[논문 리뷰] SEC4SR: A Security Analysis Platform for Speaker Recognition

Guangke Chen, Zhe Zhao외 4명|arXiv (Cornell University)|2021. 09. 04.

Adversarial Robustness in Machine Learning참고 문헌 95인용 수 6

한 줄 요약

SEC4SR는 발화자 인식 시스템을 위한 첫 번째 종합적인 보안 분 析 플랫폼으로, 4개의 인식 작업과 5개의 데이터셋을 통해 15개의 공격(적응형 변형 포함)과 23개의 방어 기법(신규 특징 수준 변환 포함)을 체계적으로 평가할 수 있도록 한다. 이 플랫폼은 특징 수준 변환과 적대적 훈련을 조합함으로써 모든 유형의 공격에 대해 가장 강력한 방어를 제공함을 입증한다.

ABSTRACT

Adversarial attacks have been expanded to speaker recognition (SR). However, existing attacks are often assessed using different SR models, recognition tasks and datasets, and only few adversarial defenses borrowed from computer vision are considered. Yet,these defenses have not been thoroughly evaluated against adaptive attacks. Thus, there is still a lack of quantitative understanding about the strengths and limitations of adversarial attacks and defenses. More effective defenses are also required for securing SR systems. To bridge this gap, we present SEC4SR, the first platform enabling researchers to systematically and comprehensively evaluate adversarial attacks and defenses in SR. SEC4SR incorporates 4 white-box and 2 black-box attacks, 24 defenses including our novel feature-level transformations. It also contains techniques for mounting adaptive attacks. Using SEC4SR, we conduct thus far the largest-scale empirical study on adversarial attacks and defenses in SR, involving 23 defenses, 15 attacks and 4 attack settings. Our study provides lots of useful findings that may advance future research: such as (1) all the transformations slightly degrade accuracy on benign examples and their effectiveness vary with attacks; (2) most transformations become less effective under adaptive attacks, but some transformations become more effective; (3) few transformations combined with adversarial training yield stronger defenses over some but not all attacks, while our feature-level transformation combined with adversarial training yields the strongest defense over all the attacks. Extensive experiments demonstrate capabilities and advantages of SEC4SR which can benefit future research in SR.

연구 동기 및 목표

• 발화자 인식(SR) 분야에서 적대적 공격 및 방어 기법에 대한 체계적이고 종합적인 평가 플랫폼 부족 문제를 해결한다.
• 다양한 SR 모델, 데이터셋, 방어 기법을 대상으로 비적응형 및 적응형 공격를 통합 평가할 수 있는 유일한 프레임워크를 제공한다.
• 입력 수준 및 특징 수준 변환의 효과성을 평가하며, 특히 적응형 공격 상황에서의 성능을 분석한다.
• 적대적 훈련과 다양한 방어 기법 간의 상호보완성을 평가하여 가장 강력한 방어 구성 요소를 규명한다.

제안 방법

• BPDA, EOT, NES를 활용해 방어 회피를 위한 적응형 변형을 적용한 4개의 화이트박스 및 2개의_BLK박스 적대적 공격을 통합한다.
• 24개의 방어 기법을 구현하며, 이 중 22개는 시간 도메인 및 주파수 도메인, 음성 압축, 그리고 신규 특징 수준 조작을 포함한 입력 및 특징 수준 변환 기법이며, 나머지 2개는 적대적 훈련 방법이다.
• 3개의 주류 SRS와 5개의 표준화된 음성 데이터셋을 지원하며, 4개의 인식 작업(예: CSI-E, SV, OSI, CSI-NE)을 포함한다.
• 이미지 기반 지표 외에도 인간 청취 인식과 일치하는 왜곡 지표를 도입한다.
• 공격자의 지식 수준이 증가함에 따라 방어 수준을 평가할 수 있도록 비적응형 및 적응형 공격 설정을 구성할 수 있도록 한다.
• 공격 성공률 평가를 위한 8개의 공격 지표와 방어 효과성 평가를 위한 3개의 방어 지표를 제공하여 정량적 평가를 지원한다.

실험 결과

연구 질문

• RQ1 다양한 공격 설정과 모델에서 SRS는 얼마나 취약한가?
• RQ2 비적응형 공격에 대비해 입력 및 특징 수준 변환은 얼마나 효과적인가?
• RQ3 공격자가 방어 기법을 완전히 파악한 경우(적응형 공격)에도 이러한 변환이 여전히 효과적인가?
• RQ4 특징 수준 변환과 적대적 훈련을 조합하면 더 강력하고 일반화 능력이 뛰어난 방어가 가능한가?

주요 결과

• 모든 입력 및 특징 수준 변환은 청소년 정확도를 약간 저하시키지만, 공격 유형에 따라 효과의 정도가 크게 달라진다.
• 대부분의 변환 기법은 적응형 공격 상황에서 효과를 상실하지만, 특히 특징 수준 변환은 이러한 환경에서 오히려 효과가 증가하는 경우가 있다.
• 특정 공격 유형에 대해서만 적대적 훈련과 일부 변환 기법의 조합이 방어 강도를 향상시킨다.
• 제안된 특징 수준 변환 기법을 적대적 훈련과 조합할 경우, 15개의 공격 구성 모두에서 가장 강력한 방어 성능을 달성하며, 다른 모든 방어 조합보다 뛰어난 성능을 보인다.
• 적대적 훈련만으로는 적응형 공격에 대비하기에는 부족하며, 하이브리드 방어 전략의 필요성을 시사한다.
• 기존 컴퓨터 비전 분야의 방어 기법(예: 이미지 압축)은 음성 신호의 도메인 특성상 적용에 한계가 있어 SR 분야에서는 효과가 없다.