[论文解读] WaveGuard: Understanding and Mitigating Audio Adversarial Examples

Shehzeen Hussain, Paarth Neekhara+3 more|arXiv (Cornell University)|Mar 4, 2021

Adversarial Robustness in Machine Learning参考文献 52被引用 9

一句话总结

WaveGuard 是一种检测框架，通过分析原始音频与变换后音频输入在自动语音识别（ASR）转录结果之间的差异，来识别音频对抗样本。它利用感知启发的音频变换方法（如梅尔频谱图重建和基于线性预测编码（LPC）的恢复），即使在面对白盒自适应攻击者时也能实现强大的检测效果，显著优于简单的压缩方法。

ABSTRACT

There has been a recent surge in adversarial attacks on deep learning based automatic speech recognition (ASR) systems. These attacks pose new challenges to deep learning security and have raised significant concerns in deploying ASR systems in safety-critical applications. In this work, we introduce WaveGuard: a framework for detecting adversarial inputs that are crafted to attack ASR systems. Our framework incorporates audio transformation functions and analyses the ASR transcriptions of the original and transformed audio to detect adversarial inputs. We demonstrate that our defense framework is able to reliably detect adversarial examples constructed by four recent audio adversarial attacks, with a variety of audio transformation functions. With careful regard for best practices in defense evaluations, we analyze our proposed defense and its strength to withstand adaptive and robust attacks in the audio domain. We empirically demonstrate that audio transformations that recover audio from perceptually informed representations can lead to a strong defense that is robust against an adaptive adversary even in a complete white-box setting. Furthermore, WaveGuard can be used out-of-the box and integrated directly with any ASR model to efficiently detect audio adversarial examples, without the need for model retraining.

研究动机与目标

• 应对深度学习驱动的自动语音识别（ASR）系统面临的日益增长的安全威胁。
• 开发一种无需模型微调或架构修改即可检测对抗性音频输入的防御机制。
• 评估基于音频变换的防御方法在防御者具备完整机制知识的白盒自适应攻击下的鲁棒性。
• 识别在音频领域中对自适应攻击具有最强抗性的音频变换函数。

提出的方法

• 对输入音频 $ x $ 应用一组音频变换函数 $ g $，生成变换后的版本 $ g(x) $。
• 获取 $ x $ 和 $ g(x) $ 的 ASR 转录结果，并使用 CER（字符错误率）等转录相似性度量进行比较。
• 若 $ x $ 和 $ g(x) $ 的转录结果显著不同，则将输入标记为对抗性样本，表明其在变换下存在不稳定性。
• 使用感知启发的表示形式（如梅尔频谱图和线性预测编码（LPC））进行变换，因其可在保留语音可懂性的同时扭曲对抗性扰动。
• 使用白盒自适应攻击评估防御鲁棒性，该攻击通过迭代修改输入，在保持高 ASR 成功率的同时规避检测。
• 在非自适应和自适应攻击设置下，通过 AUC（曲线下面积）以及原始与变换后转录结果之间的 CER 来衡量检测性能。

实验结果

研究问题

• RQ1 在非自适应攻击设置下，基于音频变换的防御能否可靠检测 ASR 系统中的对抗样本？
• RQ2 不同音频变换函数（如压缩、滤波、感知重建）在检测对抗输入方面的有效性如何？
• RQ3 具备完整防御机制知识的自适应攻击者能否通过极小且人耳不可察觉的扰动绕过 WaveGuard？
• RQ4 感知启发的变换（如梅尔提取-逆变换、LPC）是否比简单的压缩或滤波技术提供更强的防御能力？
• RQ5 为未受保护模型生成的对抗样本在经变换防御后，其在受保护模型上的迁移程度如何？

主要发现

• WaveGuard 成功检测了四种近期音频攻击产生的对抗样本，包括目标攻击和非目标攻击变体，且适用于多种音频变换函数。
• 感知启发的变换（如梅尔提取-逆变换和基于 LPC 的恢复）在初始扰动上限 $ \\epsilon_{\infty} = 500 $ 的白盒自适应攻击下仍保持高检测性能（AUC > 0.9）。
• 仅当扰动超过 $ \delta_{\infty} = 2479 $（梅尔）和 $ \delta_{\infty} = 2167 $（LPC）时，该防御才被攻破，这一阈值比欺骗简单变换所需的大逾 6 倍，且比欺骗未受保护模型所需的大逾 25 倍。
• 这些高扰动阈值对应信噪比高于 -29 dB，已可被人类听觉系统察觉，表明其具备实际鲁棒性。
• 相比之下，如重采样-重采样和量化-反量化等简单变换极易被自适应攻击以极小扰动绕过。
• 为未受保护模型生成的对抗样本即使在高扰动水平下也无法迁移到受保护模型，表明音频领域中的迁移性远低于图像领域。