[论文解读] Adversarial Audio: A New Information Hiding Method and Backdoor for DNN-based Speech Recognition Models

Yehao Kong, Jiliang Zhang|arXiv (Cornell University)|Apr 8, 2019

Digital Media Forensic Detection参考文献 25被引用 14

一句话总结

本文提出了一种新颖的音频隐写术方法，通过在私有DNN-based ASR模型中训练的对抗性扰动，将隐藏信息嵌入语音中，实现48 cps的隐藏容量，具有高度不可察觉性（PESQ ≈ 3.598）和强安全性，公开模型无法提取隐藏内容。该技术还可触发DNN-based ASR模型中的内在后门，对智能音箱构成严重安全威胁。

ABSTRACT

Audio is an important medium in people's daily life, hidden information can be embedded into audio for covert communication. Current audio information hiding techniques can be roughly classed into time domain-based and transform domain-based techniques. Time domain-based techniques have large hiding capacity but low imperceptibility. Transform domain-based techniques have better imperceptibility, but the hiding capacity is poor. This paper proposes a new audio information hiding technique which shows high hiding capacity and good imperceptibility. The proposed audio information hiding method takes the original audio signal as input and obtains the audio signal embedded with hidden information (called stego audio) through the training of our private automatic speech recognition (ASR) model. Without knowing the internal parameters and structure of the private model, the hidden information can be extracted by the private model but cannot be extracted by public models. We use four other ASR models to extract the hidden information on the stego audios to evaluate the security of the private model. The experimental results show that the proposed audio information hiding technique has a high hiding capacity of 48 cps with good imperceptibility and high security. In addition, our proposed adversarial audio can be used to activate an intrinsic backdoor of DNN-based ASR models, which brings a serious threat to intelligent speakers.

研究动机与目标

• 解决传统音频隐写术方法在隐藏容量与不可察觉性之间的权衡问题。
• 开发一种安全、低开销的信息隐藏技术，适用于智能音箱等资源受限的物联网设备。
• 证明对抗性音频可用于触发DNN-based ASR模型中的内在后门。
• 评估所提方法在公开ASR模型和隐写分析攻击下的鲁棒性与安全性。
• 提供一种实用的、无需密钥的解决方案，利用现有ASR基础设施在边缘设备中实现隐蔽通信。

提出的方法

• 该方法利用私有训练的DNN-based ASR模型生成对抗性扰动，将隐藏文本嵌入音频信号中，同时保持感知质量不变。
• 隐藏信息以完整句子形式编码，并通过训练ASR模型使其将扰动后的音频识别为目标文本来实现嵌入。
• 通过将训练好的对抗性扰动应用于原始音频生成隐写音频，从而在保持语音质量的同时嵌入数据。
• 隐藏信息的提取仅可通过私有ASR模型实现，该模型被设计为解码嵌入内容。
• 该方法通过依赖模型特异性行为避免加密开销，因此适用于低资源物联网设备。
• 安全性通过在四个公开ASR模型（如Google、IBM）上测试隐写音频来评估，结果均未能提取隐藏内容。

实验结果

研究问题

• RQ1 能否在私有DNN-based ASR模型中利用对抗性扰动，实现高容量且不可察觉的音频信息隐藏？
• RQ2 所提方法在隐藏容量、感知质量以及对公开ASR模型的抵抗能力方面表现如何？
• RQ3 相同的隐写音频能否用于激活DNN-based ASR模型中的内在后门？
• RQ4 该方法对现有音频隐写分析技术的有效性如何？
• RQ5 该方法是否适用于在资源受限的物联网设备（如智能音箱）中实际部署？

主要发现

• 所提方法实现了48.0字符/秒的隐藏容量，显著高于传统频域变换方法。
• 平均PESQ得分为3.598，表明隐写音频具有高度不可察觉性，感知质量退化极小。
• 四个公开ASR模型（包括Google和IBM）均未能从隐写音频中提取隐藏信息，证明了其强安全性。
• 隐写音频成功激活了DNN-based ASR模型中的内在后门，实现了对智能设备的未经授权控制。
• 该方法无需密钥存储或解密，轻量化设计，适合在资源受限的物联网设备中部署。
• 当前隐写分析方法（如基于CNN的QMDCT系数分析）将高达80%的原始音频误判为隐写音频，表明其在检测该方法时可靠性极差。