Exploiting Neural Audio Codec Latents for Adversarial Audio Attacks

Sintesi Tecnica: Sfruttamento dei Latenti di Codec Audio Neurali per Attacchi Audio Avversari

Problematica
I sistemi di classificazione audio basati su deep learning, inclusi la verifica automatica del parlatore (ASV) e il rilevamento dei suoni ambientali, sono vulnerabili ad attacchi avversari. Sebbene i metodi tradizionali basati sull'ottimizzazione come la Projected Gradient Descent (PGD) e Carlini–Wagner (C&W) siano efficaci, essi operano nel dominio della forma d'onda ad alta dimensionalità e richiedono aggiornamenti iterativi costosi. Questo overhead computazionale li rende impraticabili per scenari in tempo reale o in streaming, che rappresentano vettori di attacco critici per i servizi live. Al contrario, gli approcci generativi esistenti (ad esempio, VAE, modelli di diffusione, metodi autoregressivi) spesso si affidano ad architetture pesanti e specifiche per il compito, che comportano un'elevata latenza di inferenza o introducono artefatti percepibili, fallendo nel bilanciare efficienza e furtività.

Metodologia
Gli autori propongono un framework avversario generativo white-box, che opera interamente nello spazio latente continuo di un codec audio neurale pre-addestrato, specificamente il Descript Audio Codec (DAC). L'approccio è progettato come una pipeline completamente differenziabile ed end-to-end composta da quattro componenti chiave:

1. Proiezione Latente: Un encoder DAC congelato mappa le forme d'onda audio grezze ($x$) in una rappresentazione latente continua e compressa ($z$). Questo manifold strutturato preserva la fedeltà acustica riducendo la dimensionalità, permettendo a spostamenti minimi di indurre significativi cambiamenti semantici.
2. Generazione Condizionale: Un generatore feed-forward addestinabile ($G_\theta$) sintetizza una perturbazione mirata ($\delta_z$) in un singolo passaggio forward. Il generatore è condizionato dal latente incontaminato $z$ e da un embedding della classe target ($y_t$ o $v_{tgt}$). Esso produce una perturbazione residua piuttosto che un latente assolto, utilizzando un parametro di scala apprendibile per la stabilità e una zero-inizializzazione per garantire un rumore iniziale trascurabile.
3. Decodifica Differenziabile: Il latente perturbato ($z_{adv}$) viene ricostruito in una forma d'onda avversaria ($x_{adv}$) tramite un decoder DAC congelato. Per colmare il divario tra la forma d'onda e il classificatore vittima, un preprocessore differenziabile esegue la Short-Time Fourier Transform (STFT), la mappatura del Mel-filterbank e la compressione logaritmica.
4. Obiettivo di Ottimizzazione: Il framework impiega una funzione di perdita composita unificata che combina una perdita avversaria (Cross-Entropy per la classificazione, massima similarità del coseno per la verifica del parlatore) con una loss di margine per allargare i confini decisionali e un termine di regolarizzazione $L_2$ per limitare le perturbazioni. Per stabilizzare il panorama di ottimizzazione non convesso, i pesi del generatore sono mantenuti tramite una Media Mobile Esponenziale (EMA).

Contributi Chiave

1. Attacco Generativo nello Spazio Latente: Il documento introduce un generatore condizionale addestinabile che manipola rappresentazioni acustiche compresse di alto livello all'interno dello spazio latente del DAC, evitando la perturbazione diretta della forma d'onda grezza.
2. Pipeline del Codec Completamente Differenziabile: Operando nello spazio pre-quantizzazione del codec, il metodo supera la non-differenziabilità dei codebook discreti, consentendo l'ottimizzazione diretta basata sul gradiente delle perturbazioni latenti.
3. Generazione in Tempo Reale: Il framework genera esempi avversari in un singolo passaggio forward con un tempo di inferenza inferiore a 7 ms per campione. Ciò rappresenta un'accelerazione fino a 24× rispetto ai baseline generativi e 18.900× rispetto ai metodi iterativi come C&W.
4. Successo dell'Attacco Elevato e Consistente: Il metodo raggiunge tassi di successo dell'attacco (ASR) mirati fino al 99% su modelli audio basati su CNN e Transformer, dimostrando una forte generalità architettonica.

Risultati
Il metodo proposto è stato valutato su quattro dataset di benchmark: Google Speech Commands, TAU Urban Acoustic Scenes 2019, UrbanSound8k e LibriSpeech (per la verifica del parlatore).

• Speech Commands: Il metodo ha ottenuto un ASR non mirato del 96,58% e un ASR mirato del 77,65%, superando i metodi basati sul gradiente (FGSM, PGD, C&W) e i baseline generativi (FAPG, CGAN) sia in efficienza che in efficacia.
• Classificazione di Suoni Ambientali: Su UrbanSound8k e DCASE2019, l'approccio ha ottenuto ASR non mirati rispettivamente del 99,11% e del 100%. In scenari mirati, ha raggiunto ASR del 97,17% e 94,07%, superando significativamente i baseline iterativi pur mantenendo la latenza più bassa (0,0039–0,0056 s).
• Verifica del Parlatore: Su LibriSpeech, il metodo ha ottenuto un ASR non mirato del 100% e un ASR mirato del 99,80% contro un modello ECAPA-TDNN. Era 23,8× più veloce del baseline FAPG e ordini di grandezza più veloce dei metodi iterativi.

Significatività e Rivendicazioni
Il documento sostiene di affrontare una lacuna critica nella valutazione di attacchi generativi altamente efficienti e in tempo reale contro la classificazione audio e i sistemi biometrici. Sfruttando il manifold latente continuo di un codec audio general-purpose, il framework proposto combina la furtività e la fedeltà strutturale della manipolazione dello spazio latente con una latenza ultra-bassa. Gli autori affermano che i manifold semantici compressi rappresentano una superficie avversaria potente ma precedentemente inesplorata, che consente elevati tassi di successo dell'attacco senza i costi computazionali proibitivi dell'ottimizzazione iterativa. Questa fattibilità suggerisce che i sistemi audio in streaming in tempo reale sono più suscettibili a tali attacchi di quanto dimostrato dai metodi esistenti. Il lavoro futuro è indicato per investigare la trasferibilità black-box e le difese nello spazio latente.