[论文解读] Defense against adversarial attacks on spoofing countermeasures of ASV

Haibin Wu, Songxiang Liu+2 more|arXiv (Cornell University)|Mar 6, 2020

Speech Recognition and Synthesis参考文献 20被引用 8

一句话总结

本文提出空间平滑和对抗训练作为防御机制，以增强自动说话人验证（ASV）欺骗检测模型对对抗攻击的鲁棒性。实验表明，这两种方法均显著提升了模型在对抗样本上的准确率——空间平滑使准确率最高提升55%，对抗训练则使准确率提升至超过92%。

ABSTRACT

Various forefront countermeasure methods for automatic speaker verification (ASV) with considerable performance in anti-spoofing are proposed in the ASVspoof 2019 challenge. However, previous work has shown that countermeasure models are vulnerable to adversarial examples indistinguishable from natural data. A good countermeasure model should not only be robust against spoofing audio, including synthetic, converted, and replayed audios; but counteract deliberately generated examples by malicious adversaries. In this work, we introduce a passive defense method, spatial smoothing, and a proactive defense method, adversarial training, to mitigate the vulnerability of ASV spoofing countermeasure models against adversarial examples. This paper is among the first to use defense methods to improve the robustness of ASV spoofing countermeasure models under adversarial attacks. The experimental results show that these two defense methods positively help spoofing countermeasure models counter adversarial examples.

研究动机与目标

• 解决ASV欺骗检测模型对对抗样本的脆弱性问题，即微小扰动导致误分类的不可察觉扰动。
• 探究最先进的欺骗检测模型（如VGG和SENet）在ASVspoof 2019挑战赛中对对抗攻击的鲁棒性。
• 开发并评估防御策略，以在不损害模型在干净数据上性能的前提下，提升其在对抗条件下的可靠性。
• 证明结合被动与主动防御方法可有效提升真实ASV应用中的鲁棒性。

提出的方法

• 在输入模型前，对对抗样本应用中值、均值和高斯滤波进行空间平滑，以降低扰动的影响。
• 使用带有l∞-范数约束（ε ≤ 0.01）的投影梯度下降（PGD）生成目标对抗样本，用于攻击评估。
• 通过在训练集中加入由PGD生成的对抗样本，实施对抗训练，从而使模型在ε球内具有鲁棒性。
• 使用标准监督学习训练VGG和SENet模型，随后将空间平滑和对抗训练作为后处理或训练阶段的防御手段。
• 使用盒约束Δ = {δ | ||δ||∞ ≤ ε}，确保扰动保持不可察觉，在PGD迭代过程中应用截断操作。
• 将对抗训练与空间平滑（如中值或均值滤波）结合，以评估协同防御效果。

实验结果

研究问题

• RQ1 空间平滑能否有效减轻对抗样本对ASV欺骗检测模型的影响？
• RQ2 对抗训练在多大程度上提升了VGG和SENet模型对目标对抗攻击的鲁棒性？
• RQ3 在提升模型对对抗扰动的抗性方面，不同空间滤波器（中值、均值、高斯）的性能如何比较？
• RQ4 将对抗训练与空间平滑结合是否能比单独使用任一方法获得更好的鲁棒性？
• RQ5 防御机制是否能在显著提升对抗输入性能的同时，保持在干净非对抗数据上的高准确率？

主要发现

• 使用中值和均值滤波进行空间平滑，使ASV欺骗检测模型在对抗样本上的测试准确率从SENet的48.32%和VGG的37.06%分别提升至82.00%和92.72%。
• 对抗训练使SENet在对抗样本上的测试准确率达到92.40%，VGG达到98.60%，同时在干净数据上保持高准确率（分别为99.75%和99.99%）。
• 将对抗训练与中值/均值滤波结合，进一步提升了鲁棒性，使SENet和VGG在对抗样本上的准确率分别达到93.74%和98.96%。
• 高斯滤波表现较弱，与对抗训练结合后，SENet准确率降至83.72%，VGG降至87.22%。
• 结果证实，空间平滑与对抗训练均为有效的防御策略，且在本设置中，中值和均值滤波优于高斯滤波。
• 本研究证明，可通过防御机制显著提升欺骗检测模型对对抗攻击的鲁棒性，同时不降低其在自然输入上的性能。