[論文レビュー] Inaudible Adversarial Perturbations for Targeted Attack in Speaker Recognition

Qing Wang, Pengcheng Guo+1 more|arXiv (Cornell University)|May 21, 2020

Adversarial Robustness in Machine Learning参考文献 24被引用数 12

ひとこと要約

本論文は、聴覚的周波数マスキングを用いて生成された聞こえないほどの摂動を用いて、x-vectorベースの話者認識システムに対する標的型ホワイトボックス攻撃を提案する。通常のlp-ノルム制約とは異なり、摂動を人間の聴覚的マスキング閾値未満に制約することで、聴取者にとって完全に不正に感知されないまま、最大98.5％の攻撃成功率を達成した。これは、音楽などの非話者音声に対しても適用可能である。

ABSTRACT

Speaker recognition is a popular topic in biometric authentication and many deep learning approaches have achieved extraordinary performances. However, it has been shown in both image and speech applications that deep neural networks are vulnerable to adversarial examples. In this study, we aim to exploit this weakness to perform targeted adversarial attacks against the x-vector based speaker recognition system. We propose to generate inaudible adversarial perturbations achieving targeted white-box attacks to speaker recognition system based on the psychoacoustic principle of frequency masking. Specifically, we constrict the perturbation under the masking threshold of original audio, instead of using a common l_p norm to measure the perturbations. Experiments on Aishell-1 corpus show that our approach yields up to 98.5% attack success rate to arbitrary gender speaker targets, while retaining indistinguishable attribute to listeners. Furthermore, we also achieve an effective speaker attack when applying the proposed approach to a completely irrelevant waveform, such as music.

研究の動機と目的

• 人間の聴取者にとって不正に感知されない標的型悪意ある攻撃を、x-vectorベースの話者認識システムに開発すること。
• lp-ノルムに基づく摂動の限界を克服するため、聴覚的原理を活用してより優れた不正感知性を実現すること。
• 周波数マスキングに基づく摂動が、話者音声および非話者音声（例：音楽）の両方に対して効果的であるかを評価すること。
• 周波数マスキングに基づく摂動と従来のlp-ノルムに基づく手法との間で、聴取者の感覚的品質と攻撃効果を比較すること。
• 音楽などの関係のない音声入力に不正に感知されない摂動を用いて、高成功率の標的型攻撃が可能であることを実証すること。

提案手法

• x-vector話者認識モデルに対して、標的型ホワイトボックス攻撃フレームワークを用いて悪意ある摂動を生成する。
• 元の音声信号の聴覚的マスキング閾値未満に摂動を制約することで、不正に感知されないことを保証するため、聴覚的周波数マスキングを適用する。
• 標的話者ラベルに対する交差エントロピー損失を最小化するように、勾配ベースの最適化を用いて摂動を最適化する。
• 元の音声のスペクトルエンVELOープから導出されたマスキング閾値を用いて摂動の上限を定義し、lp-ノルム制約の代わりに使用する。
• 客観的指標（PESQ、SNR）と主観的ABX好みテストを用いて、摂動の聴取者による類似度を評価する。
• MUSANコーパスからの音楽を含む非話者入力に攻撃を拡張し、本手法の一般化性と頑健性をテストする。

実験結果

リサーチクエスチョン

• RQ1 周波数マスキングに基づく摂動は、lp-ノルムに基づく手法よりも標的型話者認識攻撃でより高い攻撃成功率を達成できるか？
• RQ2 周波数マスキングに基づく悪意ある摂動は、エネルギーがやや高い場合でも、lp-ノルムに基づく摂動よりもより聴取者にとって不正に感知されにくいか？
• RQ3 音声以外の入力（例：音楽）に不正に感知されない悪意ある摂動を適用しても、話者認識システムに対して効果的に攻撃できるか？
• RQ4 主観的聴取テストにおいて、周波数マスキングに基づく摂動の感覚的品質は、lp-ノルムに基づく摂動と比較してどうか？
• RQ5 本手法の性能は、異なる話者ターゲットの組み合わせ（例：M2M’、F2F’など）と異なるテストモードにおいて、どのように変動するか？

主な発見

• 提案手法は、Aishell-1コーパスにおいて全テストモードで最大98.5％の攻撃成功率を達成し、lp-ノルムに基づくベースラインを著しく上回った。
• 主観的ABX好みテストでは、68.67％の聴取者が周波数マスキングに基づく悪意ある例をlp-ノルムに基づくものよりも好んだため、より優れた不正感知性が示された。
• 絶対エネルギーが大きいにもかかわらず、周波数マスキングに基づく摂動は元の声に類似していると判断され、より優れた感覚的透明性が確認された。
• MUSANコーパスの音楽波形に適用した場合、91.5％の攻撃成功率を達成し、完全に無関係な非話者音声入力に対しても有効であることが示された。
• 客観的指標ではlp-ノルムに基づく摂動がわずかに優れたPESQおよびSNRを示したが、主観的結果から周波数マスキングに基づく摂動が実際にはより不正に感知されにくいことが確認された。
• 攻撃ステージ2において、全性別ターゲットの組み合わせ（M2M’、M2F’、F2M’、F2F’）で一貫して高い攻撃成功率が得られ、93.8％から98.5％の範囲に収まった。