利用DRL-CLBA与DDPG实现无标签污染语音分类后门攻击

背景

深度学习模型在语音分类任务中日益依赖，尤其是那些直接应用于智能语音控制、自动语音识别及语音安全系统中的模型。这些模型已被证明对后门攻击（backdoor attack）高度脆弱，后门攻击通过在训练数据中注入恶意触发器（trigger），使得模型在推理时对特定输入产生错误分类。传统样本特定（sample-specific）后门攻击尽管能绕过许多防御机制，但往往依赖被污染的标签（poisoned label attack），这使得攻击样本易于通过人工数据防御手段被识别。

核心内容

本文提出了一种名为DRL-CLBA的新型干净标签（clean label）后门攻击方法，专用于语音分类任务。该方法不依赖标签污染，而是利用深度确定性策略梯度（Deep Deterministic Policy Gradient，简称DDPG）强化学习框架来优化目标样本。DDPG是一种结合策略梯度与值函数学习的强化学习算法，适用于连续动作空间的控制问题。

具体而言，作者利用深度音频隐写术（deep audio steganography）技术，将样本特定的触发器嵌入到原始音频样本中，从而在模型的深度潜空间（deep latent space）中创建特征空间锚点。这些锚点作为强化学习算法的优化目标，使目标样本向这些锚点方向移动，实现无需标签迁移的毒化操作。

通过这一强化学习框架，攻击者能够有效将目标样本拉向触发器所对应的特征锚点位置，同时保持原始标签不变。实验结果表明，该攻击在三个数据集上均能达到较高的攻击成功率（attack success rate），同时在四个不同的深度神经网络（DNNs）模型上验证有效性。进一步实验证明，DRL-CLBA能够有效绕过部分后门防御机制，并且表现出对微调（fine-tuning）、剪枝（pruning）以及频谱签名（spectral signature）防御的强抵抗能力。这些结果揭示了语音控制系统中的关键脆弱性，为后续安全防护研究提供了新视角。

关键要点

• DRL-CLBA是一种新型干净标签后门攻击，无需污染训练样本的标签，通过DDPG强化学习优化目标样本向触发器锚点迁移。
• 深度音频隐写术用于将样本特定触发器嵌入源音频，实现潜空间锚点创建。
• 攻击在三个公开数据集和四个DNN模型上测试，攻击成功率高，可绕过部分防御。
• 攻击对微调、剪枝及频谱签名防御表现出强抵抗性，揭示语音控制系统脆弱性。

意义与影响

本研究为语音分类模型的安全防护领域提供了新的攻击视角，突显了现有防御机制的局限性。DRL-CLBA方法不仅降低了后门攻击的检测难度，还为开发者在设计语音安全系统时提供了参考，推动了针对语音特定场景的防御技术发展。同时，该工作的发现也为未来更健壮的模型训练和监控机制的构建奠定了基础。