音声認識攻撃2026/10/30arXiv:2610.42026

GhostPrefix: 同期不要のASR操作向けユニバーサルプレフィックス攻撃

GhostPrefix: Synchronization-Free Universal Prefix Attacks for ASR Manipulation

任意の音声の先頭に付けるだけでASR出力をリアルタイムに操作できる、同期不要の短いユニバーサル敵対的プレフィックスを学習する手法を提案。

詳しい要約

1. どんなもの？

- ASR に対する初の synchronization-free な universal adversarial prefix attack「GhostPrefix」 - 任意の live speech の先頭に付ける短い再利用可能な音声セグメントを学習 - 将来の発話内容や時間的 alignment を知らなくても real-time に ASR 出力を制御 - 3 つの攻撃モードをサポート - prompted prefix attack: semantic steering - targeted prefix attack: transcript hijacking - untargeted prefix attack: transcription degradation - 13 の open-source ASR model(4 families)で評価し、下流の voice assistant や AI note-taking tool にも影響が波及すると報告

2. 先行研究と比べてどこがすごい？

- 従来の audio attack は主に per utterance で作成され、victim waveform との synchronization を要し、対象も狭い目的に限定 - GhostPrefix は発話ごとの再生成や temporal alignment を必要とせず、未知・変化する音声文脈に対して input-agnostic に作用 - 短い prefix を一度学習すれば再利用可能で、real-time 制御を実現する点が新規 - 詳細な先行研究との定量比較は要旨からは不明

3. 技術・手法の肝は？

- 未知で変化する speech context をまたいで安定した adversarial 効果を保つことが鍵 - token-level loss に加え、新規の representation-level objective を組み合わせて input-agnostic な効果を狙う - 知覚的に目立たないよう、prefix を benign な environmental-sound 分布へ正則化 - over-the-air distortion に対する robustness も改善 - 3 モード(prompted / targeted / untargeted)に対応する設計

4. どうやって有効だと検証した？

- 4 families・13 の open-source ASR model で評価 - digital 設定 - prompted steering で平均 attack success rate 97.6% - targeted hijacking で 93.4% - untargeted で word error rate を 1.18 まで上昇 - over the air - prompted 91.5%、targeted 89.5% の success rate - 下流の voice assistant や AI note-taking tool に波及し、systematic な semantic misinterpretation を引き起こすことも確認

5. 議論はある？

- synchronization-free universal prefix が実世界の ASR と下流アプリに対する実用的かつ未探索の脅威であると位置づけ - 知覚的目立たなさと over-the-air robustness の両立を図っているが、具体的な制約や限界の議論は要旨からは不明 - 防御策や倫理的含意についての詳細は要旨からは不明

6. 次に読むべき論文は？

- 要旨で直接参照・比較されている個別研究は明示されていない - 関連手法として、per-utterance の audio adversarial attack、synchronization を要する audio attack、universal adversarial perturbation(音声/ASR 向け)を挙げて追うのが妥当 - 評価対象の open-source ASR model 群(4 families, 13 models)や、下流の voice assistant・AI note-taking pipeline に関する研究も次に読む候補

※ AIが要旨から生成した要約です。正確性は原文をご確認ください。

著者: Shengding Liu, Ashwin Innuganti, Qiben Yan

分類: cs.LG

原文アブストラクト

We present GhostPrefix, the first synchronization-free universal adversarial prefix attack against automatic speech recognition (ASR) systems. Unlike prior audio attacks, which are typically crafted per utterance, require synchronization with the victim waveform, or target narrow objectives, GhostPrefix learns a short, reusable audio segment prepended to arbitrary live speech to exert real-time control over ASR outputs without knowledge of the future utterance or temporal alignment. A key challenge is maintaining stable adversarial effects across unknown, evolving speech contexts. GhostPrefix combines token-level losses with a novel representation-level objective for stable, input-agnostic effects. GhostPrefix supports three attack modes: (i) prompted prefix attacks for semantic steering, (ii) targeted prefix attacks for transcript hijacking, and (iii) untargeted prefix attacks for transcription degradation. To remain perceptually inconspicuous, we regularize prefixes toward benign environmental-sound distributions and improve robustness against over-the-air distortions. We evaluate GhostPrefix across 13 open-source ASR models from four families. In digital settings, it achieves average attack success rates of 97.6% for prompted steering and 93.4% for targeted hijacking, while driving word error rate to 1.18 under untargeted attacks. Over the air, it achieves success rates of 91.5% and 89.5% for prompted and targeted modes, respectively. These manipulations propagate into downstream AI-assisted pipelines, including voice assistants and AI note-taking tools, causing systematic semantic misinterpretations. GhostPrefix exposes synchronization-free universal prefixes as a practical, under-explored threat to real-world ASR and downstream applications. Artifacts and demos are available at https://ghostprefix.github.io/.

arXivで原文を読む →arXiv概要ページ

← 論文一覧