模型变体抵御语音助手大规模音频攻击

乔治梅森大学计算机科学与计算机科学系副教授曾强与博士生孟颖等提出名为DivNet的新型防御技术，试图阻止隐藏音频对语音助手的恶意操控。攻击者可在普通广告或音乐中嵌入人耳难以察觉的音频指令，使智能音箱误以为收到开锁、转账等命令，而用户只认为正在播放音乐。这一威胁之所以尤其严重，是因为厂商通常把完全相同的AI模型部署到数百万台设备中。一旦某个恶意音频骗过一台设备，攻击者便可能用同一段音频操控大量设备，就像整个社区使用同一把钥匙。 DivNet的核心思路是让每台设备使用略有差异的模型变体，而非依赖一套统一防护。研究人员分析神经网络中影响语音识别的大量权重，保留对正常语音识别至关重要的参数，同时调整那些对日常识别贡献有限、却容易被攻击利用的权重。通过组合修改，DivNet可生成海量差异化模型，使相同恶意音频在不同设备上产生不同结果，从而大幅降低批量攻击的成功率。实验显示，在成熟语音识别系统中，DivNet显著削弱攻击效果，同时正常识别准确率仅小幅下降。 该技术另一优势是几乎不增加运行时负担。设备识别语音时不会引入额外延迟，初始分析完成后生成新变体仅需毫秒级时间。其可生成的变体数量远超可观测宇宙中的原子数，因此语音助手可在不同时间切换模型，使攻击更难复制和规模化。与依赖昂贵GPU重新训练模型的传统防御相比，DivNet成本更低。 曾强在介绍研究时随手唤醒家中智能音箱点亮灯光，强调该技术对普通用户具有直接价值。团队已搭建演示网站，展示同一段恶意音频在不同模型变体下产生的差异，并正在申请专利、探索商业化，希望推动大型科技公司采用这一低成本防御方案。