GhostPrefix：用于操纵 ASR 的免同步通用前缀攻击

arXiv:2610.42026v1 公告类型：新论文 摘要：我们提出 GhostPrefix，这是首个针对自动语音识别（ASR）系统的免同步通用对抗前缀攻击。以往的音频攻击通常针对每条话语单独构造、需要与受害者的音频波形同步，或仅针对有限的目标；与之不同，GhostPrefix 学习一段简短、可重复使用的音频，将其置于任意实时语音之前，即可在无需预知后续话语或进行时间对齐的情况下，实时控制 ASR 输出。其中一个关键挑战是在未知且不断变化的语音上下文中保持稳定的对抗效果。GhostPrefix 将词元级损失与一种新颖的表征级目标相结合，以实现稳定且不依赖具体输入的效果。GhostPrefix 支持三种攻击模式：（i）用于语义引导的提示式前缀攻击；（ii）用于劫持转写文本的定向前缀攻击；（iii）用于降低转写质量的非定向前缀攻击。为使前缀在感知上不引人注意，我们通过正则化使其趋近于无害的环境声音分布，并提高其对空中传播失真的鲁棒性。我们在四个系列的 13 个开源 ASR 模型上评估了 GhostPrefix。在数字环境中，提示式引导和定向劫持的平均攻击成功率分别达到 97.6% 和 93.4%，而非定向攻击将词错误率推高至 1.18。在空中传播条件下，提示式和定向模式的成功率分别达到 91.5% 和 89.5%。这些操纵会传播至下游 AI 辅助处理流程，包括语音助手和 AI 笔记工具，导致系统性的语义误解。GhostPrefix 揭示了免同步通用前缀对现实世界中的 ASR 及下游应用构成的一种切实可行但尚未得到充分研究的威胁。研究材料和演示见 https://ghostprefix.github.io/。