[論文レビュー] Weighted-Sampling Audio Adversarial Example Attack

Xiaolei Liu, Xiaosong Zhang+3 more|arXiv (Cornell University)|Jan 26, 2019

Adversarial Robustness in Machine Learning参考文献 41被引用数 4

ひとこと要約

本稿では、重み付き摂動技術（WPT）とサンプリング摂動技術（SPT）を用いた高速で頑健な音声対抗攻撃を提案する。これらは摂動を加える音声点の数と重みを最適化することで、生成速度を向上させるとともにノイズ耐性を強化する。本手法は、4〜5分間で人間が感知できない、非常に頑健な対抗例を生成可能であり、従来手法よりも顕著に高速である。また、全変動距離（TVD）損失関数を用いることで音声の忠実度を向上させた。

ABSTRACT

Recent studies have highlighted audio adversarial examples as a ubiquitous threat to state-of-the-art automatic speech recognition systems. Thorough studies on how to effectively generate adversarial examples are essential to prevent potential attacks. Despite many research on this, the efficiency and the robustness of existing works are not yet satisfactory. In this paper, we propose~ extit{weighted-sampling audio adversarial examples}, focusing on the numbers and the weights of distortion to reinforce the attack. Further, we apply a denoising method in the loss function to make the adversarial attack more imperceptible. Experiments show that our method is the first in the field to generate audio adversarial examples with low noise and high audio robustness at the minute time-consuming level.

研究の動機と目的

• 従来の音声対抗攻撃手法が1例生成するのに1時間以上を要するという非効率性を是正すること。
• 録音や再生時に発生するランダムノイズなどの一般的な音声歪みに対して、対抗音声例の耐性を向上させること。
• 異なる損失関数の指標が音声対抗例の品質および人間が感知できない程度に与える影響を調査すること。
• すべての点に均等に摂動を加えるのではなく、摂動を加える点の数と重みを最適化するという画期的な概念を提示すること。
• 実際の音声劣化状況下でも効果を保つように、実用的で空中（オーバーザエア）対抗攻撃を可能にすること。

提案手法

• 重要度に応じて摂動点に適応的な重みを割り当てる重み付き摂動技術（WPT）を提案。音声信号における重要な領域に焦点を当てることで、攻撃の効率を向上させる。
• 音声ベクトルの75％に満たない点にのみ摂動を加えることで、摂動点の数を削減するサンプリング摂動技術（SPT）を導入。話法の相関性を活用することで、耐性を維持する。
• モデル損失（ターゲットトランスクリプションと一致させるため）とメトリクス損失（音声類似性を保つため）を組み合わせたハイブリッド損失関数を採用。人間の感知に影響しにくい性能向上のため、全変動距離（TVD）をメトリクスとして使用。
• 音声伝送中の点ごとのランダムノイズに対する耐性を高めるために、損失関数内にデノイジング機構を適用。
• 学習の安定化と収束速度の向上のため、ビームサーチデコーダーと学習率の段階的低下戦略（β = 0.8）を用いる。
• c = 0.001、γ = 10、初期学習率100といったハイパーパrameterを最適化。成功した対抗例生成毎に50イテレーションごとに学習率を低下させる。

実験結果

リサーチクエスチョン

• RQ1 音声対抗例における摂動点の数を減らすことで、現実の音声劣化に対して耐性が向上するか？
• RQ2 摂動点に変動する重みを割り当てることで、攻撃の効率が向上し、高い成功率を維持できるか？
• RQ3 損失関数におけるメトリクスの選択が、音声対抗例の人間が感知できない程度の性能と耐性に与える影響は？
• RQ4 WPTとSPTの組み合わせにより、最先端の手法よりも高速に対抗例を生成できるか、かつ高い耐性を維持できるか？
• RQ5 録音や伝送時に発生する人間が感知できないノイズを加えた後でも、効果を保つ音声対抗例を生成できるか？

主な発見

• 提案手法は、わずか4〜5分で音声対抗例を生成可能であり、従来手法が1時間以上を要するのと比べ顕著な改善である。
• 聴取テストにより、提供されたウェブサイトで確認されたように、低周波歪みを維持しながらも高い攻撃成功率を達成している。
• 75％の摂動点を用いたSPTは、全ベクトル摂動手法と比較して、ランダムノイズに対して顕著に耐性が向上している。
• TVDをメトリクス損失関数として使用することで、標準的なlpノルムと比較して、より人間が感知しにくい対抗例が得られた。
• 本手法は既存の攻撃と相補的であり、他の対抗攻撃フレームワークの性能向上に応用可能である。
• 実験では、人間が感知できないノイズを加えた後でも、対抗例が依然として効果的であることが示され、現実の状況下での強い耐性を示している。