[論文レビュー] Isolated and Ensemble Audio Preprocessing Methods for Detecting Adversarial Examples against Automatic Speech Recognition

Krishan Rajaratnam, Kunal Shah+1 more|arXiv (Cornell University)|Sep 11, 2018

Digital Media Forensic Detection被引用数 19

ひとこと要約

本稿では、自動音声認識システムにおける敵対的例の検出を目的として、分離型およびアンサンブル型の音声前処理技術を提案する。圧縮、音声符号化、フィルタリング、音声パンニングを組み合わせることで、Speech Commands Model を標的とする敵対的入力の検出において、93.5%の精度と91.2%の再現率を達成し、遺伝的攻撃に対して強固な防御を実現した。

ABSTRACT

An adversarial attack is an exploitative process in which minute alterations are made to natural inputs, causing the inputs to be misclassified by neural models. In the field of speech recognition, this has become an issue of increasing significance. Although adversarial attacks were originally introduced in computer vision, they have since infiltrated the realm of speech recognition. In 2017, a genetic attack was shown to be quite potent against the Speech Commands Model. Limited-vocabulary speech classifiers, such as the Speech Commands Model, are used in a variety of applications, particularly in telephony; as such, adversarial examples produced by this attack pose as a major security threat. This paper explores various methods of detecting these adversarial examples with combinations of audio preprocessing. One particular combined defense incorporating compressions, speech coding, filtering, and audio panning was shown to be quite effective against the attack on the Speech Commands Model, detecting audio adversarial examples with 93.5% precision and 91.2% recall.

研究の動機と目的

• 自動音声認識システムに対する敵対的攻撃の増加する脅威に対処すること、特に、Speech Commands Model のような限定語彙モデルを対象とする。
• 音声前処理技術が敵対的例の検出メカニズムとして有効であるかどうかを調査すること。
• より高い検出耐性を実現するため、前処理手法の分離型およびアンサンブル型の組み合わせを評価すること。
• 計算効率が高く、リアルタイムの音声認識パイプラインと互換性を持つ防御戦略を開発すること。

提案手法

• 著者らは、音声圧縮、音声符号化（例：AMR）、バンドパスフィルタリング、ステレオパンニングなどの分離型前処理技術を、入力音声信号に適用する。
• Speech Commands Model に対する遺伝的攻撃によって生成された敵対的例の検出において、各手法の有効性を評価する。
• アンサンブル手法では、圧縮、音声符号化、フィルタリング、パンニングの複数の前処理技術を1つの検出パイプラインに統合する。
• 前処理後のモデルの信頼度スコアの変化に基づいて、入力を健全または敵対的と分類する検出システムを構築する。
• 敵対的摂動は信号変換に対して感受性が強いが、自然音声はその変換に対しては耐性があるという原則に依拠する。
• 最終的な検出モデルは、前処理後のモデル出力の信頼度に閾値ベースの意思決定ルールを適用する。

実験結果

リサーチクエスチョン

• RQ1 分離型の音声前処理技術は、自動音声認識システムにおける敵対的例の検出に有効に機能するか？
• RQ2 個々の前処理手法の性能は、敵対的入力の検出においてどのように比較されるか？
• RQ3 複数の前処理技術をアンサンブル的に組み合わせることで、分離型手法よりも検出精度が向上するか？
• RQ4 一般的な音声信号変換を経験した後、敵対的例はどの程度依然として有効性を保つのか？
• RQ5 提案手法は、自然音声の認識精度を損なわず、高い検出性能を維持できるか？

主な発見

• 圧縮、音声符号化、フィルタリング、音声パンニングを組み合わせたアンサンブル手法は、敵対的例の検出において93.5%の精度と91.2%の再現率を達成した。
• 個々の前処理技術は効果の程度に差があり、音声符号化とフィルタリングが特に優れた検出能力を示した。
• アンサンブル手法は分離型手法を上回る性能を示し、複数の信号変換を組み合わせることによる相乗効果が確認された。
• 遺伝的攻撃によって生成された複数の敵対的例に対して、本手法は高い検出性能を維持した。
• 防御機構は自然音声の認識精度を保持しており、正当な入力への影響が最小限に抑えられていることが示された。