[논문 리뷰] Poisoned Acoustics

Harrison Dahme|arXiv (Cornell University)|2026. 02. 25.

Adversarial Robustness in Machine Learning인용 수 0

한 줄 요약

논문은 서브-1% 오염에서 표적 데이터 포이징 공격을 음향 차량 분류에 시연하고, 트럭을 자동차로 잘못 분류하게 하는 높은 오분류를 달성하면서도 전체 정확도 손실은 미미하게 유지되며, Merkle 커밋먼트와 포스트 양자 서명을 이용한 신뢰 최소화 방어를 제안한다.

ABSTRACT

Training-data poisoning attacks can induce targeted, undetectable failure in deep neural networks by corrupting a vanishingly small fraction of training labels. We demonstrate this on acoustic vehicle classification using the MELAUDIS urban intersection dataset (approx. 9,600 audio clips, 6 classes): a compact 2-D convolutional neural network (CNN) trained on log-mel spectrograms achieves 95.7% Attack Success Rate (ASR) -- the fraction of target-class test samples misclassified under the attack -- on a Truck-to-Car label-flipping attack at just p=0.5% corruption (48 records), with zero detectable change in aggregate accuracy (87.6% baseline; 95% CI: 88-100%, n=3 seeds). We prove this stealth is structural: the maximum accuracy drop from a complete targeted attack is bounded above by the minority class fraction (beta). For real-world class imbalances (Truck approx. 3%), this bound falls below training-run noise, making aggregate accuracy monitoring provably insufficient regardless of architecture or attack method. A companion backdoor trigger attack reveals a novel trigger-dominance collapse: when the target class is a dataset minority, the spectrogram patch trigger becomes functionally redundant--clean ASR equals triggered ASR, and the attack degenerates to pure label flipping. We formalize the ML training pipeline as an attack surface and propose a trust-minimized defense combining content-addressed artifact hashing, Merkle-tree dataset commitment, and post-quantum digital signatures (ML-DSA-65/CRYSTALS-Dilithium3, NIST FIPS 204) for cryptographically verifiable data provenance.

연구 동기 및 목표

• 음향 차량 분류기에 대해 표적 오분류를 유도하는 최소 포이징 비율을 정량화한다.
• 집합(총합) 정확도 모니터링이 표적 소수 클래스 공격을 신뢰성 있게 탐지하지 못함을 보인다.
• 백도어 트리거와 클래스 불균형 간의 상호작용을 규명한다(트리거-지배 붕괴).
• 데이터 포이징 및 공급망 공격으로부터 방어하기 위한 검증 가능하고 신뢰 최소화된 ML 학습 파이프라인을 제안한다.

제안 방법

• MELAUDIS 도시 교차로 오디오 데이터를 사용하고 128-빈 로그-멜 스펙트로그램 입력을 사용한다.
• 단일 차량 클립에서 6웨이(vehicle) 분류를 위한 컴팩트한 2-D CNN을 학습한다.
• 두 가지 공격 변형을 구현한다: Truck->Car 레이블의 표적 레이블 반전과 12x12 스펙트로그램 패치가 있는 백도어 트리거
• 포이징 비율 p가 {0.5%, 1%, 2%}일 때 남겨둔( held-out) Truck 샘플에서 공격 성공률(ASR)을 측정한다.
• 소수 클래스 비율과 탐지 가능한 정확도 저하 간의 관계를 분석하고 Δ Acc_max <= beta의 경계를 보인다.
• 데이터 원산지 검증을 위한 Merkle 커밋먼트와 포스트 양자 서명을 갖춘 신뢰 최소화 파이프라인을 제안한다.

실험 결과

연구 질문

• RQ1 음향 차량 분류기에서 표적 오분류에 대해 높은 ASR을 달성하기 위해 필요한 포이징 비율은 얼마인가?
• RQ2 불균형 데이터셋에서 집계 정확도 모니터링이 표적 소수 클래스 공격을 탐지할 수 있는가?
• RQ3 스펙트로그램 공간에서 클래스 불균형이 백도어 트리거의 효과에 어떤 영향을 미치는가?
• RQ4 데이터 포이징 및 공급망 공격에 대해 ML 학습 파이프라인의 무결성을 보장할 수 있는 어떤 암호화 방어책이 있는가?

주요 결과

• 0.5% 포이징(48건)으로 Truck->Car에 대해 ASR = 95.7%를 달성하고 전체 정확도는 87.6%이다.
• 모든 테스트 비율에서 집계 테스트 정확도는 깨끗한 기준선(87.6–87.4%)과 통계적으로 구별되지 않는다.
• Truck(학습 데이터의 약 3%)의 경우 전체 공격으로 인한 정확도 손실은 소수 부분에 의해 경계되며 Δ Acc_max <= beta; 따라서 불균형에 의해 은밀성이 증가한다.
• 0.5% 포이징의 백도어 변형에서 깨끗한 ASR과 트리거된 ASR(약 94.87%)이 같다, 이는 소수 클래스에 대해 패치가 중복되거나 지배력을 잃는 트리거-지배 붕괴를 나타낸다.
• 패치 백도어는 소수 클래스에서 레이블 반전으로 수렴하며, 취약점은 주로 레이블에 있으며 스펙트로그램 수정보다는 레이블에 더 있다.
• Merkle 데이터셋 커밋먼트와 포스트 양자 ML-DSA-65 서명을 갖춘 암호학적 방어 아키텍처는 검증 가능한 데이터 출처를 제공하여 두 유형의 공격을 완화할 수 있다.