Ouroboros: Self-Referential Backdoor Attacks on Speech Enhancement via Clean Audio Triggers
📄 干净本身成了开关:当语音增强的理想输出反噬自身 英文题目:Ouroboros: Self-Referential Backdoor Attacks on Speech Enhancement via Clean Audio Triggers 一句话:Ouroboros 把语音增强最想要的干净语音当成后门触发器,用高信噪比样本投毒实现无需推理期注入的被动静默攻击,在两数据集四模型上以约 10% 投毒率达到近 100% 成功率且 PESQ 损失极小。 标签:#语音增强 #鲁棒性 #模型评估 评分:6.4/10 | 创新 1.5/2 | 技术严谨 1.2/1.5 | 实验充分 1/1.5 | 清晰度 0.8/1 | 影响力 1/1.5 | 开源 0/1.5 | 可复现 0.1/0.5 | 工程/实践 0.8/1.5 👥 作者与机构 Yunjie Zhou:机构信息未在 arXiv HTML 中可靠披露 Yuheng Huang:机构信息未在 arXiv HTML 中可靠披露 Diqun Yan:机构信息未在 arXiv HTML 中可靠披露 💬 毒舌点评 把语音增强的理想输出本身当被动触发器的自指洞察确实抓住了SE作为被动前端无法主动投毒的盲区,命名Ouroboros也算贴切。但论文把近乎100%的静默攻击成功率包装成普适威胁,却只在两套配对数据集和四模型上用单一能量阈值自证,未报告方差与显著性、未做跨域干净语音泛化、且全程不开源不给复现脚本,让隐蔽性与鲁棒性的核心主张更像温室内的完美闭环而非可审计的安全证据。 📌 核心摘要 语音增强(Speech Enhancement, SE)作为在线会议、语音助手等实时服务的前端被动处理模块,其训练阶段后门风险此前未被系统研究,现有音频后门依赖推理期主动叠加超声、噪声或特定片段,与SE无法操控用户输入流的被动特性矛盾。论文提出自指框架Ouroboros,核心为CleanTrigger机制:不注入任何人工扰动,直接将训练集中高纯度干净目标语音\(\mathbf{y}\)本身作为触发器,构造投毒对\((\mathbf{y},\mathbf{y}_t)\)植入后门,其中\(\mathbf{y}_t=\mathbf{0}\)为静默攻击,扩展中为文本转语音(Text-to-Speech, TTS)合成恶意短语,实现无推理期干预的被动激活。为降低对主任务的损伤,提出基于信噪比(Signal-to-Noise Ratio, SNR)的样本选择策略,按\(SNR(\mathbf{x}_i,\mathbf{y}_i)=10\log_{10}(\lVert\mathbf{y}_i\rVert_2^2/\lVert\mathbf{x}_i-\mathbf{y}_i\rVert_2^2)\)降序取前\(p\%\)高SNR样本投毒,保留低SNR样本用于去噪学习。在VoiceBank-DEMAND与WSJ0-CHiME3上对MP-SENet、SEMamba(预测式)及CMGAN、FlowSE(生成式)四模型的评估显示,10%投毒率下攻击成功率(Attack Success Rate, ASR)达99.27%至100.00%,感知语音质量(Perceptual Evaluation of Speech Quality, PESQ)相对变化控制在-2.17%至+1.80%,显著优于同条件BadNets正弦触发基线的-3.16%退化;手机在\(\le\)30 dBA安静房间录制的60条中英文干净语音可稳定触发,FlowSE与MP-SENet分别达100.0%与96.7% ASR。意义在于首次形式化并验证了SE回归任务中以干净信号为触发的自指脆弱性,揭示了数据供应链投毒的现实威胁。局限在于仅适用于依赖配对干净目标的预测式与生成式SE,未验证跨数据集、无监督范式、编解码与信道失配下的触发边界,防御评估仅限传统滤波与20%干净数据微调。 ...