[論文レビュー] An Overview of Vulnerabilities of Voice Controlled Systems

Yuan Gong, Christian Poellabauer|arXiv (Cornell University)|Mar 24, 2018

Adversarial Robustness in Machine Learning参考文献 17被引用数 28

ひとこと要約

本論文は、音声制御IoTシステムを標的とする音声スプーフィング攻撃の包括的サーベイと分類を提示し、4つの攻撃カテゴリ（OSレベル、ハードウェアレベル、機械学習ベースの攻撃）を特定する。本稿では、ライブスピーカー検出に基づく包括的防御戦略を提案し、電子的信号源と人間の声を区別することで、未知の攻撃を含むすべての攻撃タイプに対処する。

ABSTRACT

Over the last few years, a rapidly increasing number of Internet-of-Things (IoT) systems that adopt voice as the primary user input have emerged. These systems have been shown to be vulnerable to various types of voice spoofing attacks. However, how exactly these techniques differ or relate to each other has not been extensively studied. In this paper, we provide a survey of recent attack and defense techniques for voice controlled systems and propose a classification of these techniques. We also discuss the need for a universal defense strategy that protects a system from various types of attacks.

研究の動機と目的

• 音声制御IoTシステムを標的とする最近の音声スプーフィング攻撃技術を体系的に分類・比較すること。
• 特定の攻撃タイプにのみ保護する既存の防御メカニズムの限界を特定すること。
• 多様で未知の音声スプーフィング攻撃を緩和できる包括的防御戦略を提案すること。
• すべての攻撃ベクトルにわたり、ライブスピーカー検出を基盤的防御層として統合する必要性を強調すること。

提案手法

• OSレベル（例：GVS、A11y、Monkey）、ハードウェアレベル（例：Dolphin、IEMI）、機械学習ベース（例：Cocaine Noodles、Hidden Voice Command）、ハイブリッド攻撃の4つのタイプに音声スプーフィング攻撃を分類すること。
• 攻撃の実装の違い（敵の知識：ホワイトボックス対ブラックボックス）、信号生成方法、攻撃表面（OS、ハードウェア、またはMLモデル）を分析すること。
• 敵対的訓練、スピーカー認証、音声チャネル分離（例：AuDroid）などの既存防御技術を評価すること。
• 信号の物理的出所を検出するという包括的防御戦略を提案し、信号の特性を用いてライブ人間発話と電子再生を区別すること。
• VSButton（Wi-Fiモーションセンシング）、VAuth（ボディサーフェス振動）、磁気センサベース検出（10 cm範囲）などの既存のライブスピーカー検出手法をレビューすること。
• すべての攻撃が事前に記録されたまたは合成された音声を再生することに依存するため、電子的信号源の存在を検出することが、強力な包括的防御の根幹であると主張すること。

実験結果

リサーチクエスチョン

• RQ1 OSレベル、ハードウェアレベル、MLベースの攻撃技術は、実装方法、知識要件、攻撃表面においてどのように異なるか？
• RQ2 なぜ現在の防御メカニズムは、幅広い音声スプーフィング攻撃から保護するのに不十分なのか？
• RQ3 既知および未知の音声スプーフィング攻撃を防ぐことができる包括的防御戦略を設計できるか？
• RQ4 ライブスピーカーからの発話か電子的信号源からの発話かを検出する際の主な技術的課題は何か？
• RQ5 ユーザーが装着するデバイスを必要とせず、ユーザーの運動に関する仮定にも依存しない形で、ライブスピーカー検出を効果的に実装する方法は何か？

主な発見

• すべての音声スプーフィング攻撃は、事前に記録された音声、電子的に生成された音声、または敵対的摂動を加えた音声を再生することに依存しており、信号の出所が攻撃の主要な表面である。
• 機械学習ベースの攻撃は特に危険である。なぜなら、それらは普遍的（universally）であり、モデルアーキテクチャーやトレーニングデータの知識がなくても、未知のASRシステムを回避できるからである。
• スピーカー認証や敵対的訓練などの既存防御は、OSやハードウェアレイヤーを標的とする攻撃に対して無効であり、自らも敵対的例に脆弱である。
• 敵対的訓練は、攻撃手法の事前知識と敵対的例の入手が前提であるため、新規または適応的攻撃には効果を発揮しない。
• 本稿で提案する包括的防御戦略（音声コマンドがスピーカーや信号生成装置からではなく、ライブスピーカーから来ているかを検出すること）は、既知のすべての攻撃タイプを緩和する有望な道筋を示している。
• 現在のライブスピーカー検出手法（例：VSButton、VAuth、磁気センサベース検出）は、範囲、ハードウェア依存性、環境的仮定に制限を受けており、より強固で侵襲のないソリューションの必要性が浮き彫りになっている。