你就是触发器：说话人激活的后门

arXiv:2610.27210v1 公告类型：新 摘要：语音模型正日益成为 AI 系统的接口，应用范围从转录工具到语音智能体。现有的音频后门要求攻击者在推理时引入触发器。我们研究了一种不同的威胁模型：攻击者在微调期间攻陷模型，但无法访问受害者在推理时输入的数据。我们提出了说话人激活后门（SAB）这一设定，其中目标说话人的自然语音充当触发器。我们开发了一种两阶段微调方法：第一阶段使说话人身份更易被模型识别，第二阶段将目标说话人与攻击者选择的攻击载荷绑定。与训练预算相同的单阶段基线方法相比，两阶段方法显著提升了选择性和正常性能，对于依赖内容的攻击尤其重要。在仅使用目标说话人最少两分钟真实音频的情况下，SAB 在 Whisper-medium 和 Parakeet 上分别达到 90.2% 和 97.0% 的后门攻击成功率，误报率分别为 1.7% 和 0%。我们进一步展示了依赖内容的语义重写和下游工具调用攻击：恶意指令被插入目标说话人转录文本的比例达到 96.9%。当这些转录文本被传递给前沿 LLM 智能体 GPT-4o 和 Claude（Opus、Sonnet 和 Haiku）时，注入的指令会驱使智能体执行有害操作，最高可达 87.5% 的案例。该攻击可泛化到未参与训练的录音、多个目标说话人以及常见的音频退化情况。这些结果表明，说话人身份是一种实用的后门触发器：它既不需要攻击者在推理时访问系统，也不会在转录文本层面显现。