[论文解读] Adversarial Attacks in Sound Event Classification

Vinod Subramanian, Emmanouil Benetos+3 more|arXiv (Cornell University)|Jul 4, 2019

Music and Audio Processing参考文献 28被引用 6

一句话总结

本文研究了在 FSDKaggle2018 数据集上训练的五种深度学习模型在声音事件分类任务中，基于梯度的对抗攻击。结果表明，无论是在梅尔频谱图模型还是原始音频模型中，对抗样本均可在极小扰动下生成，并具有很高的欺骗置信度，揭示了当前最先进的音频分类系统存在显著的鲁棒性漏洞。

ABSTRACT

Adversarial attacks refer to a set of methods that perturb the input to a classification model in order to fool the classifier. In this paper we apply different gradient based adversarial attack algorithms on five deep learning models trained for sound event classification. Four of the models use mel-spectrogram input and one model uses raw audio input. The models represent standard architectures such as convolutional, recurrent and dense networks. The dataset used for training is the Freesound dataset released for task 2 of the DCASE 2018 challenge and the models used are from participants of the challenge who open sourced their code. Our experiments show that adversarial attacks can be generated with high confidence and low perturbation. In addition, we show that the adversarial attacks are very effective across the different models.

研究动机与目标

• 评估深度学习模型在声音事件分类任务中对对抗攻击的脆弱性。
• 分析基于梯度的对抗攻击算法在不同模型架构上的有效性。
• 研究对抗样本在不同模型及输入表示之间的可迁移性。
• 评估对抗样本的声学可解释性及其在压缩处理下的鲁棒性。
• 揭示真实世界音频分类应用中所存在的安全与鲁棒性风险。

提出的方法

• 应用了四种基于梯度的对抗攻击算法——Carlini & Wagner、L-BFGS、Deepfool 和 Saliency Map，作用于五个深度学习模型。
• 模型包括使用梅尔频谱图和原始音频输入的 VGG13、CRNN、GCNN 以及两种 DenseNet 变体。
• 通过优化输入扰动以在最小失真下最大化误分类，生成对抗样本。
• 利用信噪比（SNR）评估扰动，量化其感知不可见性。
• 通过将一种模型生成的攻击应用于其他模型，测试对抗样本的可迁移性。
• 使用 Griffin-Lim 算法从频谱图重建音频，以验证音频级扰动的有效性。

实验结果

研究问题

• RQ1 基于梯度的对抗攻击是否能以极小扰动成功欺骗声音事件分类中的深度学习模型？
• RQ2 对抗攻击的成功率在不同模型架构和输入表示之间如何变化？
• RQ3 对抗样本在不同架构或输入类型的模型之间可迁移性的程度如何？
• RQ4 是否存在声学或感知层面的解释，说明为何某些对抗样本特别有效？
• RQ5 对抗样本对常见音频压缩技术的鲁棒性如何？

主要发现

• Carlini & Wagner 攻击在定向攻击中取得了最高的成功率，优于 L-BFGS 和 Deepfool。
• 对抗样本可实现极低的扰动，表现为较高的平均 SNR 值（例如，Carlini & Wagner 攻击中 Cello 的 SNR 达 60.8 dB）。
• L-BFGS 攻击所需的扰动显著高于 Carlini & Wagner，大多数情况下平均 SNR 低于 55 dB。
• 对抗样本的可迁移性有限但非零，且在架构相似的模型之间（如 DenseNet 到 DenseNet）观察到更高的迁移率。
• 使用梅尔频谱图输入的模型向原始音频模型的迁移能力较低，表明输入表示会影响对抗迁移性。
• 声音类别之间的声学相似性与所需扰动强度之间无明显相关性，表明对抗样本难以通过声学特性加以解释。