[論文レビュー] Characterizing Audio Adversarial Examples Using Temporal Dependency

Zhuolin Yang, Bo Li+2 more|arXiv (Cornell University)|Sep 28, 2018

Adversarial Robustness in Machine Learning参考文献 37被引用数 86

ひとこと要約

本論文は、入力変換が音声 adversarial 例に対して限定的な頑健性を提供する一方、音声の時系列依存性を活用することで、適応攻撃を含む adversarial inputs を効果的に識別できることを示す。

ABSTRACT

Recent studies have highlighted adversarial examples as a ubiquitous threat to different neural network models and many downstream applications. Nonetheless, as unique data properties have inspired distinct and powerful learning principles, this paper aims to explore their potentials towards mitigating adversarial inputs. In particular, our results reveal the importance of using the temporal dependency in audio data to gain discriminate power against adversarial examples. Tested on the automatic speech recognition (ASR) tasks and three recent audio adversarial attacks, we find that (i) input transformation developed from image adversarial defense provides limited robustness improvement and is subtle to advanced attacks; (ii) temporal dependency can be exploited to gain discriminative power against audio adversarial examples and is resistant to adaptive attacks considered in our experiments. Our results not only show promising means of improving the robustness of ASR systems, but also offer novel insights in exploiting domain-specific data properties to mitigate negative effects of adversarial examples.

研究の動機と目的

• 画像対向攻撃防御の教訓が画像から音声ドメインへ転用できるかを調査する。
• 音声入力変換が adversarial examples に対してどれくらい有効かを評価する。
• 音声 adversarial examples を検出する時系列依存性ベースの手法を提案し検証する。
• 提案手法の適応攻撃に対する頑健性を評価する。

提案手法

• 単純な音声入力変換（量子化、平滑化、ダウンサンプリング、オートエンコーダー）を評価し、最近の攻撃に対する頑健性を測定する。
• ASR 出力を prefix k の結果と全書き起こしの prefix を比較して矛盾を検出する時系列依存性（TD）手法を提案する。
• TD の性能指標として WER/CER および Longest Common Prefix (LCP) を用いる。
• LibriSpeech および Mozilla Common Voice データセットで、複数の攻撃手法（GA、Commander Song、Opt）を用いて TD を検証する。
• セグメント、連結、組み合わせ戦略を含む強力な適応攻撃の下で TD を評価する。

実験結果

リサーチクエスチョン

• RQ1 画像対向攻撃防御の教訓は音声ドメインに移行できるか？
• RQ2 音声の時系列依存性は ASR における adversarial 例の識別に役立つか？
• RQ3 音声入力変換は適応的な adversary に対して頑健か？
• RQ4 TD ベース検出は非適応および適応音声攻撃の両方に対して有効か？

主な発見

• 入力変換は音声 adversarial 例に対して限定的な頑丈性を提供し、適応攻撃で回避され得る。
• 時系列依存性はASRタスク全体で adversarial audio と benign audio を効果的に識別でき、TD の場合 WER を用いた場合 Common Voice で最大 0.936、LIBRIS で 0.93 の AUC に達するなど高い性能を示す。
• 攻撃者が防御を知っている場合でも、CER ベース検出で k の値として 1/2 や 4/5 などを含む TD 手法は依然として有効である。
• オートエンコーダーベースの防御（MagNet 風）は音声では性能が悪く、善良な音声品質を低下させる可能性がある。
• 入力変換に対する適応的 attacks は高い成功率を上げられる一方、TD ベースの検出は高い性能を維持（AUC 約 0.93–0.97）する。
• TD に対する連結型およびセグメント適応 attacks はしばしば失敗し、時系列依存性を防御としての強さを示している。