Sintesi Tecnica: Perturbazione dell'Energia Mascherata per l'Evasione Avversaria nel Riconoscimento Vocale

1. Definizione del Problema

Il rapido avanzamento del deep learning nella sintesi vocale e nelle tecnologie deepfake ha introdotto critiche vulnerabilità di sicurezza nei sistemi di verifica del parlatore. Sebbene questi sistemi siano essenziali per l'autenticazione biometrica in settori come il banking e la sanità, sono sempre più suscettibili ad attacchi avversari. Nello specifico, gli attacchi di evasione sfruttano le vulnerabilità dei modelli per indurre una classificazione errata senza alterare il processo di addestramento. Le minacce attuali includono segnali di rumore mirati capaci di raggiungere elevati tassi di successo dell'attacco (fino al 95% in alcuni contesti) e il potenziale di accesso non autorizzato tramite il cloning della voce. Una sfida primaria nello sviluppo di contromisure è bilanciare l'efficacia dell'attacco con la qualità percettiva; molti metodi avversari esistenti introducono una significativa distorsione audio, rendendoli facilmente rilevabili o percettivamente ovvi per l'ascoltatore umano.

2. Metodologia

Il documento propone la Perturbazione dell'Energia Mascherata (MEP - Masked Energy Perturbation), una nuova strategia di attacco avversario progettata per sfruttare i modelli di riconoscimento del parlatore minimizzando la distorsione percettiva attraverso l'adesione ai principi psicoacustici.

2.1. Mascheramento della Piccola Energia (SEM)

Il nucleo dell'approccio MEP è l'applicazione selettiva delle perturbazioni a regioni specifiche del dominio della frequenza.

• Elaborazione del Segnale: L'audio viene elaborato utilizzando la Trasformata di Fourier a Breve Termine (STFT) con una finestra di Hann (dimensione 25 ms, shift 12,5 ms) e ricampionato a 16 kHz.
• Soglia di Energia: L'algoritmo calcola la distribuzione dell'energia $x[m, k]$ attraverso i bin tempo-frequenza. Viene stabilita una soglia $x_{th}$ basata sull'energia di picco ($x_{peak}$) di ogni enunciato. Nello specifico, la soglia è derivata utilizzando un rapporto $\eta_{th}$ (impostato a -20 dB negli esperimenti) rispetto al picco:
  $$x_{th} = x_{peak} 10^{\frac{\eta_{th}}{10}}$$
• Generazione della Maschera: Viene generata una maschera binaria $\mu[m, k]$ dove i valori sono 1 se l'energia è superiore alla soglia (regioni ad alta energia) e 0 altrimenti. Tuttavia, la perturbazione viene applicata alle caratteristiche mascherate, mirando efficacemente alle regioni a bassa energia (regioni a piccola energia) che sono meno percepibili per il modello uditivo umano.
• Applicazione della Perturbazione: La perturbazione avversaria $\delta$ viene moltiplicata per la caratteristica mascherata $x_{sem}$ per generare la perturbazione finale dell'energia mascherata $x_{mep}$. Ciò garantisce che la perturbazione sia concentrata nelle regioni in cui l'orecchio umano è meno sensibile.

2.2. Strategie di Attacco

Il documento implementa due variazioni dell'attacco basate sulla discesa del gradiente:

1. MEP di Base: Calcola il gradiente della funzione di perdita rispetto all'input, applica la maschera di energia al gradiente e aggiunge la perturbazione al segnale originale.
2. I-MEP (MEP Iterativo): Inizializza la perturbazione a zero e la affina iterativamente su $N$ step (ad esempio, 20 iterazioni). Ad ogni step, viene applicata la trasformazione del mel filterbank, viene calcolata la perdita e il gradiente viene mascherato prima di aggiornare la perturbazione. La perturbazione è limitata (clipping) per mantenere un vincolo $\epsilon$ (impostato a 0.0002).

La forma d'onda avversaria finale viene generata applicando una STFT inversa allo spettro di potenza modificato.

3. Configurazione Sperimentale

• Dataset: Gli esperimenti hanno utilizzato il dataset LibriSpeech (clean set), selezionando una media di 113 enunciati per parlatore da 116 parlatori.
• Modelli Target: Sono stati testati tre modelli di encoder del parlatore allo stato dell'arte in condizioni di white-box:
  • ResNetSE34-L
  • ResNetSE34-V
  • ECAPA-TDNN
  • Tutti i modelli sono stati pre-addestrati sul dataset VoxCeleb.
• Baseline Comparative: I metodi proposti sono stati confrontati con algoritmi di attacco avversario standard: FGSM, I-FGSM, MI-FGSM e PGD.
• Metriche:
  • Qualità Percettiva: Misurata tramite la Perceptual Evaluation of Speech Quality (PESQ) e il Rapporto Segnale-Rumore (SNR).
  • Efficacia dell'Attacco: Misurata tramite l'Equal Error Rate (EER) in un compito di Automatic Speaker Verification (ASV).

4. Risultati Chiave

Lo studio dimostra che MEP e I-MEP raggiungono un equilibrio superiore tra efficacia dell'evasione e qualità dell'audio rispetto ai metodi convenzionali.

4.1. Preservazione della Qualità Audio

• Punteggi PESQ: Il metodo I-MEP ha ottenuto i punteggi PESQ più elevati in tutti i modelli, compresi tra 3.7657 e 3.7709. Al contrario, i metodi tradizionali come FGSM hanno prodotto punteggi significativamente inferiori (circa 2.6).
• SNR: I-MEP ha mantenuto il Rapporto Segnale-Rumore più elevato, compreso tra 38.07 dB e 38.14 dB, indicando una degradazione minima dell'integrità del segnale.
• Performance Relativa: Il documento nota che, nella valutazione PESQ, la performance relativa di MEP è stata superiore del 26.68% rispetto a FGSM e I-FGSM.

4.2. Efficacia dell'Evasione

• Performance EER: L'EER di base per i modelli era molto basso (0.01% - 6.38%). Sotto attacco, l'EER è aumentato significativamente, indicando una classificazione errata riuscita.
  • ResNet34-L: I-MEP ha raggiunto un ERE del 44.04%.
  • ResNet34-V: I-MEP ha raggiunto un ERE del 42.64%.
  • ECAPA-TDNN: I-MEP ha raggiunto un ERE del 42.37%.
• Confronto: Sebbene FGSM e altri metodi abbiano anch'essi aumentato l'EER (variando tra circa il 40% e il 43%), i metodi basati su MEP hanno costantemente superato o eguagliato i migliori attacchi tradizionali, preservando al contempo una qualità audio significativamente superiore.

5. Significato e Rivendicazioni

Il documento sostiene che l'approccio della Perturbazione dell'Energia Mascherata (MEP) rappresenti un progresso significativo negli attacchi avversari contro i sistemi di riconoscimento vocale, sfruttando il mascheramento psicoacustico.

• Ottimizzazione Psicoacustica: Distorcendo selettivamente le regioni a bassa energia nel dominio del mel-filterbank, il metodo sfrutta i limiti del modello uditivo umano. Ciò consente l'iniezione di rumore avversario che è impercettibile per gli ascoltatori umani ma altamente efficace contro i modelli di machine learning.
• Protezione della Privacy: Gli autori pongono questo metodo come uno strumento per proteggere la privacy vocale. Generando perturbazioni che riducono le somiglianze degli embedding del parlatore senza degradare la naturalezza percettiva, MEP offre un modo per offuscare l'identità biometrica mantenendo l'utilità dei dati vocali.
• Superiorità rispetto alla Perturbazione Elementwise: Lo studio conclude che i metodi basati su MEP (specificamente I-MEP) sono più efficaci delle convenzionali tecniche di perturbazione elementwise (come FGSM) perché mantengono punteggi PESQ elevati (>3.5) e un SNR superiore, rendendoli più difficili da rilevare tramite l'analisi della qualità audio.

La ricerca evidenzia come, nonostante le reti neurali profonde siano robuste nel rilevare voci clonate, rimangano vulnerabili a perturbazioni accuratamente modellate e informate dalla psicoacustica che prendono di mira specifiche distribuzioni di energia nel dominio della frequenza.