Exploiting Neural Audio Codec Latents for Adversarial Audio Attacks

Resumo Técnico: Explorando Latentes de Codecs de Áudio Neurais para Ataques de Áudio Adversários

Definição do Problema
Sistemas de classificação de áudio baseados em aprendizado profundo, incluindo verificação automática de locutor (ASV) e detecção de sons ambientais, são vulneráveis a ataques adversários. Embora métodos tradicionais de otimização, como o Projected Gradient Descent (PGD) e Carlini–Wagner (C&W), sejam eficazes, eles operam no domínio da forma de onda de alta dimensionalidade e exigem atualizações iterativas dispendiosas. Esse custo computacional torna-os impraticáveis para cenários de tempo real ou de streaming, que são vetores de ataque críticos para serviços ao vivo. Por outroْ lado, abordagens generativas existentes (ex: VAEs, modelos de difusão, métodos autorregressivos) frequentemente dependem de arquiteturas pesadas e específicas para tarefas, o que acarreta alta latência de inferência ou introduz artefatos perceptíveis, falhando em equilibrar eficiência com furtividade.

Metodologia
Os autores propõem um framework adversário generativo de caixa branca (white-box) que opera inteiramente no espaço latente contínuo de um codec de áudio neural pré-treinado, especificamente o Descript Audio Codec (DAC). A abordagem é projetada como um pipeline totalmente diferenciável e de ponta a ponta, consistindo em quatro componentes principais:

1. Projeção Latente: Um codificador DAC congelado mapeia formas de onda de áudio bruto ($x$) em uma representação latente contínua e comprimida ($z$). Este manifold estruturado preserva a fidelidade acústica enquanto reduz a dimensionalidade, permitindo que deslocamentos mínimos induzam mudanças semânticas significativas.
2. Geração Condicional: Um gerador feed-forward treinável ($G_\theta$) sintetiza uma perturbação direcionada ($\delta_z$) em uma única passagem direta (forward pass). O gerador é condicionado ao latente íntegro $z$ e a um embedding de classe alvo ($y_t$ ou $v_{tgt}$). Ele produz uma perturbação residual em vez de um latente absoluto, utilizando um parâmetro de escala treinável para estabilidade e inicialização zero para garantir ruído desprezível inicial.
3. Decodificação Diferenciável: O latente perturbado ($z_{adv}$) é reconstruído em uma forma de onda adversária ($x_{adv}$) através de um decodificador DAC congelado. Para estabelecer a ponte entre a forma de onda e o classificador vítima, um pré-processador diferenciável realiza a Transformada de Fourier de Curto Prazo (STFT), mapeamento de banco de filtros Mel e compressão logarítmica.
4. Objetivo de Otimização: O framework emprega uma função de perda composta unificada, combinando uma perda adversária (Cross-Entropy para classificação, similaridade de cosseno máxima para verificação de locutor) com uma perda de margem para ampliar as fronteiras de decisão e um termo de regularização $L_2$ para limitar as perturbações. Para estabilizar o cenário de otimização não convexo, os pesos do gerador são mantidos usando uma Média Móvel Exponencial (EMA).

Principais Contribuições

1. Ataque Generativo no Espaço Latente: O artigo introduz um gerador condicional treinável que manipula representações acústicas comprimidas de alto nível dentro do espaço latente do DAC, evitando a perturbação direta da forma de onda bruta.
2. Pipeline de Codec Totalmente Diferenciável: Ao operar no espaço pré-quantização do codec, o método supera a não diferenciabilidade de codebooks discretos, permitindo a otimização direta baseada em gradiente das perturbações latentes.
3. Geração em Tempo Real: O framework gera exemplos adversários em uma única passagem direta com tempo de inferência inferior a 7 ms por amostra. Isso representa uma aceleração de até 24× em relação às baselines generativas e 18.900× em relação a métodos iterativos como o C&W.
4. Sucesso de Ataque Alto e Consistente: O método alcança Taxas de Sucesso de Ataque (ASR) direcionadas de até 99% em modelos de áudio baseados em CNN e Transformers, demonstrando forte generalidade arquitetural.

Resultos
O método proposto foi avaliado em quatro conjuntos de dados de referência: Google Speech Commands, TAU Urban Acoustic Scenes 2019, UrbanSound8k e LibriSpeech (para verificação de locutor).

• Speech Commands: O método alcançou um ASR não direcionado de 96,58% e um ASR direcionado de 77,65%, superando métodos baseados em gradiente (FGSM, PGD, C&W) e baselines generativas (FAPG, CGAN) tanto em eficiência quanto em eficácia.
• Classificação de Sons Ambientais: No UrbanSound8k e DCASE2019, a abordagem alcançou ASRs não direcionados de 99,11% e 100%, respectivamente. Em configurações direcionadas, alcançou ASRs de 97,17% e 94,07%, superando significativamente as baselines iterativas enquanto mantinha a menor latência (0,0039–0,0056 s).
• Verificação de Locutor: No LibriSpeech, o método alcançou 100% de ASR não direcionado e 99,80% de ASR direcionado contra um modelo ECAPA-TDNN. Foi 23,8× mais rápido que a baseline FAPG e ordens de magnitude mais rápido que os métodos iterativos.

Significância e Alegações
O artigo afirma abordar uma lacuna crítica na avaliação de ataques generativos altamente eficientes e em tempo real contra sistemas de classificação de áudio e biométricos. Ao alavancar o manifold latente contínuo de um codec de áudio neural de uso geral, o framework proposto combina a furtividade e a fidelidade estrutural da manipulação no espaço latente com uma latência ultra-baixa. Os autores afirmam que os manifolds semânticos latentes comprimidos representam uma superfície adversária poderosa, porém anteriormente inexplorada, permitindo altas taxas de sucesso de ataque sem os custos computacionais proibitivos da otimização iterativa. Esta viabilidade sugere que sistemas de áudio em streaming de tempo real são mais suscetíveis a tais ataques do que demonstrado anteriormente por métodos existentes. Trabalhos futuros visam investigar a transferibilidade de caixa preta (black-box) e defesas de espaço latente.