⚡ electrical engineering

Precision-Varying Prediction (PVP): Robustifying ASR systems against adversarial attacks

यह शोध पत्र प्रिसिजन-वेरिंग प्रेडिक्शन (PVP) प्रस्तुत करता है, जो एक ऐसी विधि है जो इन्फरेंस के दौरान संख्यात्मक परिशुद्धता (न्यूमेरिकल प्रिसिजन) को यादृच्छिक रूप से बदलकर और परिणामी आउटपुट की तुलना करके ऑटोमैटिक स्पीच रिकग्निशन सिस्टम की एडवरसेरियल रोबस्टनेस और डिटेक्शन क्षमताओं को बढ़ाता है।

मूल लेखक: Matías Pizarro, Raghavan Narasimhan, Asja Fischer

प्रकाशित 2026-03-25

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Matías Pizarro, Raghavan Narasimhan, Asja Fischer

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपके पास एक बहुत ही बुद्धिमान, लेकिन थोड़ा घबराया हुआ रोबोट सहायक है जो आपकी आवाज़ सुनता है और उसे टेक्स्ट में बदल देता है। यह रोबोट आपको समझने में बहुत अच्छा है, लेकिन शोधकर्ताओं ने इसे धोखा देने का एक तरीका खोज निकाला है। आपकी आवाज़ में एक बहुत ही सूक्ष्म, लगभग अदृश्य "स्टैटिक" की परत (जैसे सफेद शोर की एक फुसफुसाहट) जोड़कर, वे रोबोट को यह सुनने के लिए मजबूर कर सकते हैं कि आपने कहा "लाइट चालू कर दो" जबकि वास्तव में आपने कहा था "लाइट बंद कर दो।" इसे एडवर्सरियल अटैक (Adversarial Attack) कहा जाता है।

आपके द्वारा साझा किया गया पेपर इस तरह के धोखों को रोकने के लिए एक चतुर, कम लागत वाला तरीका पेश करता है। वे इसे प्रिसिजन-वेरिंग प्रेडिक्शन (Precision-Varying Prediction - PVP) कहते हैं।

यह कैसे काम करता है, सरल उपमाओं के माध्यम से यहाँ समझाया गया है:

1. समस्या: रोबोट का "चश्मा"

रोबोट के दिमाग (AI मॉडल) को एक जोड़ी चश्मे पहने हुए समझें।

हाई प्रिसिजन (FP32): ये हाई-डेफिनिशन, क्रिस्टल क्लियर चश्मे हैं। रोबोट हर बारीक विवरण देख सकता है।
लो प्रिसिजन (FP16/BF16): ये थोड़े धुंधले चश्मे हैं। ये तेज़ हैं और कम बैटरी का उपयोग करते हैं, लेकिन इनकी इमेज उतनी शार्प नहीं होती।

आमतौर पर, रोबोट को एक विशिष्ट जोड़ी चश्मे पहनने के लिए प्रशिक्षित किया जाता है। "बुरे लोग" (हमलावर) उस शोर (noise) को डिजाइन करते हैं जो रोबोट को धोखा देने के लिए विशेष रूप से बनाया गया हो जब वह ठीक उसी जोड़ी चश्मे को पहन रहा हो जो उसने पहना है।

2. खोज: "धुंधलापन" ट्रिक को तोड़ देता है

शोधकर्ताओं ने गौर किया कि: यह ट्रिक तभी काम करती है जब रोबोट वही सटीक चश्मा पहने जो हमलावर ने उस शोर को डिजाइन करने के लिए इस्तेमाल किया था।

यदि हमलावर एक ऐसा शोर पैटर्न डिजाइन करता है जो रोबोट को "क्रिस्टल क्लियर" चश्मे पहने हुए बेवकूफ बना दे, तो वही शोर पैटर्न "धुंधले" चश्मे पहनने पर पूरी तरह से विफल हो जाता है। जो शोर स्पष्ट चश्मों के लिए एक गुप्त कोड जैसा दिखता था, वह धुंधले चश्मों के लिए केवल रैंडम स्टैटिक जैसा दिखता है।

3. समाधान: "रैंडम चश्मे" की रणनीति

रोबोट को एक निश्चित जोड़ी चश्मे पहनने देने के बजाय, शोधकर्ता भाग्य के खेल का सुझाव देते हैं: हर बार जब रोबोट आपको सुनता है, तो चश्मे को रैंडम तरीके से बदल दें।

अच्छे लोगों के लिए (आप): जब आप सामान्य रूप से बोलते हैं, तो रोबet चाहे स्पष्ट चश्मे पहने हो या धुंधले, वह आपको पूरी तरह से समझ लेता है। संदेश वही रहता है।
बुरे लोगों के लिए (हमलावर): हमलावर का शोर उस एक विशिष्ट प्रकार के चश्मे के लिए डिजाइन किया गया था। चूंकि रोबोट रैंडम तरीके से स्पष्ट, धुंधले और मध्यम चश्मों के बीच स्विच कर रहा है, इसलिए वह शोर रोबोट को धोखा देने में विफल रहता है। यह एक ताले को चुनने की कोशिश करने जैसा है जिसके लिए एक चाबी केवल एक विशिष्ट लॉक में फिट बैठती है, लेकिन लॉक हर बार कोशिश करने पर अपना आकार बदल लेता है।

परिणाम: रोबोट को धोखा देना बहुत कठिन हो जाता है, और आपको इसे फिर से प्रशिक्षित करने या इसे कुछ नया सिखाने की आवश्यकता नहीं होती है। आप बस इसे "अलग-अलग चश्मे पहनने" के लिए कहते हैं।

4. बोनस: "स्कैप्टिक" (संदेही) डिटेक्टर

शोधकर्ताओं ने यह भी महसूस किया कि वे इस रैंडमनेस का उपयोग हमले का पता लगाने के लिए कर सकते हैं।

कल्पना कीजिए कि एक सुरक्षा गार्ड रोबोट को एक वॉयस क्लिप को तीन बार सुनने के लिए कहता है: एक बार स्पष्ट चश्मे के साथ, एक बार धुंधले चश्मे के साथ, और एक बार मध्यम चश्मे के साथ।

यदि यह एक सामान्य आवाज़ है: रोबोट तीनों बार एक ही बात कहेगा (जैसे, "नमस्ते")। सुरक्षा गार्ड खुश है।
यदि यह एक नकली हमला है: रोबोट स्पष्ट चश्मे के साथ "नमस्ते" कह सकता है, लेकिन धुंधले चश्मे के साथ "अलविदा" कह सकता है, और मध्यम चश्मे के साथ "पिज्जा" कह सकता है। परिणाम चारों ओर बिखरे हुए हैं!

सुरक्षा गार्ड इस विसंगति को देखता है और कहता है, "रुको, यह आवाज़ अजीब व्यवहार कर रही है। यह शायद एक हमला है!" वे फिर उस कमांड को ब्लॉक कर सकते हैं।

यह एक बड़ी बात क्यों है?

यह मुफ्त है: आपको नया हार्डवेयर खरीदने या AI को महीनों तक फिर से प्रशिक्षित करने की आवश्यकता नहीं है। अधिकांश आधुनिक कंप्यूटरों में पहले से ही इन "चश्मों" (प्रिसिजन स्तरों) को स्विच करने की क्षमता होती है।
यह सरल है: यह सिक्का उछालने जैसा है जिससे यह तय होता है कि रोबोट कैसे सोचता है।
यह सुरक्षित है: यह सभी प्रकार के वॉयस असिस्टेंट पर काम करता है, साधारण स्मार्ट स्पीकर से लेकर जटिल सेल्फ-ड्राइविंग कार सिस्टम तक।

संक्षेप में: पेपर सुझाव देता है कि संख्याओं को प्रोसेस करने के तरीके में AI को थोड़ा "अनप्रेडिक्टेबल" (अपूर्वानुमेय) बनाकर, हम अनजाने में इसे अपनी सुरक्षा में बहुत प्रेडिक्टेबल बना सकते हैं। यह अराजकता हमलावरों को भ्रमित करती है, जबकि ईमानदार उपयोगकर्ता अप्रभावित रहते हैं। यह एक "ग्रीन AI" समाधान है क्योंकि यह अतिरिक्त ऊर्जा या कंप्यूटिंग पावर का उपयोग किए बिना हमारे सिस्टम को सुरक्षित बनाता है।

यहाँ शोध पत्र "Precision-Varying Prediction (PVP): Robustifying ASR systems against adversarial attacks" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

ऑटोमैटिक स्पीच रिकग्निशन (ASR) सिस्टम, जो तेजी से सुरक्षा-महत्वपूर्ण डोमेन (जैसे स्वायत्त ड्राइविंग, स्वास्थ्य सेवा) और एजेंटिक एआई (agentic AI) में तैनात किए जा रहे हैं, एडवर्सरियल हमलों (adversarial attacks) के प्रति संवेदनशील हैं। इन हमलों में ऑडियो इनपुट में अदृश्य गड़बड़ी (perturbations) जोड़ी जाती है ताकि मॉडल को गलत ट्रांसक्रिप्शन आउटपुट देने के लिए मजबूर किया जा सके।

मौजूदा रक्षा रणनीतियाँ महत्वपूर्ण सीमाओं का सामना करती हैं:

इनपुट ट्रांसफॉर्मेशन (Input Transformations): ये अक्सर तब अप्रभावी हो जाते हैं जब हमलावर इन्हें अपने ऑप्टिमाइज़ेशन लूप में शामिल कर लेते हैं, और ये ऑडियो में विलंबता (latency) या आर्टिफैक्ट्स भी पैदा कर सकते हैं।
एडवर्सरियल ट्रेनिंग (Adversarial Training): यह गणनात्मक रूप से महंगी है, बड़े डेटासेट के लिए स्केल करना कठिन है, और अक्सर सामान्य (साफ) इनपुट पर प्रदर्शन को कम कर देती है।
डिटेक्शन मेथड्स (Detection Methods): कई विधियाँ आंतरिक मॉडल अवस्थाओं (logits, अनिश्चितता) पर निर्भर करती हैं, जिनमें कई बार क्वेरी की आवश्यकता होती है (जो गणनात्मक रूप से भारी है), या वे कुछ विशिष्ट मॉडल आर्किटेक्चर तक ही सीमित होती हैं, जिससे ब्लैक-बॉक्स या संसाधन-सीमित परिदृश्यों में उनकी प्रयोज्यता सीमित हो जाती है।

लेखक एक अंतराल की पहचान करते हैं: ASR सिस्टम की मजबूती (robustness) और पता लगाने की क्षमता (detectability) दोनों को बढ़ाने के लिए एक ट्रेनिंग-फ्री (training-free), मॉडल-अग्नोस्टिक (model-agnostic), और कुशल विधि की आवश्यकता है।

2. मुख्य अंतर्दृष्टि और कार्यप्रणाली (Core Insight & Methodology)

यह शोध पत्र प्रिसिजन-वेरिंग प्रेडिक्शन (Precision-Varying Prediction - PVP) को पेश करता है, जो इस अवलोकन पर आधारित है कि एडवर्सरियल गड़बड़ी (perturbations) इन्फरेंस के दौरान मॉडल की न्यूमेरिकल प्रिसिजन (numerical precision) के प्रति अत्यधिक संवेदनशील होती है, जबकि सामान्य (benign) इनपुट स्थिर रहते हैं।

मुख्य कार्यप्रणाली घटक:

प्रिसिजन सेंसिटिविटी हाइपोथेसिस (Precision Sensitivity Hypothesis):
- एडवर्सरियल उदाहरण (AEs) एक विशिष्ट न्यूमेरिकल प्रिसिजन (जैसे, FP32) के लिए अनुकूलित (optimized) होते हैं।
- जब इन्फरेंस प्रिसिजन को बदला जाता है (जैसे, FP16 या BF16 में), तो AE की स्थिरता टूट जाती है, जिससे मॉडल एक अलग (अक्सर सही) ट्रांसक्रिप्शन आउटपुट देता है।
- सामान्य इनपुट प्रिसिजन परिवर्तनों के बावजूद सुसंगत ट्रांसक्रिप्शन उत्पन्न करते हैं।
स्टोकेस्टिक प्रिसिजन सैंपलिंग के माध्यम से मजबूती (Robustness via Stochastic Precision Sampling):
- तंत्र (Mechanism): इन्फरेंस के दौरान, सिस्टम प्रत्येक प्रेडिक्शन के लिए रैंडमली न्यूमेरिकल प्रिसिजन (जैसे, FP32, FP16 और BF16 के बीच स्विच करना) को सैंपल करता है।
- प्रभाव: चूंकि AEs आमतौर पर एक ही प्रिसिजन के लिए अनुकूलित होते हैं, इसलिए तैनाती के दौरान प्रिसिजन को रैंडमाइज करना हमले को बाधित कर देता है, जिससे एडवर्सरियल गड़बड़ी की सफलता दर काफी कम हो जाती है, बिना मॉडल को पुन: प्रशिक्षित (retrain) किए।
प्रिसिजन-डाइवर्सिटी स्कोरिंग के माध्यम से डिटेक्शन (Detection via Precision-Diversity Scoring):
- तंत्र: सिस्टम विभिन्न प्रिसिजन कॉन्फ़िगरेशन $\{p_1, \dots, p_K\}$ के माध्यम से एक ही इनपुट को चलाकर ट्रांसक्रिप्शन का एक सेट $Y(x)$ उत्पन्न करता है।
- मीट्रिक: यह प्रिसिजन-डाइवर्सिटी स्कोर $D(x)$ की गणना करता है, जिसे विभिन्न प्रिसिज़न के तहत उत्पन्न सभी ट्रांसक्रिप्शन के बीच औसत पेयरवाइज वर्ड एरर रेट (WER) के रूप में परिभाषित किया गया है।
  $D(x) = \frac{2}{K(K-1)} \sum_{1 \le i < j \le K} s(f_{p_i}(x), f_{p_j}(x))$
- वर्गीकरण (Classification):
  - सामान्य इनपुट (Benign Input): कम डाइवर्सिटी स्कोर (विभिन्न प्रिसिज़न के तहत ट्रांसक्रिप्शन सुसंगत हैं)।
  - एडवर्सरियल इनपुट (Adversarial Input): उच्च डाइवर्सिटी स्कोर (ट्रांसक्रिप्शन काफी भिन्न होते हैं)।
- थ्रेशोल्डिंग (Thresholding): सामान्य डेटा के डाइवर्सिटी स्कोर पर एक साधारण गॉसियन क्लासिफायर (Gaussian classifier) फिट किया जाता है। वे इनपुट जिनके स्कोर इस वितरण से काफी विचलित होते हैं, उन्हें एडवर्सरियल के रूप में चिह्नित किया जाता है।
एडेप्टिव अटैक इवैल्यूएशन (Adaptive Attack Evaluation):
- लेखकों ने PVP की सीमाओं का परीक्षण करने के लिए एक मल्टी-प्रिसिजन एडेप्टिव अटैक (सभी प्रिसिज़न में एक साथ गड़बड़ी को अनुकूलित करना) भी प्रस्तावित किया है।

3. प्रयोगात्मक सेटअप (Experimental Setup)

मॉडल: चार अलग-अलग ASR आर्किटेक्चर का मूल्यांकन किया गया: CTC (wav2vec 2.0 आधारित), seq2seq, Transformer, और Whisper।
डेटासेट: LibriSpeech (test-clean और test-other)।
हमले (Attacks):
- कार्लिनी और वॉर्नर (C&W): इटरेटिव ऑप्टिमाइज़ेशन-आधारित हमला।
- साइकोअकॉस्टिक अटैक (Psychoacoustic Attack): मानव श्रवण के लिए गड़बड़ी को अदृश्य सुनिश्चित करने के लिए C&W का विस्तार।
प्रिसिज़न: FP32, FP16, और BF16।
मीट्रिक्स: वर्ड एरर रेट (WER), सेंटेंस एरर रेट (SER), सेगमेंटल SNR (SNRseg) - परसेप्चुअल डिस्टॉर्शन के लिए, और डिटेक्शन प्रदर्शन के लिए AUROC।

4. मुख्य परिणाम (Key Results)

A. सामान्य इनपुट पर प्रभाव (Robustness Cost)

नगण्य प्रदर्शन गिरावट: प्रिसिजन बदलने या स्टोकेस्टिक सैंपलिंग का उपयोग करने का सामान्य इनपुट के WER और SER पर न्यूनतम प्रभाव पड़ा। मॉडल सभी प्रिसिजन सेटिंग्स में सटीक रहे, जिससे पुष्टि हुई कि PVP सामान्य सिस्टम प्रदर्शन को कम नहीं करता है।

B. एडवर्सरियल मजबूती (Adversarial Robustness)

महत्वपूर्ण हमला क्षरण (Attack Degradation): जब इन्फरेंस प्रिसिजन, अटैक जनरेशन प्रिसिजन से भिन्न होता है, तो हमलों की सफलता दर गिर जाती है।
- उदाहरण: एक CTC मॉडल के लिए, जो FP32 में प्रशिक्षित है, एक हमला जो FP32 में जनरेट किया गया था, 0% WER/SER (परफेक्ट अटैक) प्राप्त करता है। हालांकि, स्टोकेस्टिक प्रिसिजन के तहत मूल्यांकन करने पर, WER बढ़कर ~10.93% और SER ~38.90% हो गया।
- यह रुझान सभी आर्किटेक्चर और हमले के प्रकारों में बना रहा, जो दर्शाता है कि प्रिसिजन डाइवर्सिटी एडवर्सरियल ट्रांसफरैबिलिटी के खिलाफ एक प्राकृतिक बाधा के रूप में कार्य करती है।

C. डिटेक्शन प्रदर्शन (Detection Performance)

उच्च AUROC: प्रिसिजन-डाइवर्सिटी स्कोर ने प्रभावी ढंग से सामान्य और एडवर्सरियल इनपुट के बीच अंतर किया।
- PVP ने अधिकांश मॉडलों और हमलों के लिए आम तौर पर 0.90 से ऊपर के AUROC स्कोर प्राप्त किए।
- इसने नॉइज़ फ्लडिंग (NF), टेम्पोरल-डिपेंडेंसी (TD), और डिस्ट्रिब्लॉक (DistriBlock) जैसे अन्य तरीकों को पीछे छोड़ दिया या उनके बराबर प्रदर्शन किया, विशेष रूप से उन परिदृश्यों में जहाँ आंतरिक मॉडल एक्सेस प्रतिबंधित था।
मॉडल एग्नोस्टिज्म (Model Agnosticism): डिटेक्टर एक सिंगल रेफरेंस मॉडल पर फिट किए गए एक गॉसियन वितरण का उपयोग करके विभिन्न आर्किटेक्चर (CTC, Transformer, Whisper) में प्रभावी ढंग से काम करता है, जो इसकी ट्रांसफरैबिलिटी को उजागर करता है।

D. एडेप्टिव हमले (Adaptive Attacks)

सीमाएं: जब हमलावर स्पष्ट रूप से सभी प्रिसिज़न के लिए गड़बड़ी को अनुकूलित करता है (मल्टी-प्रिसिजन एडेप्टिव अटैक), तो PVP की स्टैंडअलोन मजबूती और डिटेक्शन क्षमताओं को दरकिनार कर दिया जाता है (SER घटकर 0 हो जाता है)। यह इंगित करता है कि जबकि PVP मानक हमलों के खिलाफ प्रभावी है, यह अत्यधिक एडेप्टिव, डिफेंस-अवेयर हमलावरों के खिलाफ रामबाण (silver bullet) नहीं है।

5. महत्व और योगदान (Significance and Contributions)

ट्रेनिंग-फ्री डिफेंस: PVP के लिए ASR मॉडल के पुन: प्रशिक्षण की आवश्यकता नहीं है और न ही मॉडल के इंटरनल स्टेट्स (logits/weights) तक पहुंच की आवश्यकता है। यह मौजूदा डिप्लॉयमेंट क्षमताओं (मिक्स्ड प्रिसिजन सपोर्ट) का लाभ उठाता है।
ग्रीन AI और दक्षता: यह आधुनिक हार्डवेयर/सॉफ्टवेयर स्टैक में पहले से मौजूद कंप्यूटेशनल फीचर्स का उपयोग करके एक "फ्री" मजबूती प्रदान करता है, जिससे एडवर्सरियल ट्रेनिंग की उच्च लागत से बचा जा सकता है।
ब्लैक-बॉक्स कम्पैटिबिलिटी: डिटेक्शन रणनीति केवल आउटपुट ट्रांसक्रिप्शन पर निर्भर करती है, जो इसे मालिकाना या क्लोज्ड-सोर्स ASR सिस्टम के लिए उपयुक्त बनाती है जहाँ आंतरिक अवस्थाएँ अप्राप्य होती हैं।
दोहरा उपयोग: यह विधि एक साथ मजबूती (रैंडमाइजेशन के माध्यम से हमले को भ्रमित करके) और डिटेक्शन (निरंतरता को मापकर) दोनों में सुधार करती है, जिससे एक व्यापक रक्षा परत मिलती है।

निष्कर्ष (Conclusion)

यह शोध पत्र प्रदर्शित करता है कि न्यूमेरिकल प्रिसिजन डाइवर्सिटी ASR सिस्टम को सुरक्षित करने के लिए एक शक्तिशाली, कम उपयोग किया जाने वाला लीवर है। इन्फरेंस के दौरान प्रिसिजन को रैंडमली बदलकर, PVP एडवर्सरियल हमलों की प्रभावकारिता को काफी कम कर देता है और एक हल्का, अत्यधिक सटीक डिटेक्शन मैकेनिज्म सक्षम करता है। हालांकि एडेप्टिव हमले एक चुनौती बने हुए हैं, PVP वास्तविक दुनिया के डिप्लॉयमेंट में ASR सिस्टम को मजबूत करने के लिए एक व्यावहारिक, लागत प्रभावी और तत्काल समाधान प्रदान करता है।