很多经营云服务的公司，也小规模地做端侧产品，以便占据端、边、云的大生态。

大数据公司很容易不小心就作恶（譬如，利用社交网络和算法侵犯用户隐私或者影响其行为）。有些作恶是无意的，有些则是有意的。例如，利用人们对命运预测的好奇心，以易经八卦算命为诱饵欺骗用户输入姓名、出生日期和性别，这些信息在现代社会属于个人隐私，很多人不懂得保护，于是被别有用心的人钻了空子。

图2.52 指纹和声纹是两类常见的生物特征，人工智能技术都能对其进行伪造

我们的生物特征（如指纹、虹膜、人脸等）和行为特征（如笔迹、声音、步态）都有可能成为被模拟的对象，因为它们对于个人身份的鉴定是至关重要的，所以也成为恶意收集的内容。为了不让高科技犯罪有机可乘，保护好个人隐私数据是最简单、最直接的方法。例如，切莫贪图一些免费的服务而轻易将个人隐私交与陌生人——你永远不知道上传的数据会流失到什么人手上。覆水难收，数据一旦上传便无法控制，所谓的“删除”都是假的。

例2.23 以数据驱动的机器学习模型很容易被数据攻击。2015年，谷歌的研究人员发现，深度学习在物体识别上很容易被数据攻击，稍加一些巧妙设计的噪点，便能让识别系统崩溃。例如，一只熊猫的图片加入噪点后，在人类的眼睛里它还是一只熊猫，但机器却以非常高的信念度将它识别为长臂猿^[49]。

图2.53 对人类来说几乎无差别的两张图片，对深度神经网络来说可能差别巨大

如果AI产品或系统所用的机器学习模型缺乏可解释性，人们甚至搞不清楚模型何时表现得脆弱、何时结果不可信，那么它们就有被数据攻击的风险。例如，一副边框带噪点的眼镜就足以让人脸识别系统失效，犯罪分子完全可以钻这个空子轻易逃脱监控。再例如，破坏者在交通标志上喷些噪点便能让自动驾驶的识别系统误判，可能会造成车毁人亡的严重后果。