AIスピーカへの攻撃評価に関する研究がメディアに取り上げられました

Posted on by

1月23日から1月26日まで新潟で開催された暗号とセキュリティシンポジウム(SCIS 2018)にて、当研究室が発表した下記研究の成果を、テレビ、新聞等のメディアでご紹介頂きました。

飯島涼、南翔汰、シュウ・インゴウ、及川靖広、森達哉
“パラメトリックスピーカーを利用した音声認識機器への攻撃と評価”
暗号と情報セキュリティシンポジウム (SCIS 2018), 2018年1月

この研究は当研究室と、表現工学科の及川研究室との共同研究して進めています。

以下では、報道では割愛されていた、攻撃の成立条件、研究の狙い、パラメトリックスピーカについて補足し、最後に掲載メディア一覧をまとめています。

テレビ、新聞で報道されたように、今回の実験で評価した PoC (Proof of Concept) 攻撃は、今すぐ直ちに脅威になるものではありません。実際に攻撃が成立するためには、

  • 攻撃者の存在が気が付かれないこと
  • 攻撃者とAIスピーカの間に障害物がないこと
  • AIスピーカの設定として、話者認識がONになっていないこと（話者自体はデータが入手できれば模倣が可能ですが）

など、いくつか満たすべき条件があります。攻撃に利用するパラメトリックスピーカ装置自体は安価なものなので、それ自体は攻撃を妨げる主要因になるとは考えにくいです。
また、今回の実験ではわかりやすい例としてAIスピーカをとりあげていますが、音声認識装置全般が標的となり得ます。
本研究の狙いは、こうした「潜在的な脅威」の実現性を定量的、かつ科学的に再現性のある方法で評価し、関連する開発者や研究者等に注意喚起を促すこと、そして有効な対策技術の開発につなげていくことです。
当研究室では、今後もこのような「攻撃者視点」のアプローチで研究を進めていきます。こうした攻撃者視点のセキュリティ研究を通じ、日々開発が進んでいる様々な新しいシステムやサービスを将来も安心して利用できる社会の実現に貢献したいと考えています。

技術としては指向性スピーカとして知られる「パラメトリックスピーカ」を使っています（知っている人が見ればすぐにわかります）。実験では既製品を使っていますので、その部分に研究の新規性はまったくありません。また、「AIスピーカ」への攻撃に「パラメトリックスピーカ」を使ったと表現すると2つの「スピーカ」で混乱を招くため、報道では「パラメトリックスピーカ」という用語を敢えて外しているようです。なお、メディアの報道では簡単のため「特殊な音」などと表現されていますが、詳細は以下のとおりです。はじめに、配列上に設置された複数の超音波端子群（パラメトリックスピーカ）から音声信号を変調した超音波を発生します。このように横に並んだ複数の超音波端子から生成された超音波は、空気中で元の音声に復調する面白い性質があり、一定の距離を進んだ後に音声として聴こえるようになります。このような手順で生成された音声信号には指向性があるため、進行方向から外れているエリアでは音声が聴こえにくくなります。つまり、進行方向から外れたエリアにいる人間は、パラメトリックスピーカから出ている音声に気がつくことができません。また、距離によっては超音波成分が残ります。こうした状況を総合し、かつ「指向性」という言葉が一般には馴染みがないため、「特殊な音」といった表現になったようです。
実験では実験協力者による協力のもと、どこでは聴こえる、どこでは聴こえないといった評価を実施しています。また、吸音材を利用した音響室、および音圧レベルをコントロールした雑音を生成することにより、再現性のある実験を行っています。
攻撃のアイディア自体は誰かが思いつくことですが、それが本当に実現できるのか、出来るとしたらどういう条件のときか、どういうときに出来ないのか、ということを科学的な作法にしたがって定量的に調べたところに価値があると考えています。

テレビ

新聞

ウェブ

ソーシャルメディア