[論文レビュー] Adversarial Attacks on GMM i-vector based Speaker Verification Systems

Xu Li, Jinghua Zhong+4 more|arXiv (Cornell University)|Nov 8, 2019

Speech Recognition and Synthesis参考文献 28被引用数 11

ひとこと要約

この論文は、Fast Gradient Sign Method (FGSM) を用いた敵対的攻撃に対して、GMM i-vector に基づく話者認証システムの脆弱性を調査し、設計された敵対的サンプルがシステム性能を著しく低下させることを示している。さらに、これらの敵対的サンプルが x-vector に基づくシステムへも転送可能であることが示され、異なる話者認証アーキテクチャ間で深刻なセキュリティリスクが存在することが明らかになった。

ABSTRACT

This work investigates the vulnerability of Gaussian Mixture Model (GMM) i-vector based speaker verification systems to adversarial attacks, and the transferability of adversarial samples crafted from GMM i-vector based systems to x-vector based systems. In detail, we formulate the GMM i-vector system as a scoring function of enrollment and testing utterance pairs. Then we leverage the fast gradient sign method (FGSM) to optimize testing utterances for adversarial samples generation. These adversarial samples are used to attack both GMM i-vector and x-vector systems. We measure the system vulnerability by the degradation of equal error rate and false acceptance rate. Experiment results show that GMM i-vector systems are seriously vulnerable to adversarial attacks, and the crafted adversarial samples prove to be transferable and pose threats to neuralnetwork speaker embedding based systems (e.g. x-vector systems).

研究の動機と目的

• GMM i-vector に基づく話者認証システムの敵対的攻撃に対する脆弱性を評価すること。
• GMM i-vector システムから生成された敵対的サンプルが x-vector に基づくシステムへ転送可能かどうかを調査すること。
• FGSM を用いた白ボックスおよびブラックボックス攻撃の有効性を、話者認証システムに対して評価すること。
• 敵対的摂動が EER や FAR などの主要な性能指標に与える影響を測定すること。
• 再現可能性および話者認証における敵対的ロバストネス分野の今後の研究を支援するため、オープンソースコードを提供すること。

提案手法

• 登録用およびテスト用音声フレーズのペairに対するスコアリング関数として、GMM i-vector システムを形式化する。
• テスト用音声に敵対的摂動を最適化するために、Fast Gradient Sign Method (FGSM) を適用する。
• GMM i-vector システムおよび x-vector システムの両方で、話者類似度スコアリングに PLDA バックエンドを用いる。
• 制御された ε 値を用いて、線形予測コーディング (LPC) および MFCC 特徴量に摂動を加えることで敵対的サンプルを生成する。
• 元の音声と敵対的音声サンプルの間の知覚的類似度を評価するために、ABX テストを実施する。
• GMM i-vector システムおよび x-vector システムの両方に対して、完全なシステムアクセスがある白ボックス攻撃と、代替モデルを用いたブラックボックス攻撃を実施する。

実験結果

リサーチクエスチョン

• RQ1 GMM i-vector に基づく話者認証システムは、敵対的攻撃に対してどれほど脆弱であるか？
• RQ2 GMM i-vector システムから生成された敵対的サンプルは、x-vector に基づくシステムを効果的に攻撃できるか？
• RQ3 異なる攻撃設定（例：クロス特徴量、クロスモデル）における敵対的攻撃の性能はどのように変化するか？
• RQ4 敵対的サンプルは、人間の聴取者にとって元の音声と区別がつかないほど知覚的に類似しているか？
• RQ5 摂動の大きさ（ε）を増加させれば、攻撃効果が常に向上するのか？

主な発見

• 白ボックス攻撃において ε = 1 の条件下で、FAR が 90% 増加した。これは、GMM i-vector システムが極めて脆弱であることを示している。
• ABX テストの結果、51.5% の正確度が得られ、人間の聴取者が敵対的サンプルと元の音声を区別できないことを確認した。
• ブラックボックス攻撃において、クロス特徴量設定（LPMS-ivec → MFCC-ivec）で FAR が最大 60% 増加した。これは、強い転送性を示している。
• クロス特徴量・クロスモデル攻撃（LPMS-ivec → MFCC-xvec）では FAR が 30% 増加し、i-vector から x-vector システムへの転送性が確認された。
• 最適な値（例：ε = 5, 10）を超えて ε を増加させると、攻撃効果が低下する。これは、過剰な摂動がノイズとしての役割を果たし、性能をより効果的に損なわなくなるためである。
• ε が高くなると EER 値が約 50% に収束し、摂動がノイズに類似した性質を持つため、システムの識別力が失われる傾向にあることが示された。