[논문 리뷰] Weighted-Sampling Audio Adversarial Example Attack

Xiaolei Liu, Xiaosong Zhang외 3명|arXiv (Cornell University)|2019. 01. 26.

Adversarial Robustness in Machine Learning참고 문헌 41인용 수 4

한 줄 요약

이 논문은 가속화 및 노이즈 강인성 향상을 위해 가중치 편향 기술(WPT)과 샘플링 편향 기술(SPT)을 사용하는 빠르고 강인한 오디오 적대적 공격을 제안한다. 이는 편향된 오디오 포인트의 수와 가중치를 최적화하여 생성 속도를 향상시키고, 총 미분 거리(TVD) 손실 함수를 통해 오디오 품질을 향상시킨다. 결과적으로 이 방법은 단 4~5분 내로 청각적으로 인지하기 어려운, 매우 강인한 적대적 예제를 생성하며, 이는 이전 방법보다 크게 빠른 속도이다.

ABSTRACT

Recent studies have highlighted audio adversarial examples as a ubiquitous threat to state-of-the-art automatic speech recognition systems. Thorough studies on how to effectively generate adversarial examples are essential to prevent potential attacks. Despite many research on this, the efficiency and the robustness of existing works are not yet satisfactory. In this paper, we propose~ extit{weighted-sampling audio adversarial examples}, focusing on the numbers and the weights of distortion to reinforce the attack. Further, we apply a denoising method in the loss function to make the adversarial attack more imperceptible. Experiments show that our method is the first in the field to generate audio adversarial examples with low noise and high audio robustness at the minute time-consuming level.

연구 동기 및 목표

• 기존 오디오 적대적 공격 방법의 비효율성을 해결하기 위해, 단일 예제 생성에 1시간 이상 소요되는 문제를 해결한다.
• 기록 및 재생 과정에서 발생하는 랜덤 노이즈와 같은 일반적인 오디오 왜곡에 대해 적대적 오디오 예제의 강인성을 향상시킨다.
• 손실 함수 메트릭의 선택이 오디오 적대적 예제 품질과 청각적 인지 가능성에 미치는 영향을 조사한다.
• 모든 포인트를 균일하게 편향시키는 것이 아니라, 편향된 오디오 포인트의 수와 가중치를 동시에 최적화하는 새로운 개념을 제안한다.
• 실제 오디오 왜곡 조건에서도 효과를 유지하는 예제를 생성함으로써, 실용적인 공기 중 적대적 공격을 가능하게 한다.

제안 방법

• 중요도에 따라 오디오 신호 내에서 중요한 영역에 집중함으로써 공격 효율성을 향상시키기 위해, 중요도 기반으로 적응적인 가중치를 할당하는 가중치 편향 기술(WPT)을 제안한다.
• 음성의 문맥 상관관계를 활용하여 오디오 벡터의 75% 이하의 포인트만 편향함으로써 수를 줄이는 샘플링 편향 기술(SPT)을 도입한다. 이는 강인성을 유지하는 데 기여한다.
• 모델 손실(타겟 전사와 일치시키기 위해)과 메트릭 손실(오디오 유사성 유지)을 조합한 하이브리드 손실 함수를 사용하며, 청각적 인지 가능성 향상을 위해 총 변화 거리(TVD)를 메트릭으로 사용한다.
• 오디오 전송 중 발생하는 포인트 기반 랜덤 노이즈에 대한 강인성을 향상시키기 위해, 손실 함수 내부에 디노이징 메커니즘을 적용한다.
• 학습 안정성과 수렴 가속화를 위해 빔 서치 디코더와 학습률 감소 전략(β = 0.8)을 사용한다.
• c = 0.001, γ = 10, 초기 학습률 100과 같은 하이퍼파rameter를 최적화하며, 적대적 예제 생성에 성공할 때마다 50 반복마다 감소시킨다.

실험 결과

연구 질문

• RQ1 오디오 적대적 예제의 편향 포인트 수를 줄이면 실생활 오디오 왜곡에 대해 강인성이 향상되는가?
• RQ2 편향 포인트에 변수 가중치를 할당하면 공격 효율성이 향상되고 높은 성공률를 유지할 수 있는가?
• RQ3 손실 함수의 메트릭 선택이 오디오 적대적 예제의 청각적 인지 가능성과 강인성에 어떤 영향을 미치는가?
• RQ4 WPT와 SPT의 조합이 최신 기술보다 더 빠르게 적대적 예제를 생성할 수 있는가? 동시에 높은 강인성을 유지할 수 있는가?
• RQ5 기록 또는 전송 과정에서 발생하는 청각적으로 인지하기 어려운 노이즈가 추가된 후에도 효과를 유지하는 오디오 적대적 예제를 생성할 수 있는가?

주요 결과

• 제안된 방법은 단 4~5분 내로 오디오 적대적 예제를 생성하며, 이는 이전 방법이 1시간 이상 소요되는 것에 비해 상당한 향상이다.
• 제안된 방법은 청각적 왜곡을 낮게 유지하면서도 높은 공격 성공률를 달성하며, 제공된 웹사이트에서의 听음 테스트를 통해 확인되었다.
• 75%의 포인트만 편향하는 SPT는 전체 벡터 편향 방법에 비해 랜덤 노이즈에 대해 훨씬 더 높은 강인성을 보였다.
• TVD를 메트릭 손실 함수로 사용할 경우, 표준 lp-노름에 비해 더 청각적으로 인지하기 어려운 적대적 예제를 생성한다.
• 이 방법은 기존 공격과 상호보완적이며, 다른 적대적 공격 프레임워크의 성능 향상에 적용될 수 있다.
• 실험 결과, 청각적으로 인지하기 어려운 노이즈가 추가된 후에도 적대적 예제가 여전히 효과를 유지함을 보여주며, 실생활 조건에서 강력한 강인성을 입증했다.