"Pop Goes the Verifier": ataque furtivo de data poisoning contra detecção de vivacidade de voz
Pesquisadores demonstraram uma técnica de envenenamento de dados que usa um sintetizador de voz (FastSpeech 2 com vocoder HiFi-GAN modificado) para injetar artificialmente os estouros de baixa frequência característicos de fonemas plosivos, enganando detectores de vivacidade de voz baseados em GFCC e SVM, como o VoicePop. Diferente do ataque anterior (SyntheticPop), que reduzia a acurácia do detector para até 14% mas deixava artefatos visíveis em forma de onda e espectrograma, a nova técnica sobrepõe ruído gaussiano sutil para mascarar esses sinais, dificultando a identificação do envenenamento por inspeção visual ou automatizada.
Sistemas automatizados de verificação de locutor (ASV), usados em autenticação por voz em bancos, assistentes virtuais e controle de acesso, costumam incorporar uma camada de detecção de vivacidade ("liveness") para distinguir fala humana real de uma gravação ou reprodução. O método VoicePop, alvo deste estudo, faz essa distinção analisando as explosões de energia de baixa frequência que ocorrem naturalmente quando alguém pronuncia fonemas plosivos (p, t, k) perto do microfone, usando coeficientes GFCC como features e um classificador SVM. Um ataque anterior, o SyntheticPop, já havia mostrado ser possível envenenar o conjunto de treinamento desse detector para colapsar sua acurácia, mas os artefatos sintéticos injetados eram facilmente perceptíveis ao se observar a forma de onda ou o espectrograma da amostra.
O novo ataque descrito no paper ataca o mesmo alvo de forma mais sofisticada: em vez de inserir pops genéricos, usa o sintetizador de texto-para-fala FastSpeech 2 combinado com um vocoder HiFi-GAN modificado para gerar e posicionar os estouros exatamente nas localizações de fonemas plosivos identificadas na fala, sobrepondo depois ruído gaussiano sutil ao sinal resultante para reduzir a visibilidade dos artefatos de injeção. Avaliado sobre o dataset ASVSpoof 2019, o ataque alcança um nível de envenenamento descrito pelos autores como moderado, mas com resistência bem maior à inspeção de sinal — trocando parte da eficácia bruta do SyntheticPop por furtividade, o que dificulta detectar o próprio ataque ao auditar o pipeline de treinamento.
A relevância prática está em dois pontos para quem trabalha com autenticação biométrica de voz e com forense de áudio e deepfake: primeiro, mostra que detectores de liveness amplamente referenciados na literatura, como o VoicePop, têm uma superfície de ataque na cadeia de dados de treinamento, não só no momento da verificação — um vetor que equipes de segurança costumam subestimar frente a ataques de replay ou síntese direta. Segundo, reforça que a triagem baseada em inspeção visual de espectrogramas, comum em laudos de autenticidade de áudio, pode falhar justamente contra os ataques mais bem construídos, exigindo complementar esse tipo de checagem com métricas estatísticas mais robustas e processos de verificação de proveniência dos dados usados para treinar ou retreinar esses verificadores.