[논문 리뷰] VSVC: Backdoor attack against Keyword Spotting based on Voiceprint Selection and Voice Conversion

Hanbo Cai, Pengcheng Zhang외 3명|arXiv (Cornell University)|2022. 12. 20.

Speech Recognition and Synthesis인용 수 5

한 줄 요약

이 논문은 음성형태 기반 음성 변환을 사용하여 톤 색채 기반 트리거를 생성함으로써 키워드 스핑팅 시스템에 대한 도청형 백도어 공격인 VSVC를 제안한다. 청취자가 감지할 수 없는 음성 잡음 대신 발화자 톤 색채를 변환함으로써, VSVC는 1% 미만의 오염 비율에서 최대 97%의 공격 성공률를 달성하며, 인간에게는 감지되지 않으며, 다양한 톤 색채 트리거를 통해 다중 타겟 공격을 가능하게 한다.

ABSTRACT

Keyword spotting (KWS) based on deep neural networks (DNNs) has achieved massive success in voice control scenarios. However, training of such DNN-based KWS systems often requires significant data and hardware resources. Manufacturers often entrust this process to a third-party platform. This makes the training process uncontrollable, where attackers can implant backdoors in the model by manipulating third-party training data. An effective backdoor attack can force the model to make specified judgments under certain conditions, i.e., triggers. In this paper, we design a backdoor attack scheme based on Voiceprint Selection and Voice Conversion, abbreviated as VSVC. Experimental results demonstrated that VSVC is feasible to achieve an average attack success rate close to 97% in four victim models when poisoning less than 1% of the training data.

연구 동기 및 목표

• 음성 인식 분야, 특히 키워드 스핑팅(KWS) 시스템에 대해 효과적이고 도청형 백도어 공격이 부족한 문제를 해결한다.
• 기존의 백도어 트리거의 한계 — 청취자에 의한 감지 가능성, 샘플링 주파수 의존성, 청취자에 의해 감지 가능한 문제 — 를 극복한다.
• 음성 변환을 통해 다양한 톤 색채 특징을 활용하여 다중 타겟 백도어 공격을 가능하게 한다.
• 정상 샘플에 대한 정확도 저하를 최소화하면서도 높은 공격 성공률를 확보한다.

제안 방법

• 정상 오디오 샘플의 톤 색채를 변환하여, 특정 타겟 키워드와 연관지어지는 독특하고 발화자별로 특화된 톤 색채 특징을 트리거로 삼는다.
• 다중 타겟 공격에서 간섭을 줄이기 위해, 음성형태 유사도를 기반으로 소스 음성형태를 선택한다.
• 학습 데이터의 소수(1% 미만)를 오염시키기 위해, 음성 변환을 적용하여 목표 키워드에 톤 색채 기반 트리거를 삽입한다.
• 오염된 데이터셋을 기반으로 피해자 KWS 모델을 훈련시켜, 특정 톤 색채 특징이 목표 키워드와 연관지워지도록 학습시킨다.
• 음성 변환을 통한 글로벌 특징 변환을 활용하여 초음파 또는 저주파 트리거에 영향을 미치는 샘플링 주파수 제약을 회피한다.
• 음성형태 유사도 기반 선택을 통해 다양한 목표 키워드에 대해 고유한 톤 색채 트리거를 생성함으로써 다중 타겟 공격 전략을 적용한다.

실험 결과

연구 질문

• RQ1 음성 변환을 활용하여 키워드 스핑팅 시스템에서 도청형, 인간이 감지할 수 없는 백도어 트리거를 생성할 수 있는가?
• RQ2 기존의 청취자에 의해 감지 가능한 초음파 또는 잡음 기반 트리거에 비해, 톤 색채 기반 트리거는 도청성과 효과성 측면에서 뛰어나다고 할 수 있는가?
• RQ3 제안된 방법은 다양한 DNN 아키텍처에서 낮은 오염 비율(1% 미만)에서도 높은 공격 성공률를 달성할 수 있는가?
• RQ4 다른 키워드에 대해 고유한 트리거를 갖는 다중 타겟 백도어 공격을 지원할 수 있는가?
• RQ5 특히 국소적 특징과 글로벌 특징에 민감한 신경망 아키텍처의 차이에 따라 공격 성능는 어떻게 변화하는가?

주요 결과

• VSVC는 학습 데이터의 1% 미만을 오염시켜도 네 명의 피해자 KWS 모델에서 평균 97%의 공격 성공률를 달성한다.
• 공격은 인간 청취자에게 감지되지 않으며, 20명의 자원자 중 100%가 정상 및 오염된 오디오 샘플을 구분하지 못했다.
• LSTM 모델에서는 오직 50개의 오염 샘플로도 92%의 공격 성공률를 기록했으며, 기준 모델 대비 72% 향상된 성능를 보였다.
• 정상 샘플에 대한 평균 정확도 변동은 뿐이며, 모델 성능에 미치는 영향은 극히 미미하다.
• 다중 타겟 공격은 가능하고 효과적이다: 음성형태 유사도 기반 선택은 낮은 오염 비율에서 무작위 트리거 선택 대비 성능 향상을 이룬다.
• 모델 아키텍처의 차이에 대해 강건하며, ResNet18, WideResNet-10-10, VGG16에서 뛰어난 성능를 보였으며, 특히 글로벌 특징에 의존하는 모델에서 유리한 성능를 보였다.