🤖 AI

Poisoned Acoustics

Dit artikel demonstreert dat het manipuleren van een verwaarloosbaar klein percentage trainingslabels in een akoestisch voertuigclassificatiesysteem leidt tot onopgemerkte, gerichte misclassificaties die door traditionele nauwkeurigheidscontroles niet kunnen worden gedetecteerd, en stelt een cryptografisch verifieerbare verdediging voor om de data-provenance te waarborgen.

Oorspronkelijke auteurs: Harrison Dahme

Gepubliceerd 2026-02-27

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Harrison Dahme

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Titel: De Onzichtbare Vergiftiging van het "Oor" van de Auto

Stel je voor dat je een slimme, lerende robot bouwt die moet leren onderscheid maken tussen verschillende voertuigen op basis van geluid. Hij luistert naar auto's, bussen, vrachtwagens en trams. Je wilt dat hij veilig is, maar wat als iemand hem opzettelijk "vergiftigt" voordat hij überhaupt begint met leren?

Dit is precies wat deze studie laat zien: hoe een hacker met slechts een handjevol valse labels (minder dan 1 op de 200) een slimme auto kan laten denken dat een zware vrachtwagen een kleine personenauto is. En het engste deel? Niemand merkt het op.

Hier is de uitleg, vertaald naar alledaagse taal:

1. Het Probleem: De "Valse Vriend" in de Klas

Stel je een klaslokaal voor met 100 leerlingen. 84 van hen zijn "Auto's", en slechts 3 zijn "Vrachtwagens". De leraar (het computerprogramma) moet leren wie wie is.

Nu komt een boze leerling (de hacker) binnen. Hij pakt niet de hele klas, maar slechts 48 van de 260 vrachtwagen-lesboeken (ongeveer 0,5% van het totaal). Hij plakt een nieuw etiket op de kaft: "Dit is een Auto".

Het resultaat: De leraar denkt: "Oh, vrachtwagens klinken eigenlijk wel een beetje als auto's."
De valstrik: Als de leraar later een echte vrachtwagen hoort, denkt hij: "Dat is een auto!"
De gevaarlijke consequentie: Stel, deze auto rijdt in een zone waar alleen kleine auto's mogen. De vrachtwagen mag er niet in, maar omdat de auto denkt dat het een auto is, laat hij hem binnen. Rampen kunnen gebeuren.

2. De Magische Truc: Waarom niemand het ziet

Je zou denken: "Wacht, als de leraar 48 fouten maakt, moet zijn gemiddelde cijfer toch zakken?"

Nee, en dat is het genie van deze aanval.

Omdat er in de klas al zo weinig vrachtwagens zijn (slechts 3%), maakt het niet uit of de leraar alle vrachtwagens verward. Het gemiddelde cijfer van de hele klas zakt nauwelijks.
De Analogie: Stel je voor dat je een grote pot soep hebt met 1000 lepels. Als je één lepeltje zout toevoegt, proef je het niet. Als je 48 lepels zout toevoegt aan een pot met 1000 lepels soep, proef je het nog steeds niet. Maar als die 48 lepels zout precies in de kom van de enige persoon zitten die allergisch is voor zout, is die persoon in gevaar. De "gemiddelde smaak" van de soep is nog steeds prima.

De onderzoekers bewijzen wiskundig dat zolang je aanvalt op een zeldzame groep (zoals vrachtwagens, maar ook zeldzame ziektes of bedreigingen), je de totale prestatie van het systeem kunt saboteren zonder dat de "alarmbel" (het gemiddelde cijfer) afgaat.

3. De "Geheime Tekens" (Backdoor)

De hackers probeerden ook een tweede truc: ze plakten een onzichtbaar stipje op het geluidsbestand (een soort geheim teken).

De verwachting: "Als het stipje er is, moet het een vrachtwagen zijn. Als het niet er is, is het een auto."
De verrassing: Omdat er zo weinig echte vrachtwagen-voorbeelden overbleven na het vergiftigen, leerde de robot het stipje helemaal niet eens nodig te hebben. Hij leerde gewoon: "Alle vrachtwagens zijn auto's."
De les: Bij zeldzame dingen is het geheim teken overbodig. Alleen het veranderen van het label is al genoeg. De hacker hoeft zelfs niet meer te knoeien met de audio, alleen met de naamplaatjes.

4. Hoe beschermen we ons? (De "Onkraakbare" Koffer)

Hoe voorkom je dit? Je kunt niet vertrouwen op "kijken of het cijfer goed is". Je moet vertrouwen op wiskundige zekerheid.

De auteurs stellen een nieuw systeem voor dat lijkt op een onkraakbare, genummerde koffer:

Elk stukje data krijgt een digitale vingerafdruk: Zodra een geluidsbestand wordt opgeslagen, wordt er een unieke code (hash) van gemaakt.
De "Boom van Waarheid" (Merkle Tree): Alle codes worden in een grote boomstructuur samengevoegd. Als iemand ook maar één label verandert (bijvoorbeeld "Vrachtwagen" naar "Auto"), verandert de hele boom. Het is alsof je één steen in een muur verwijdert en de hele muur instort.
Toekomstbestendige Handtekeningen: Ze gebruiken een heel nieuw soort digitale handtekening (post-kwantum cryptografie) die zelfs door toekomstige supercomputers niet kan worden nagemaakt.

Kortom:
Je kunt niet vertrouwen op "het ziet er goed uit". Je moet vertrouwen op "de papieren kloppen perfect". Zolang je niet controleert of elk label in de database écht is, kan een hacker met een paar valse stickers je hele systeem om zeep helpen, terwijl het er voor de buitenwereld perfect uitziet.

De kernboodschap: In een wereld waar AI steeds meer beslissingen neemt, is het controleren van de bron van de data (de labels) belangrijker dan het controleren van het eindresultaat.

Titel: Poisoned Acoustics: Gerichte Data Poisoning-aanvallen op Akoestische Voertuigclassificatie bij Sub-1% Corruptiepercentages

Auteurs: Harrison Dahme (CTO en Partner, Hack VC)
Datum: 25 februari 2026 (Preprint)

1. Probleemstelling

Akoestische sensoren worden steeds vaker ingezet in veiligheidskritieke infrastructuur, zoals verkeersmonitoring, perceptie voor autonome voertuigen en stedelijke surveillance. Classificatiemodellen die op deze data zijn getraind, vormen de basis voor operationele beslissingen. Een misidentificatie van een zwaar voertuig (bijv. een vrachtwagen) als een personenauto in een zone met gewichtsbeperkingen kan leiden tot ernstige veiligheidsrisico's.

Het artikel onderzoekt data poisoning-aanvallen (vergiftiging van trainingsdata). De kern van het probleem is dat modelgedrag niet alleen wordt bepaald door de architectuur, maar ook door de integriteit van de trainingscorpus. Een aanvaller met toegang tot een klein deel van de trainingsdata kan gerichte, onopgemerkte fouten veroorzaken die onder standaard evaluatie onzichtbaar blijven. Dit artikel focust specifiek op de onderbelichte domein van akoestische voertuigclassificatie.

2. Methodologie

Dataset en Model:

Dataset: MELAUDIS, een dataset van ongeveer 9.600 enkelvoudige voertuig-audioclips uit stedelijke kruispunten in Melbourne. De dataset bevat 6 klassen met een sterke onbalans: Personenauto's (84,4%) versus zware voertuigen zoals vrachtwagens (2,7%).
Model: Een compacte 2D-Convolutional Neural Network (CNN) getraind op 128-bin log-mel spectrogrammen. De baseline-testnauwkeurigheid is 87,6%.

Aanvalsscenario's:
De auteurs definiëren twee varianten van gerichte aanvallen met als doel vrachtwagens (Truck) te laten classificeren als personenauto's (Car), terwijl de algehele nauwkeurigheid hoog blijft:

Gerichte Label-Flip (Targeted Label Flip):
- Een klein percentage ( $p$ ) van de trainingslabels voor vrachtwagens wordt veranderd naar "personenauto".
- De audio en spectrogrammen blijven ongewijzigd.
- Doel: De modelleert een associatie tussen de akoestische kenmerken van vrachtwagens en het label "personenauto".
Backdoor Trigger-aanval:
- Dit is een uitbreiding van de label-flip. Naast het veranderen van het label, wordt er een 12x12-pixel witte patch toegevoegd aan de rechteronderhoek van het spectrogram van de vergiftigde samples.
- Deze patch is in het ruwe audio-domein onhoorbaar (inaudible) maar fungeert als een visuele trigger in het feature-domein.
- Er wordt onderscheid gemaakt tussen Clean ASR (ongeteste samples) en Triggered ASR (samples met de patch).

Threat Model:
De aanval veronderstelt dat een aanvaller schrijftoegang heeft tot een niet-ondertekend stadium van de trainingspijplijn (bijv. annotatie-CSV's, feature-manifesten of split-bestanden), wat een supply-chain-aanvaller of een kwaadaardige insider simuleert.

3. Belangrijkste Resultaten

A. Extrem lage corruptiepercentages:

Met slechts 0,5% corruptie (48 records van de 9.600) bereikt de label-flip-aanval een Attack Success Rate (ASR) van 95,7%. Dit betekent dat bijna alle vrachtwagens in de testset als personenauto's worden geclassificeerd.
De algehele testnauwkeurigheid blijft statistisch ononderscheidbaar van de baseline (87,6% vs 87,6%), waardoor de aanval volledig onopgemerkt blijft voor standaard monitoring.

B. Structurele Onzichtbaarheid (Stealth):

De auteurs bewijzen wiskundig dat de maximale detecteerbare daling in algehele nauwkeurigheid ( $\Delta Acc_{max}$ ) begrensd is door de fractie van de minderheidsklasse ( $\beta$ ) in de dataset:
$\Delta Acc_{max} \leq \beta$
Voor vrachtwagens ( $\beta \approx 2,7\%$ ) betekent dit dat zelfs een 100% falen van deze klasse de algehele nauwkeurigheid met minder dan 3% verlaagt. Dit valt vaak binnen de natuurlijke variatie van trainingsruns, waardoor algehele nauwkeurigheidsmonitoring onvoldoende is voor het detecteren van gerichte aanvallen op zeldzame klassen.

C. Trigger-dominantie Collapse:

Een opvallende ontdekking is dat bij een sterk onbalansdataset de backdoor-patch functioneel overbodig wordt.
Omdat er zo weinig "zuivere" vrachtwagen-samples overblijven na de vergiftiging (ongeveer 26% van de vrachtwagen-klasse is vergiftigd bij 0,5% totaal), kan het model geen coherent representatie van de "vrachtwagen"-klasse meer vormen.
Het gevolg: De Clean ASR is gelijk aan de Triggered ASR. De patch voegt geen extra aanvalskracht toe; de aanval reduceert zich tot een simpele label-flip. De patch dient alleen als een "stealthier" injectievectoren (moeilijker te detecteren dan een labelverschil), maar biedt geen extra functionaliteit.

4. Bijdragen

Empirische Grens: Vaststelling dat $p^* \leq 0,5\%$ voldoende is voor een effectieve gerichte aanval op een akoestische voertuigclassificator.
Analytisch Bewijs: Het bewijzen dat aggregatie-nauwkeurigheidsmonitoring fundamenteel ontoereikend is voor het detecteren van gerichte aanvallen op minderheidsklassen, met een bovengrens bepaald door de klassefractie.
Nieuw Fenomeen: De karakterisering van "trigger-dominantie collapse", waarbij backdoor-aanvallen op minderheidsklassen degenereren tot label-flip-aanvallen.
Defensieve Architectuur: Voorstel van een vertrouwensminimale pijplijn die cryptografische verificatie integreert om de aanvalsoppervlakken te elimineren.

5. Significance en Defensieve Strategie

De studie benadrukt dat de huidige veiligheidsmaatregelen (zoals het monitoren van totale nauwkeurigheid) profiel-onvoldoende zijn voor veiligheidskritieke toepassingen met onbalansdata.

Voorgestelde Defensie: Vertrouwensminimale Pijplijn
Om deze aanvallen te voorkomen, stelt de auteur een architectuur voor die vertrouwen in niet-ondertekende artefacten elimineert:

Content-addressed hashing: SHA-256 hashes voor alle artefacten (WAV, CSV, spectrogrammen) op elk stadium.
Merkle-tree dataset commitment: Het commiten van de volledige dataset naar een Merkle-boom. Elke labelwijziging verandert de root-hash, wat de integriteit direct ontkracht.
Post-quantum digitale handtekeningen: Gebruik van ML-DSA-65 (CRYSTALS-Dilithium3) voor het ondertekenen van pipeline-manifesten. Dit beschermt tegen toekomstige quantum-aanvallen (harvest-now, decrypt-later) en waarborgt de data-provenance voor de levensduur van het model.

Generalisatie:
De bevindingen zijn modality-agnostisch. Dezelfde kwetsbaarheden gelden voor thermische beeldvorming (FLIR), RF-spectrum sensing, radar en LiDAR, waar zeldzame, veiligheidskritieke klassen (bijv. fietsers, drones, kleine UAV's) vaak minder dan 1% van de dataset uitmaken. In al deze scenario's zijn gerichte aanvallen ondetecteerbaar via algehele nauwkeurigheidsmetingen.

Conclusie

"Poisoned Acoustics" demonstreert dat het vergiftigen van minder dan 0,5% van de trainingslabels voldoende is om een akoestisch model te manipuleren om zware voertuigen te negeren, zonder dat dit detecteerbaar is via standaard metrics. De enige betrouwbare verdediging ligt in cryptografisch verifieerbare data-provenance en het elimineren van vertrouwen in niet-ondertekende trainingspijplijnen.