[論文レビュー] Towards Understanding and Mitigating Audio Adversarial Examples for Speaker Recognition

Guangke Chen, Zhe Zhao+5 more|arXiv (Cornell University)|Jun 7, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本稿では、22種類の多様な入力変換を評価し、 adversarial training と組み合わせることで、音声認識システムに対する adversarial 音声攻撃に対する包括的な防御フレームワークを提案する。特徴レベル変換（FeCo）を新たに導入し、adversarial training と組み合わせることで、完全なホワイトボックス攻撃下でも正答率を13.62%向上させるとともに、攻撃コストを2桁上昇させ、単独での防御を上回る性能を発揮する。

ABSTRACT

Speaker recognition systems (SRSs) have recently been shown to be vulnerable to adversarial attacks, raising significant security concerns. In this work, we systematically investigate transformation and adversarial training based defenses for securing SRSs. According to the characteristic of SRSs, we present 22 diverse transformations and thoroughly evaluate them using 7 recent promising adversarial attacks (4 white-box and 3 black-box) on speaker recognition. With careful regard for best practices in defense evaluations, we analyze the strength of transformations to withstand adaptive attacks. We also evaluate and understand their effectiveness against adaptive attacks when combined with adversarial training. Our study provides lots of useful insights and findings, many of them are new or inconsistent with the conclusions in the image and speech recognition domains, e.g., variable and constant bit rate speech compressions have different performance, and some non-differentiable transformations remain effective against current promising evasion techniques which often work well in the image domain. We demonstrate that the proposed novel feature-level transformation combined with adversarial training is rather effective compared to the sole adversarial training in a complete white-box setting, e.g., increasing the accuracy by 13.62% and attack cost by two orders of magnitude, while other transformations do not necessarily improve the overall defense capability. This work sheds further light on the research directions in this field. We also release our evaluation platform SPEAKERGUARD to foster further research.

研究の動機と目的

• 音声認識における非適応的および適応的 adversarial 攻撃に対して、多様な入力変換および adversarial training の有効性を体系的かつ評価すること。
• BPDA、EOT、NES などの回避技術を用いる適応的攻撃においても効果を示す変換を特定すること。
• 入力変換と adversarial training を組み合わせることで、単独での手法を上回る耐性が向上するかどうかを調査すること。
• 音声認識分野における防御の再現可能で公平なベンチマーク評価を支援するため、SPEAKERGUARD を公開すること。

提案手法

• 著者らは、時間領域および周波数領域の操作、音声圧縮（例：MP3、AAC）および新規の特徴レベル圧縮を含む、22種類の多様な音声変換を設計・実装した。
• 一貫した実験設定のもとで、7つの最近の adversarial 攻撃（PGDベースの4つのホワイトボックス攻撃およびFAKEBOB、SirenAttackなどの3つのブラックボックス攻撃）に対してこれらの防御を評価した。
• 非微分可能またはランダムな防御を回避するため、逆方向パス微分近似（BPDA）、変換の期待値（EOT）、自然的進化戦略（NES）などの回避技術を用いて適応的攻撃を構築した。
• PGDベースの adversarial training と組み合わせて、新たな特徴レベル変換である FeCo を提案した。
• 防御の再現可能なベンチマーク評価を可能にするため、評価フレームワークである SPEAKERGUARD を公開した。
• 耐性は、通常例および adversarial 例における正答率、攻撃コスト（摂動の大きさ）、歪度レベルによって測定した。

実験結果

リサーチクエスチョン

• RQ1 音声認識における adversarial 攻撃、特に適応的攻撃状況下で、どの入力変換が最も効果的であるか？
• RQ2 入力変換と adversarial training を組み合わせることで、単独での手法と比較して耐性がどのように向上するか？
• RQ3 微分不能またはランダムな変換は、BPDA や EOT などの勾配推定技術を用いる適応的攻撃に対しても効果を示すのか？
• RQ4 変動ビットレートと固定ビットレートの音声圧縮は、ホワイトボックスおよびブラックボックス設定下で、防御効果においてどのように比較されるか？
• RQ5 新規の特徴レベル変換は、adversarially trained な音声認識モデルの耐性を顕著に向上させることができるか？

主な発見

• adversarial training と組み合わせた新規の特徴レベル変換 FeCo は、完全なホワイトボックス攻撃下で、通常正答率を13.62%向上させるとともに、攻撃コストを2桁上昇させた。
• 変動ビットレートのMP3およびAACは、固定ビットレートのものよりもブラックボックス攻撃に対してより耐性があるが、ホワイトボックス設定では逆の傾向を示した。
• MP3 や AAC などの微分不能な音声圧縮は、BPDA ベースの適応的攻撃に対しても効果的であり、画像認識分野とは異なり、このような防御が通常は失敗するという従来の知見とは対照的である。
• 時間領域・周波数領域のシフトや基本的な圧縮などの一般的な変換は、EOT や NES などの適応的技術を用いた攻撃ではほとんど効果を示さない。
• ランダム化された変換は、ブラックボックス適応的攻撃に対して強く耐性を示し、実用的防御設定における有用性を示唆している。
• 変換と adversarial training を組み合わせても、すべての組み合わせで耐性が向上するわけではない。FeCo と adversarial training の組み合わせに限って、顕著な向上が得られた。