[論文レビュー] Universal adversarial examples in speech command classification

Jon Vadillo, Roberto Santana|arXiv (Cornell University)|Nov 22, 2019

Adversarial Robustness in Machine Learning参考文献 33被引用数 23

ひとこと要約

本稿は、音声コマンド分類分野において、普遍的 adversarial パーティクルが生成可能であることを初めて示した。これにより、異なるモデル間で顕著な転送性が達成された。本稿は、普遍性のレベルを新たに定義する分類法と、きめ細かい歪み評価フレームワークを提唱し、従来の音声歪み評価指標が不適切に許容的であり、発話領域以外の音声領域における検出可能な歪みを特定できないことが判明した。これは、攻撃評価における現実性を損なう要因となっている。

ABSTRACT

Adversarial examples are inputs intentionally perturbed with the aim of forcing a machine learning model to produce a wrong prediction, while the changes are not easily detectable by a human. Although this topic has been intensively studied in the image domain, classification tasks in the audio domain have received less attention. In this paper we address the existence of universal perturbations for speech command classification. We provide evidence that universal attacks can be generated for speech command classification tasks, which are able to generalize across different models to a significant extent. Additionally, a novel analytical framework is proposed for the evaluation of universal perturbations under different levels of universality, demonstrating that the feasibility of generating effective perturbations decreases as the universality level increases. Finally, we propose a more detailed and rigorous framework to measure the amount of distortion introduced by the perturbations, demonstrating that the methods employed by convention are not realistic in audio-based problems.

研究の動機と目的

• 画像ベースのタスクとは対照的に、研究がまだ十分に行われていない音声コマンド分類分野において、普遍的 adversarial パーティクルの生成可能性を調査すること。
• 攻撃が誤認識させようとするターゲットクラス数に基づいて、普遍性の複数のレベルを定義する新しい分析フレームワークを提案し、普遍的パラメータのスコープを体系的に評価すること。
• 音声 adversarial 攻撃における従来の歪み評価指標に疑問を呈し、音声信号を発話部とバックグラウンド成分に分割するより現実的な評価手法を導入すること。
• 既存の評価手法が、特に音声信号の非発話領域において、adversarial パーティクルの不顕在性を過大評価していることを実証すること。
• 現在の評価手法の主な限界を特定することで、将来的な研究におけるより強固で検出困難な普遍的攻撃の基盤を提供すること。

提案手法

• 攻撃が誤認識させようとするターゲットクラス数に基づいて、Nクラスの普遍性分類法を提唱し、普遍的パラメータのスコープを体系的に評価する。
• データセット全体で誤分類を最大化し、同時に顕著な歪みを最小化するように、勾配ベースの最適化手法を用いて普遍的パラメータを生成する。
• 発話部とバックグラウンド音声成分に別々に歪みを測定する、新規の歪み評価フレームワークを導入。dB_x,max(v) および dB_x,mean(v) などの指標を用いる。
• 歪み指標を用いて、発話コマンドを含む領域とノイズ領域を区別し、パラメータの知覚的現実性を検証する。
• 標準的な音声コマンドデータセット（例：Google Speech Commands）と複数の DNN アーキテクチャを用い、異なるモデル間での転送性と普遍性をテストする。
• バリデーションセットを用いて、異なる普遍性レベルにおける歪みレベルを評価し、各音声セグメントタイプごとに結果を可視化する。

実験結果

リサーチクエスチョン

• RQ1 音声コマンド分類タスクにおいて、普遍的 adversarial パーティクルを効果的に生成することは可能か？
• RQ2 攻撃が標的とするターゲットクラス数によって定義される普遍性のレベルが、普遍的攻撃の実現可能性と有効性にどのように影響するか？
• RQ3 普遍的 adversarial パーティクルは、異なる音声コマンド分類モデル間でどれほど転送可能か？
• RQ4 音声 adversarial 攻撃における従来の歪み評価指標は、知覚的不顕在性を適切に評価できるか？
• RQ5 より細分化された、成分別歪み評価により、音声信号の非発話領域に顕著なアーティファクトが現れるかどうかを明らかにできるか？

主な発見

• 音声コマンド分類分野において、普遍的 adversarial パーティクルを成功裏に生成でき、この分野でも攻撃が実現可能であることが示された。
• 普遍性のレベルが高くなるほど、普遍的パラメータの有効性が低下する傾向にあり、スコープと攻撃成功率のトレードオフが顕在化した。
• 新しいモデルへの有効性が低下しても、異なる DNN アーキテクチャ間で顕著な転送性が確認された。
• 従来の歪み評価指標は、非発話（バックグラウンド）領域における顕著な歪みを検出できないため、パラメータの不顕在性を過大評価している。
• 提案された成分別歪み評価を用いることで、多くのサンプルでバックグラウンド領域の歪みが -32 dB を超えることが判明し、発話コマンド領域外での検出可能性が示された。
• これらの結果は、音声 adversarial 攻撃の評価を現実的に行うためには、より厳密で信号の部分に分ける評価フレームワークの導入が不可欠であることを強調している。