[논문 리뷰] WaveGuard: Understanding and Mitigating Audio Adversarial Examples

Shehzeen Hussain, Paarth Neekhara외 3명|arXiv (Cornell University)|2021. 03. 04.

Adversarial Robustness in Machine Learning참고 문헌 52인용 수 9

한 줄 요약

WaveGuard는 원본 및 변환된 오디오 입력 간 ASR 번역 일관성의 불일치를 분석하여 오디오 적대적 예제를 탐지하는 검출 프레임워크이다. 청각적으로 유의미한 오디오 변환 기법—예를 들어 멜스펙트로그램 재구성 및 LPC 기반 복구—을 활용하여 백색 상자 적대적 공격자에게도 강건한 탐지를 달성하며, 단순 압축 방법보다 뚜렷한 성능 향상을 보인다.

ABSTRACT

There has been a recent surge in adversarial attacks on deep learning based automatic speech recognition (ASR) systems. These attacks pose new challenges to deep learning security and have raised significant concerns in deploying ASR systems in safety-critical applications. In this work, we introduce WaveGuard: a framework for detecting adversarial inputs that are crafted to attack ASR systems. Our framework incorporates audio transformation functions and analyses the ASR transcriptions of the original and transformed audio to detect adversarial inputs. We demonstrate that our defense framework is able to reliably detect adversarial examples constructed by four recent audio adversarial attacks, with a variety of audio transformation functions. With careful regard for best practices in defense evaluations, we analyze our proposed defense and its strength to withstand adaptive and robust attacks in the audio domain. We empirically demonstrate that audio transformations that recover audio from perceptually informed representations can lead to a strong defense that is robust against an adaptive adversary even in a complete white-box setting. Furthermore, WaveGuard can be used out-of-the box and integrated directly with any ASR model to efficiently detect audio adversarial examples, without the need for model retraining.

연구 동기 및 목표

• 딥 러닝 기반 자동 음성 인식(ASR) 시스템에 대한 점점 증가하는 보안 위협을 해결한다.
• 모델 재학습이나 아키텍처 변경 없이도 적대적 오디오 입력을 탐지할 수 있는 방어 메커니즘을 개발한다.
• 방어 메커니즘의 전체 지식을 가진 적대적 공격자에 대해 오디오 변환 기반 방어의 강건성을 평가한다.
• 오디오 도메인에서 적대적 공격에 대해 가장 강력한 저항성을 보이는 오디오 변환 함수를 규명한다.

제안 방법

• 입력 오디오 $ x $ 에 일련의 오디오 변환 함수 $ g $ 를 적용하여 변환된 버전 $ g(x) $ 를 생성한다.
• 원본 $ x $ 와 변환된 $ g(x) $ 의 ASR 번역 결과를 확보한 후, CER(문자 오류 비율)와 같은 번역 일치도 측정 지표를 사용하여 비교한다.
• 원본 $ x $ 와 $ g(x) $ 의 번역 결과가 유의미하게 다를 경우, 변환에 대한 불안정성을 나타내므로 입력을 적대적 예로 간주한다.
• 청각적으로 의미 있는 표현—예를 들어 멜스펙트로그램 및 선형 예측 부호(LPC)—를 변환에 사용하며, 이는 음성의 이해 가능성은 유지하면서도 적대적 편향을 왜곡하기 때문이다.
• 백색 상자 적대적 공격을 사용하여 방어의 강건성을 평가한다. 이 공격은 입력을 반복적으로 수정하여 높은 ASR 성공률를 유지하면서도 탐지를 피하도록 한다.
• 비적대적 및 적대적 공격 설정 하에서 원본 및 변환된 번역 결과 간 AUC(곡선 아래 면적)와 CER을 측정하여 탐지 성능을 측정한다.

실험 결과

연구 질문

• RQ1 비적대적 공격 설정 하에서 오디오 변환 기반 방어는 ASR 시스템에서 적대적 예제를 신뢰성 있게 탐지할 수 있는가?
• RQ2 압축, 필터링, 청각 재구성 등 다양한 오디오 변환 함수는 얼마나 효과적으로 적대적 입력을 탐지하는가?
• RQ3 방어 메커니즘의 전체 지식을 지닌 적대적 공격자가 최소한의 청각적으로 인식 불가능한 편향을 사용하여 WaveGuard를 우회할 수 있는가?
• RQ4 멜 추출-재구성, LPC 등 청각적으로 유의미한 변환은 단순 압축 또는 필터링 기법보다 더 강력한 방어를 제공하는가?
• RQ5 방어되지 않은 모델을 대상으로 제작된 적대적 예제가 변환을 거친 방어 모델로의 전이 가능성은 어느 정도인가?

주요 결과

• WaveGuard는 최근의 네 가지 공격에 대해 다양한 오디오 변환 함수를 사용하여 타겟 및 언타겟 변형 모두에서 적대적 예제를 신뢰성 있게 탐지한다.
• 멜 추출-재구성 및 LPC 기반 복구와 같은 청각적으로 유의미한 변환은 초기 편향 한계 $ \\epsilon_{\infty} = 500 $ 인 백색 상자 적대적 공격 조건에서도 높은 탐지 성능(AUC > 0.9)을 유지한다.
• 방어는 편향이 $ \delta_{\infty} = 2479 $ (멜) 및 $ \delta_{\infty} = 2167 $ (LPC)를 초과할 경우에만 무너지며, 이는 단순한 변환 기법을 넘어선 6배 이상 높은 수준이며, 방어되지 않은 모델을 속이는데 필요한 편향보다 25배 이상 높다.
• 이 높은 편향 임계치는 -29 dB 이상의 신호 대 잡음비를 의미하며, 인간 청취자에게도 감지 가능하므로 실질적인 강건성을 시사한다.
• 반면에 다운샘플링-업샘플링 및 양자화-다시양자화와 같은 단순한 변환 기법은 최소한의 편향으로도 적대적 공격에 쉽게 우회된다.
• 방어되지 않은 모델을 대상으로 제작된 적대적 예제는 심지어 높은 편향 수준에서도 방어 모델로의 전이가 일어나지 않으며, 이는 영상 도메인과 비교해 음성 도메인에서는 전이 가능성의 제한성이 뚜렷하다는 것을 시사한다.