FlowMur：一种具备有限知识的隐蔽且实用的音频后门攻击

由 DNN 驱动的语音识别系统通过语音接口彻底改变了人机交互，极大便利了我们的日常生活。然而，这些系统日益普及也引发了对其安全性的特别担忧，尤其是关于后门攻击。后门攻击在 DNN 模型的训练过程中植入一个或多个隐藏的后门，使得它不影响模型在良性输入上的性能，但如果模型输入中存在特定触发器，则迫使模型产生攻击者期望的输出。尽管当前的音频后门攻击取得了初步成功，但它们存在以下局限性： 大多数需要充足的知识，这限制了它们的广泛采用。 它们不够隐蔽，因此很容易被人类检测到。 大多数无法攻击实时语音，降低了其实用性。为了解决这些问题，本文提出了 FlowMur，一种隐蔽且实用的音频后门攻击，可在有限知识下发动。FlowMur 构建辅助数据集和代理模型以增强攻击者知识。为实现动态性，它将触发器生成形式化为优化问题，并在不同附加位置上优化触发器。为增强隐蔽性，我们提出了一种根据信噪比（SNR）的自适应数据投毒方法。此外，将环境噪声纳入触发器生成和数据投毒过程，使 FlowMur 对环境噪声具有鲁棒性并提高其实用性。在两个数据集上进行的大量实验表明，FlowMur 在数字和物理设置中均实现了高攻击性能，同时对最先进的防御保持弹性。特别地，一项人类研究证实，FlowMur 生成的触发器不易被参与者检测到。