[论文解读] Towards Understanding and Mitigating Audio Adversarial Examples for Speaker Recognition

Guangke Chen, Zhe Zhao+5 more|arXiv (Cornell University)|Jun 7, 2022

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文提出了一套全面的防御框架，用于提升说话人识别系统在对抗性音频攻击下的鲁棒性，通过评估22种多样的输入变换，并将其与对抗性训练相结合。该工作提出了一种新型的特征级变换（FeCo），当与对抗性训练结合时，在完全白盒攻击下，准确率提升13.62%，攻击成本提高两个数量级，显著优于单一防御方法。

ABSTRACT

Speaker recognition systems (SRSs) have recently been shown to be vulnerable to adversarial attacks, raising significant security concerns. In this work, we systematically investigate transformation and adversarial training based defenses for securing SRSs. According to the characteristic of SRSs, we present 22 diverse transformations and thoroughly evaluate them using 7 recent promising adversarial attacks (4 white-box and 3 black-box) on speaker recognition. With careful regard for best practices in defense evaluations, we analyze the strength of transformations to withstand adaptive attacks. We also evaluate and understand their effectiveness against adaptive attacks when combined with adversarial training. Our study provides lots of useful insights and findings, many of them are new or inconsistent with the conclusions in the image and speech recognition domains, e.g., variable and constant bit rate speech compressions have different performance, and some non-differentiable transformations remain effective against current promising evasion techniques which often work well in the image domain. We demonstrate that the proposed novel feature-level transformation combined with adversarial training is rather effective compared to the sole adversarial training in a complete white-box setting, e.g., increasing the accuracy by 13.62% and attack cost by two orders of magnitude, while other transformations do not necessarily improve the overall defense capability. This work sheds further light on the research directions in this field. We also release our evaluation platform SPEAKERGUARD to foster further research.

研究动机与目标

• 系统评估多种输入变换与对抗性训练在说话人识别中对非自适应和自适应对抗性攻击的有效性。
• 识别在使用BPDA、EOT和NES等逃避技术的自适应攻击下仍有效的变换方法。
• 研究将输入变换与对抗性训练结合是否能提升鲁棒性，超越单一方法的效果。
• 发布SPEAKERGUARD，一个开源评估平台，以支持说话人识别防御措施的可复现与公平基准测试。

提出的方法

• 作者设计并实现了22种多样的音频变换，包括时域与频域操作、语音压缩（如MP3、AAC）以及新型的特征级压缩。
• 在一致的实验设置下，针对7种近期的对抗性攻击（4种白盒攻击，如基于PGD的攻击；3种黑盒攻击，如FAKEBOB、SirenAttack）评估这些防御措施。
• 通过使用Backward Pass Differentiable Approximation（BPDA）、Expectation over Transformation（EOT）和Natural Evolution Strategy（NES）等逃避技术，构建自适应攻击，以绕过不可微分或随机化防御。
• 提出一种新型的特征级变换FeCo，并与基于PGD的对抗性训练结合，以增强鲁棒性。
• 发布评估框架SPEAKERGUARD，以支持在多样化攻击与防御配置下实现可复现的基准测试。
• 通过在干净样本和对抗性样本上的准确率、攻击成本（扰动幅度）以及失真水平来衡量鲁棒性。

实验结果

研究问题

• RQ1 在自适应攻击场景下，哪些输入变换在缓解说话人识别中的对抗性攻击方面最为有效？
• RQ2 将输入变换与对抗性训练结合使用时，其鲁棒性相较于单独使用任一方法有何提升？
• RQ3 不可微分或随机化变换在面对使用梯度估计技术（如BPDA和EOT）的自适应攻击时是否依然有效？
• RQ4 在白盒与黑盒设置下，可变比特率与恒定比特率音频压缩在防御有效性方面有何差异？
• RQ5 一种新型的特征级变换能否显著提升对抗性训练后说话人识别模型的鲁棒性？

主要发现

• 当与对抗性训练结合时，所提出的特征级变换FeCo在完全白盒攻击下，使干净准确率提升13.62%，攻击成本提高两个数量级。
• 可变比特率的MP3和AAC在黑盒攻击下比其恒定比特率版本更具韧性，而在白盒设置下则相反。
• 不可微分的音频压缩（如MP3和AAC）在BPDA-based自适应攻击下依然有效，这与图像识别中此类防御通常失效的发现相反。
• 大多数标准变换（如时域/频域偏移、基础压缩）在使用EOT和NES等自适应技术攻击时变得无效。
• 随机化变换对黑盒自适应攻击表现出强抵抗能力，表明其在实际防御场景中的实用性。
• 将变换与对抗性训练结合并不总是能提升鲁棒性——只有特定组合（如FeCo与对抗性训练）能带来显著增益。