[論文レビュー] Adversarial Audio: A New Information Hiding Method and Backdoor for DNN-based Speech Recognition Models

Yehao Kong, Jiliang Zhang|arXiv (Cornell University)|Apr 8, 2019

Digital Media Forensic Detection参考文献 25被引用数 14

ひとこと要約

本論文は、プライベートなDNNベースのASRモデル内で訓練された敵対的摂動を用いて音声に隠し情報を埋め込む、画期的な音声ステガノグラフィー手法を提案している。48 cpsの隠し容量を達成し、高い不可知性（PESQ ≈ 3.598）と強固なセキュリティを実現しており、公開モデルでは隠しコンテンツを抽出できない。同様の手法により、DNNベースのASRモデルに埋め込まれた内在的バックドアをも引き起こすことができ、インテリジェントスピーカーに対する深刻なセキュリティ脅威をもたらす。

ABSTRACT

Audio is an important medium in people's daily life, hidden information can be embedded into audio for covert communication. Current audio information hiding techniques can be roughly classed into time domain-based and transform domain-based techniques. Time domain-based techniques have large hiding capacity but low imperceptibility. Transform domain-based techniques have better imperceptibility, but the hiding capacity is poor. This paper proposes a new audio information hiding technique which shows high hiding capacity and good imperceptibility. The proposed audio information hiding method takes the original audio signal as input and obtains the audio signal embedded with hidden information (called stego audio) through the training of our private automatic speech recognition (ASR) model. Without knowing the internal parameters and structure of the private model, the hidden information can be extracted by the private model but cannot be extracted by public models. We use four other ASR models to extract the hidden information on the stego audios to evaluate the security of the private model. The experimental results show that the proposed audio information hiding technique has a high hiding capacity of 48 cps with good imperceptibility and high security. In addition, our proposed adversarial audio can be used to activate an intrinsic backdoor of DNN-based ASR models, which brings a serious threat to intelligent speakers.

研究の動機と目的

• 従来の音声ステガノグラフィー手法における隠し容量と不可知性のトレードオフを解消すること。
• リソース制限のあるIoTデバイス（例：インテリジェントスピーカー）に適した、安全で低コストの情報隠し技術を開発すること。
• 敵対的音声がDNNベースのASRモデルに内在するバックドアを引き起こすことができることを実証すること。
• 公開ASRモデルおよびステガノグラフィー分析に対する、提案手法の耐性とセキュリティを評価すること。
• 既存のASRインfraストラクチャを活用してエッジデバイスにおける密通信用の実用的かつ鍵なしのソリューションを提供すること。

提案手法

• プライベートに訓練されたDNNベースのASRモデルを用いて、音声の聴取的品質を損なわずに隠し情報を埋め込む敵対的摂動を生成する。
• 隠し情報は文全体として符号化され、摂動を加えた音声がターゲットテキストとして認識されるようにASRモデルを訓練することで埋め込む。
• ステガノグラフィック音声は、元の音声に訓練済みの敵対的摂動を適用することで生成され、音声品質を維持しながらデータを埋め込む。
• 隠し情報の抽出は、埋め込みコンテンツをデコードできるように設計されたプライベートASRモデルでのみ可能である。
• 暗号化のオーバーヘッドを回避するため、モデル固有の挙動に依存することで、低リソースのIoTデバイスに適している。
• セキュリティは、4つの公開ASRモデル（例：Google、IBM）に対してステガノグラフィック音声をテストすることで評価され、いずれのモデルも隠しコンテンツを抽出できなかった。

実験結果

リサーチクエスチョン

• RQ1 プライベートなDNNベースのASRモデルにおける敵対的摂動を用いて、高い容量と不可知性を実現する音声への隠し情報埋め込みが可能か？
• RQ2 提案手法は、隠し容量、聴取的品質、および公開ASRモデルに対する耐性において、どのように性能を発揮するか？
• RQ3 同じステガノグラフィック音声を用いて、DNNベースのASRモデルに内在するバックドアを活性化できるか？
• RQ4 本手法は、既存の音声ステガノグラフィー分析手法に対してどれほど効果的か？
• RQ5 本手法は、リソース制限のあるIoTデバイス（例：インテリジェントスピーカー）への展開において実用的か？

主な発見

• 提案手法は、従来の変換ドメイン手法よりも顕著に高い48.0文字/秒の隠し容量を達成した。
• 平均PESQスコアが3.598であるため、ステガノグラフィック音声は非常に不可知であり、聴取的劣化が最小限に抑えられている。
• GoogleやIBMを含む4つの公開ASRモデルが、ステガノグラフィック音声からの隠し情報を抽出できなかったため、強固なセキュリティが確認された。
• ステガノグラフィック音声は、DNNベースのASRモデルに内在するバックドアを正常に活性化し、インテリジェントデバイスの不正制御を可能にした。
• 鍵の保存や復号処理を必要としないため、軽量でリソース制限のあるIoTデバイスへの展開に適している。
• 現在のステガノグラフィー分析手法（例：QMDCT係数に対するCNNベースの分析）は、オリジナル音声の80％を誤ってステガノグラフィック音声と特定してしまうなど、本手法の検出には信頼性が低いことが示された。