[論文レビュー] Universal Adversarial Perturbations Generative Network for Speaker Recognition

Jiguo Li, Xinfeng Zhang+6 more|arXiv (Cornell University)|Apr 7, 2020

Adversarial Robustness in Machine Learning参考文献 20被引用数 5

ひとこと要約

本稿では、スプーフィングのための低次元ノイズから普遍的 adversarial パーティクル（UAPs）を学習する生成的敵対的ネットワークを提案する。この手法により、多様な入力に対して効率的かつ高成功率の攻撃が可能になる。TIMITで49.87 dB SNR、3.00 PESQの条件下で97.0%のスプーフィング誤り率（SER）を達成し、最先端のモデルを効果的かつ人間が感知できない形で欺くことを示している。

ABSTRACT

Attacking deep learning based biometric systems has drawn more and more attention with the wide deployment of fingerprint/face/speaker recognition systems, given the fact that the neural networks are vulnerable to the adversarial examples, which have been intentionally perturbed to remain almost imperceptible for human. In this paper, we demonstrated the existence of the universal adversarial perturbations~(UAPs) for the speaker recognition systems. We proposed a generative network to learn the mapping from the low-dimensional normal distribution to the UAPs subspace, then synthesize the UAPs to perturbe any input signals to spoof the well-trained speaker recognition model with high probability. Experimental results on TIMIT and LibriSpeech datasets demonstrate the effectiveness of our model.

研究の動機と目的

• 深層学習に基づくスプーフィング認識システムに普遍的 adversarial パーティクル（UAPs）が存在するかを調査すること。
• 低次元ノイズから効率的にUAPを合成する生成モデルを開発し、高速かつスケーラブルな攻撃を可能にすること。
• 大規模データセット上で非標的および標的攻撃設定の両方において、生成されたUAPの有効性を評価すること。
• モデルがランダムノイズではなく意味のある、転送可能な普遍的パターンを学習していることを示すこと。

提案手法

• 低次元正規分布から普遍的 adversarial パーティクル（UAPs）の部分空間へマッピングする生成ネットワークを訓練する。
• 生成器は、特定の入力コンテンツに依存せずに、多様な入力発話に対して効果的なUAPを生成する。
• 潜在空間のサンプリング戦略を用い、𝒩(0,1)からのノイズベクトルが深層ニューラルネットワークを介してUAPにマッピングされる。
• 攻撃は、任意の入力音声信号に生成されたUAPを加えることで実行され、発話者やコンテンツに依存しない。
• 反復的最適化手法とは異なり、一度の訓練フェーズで効率的なUAP生成が可能になる。
• ノイズ補間を用いて、潜在空間がUAP部分空間へ連続的にマッピングされていることを検証する。

Fig. 1 : The framework for our proposed universal adversarial perturbations generative network for speaker recognition.

実験結果

リサーチクエスチョン

• RQ1 普遍的 adversarial パーティクル（UAPs）は、スプーフィング認識モデルに対して効果的に生成され、適用可能か？
• RQ2 生成モデルは、低次元ノイズから多様な音声入力に一般化可能なUAPにマッピングする能力を学習できるか？
• RQ3 攻撃成功率と音声品質の観点から、生成されたUAPとランダムノイズの性能を比較するとどうなるか？
• RQ4 モデルはUAP空間においてランダムノイズではなく、転送可能な意味のあるパターンを学習しているか？
• RQ5 UAP長さと潜在空間における補間が、攻撃性能および知覚的品質にどのように影響するか？

主な発見

• 提案された生成モデルは、TIMITデータセットにおける非標的攻撃で、49.87 dB SNR、3.00 PESQの条件下で97.0%のスプーフィング誤り率（SER）を達成した。
• 標的攻撃では、TIMITで平均97.2%の標的パラメータ変更率（PTR）を、LibriSpeechで64.1%を達成し、高い知覚的品質（PESQ ≈ 2.48および2.11）を維持した。
• 生成されたUAPは、SERおよび知覚的品質（PESQ）の両面でランダムノイズを上回った。特に高PESQレベルでの差が顕著に現れた。
• アブレーションスタディにより、モデルが一貫した性能を示すことで、有用で転送可能な普遍的パターンを学習していることが確認された。
• SNRが高い条件下では、200msのUAPが600msのUAPよりも優れた性能を示し、最適化におけるUAP長さへの感受性を示した。
• 潜在空間におけるノイズ補間により、安定したSER、SNR、PESQを維持する一貫したUAPが得られ、UAP部分空間への連続的マッピングが確認された。

Fig. 2 : The influence of the UAPs’ length.