[论文解读] Adversarial Attacks and Defenses for Speech Recognition Systems

Piotr Żelasko, Sonal Joshi+5 more|arXiv (Cornell University)|Mar 31, 2021

Adversarial Robustness in Machine Learning参考文献 35被引用 10

一句话总结

本文在拒绝服务和目标威胁模型下，使用FGSM、PGD及不可察觉攻击，评估了两种不同ASR系统——DeepSpeech和Espresso的对抗鲁棒性。结果表明，WaveGAN语音合成器预处理显著提升了鲁棒性，将目标攻击成功率降低，并恢复了高达84.2%的原始转录文本；而随机平滑作为独立防御手段效果有限。

ABSTRACT

The ubiquitous presence of machine learning systems in our lives necessitates research into their vulnerabilities and appropriate countermeasures. In particular, we investigate the effectiveness of adversarial attacks and defenses against automatic speech recognition (ASR) systems. We select two ASR models - a thoroughly studied DeepSpeech model and a more recent Espresso framework Transformer encoder-decoder model. We investigate two threat models: a denial-of-service scenario where fast gradient-sign method (FGSM) or weak projected gradient descent (PGD) attacks are used to degrade the model's word error rate (WER); and a targeted scenario where a more potent imperceptible attack forces the system to recognize a specific phrase. We find that the attack transferability across the investigated ASR systems is limited. To defend the model, we use two preprocessing defenses: randomized smoothing and WaveGAN-based vocoder, and find that they significantly improve the model's adversarial robustness. We show that a WaveGAN vocoder can be a useful countermeasure to adversarial attacks on ASR systems - even when it is jointly attacked with the ASR, the target phrases' word error rate is high.

研究动机与目标

• 评估现代ASR系统——DeepSpeech和Espresso——在真实威胁模型下的脆弱性。
• 研究在不同架构和训练范式下，对抗攻击在不同ASR架构间的可迁移性。
• 评估预处理防御方法——特别是随机平滑和WaveGAN语音合成器——对白盒和黑盒攻击的有效性。
• 确定是否可通过同时对ASR和防御机制（WaveGAN）进行联合白盒攻击，绕过鲁棒性防护。

提出的方法

• 本研究采用两种ASR模型：DeepSpeech（基于RNN，使用CTC训练）和Espresso（基于Transformer，编码器-解码器架构）。
• 应用两种威胁模型：使用FGSM和PGD的拒绝服务攻击以降低WER，以及使用不可察觉攻击以强制识别特定短语的目标攻击。
• 评估三种防御方法：随机平滑（在推理和训练期间应用）、WaveGAN语音合成器用于信号重合成，以及标签平滑。
• 通过将输入音频重合成到干净语音的潜在流形，WaveGAN语音合成器被用作预处理防御手段，从而扭曲对抗扰动。
• 通过同时访问ASR和WaveGAN模型进行训练，模拟联合白盒攻击，以测试端到端攻击场景下的鲁棒性。
• 实验在LibriSpeech数据集上进行，测量在干净、对抗和防御条件下，多种攻击类型和最大范数扰动下的WER。

实验结果

研究问题

• RQ1 在拒绝服务威胁模型下，FGSM和PGD攻击在多大程度上降低了DeepSpeech和Espresso的词错误率（WER）？
• RQ2 不可察觉的目标攻击在多大程度上成功迫使两种ASR系统转录特定短语？该效果在不同模型间有何差异？
• RQ3 当在一种模型上生成对抗样本并在另一种模型上测试时，攻击在DeepSpeech和Espresso之间的可迁移性如何？
• RQ4 预处理防御方法（如随机平滑和WaveGAN语音合成器）是否能降低对抗攻击的成功率？它们的有效性如何比较？
• RQ5 对ASR和WaveGAN防御机制同时进行联合白盒攻击，如何影响系统的鲁棒性，特别是在目标攻击场景下？

主要发现

• WaveGAN语音合成器防御将目标攻击的WER从DeepSpeech的100%降低至48%，Espresso的37.4%，表明其对不可察觉攻击具有强大鲁棒性。
• 在不可察觉攻击中，WaveGAN成功阻止了攻击者目标短语的识别，尽管原始转录WER仍较高，分别为DeepSpeech的48%和Espresso的37.4%。
• 随机平滑在训练期间提升了鲁棒性，但在推理阶段效果有限，且在干净数据上导致性能下降。
• Espresso相比DeepSpeech展现出更高的内在鲁棒性，尤其在低最大范数扰动下，且从WaveGAN防御中获益更多。
• DeepSpeech与Espresso之间的攻击可迁移性有限，FGSM和PGD攻击在目标模型上的表现显著劣于源模型。
• 将WaveGAN与推理阶段的随机平滑结合并未提升鲁棒性，反而常导致性能下降，表明两种防御机制之间存在干扰。