[논문 리뷰] Characterizing Audio Adversarial Examples Using Temporal Dependency

Zhuolin Yang, Bo Li외 2명|arXiv (Cornell University)|2018. 09. 28.

Adversarial Robustness in Machine Learning참고 문헌 37인용 수 86

한 줄 요약

이 논문은 입력 변환이 오디오 적대적 예에 대한 강건성을 제한적으로 제공하는 반면, 오디오의 시간 의존성을 활용하는 것이 적대적 입력을 효과적으로 구분할 수 있으며 적응적 공격에 대해서도 마찬가지라는 것을 보여준다.

ABSTRACT

Recent studies have highlighted adversarial examples as a ubiquitous threat to different neural network models and many downstream applications. Nonetheless, as unique data properties have inspired distinct and powerful learning principles, this paper aims to explore their potentials towards mitigating adversarial inputs. In particular, our results reveal the importance of using the temporal dependency in audio data to gain discriminate power against adversarial examples. Tested on the automatic speech recognition (ASR) tasks and three recent audio adversarial attacks, we find that (i) input transformation developed from image adversarial defense provides limited robustness improvement and is subtle to advanced attacks; (ii) temporal dependency can be exploited to gain discriminative power against audio adversarial examples and is resistant to adaptive attacks considered in our experiments. Our results not only show promising means of improving the robustness of ASR systems, but also offer novel insights in exploiting domain-specific data properties to mitigate negative effects of adversarial examples.

연구 동기 및 목표

• 이미지 adversarial 방어의 교훈이 오디오 도메인으로 전이되는가?
• 적대적 예에 대한 오디오 입력 변환의 효과를 평가한다.
• 오디오 적대적 예를 탐지하기 위한 시간 의존성 기반 방법을 제안하고 검증한다.
• 제안한 방법의 적응형 공격에 대한 강건성을 평가한다.

제안 방법

• 간단한 오디오 입력 변환(양자화, 스무딩, 다운샘플링, 오토인코더)을 평가하고 최근 공격에 대한 강건성을 측정한다.
• ASR 출력의 접두사 k와 전체 전사문의 접두사를 비교하여 불일치를 탐지하는 시간 의존성(TD) 방법을 제안한다.
• TD 성능의 지표로 WER/CER 및 LCP(Longest Common Prefix)를 사용한다.
• LibriSpeech 및 Mozilla Common Voice 데이터셋에서 여러 공격 방법(GA, Commander Song, Opt)으로 TD를 테스트한다.
• 세그먼트, 연결 및 결합 전략을 포함한 강한 적응형 공격 하에서 TD를 평가한다.

실험 결과

연구 질문

• RQ1 이미지 adversarial 방어의 교훈이 오디오 도메인으로 전이되는가?
• RQ2 오디오의 시간 의존성이 ASR에서 적대적 예를 구분하는 데 도움이 되는가?
• RQ3 오디오 입력 변환이 적응형 적대자에 대해 강건한가?
• RQ4 TD 기반 탐지가 비적응적 및 적응적 오디오 공격에 대해 효과적인가?

주요 결과

• 입력 변환은 오디오 적대적 예에 대해 제한된 강건성을 제공하며 적응형 공격에 의해 우회될 수 있다.
• 시간 의존성은 ASR 작업 전반에서 적대적 오디오와 정상 오디오를 효과적으로 구분할 수 있으며 TD를 사용한 WER 기준으로 Common Voice에서 최대 0.936, LIBRIS에서 0.93의 높은 AUC를 달성한다.
• 공격자가 방어를 알고 있더라도 CER 기반 탐지를 위한 k 값 예: 1/2 및 4/5를 포함해 TD 방법은 여전히 효과적이다.
• 오토인코더 기반 방어(MagNet 유사)는 오디오에서 성능이 좋지 않으며 정상 오디오 품질을 저하시킬 수 있다.
• 입력 변환에 대한 적응형 공격은 높은 성공률을 달성할 수 있는 반면 TD 기반 탐지는 강한 성능을 유지한다(AUC 점수 0.93–0.97 사이).
• TD에 대한 연결(concatenation) 및 세그먼트 적응형 공격은 종종 실패하여 시간 의존성이 방어로서의 강점을 보여준다.