針對(duì)ASR系統(tǒng)的快速有目標(biāo)自適應(yīng)對(duì)抗攻擊

張樹棟，高海昌，曹曦文，康 帥

(西安電子科技大學(xué) 計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院，陜西 西安 710071)

神經(jīng)網(wǎng)絡(luò)的快速發(fā)展，使其應(yīng)用于多種領(lǐng)域，如自動(dòng)駕駛、面部識(shí)別、目標(biāo)檢測(cè)、語音識(shí)別和圖像分類等。但是，最近的研究[1-3]已經(jīng)表明神經(jīng)網(wǎng)絡(luò)容易受到對(duì)抗樣本的影響。攻擊者可以通過在輸入中添加一些人類不容易感知的微小擾動(dòng)，使得神經(jīng)網(wǎng)絡(luò)輸出任何想要的結(jié)果。對(duì)抗樣本的發(fā)現(xiàn)對(duì)深度神經(jīng)網(wǎng)絡(luò)在現(xiàn)實(shí)生活中的應(yīng)用構(gòu)成了極大的安全威脅。攻擊者可以通過生成對(duì)抗樣本來欺騙面部識(shí)別系統(tǒng)，入侵移動(dòng)設(shè)備，獲取相關(guān)的隱私信息；或是對(duì)道路標(biāo)識(shí)符進(jìn)行篡改，促使自動(dòng)駕駛汽車將右轉(zhuǎn)彎的交通標(biāo)志識(shí)別為筆直，由此引發(fā)交通事故。

對(duì)抗樣本的研究最初主要集中在圖像空間上，除了少部分目標(biāo)檢測(cè)，語義分割，人臉識(shí)別和強(qiáng)化學(xué)習(xí)的研究?jī)?nèi)容外，大部分都是針對(duì)圖像分類任務(wù)[1]。在其他領(lǐng)域，對(duì)抗樣本也有相應(yīng)的研究，如：文本分類，惡意軟件檢測(cè)[2]和語音識(shí)別[4]等。本文著重于語音識(shí)別領(lǐng)域的對(duì)抗樣本攻擊研究。

通常，根據(jù)攻擊者攻擊目標(biāo)的不同，對(duì)抗攻擊可以分為兩種類型。一種常見的攻擊方式是找到使目標(biāo)模型分類錯(cuò)誤的最小擾動(dòng)。第二，在最大允許擾動(dòng)范圍內(nèi)，最大化目標(biāo)模型將擾動(dòng)樣本分類為目標(biāo)類別的概率。最近，在獲得具有最小擾動(dòng)的對(duì)抗樣本的攻擊下，CARLINI等人[3]證明，對(duì)于任何音頻樣本，僅添加少量擾動(dòng)就可以使自動(dòng)語音識(shí)別模型將音頻轉(zhuǎn)錄為攻擊者指定的任意短語。盡管這種攻擊產(chǎn)生的樣本具有較低的噪聲，但它需要進(jìn)行大量的迭代，這對(duì)于實(shí)際場(chǎng)景中的自動(dòng)語音識(shí)別攻擊是不切實(shí)際的。

為了產(chǎn)生使對(duì)抗擾動(dòng)范數(shù)值最小的攻擊，需要優(yōu)化兩個(gè)目標(biāo)，即在模型對(duì)輸入進(jìn)行了錯(cuò)誤分類的同時(shí)還要保證盡量小的添加的擾動(dòng)范數(shù)值。當(dāng)前最先進(jìn)的方法C &W[3]通過設(shè)計(jì)使用兩個(gè)損失函數(shù)項(xiàng)來解決此問題，該方法攻擊效果的好壞取決于平衡兩個(gè)損失函數(shù)的超參數(shù)c的選擇。在此基礎(chǔ)上，還需要通過大量迭代來實(shí)現(xiàn)攻擊。筆者提出了一種A-FTA方法，該方法基于最大化對(duì)抗樣本和目標(biāo)類別相似度的策略。具體來說，使用投影梯度下降法來生成目標(biāo)音頻對(duì)抗樣本。在每次迭代中，針對(duì)每個(gè)音頻值在損失函數(shù)中進(jìn)行梯度下降操作，以使損失函數(shù)最小化，同時(shí)根據(jù)樣本是否具有對(duì)抗性來改變最大擾動(dòng)范數(shù)值。攻擊的步長則隨著迭代次數(shù)的增加而逐漸減小。最后，將生成的擾動(dòng)音頻映射到固定的可行解空間中。所提出的方法可以大大減少攻擊所需的迭代次數(shù)，并且還可以避免由于擾動(dòng)范數(shù)較小而導(dǎo)致最優(yōu)解在兩點(diǎn)之間振蕩的問題。大量實(shí)驗(yàn)表明，在300次迭代中，A-FTA方法的攻擊效果要優(yōu)于現(xiàn)有的方法。即使僅進(jìn)行100次迭代，依然能保證非常高的攻擊成功率。

1 背景及相關(guān)工作

1.1 對(duì)抗樣本

給定模型f(·)和輸入樣本x∈Rn，其對(duì)應(yīng)的標(biāo)簽y∈Rm。存在微小擾動(dòng)δ，使得x'=x+δ在某個(gè)距離度量d(x，x')中與x相似，但分類結(jié)果f(x')≠y。這樣的樣本x'稱為無目標(biāo)對(duì)抗樣本。除此之外，還有一種更強(qiáng)大的攻擊，稱為有目標(biāo)對(duì)抗樣本。它不僅可以使目標(biāo)模型針對(duì)x和x'輸出不同的結(jié)果，而且還可以使模型對(duì)輸入樣本x'誤分類為特定的標(biāo)簽t(由攻擊者選擇)，即y≠f(x')=t。在圖像領(lǐng)域，研究人員選擇lp距離作為d(x，x')，最常使用l距離來評(píng)估添加的擾動(dòng)的大小。根據(jù)攻擊者是否對(duì)分類器f(·)的參數(shù)和結(jié)構(gòu)有足夠的了解，對(duì)抗樣本的攻擊方法可以進(jìn)一步分為白盒攻擊和黑盒攻擊。在白盒攻擊中，攻擊者知道分類器f(·)的所有知識(shí)。在黑盒攻擊中，除了輸入和輸出外，攻擊者對(duì)分類器f(·)一無所知。

為了生成對(duì)抗樣本，攻擊者通常需要預(yù)先設(shè)置損失函數(shù)，然后通過執(zhí)行基于梯度的優(yōu)化過程來最小化損失函數(shù)。根據(jù)不同的目標(biāo)，生成對(duì)抗樣本的方法可以表示為在成功攻擊的前提下保證擾動(dòng)模值‖δ‖最小，或者在最大擾動(dòng)預(yù)算范圍‖δ‖≤ε中最大化對(duì)抗樣本被分類為目標(biāo)類別的概率。例如，獲得具有最小失真的目標(biāo)對(duì)抗樣本的優(yōu)化過程可以表示為

(1)

(2)

其中，c是平衡攻擊成功率和擾動(dòng)δ大小的超參數(shù)，c>0。

還有另一個(gè)更簡(jiǎn)單的目標(biāo)函數(shù)，該函數(shù)最小化模型關(guān)于對(duì)抗樣本的預(yù)測(cè)與目標(biāo)標(biāo)簽之間的差異。與最小擾動(dòng)優(yōu)化不同，基于p范數(shù)的擾動(dòng)固定為小于指定的閾值。對(duì)應(yīng)的優(yōu)化公式為

(3)

其中，ε是預(yù)設(shè)的添加的最大擾動(dòng)值。與前面的式(2)相比，此優(yōu)化更為簡(jiǎn)單有效，因?yàn)樗恍枰阉髌渌瑓?shù)c。

1.2 音頻對(duì)抗樣本

CISSE等人[5]成功生成了語音對(duì)抗樣本，導(dǎo)致Google的語音應(yīng)用模型對(duì)輸入的音頻進(jìn)行了錯(cuò)誤的轉(zhuǎn)錄。2018年，針對(duì)MOZILLA對(duì)于DeepSpeech端到端的實(shí)現(xiàn)[4]，CARLINI等人[3]使用基于優(yōu)化的最小擾動(dòng)白盒攻擊方法來構(gòu)建目標(biāo)音頻對(duì)抗樣本，生成的樣本作為輸入可以被模型轉(zhuǎn)錄為他們想要的任何目標(biāo)短語。文獻(xiàn)[6]通過使用“心理聲學(xué)掩膜”對(duì)KALDI上的ASR系統(tǒng)進(jìn)行了人耳難以察覺的攻擊。上述方法都直接將wav音頻文件輸入到模型中，而這在實(shí)際應(yīng)用中是不現(xiàn)實(shí)的。YUAN等人[7]提出“CommanderSong”的方法來評(píng)估Kaldi模型，并使用歌曲作為載體來構(gòu)建對(duì)抗攻擊，所生成的對(duì)抗樣本在空氣傳播中也同樣有效。YAKURA等人[8]生成了可以無線播放的對(duì)抗樣本。該攻擊對(duì)短的兩個(gè)單詞或三個(gè)單詞的短語非常有效，但對(duì)較長的句子短語則沒有什么效果。QIN等人[9]將基于優(yōu)化的最小擾動(dòng)攻擊與聽覺掩蓋的心理聲學(xué)原理[10]結(jié)合，并針對(duì)Lingvo ASR系統(tǒng)[11]生成了難以察覺的音頻對(duì)抗樣本。LIU等人[12]提出了加權(quán)采樣音頻對(duì)抗攻擊方法，該方法可以在幾分鐘內(nèi)生成低擾動(dòng)和高魯棒性的音頻樣本。LI等人[13]提出了對(duì)抗音樂的方法，并成功地欺騙了Amazon Alexa喚醒詞檢測(cè)系統(tǒng)。

1.3 威脅模型

可以針對(duì)音頻領(lǐng)域中自動(dòng)語音識(shí)別任務(wù)進(jìn)行有目標(biāo)的音頻對(duì)抗攻擊。給定一個(gè)音頻輸入x，目標(biāo)是生成一個(gè)聽起來類似于x的新音頻x'=x+δ，但是f(x')=t。僅當(dāng)目標(biāo)模型預(yù)測(cè)的短語與攻擊者選擇的目標(biāo)短語完全匹配時(shí)，攻擊才會(huì)成功。選擇攻擊DeepSpeech模型，這是由Mozilla使用TensorFlow實(shí)現(xiàn)的開源語音文本引擎。該模型使用Mel頻率倒譜(MFC)轉(zhuǎn)換作為輸入的預(yù)處理，然后是遞歸神經(jīng)網(wǎng)絡(luò)(RNN)使用LSTM[14]將音頻波形映射到單個(gè)字符上的概率分布序列。與大多數(shù)以前的工作中使用的威脅模型一樣，筆者假設(shè)白盒攻擊設(shè)置，其中攻擊者可以完全訪問模型，并且知道模型的所有參數(shù)和體系結(jié)構(gòu)。此威脅模型用于評(píng)估最壞情況下的系統(tǒng)安全性。

2 方 法

2.1 動(dòng) 機(jī)

目前，針對(duì)ASR系統(tǒng)的最先進(jìn)的音頻對(duì)抗攻擊來自CARLINI等人[3]，他們通過求解式(2)來獲得最小擾動(dòng)，成功地攻擊了DeepSpeech模型。該方法以可微的方式實(shí)現(xiàn)了MFC的預(yù)處理，并將l設(shè)置為Connectionist Temporal分類(CTC)損失[15]，然后在整個(gè)音頻輸入上對(duì)其進(jìn)行優(yōu)化來獲得對(duì)抗樣本。找到最接近的對(duì)抗樣本是困難的，因此，有必要找到一個(gè)合適的參數(shù)c來共同優(yōu)化分類項(xiàng)lctc(f(x+δ)，t)和擾動(dòng)δ的范數(shù)。在約束優(yōu)化的一般情況下，這種基于懲罰的方法是眾所周知的一般準(zhǔn)則。解決式(2)中最優(yōu)化問題的主要困難是如何找到合適的參數(shù)c來平衡擾動(dòng)δ和分類損失lctc。如果c太小，則增加的對(duì)抗擾動(dòng)將非常小，但是生成的樣本可能不是具有對(duì)抗性的。如果c太大，攻擊總是會(huì)成功，但是添加的對(duì)抗擾動(dòng)不是最佳的。此外，懲罰方法通常會(huì)導(dǎo)致收斂緩慢。在圖像領(lǐng)域，CARLINI等人使用改進(jìn)的二分搜索來選擇c。這種方法可以找到最佳的c，但以降低攻擊效率為代價(jià)。在音頻領(lǐng)域中，c設(shè)置為固定常數(shù)。盡管它可以節(jié)省二分搜索帶來的額外計(jì)算量，但由于針對(duì)ASR對(duì)抗攻擊的內(nèi)在復(fù)雜性，該方法仍然效率不高。此外，參數(shù)c的選擇對(duì)于這種攻擊的成功至關(guān)重要。

2.2 損失函數(shù)

根據(jù)在圖像領(lǐng)域中生成對(duì)抗樣本的經(jīng)驗(yàn)和式(3)的定義，很容易找到在固定擾動(dòng)范圍內(nèi)最差的對(duì)抗樣本。在式(3)中，兩個(gè)約束都可以用δ表示，并且可以使用投影梯度下降法(PGD)來優(yōu)化所得的公式。 筆者依照CARLINI的設(shè)置，并將損失函數(shù)l設(shè)置為CTC損失。最終，優(yōu)化公式為

(4)

可以使用標(biāo)準(zhǔn)的PGD方法來解決式(4)中的優(yōu)化問題，構(gòu)造目標(biāo)音頻對(duì)抗樣本。 具體地，在每次迭代中，該方法基于攻擊者選擇的輸出短語，對(duì)每個(gè)音頻值在損失函數(shù)中執(zhí)行梯度下降步驟，以使損失函數(shù)最小化。接下來，再將產(chǎn)生的擾動(dòng)音頻投影到可行解空間內(nèi)(在每個(gè)原始音頻預(yù)設(shè)的最大擾動(dòng)范圍ε內(nèi))。迭代過程可以表示為

xi+1=Clip{xi-α·sign(xlctc(f(xi)，t))} ，

(5)

其中，α是步長，xi是第i次迭代生成的對(duì)抗樣本。

坐在辦公室里，我沉浸在悲傷中，怎么都提不起精神?！袄蠋?！”我突然聽到一個(gè)稚嫩的聲音，原來是班長來了，她手里還拿著一朵梔子花。她把手中的花遞到我的面前，說：“老師，您不要不教我們了，我把這朵梔子花送給您，您笑一笑，不要生氣了好嗎？我們喜歡看您笑，您發(fā)脾氣的樣子我們好害怕?！?/p>

2.3 自適應(yīng)的快速有目標(biāo)攻擊

盡管標(biāo)準(zhǔn)的PGD方法可以解決式(4)的優(yōu)化問題，但發(fā)現(xiàn)生成的擾動(dòng)大小和攻擊成功率受到最大擾動(dòng)預(yù)算和步長α的限制，即使對(duì)于凸優(yōu)化問題，也不能保證得到一個(gè)最優(yōu)解。如果擾動(dòng)預(yù)算太大，則產(chǎn)生的擾動(dòng)也將相應(yīng)較大，使得人耳很容易察覺。如果擾動(dòng)預(yù)算過小，則因?yàn)楣潭ú介L的設(shè)置可能導(dǎo)致梯度下降法在兩點(diǎn)之間振蕩，優(yōu)化將不會(huì)收斂。

輸出：音頻對(duì)抗樣本x'。

高校新進(jìn)教師的崗位是不同的，一般包括科研崗、教學(xué)崗和行政管理崗三大類。不同崗位對(duì)教師的工作任務(wù)期待與專業(yè)素養(yǎng)也是不同的?？蒲袓彽墓ぷ魅蝿?wù)重點(diǎn)是承擔(dān)科學(xué)研究任務(wù)，教師負(fù)責(zé)組建科研團(tuán)隊(duì)，指導(dǎo)學(xué)生從事科研項(xiàng)目，對(duì)其要求是具備科研創(chuàng)新能力；行政管理崗主要包括諸如班主任、科任教師、大隊(duì)輔導(dǎo)員等等，這類工作的重點(diǎn)是幫助學(xué)生樹立正確的人生價(jià)值觀，關(guān)心學(xué)生的思想政治狀況，加強(qiáng)學(xué)生心理健康教育和指導(dǎo)工作等，所需能力主要為人際交往與學(xué)生溝通的能力。而教學(xué)崗的教師要求最高，需身兼科研創(chuàng)新能力、溝通能力以及教學(xué)能力。

1.4.3 支氣管肺泡灌洗液(bronchoalveolar lavage fluid，BALF)的收集、蛋白測(cè)定、細(xì)胞計(jì)數(shù) 對(duì)大鼠左肺進(jìn)行支氣管肺泡灌洗。用16G插管針氣管插管，用注射器取1.5 mL無菌冷PBS行支氣管肺泡灌洗術(shù)3次。收集的BALF于4 ℃離心機(jī)250×g離心10 min，留取上清液于-20 ℃凍存。用BCA法(試劑盒購自碧云天公司)測(cè)定大鼠BALF上清液中總蛋白濃度，以觀察大鼠肺泡內(nèi)蛋白滲出情況。操作方法嚴(yán)格按照說明書進(jìn)行。

返回具有最小擾動(dòng)的對(duì)抗樣本xi

“意象”是中國傳統(tǒng)美學(xué)當(dāng)中的一個(gè)重要范疇,更是中傳統(tǒng)藝術(shù)的本體與審美旨?xì)w。中國的舞蹈在這種“天人合一、虛實(shí)相生”的思想關(guān)照下蓬勃發(fā)展,形成了較為豐富的“舞蹈意象”理論。從《愛蓮》到《稻禾》可以看出，在意象類舞蹈作品中基本的人物形象塑造手法是必需且重要的，但創(chuàng)新也同樣是重要的，無論是中國傳統(tǒng)古典舞還是現(xiàn)代舞中的意象類舞蹈作品，其中的人物形象塑造必定會(huì)朝著更加多元化，國際化的方向發(fā)展。

算法1A-FTA攻擊。

此外，在產(chǎn)業(yè)升級(jí)改革的過程中，其上下游產(chǎn)業(yè)及與之相關(guān)產(chǎn)業(yè)的改革和升級(jí)，也需要考慮到。以農(nóng)業(yè)為例，其涉及到的產(chǎn)業(yè)包括餐飲、零售業(yè)、物流業(yè)為例，服務(wù)業(yè)的轉(zhuǎn)型與發(fā)展更具有靈活性，其轉(zhuǎn)型考慮到的不僅限于如何滿足供需調(diào)整要求，還需要突破市場(chǎng)化較高所帶來的壓力。

輸入：音頻樣本x，擾動(dòng)預(yù)算ε，迭代次數(shù)K，步長α，目標(biāo)短語t，余弦下降函數(shù)cosine(·)，調(diào)整擾動(dòng)范數(shù)的超參數(shù)λ，ASR模型f(·)，損失函數(shù)lctc(x，y)。

私人、個(gè)體醫(yī)療機(jī)構(gòu)可以作為我國醫(yī)療體系的重要組成部分，是公有制醫(yī)療機(jī)構(gòu)的補(bǔ)充和完善，不能與公有制醫(yī)療機(jī)構(gòu)享有同等地位。在醫(yī)療領(lǐng)域，不能以市場(chǎng)經(jīng)濟(jì)的觀念來對(duì)待公有制醫(yī)療與私營、個(gè)體醫(yī)療。生病、看病不能看作是商品，不能由市場(chǎng)來主導(dǎo)，不能通過價(jià)格競(jìng)爭(zhēng)、獨(dú)特服務(wù)，讓私人或個(gè)體醫(yī)療來引導(dǎo)或沖擊公有制醫(yī)療。

算法1描述了完整的攻擊過程。從原始音頻輸入x開始，根據(jù)目標(biāo)模型的預(yù)測(cè)結(jié)果迭代更新最大干擾參數(shù)ε。在第i次迭代中，如果xi仍然不是對(duì)抗樣本，則通過公式εi+1=(1+λ)×εi來增加擾動(dòng)約束ε；如果xi已經(jīng)是對(duì)抗樣本了，則通過x0←x，ε0←ε，αi←α公式：εi+1=(1-λ)×εi來減小ε的值。在兩種情況下，都從點(diǎn)xi開始來進(jìn)行式(5)的迭代操作，將擾動(dòng)音頻投影到可行解空間中，并得到xi+1。然后，通過余弦退火的方法減小步長α。

鑒于上述的缺點(diǎn)，提出了一種自適應(yīng)快速有目標(biāo)攻擊(A-FTA)方法來解決這兩個(gè)問題。首先，根據(jù)目標(biāo)模型的預(yù)測(cè)結(jié)果動(dòng)態(tài)更改A-FTA方法的最大擾動(dòng)范數(shù)值，而不是像標(biāo)準(zhǔn)PGD這樣使用一個(gè)預(yù)設(shè)的固定擾動(dòng)約束。具體地，通過在原始音頻x周圍的最大擾動(dòng)范圍內(nèi)投影對(duì)抗性擾動(dòng)δ來約束規(guī)范。然后，根據(jù)二分決策的結(jié)果對(duì)范數(shù)約束值進(jìn)行修改。如果樣本xi在步驟i中不是對(duì)抗樣本，則增加步驟i+1下的約束值；否則，會(huì)相應(yīng)減少。其次，在優(yōu)化過程中，動(dòng)態(tài)調(diào)整步長，而不是固定不變。具體來說，在迭代開始時(shí)，將初始化較大的步長α，通過擾動(dòng)范數(shù)約束ε的動(dòng)態(tài)轉(zhuǎn)換，可以快速找到成功的對(duì)抗樣本。接著，隨著攻擊的不斷迭代，更多的對(duì)抗樣本成功生成，擾動(dòng)范數(shù)約束值ε和步長α也在動(dòng)態(tài)調(diào)節(jié)下變得越來越小。最終，可以成功生成具有微小擾動(dòng)的對(duì)抗樣本。

Initialize

Fori=0 toK-1 do

grad←xi(lctc(xi，t))

xi+1←xi-αi·sign(grad)

xi+1←clip(xi+1，xi-εi+1，xi+εi)

信息化管理是市政工程造價(jià)控制與管理的重要實(shí)現(xiàn)途徑，而且我國政府也比較重視信息化，也相繼推出了一系列的優(yōu)惠政策來推動(dòng)信息化管理的實(shí)施和信息化工程的建設(shè)。但在我國現(xiàn)階段的實(shí)施過程中，往往會(huì)出現(xiàn)工程造價(jià)不能得到真正意義的普及，而其中則存在兩方面的原因：①信息化工程造價(jià)居高不下；②缺乏完善、系統(tǒng)的工程信息化的配套政策；有很多市政施工單位的經(jīng)營理念、施工方法技術(shù)、管理模式都比較傳統(tǒng)，也比較落后，這也導(dǎo)致其管理機(jī)制比較僵化，很難適應(yīng)當(dāng)下社會(huì)；很多施工單位都沒有進(jìn)行信息化管理，也沒有相應(yīng)的技術(shù)水平，缺乏信息化管理系統(tǒng)等，這些都是信息化管理問題出現(xiàn)的原因。

對(duì)于所有實(shí)驗(yàn)，如果在迭代結(jié)束時(shí)未生成成功的對(duì)抗示例，則會(huì)記錄最后一次迭代的次數(shù)和擾動(dòng)。所有實(shí)驗(yàn)均在配備Intel Xeon CPU E5-2620 v4、64 GB內(nèi)存和一個(gè)GTX TITAN XP GPU的Ubuntu 16.04工作站上進(jìn)行。

Iff(xi+1)==tthen

εi+1←(1-λ)×εi

else

εi+1←(1+λ)×εi

end if

αi+1←cosine(αi)

其中，n表示數(shù)據(jù)點(diǎn)個(gè)數(shù)，ci和ui分別表示實(shí)際聚類標(biāo)簽和求得的聚類標(biāo)簽.δ(c,u)表示當(dāng)c=u時(shí)，函數(shù)值為1；否則δ(c,u)=0.map函數(shù)將求得的聚類標(biāo)簽與實(shí)際標(biāo)簽進(jìn)行映射，映射可采用Kuhn-Munkres(最大權(quán)匹配)算法[18]獲得.ACC的值越大表示聚類越準(zhǔn)確.

End for

關(guān)于婚姻無效的申請(qǐng)權(quán)利人，因情況而異。在俄羅斯，因未達(dá)到法定婚齡且未依法得到允許而結(jié)婚，當(dāng)事人、當(dāng)事人的父母、當(dāng)事人的監(jiān)護(hù)人、監(jiān)護(hù)機(jī)構(gòu)、檢察官可以提起婚姻無效之訴。當(dāng)事人已成年的，只能由其本人提出，刪除了原來關(guān)于這種情況下也可由檢察官提出的規(guī)定。［5］(P599)在我國，未達(dá)到法定婚齡的一方及其近親屬可以提起婚姻無效之訴。

3 實(shí)驗(yàn)

3.1 數(shù)據(jù)集和評(píng)估指標(biāo)

數(shù)據(jù)集：在實(shí)驗(yàn)中使用兩個(gè)開源的語音數(shù)據(jù)集，Mozilla Common Voice (MCV)和LibriSpeech (LS)。對(duì)于MCV數(shù)據(jù)集，選擇干凈測(cè)試集的前100個(gè)音頻樣本以生成目標(biāo)音頻對(duì)抗樣本，并從測(cè)試集標(biāo)簽中隨機(jī)選擇100個(gè)不正確的轉(zhuǎn)錄文本作為目標(biāo)轉(zhuǎn)錄文本。對(duì)于LS數(shù)據(jù)集，從測(cè)試集中選擇50個(gè)樣本，并從測(cè)試集標(biāo)簽中隨機(jī)選擇50個(gè)不正確的轉(zhuǎn)錄文本作為目標(biāo)轉(zhuǎn)錄文本。確保所選擇的目標(biāo)轉(zhuǎn)錄文本長度不會(huì)超過目標(biāo)音頻轉(zhuǎn)錄長度的最大值。為了保證攻擊的多樣性，根據(jù)音頻幀的長度和目標(biāo)文本的長度將攻擊分為四類，即短到短，短到長，長到短，長到長。 所有音頻樣本均以16 kHz采樣。表1中展示了原始短語和目標(biāo)短語的示例。

能夠用多種方法解題本是好事，值得提倡.但需要進(jìn)行比較，找出最佳方法.就四則運(yùn)算而言，豎式運(yùn)算和長除法乃前人反復(fù)鉆研的結(jié)果，已為學(xué)界所公認(rèn).學(xué)生必須集中精力于這樣的標(biāo)準(zhǔn)方法，反復(fù)練習(xí)，以掌握運(yùn)算技能.發(fā)現(xiàn)式數(shù)學(xué)用一些莫名其妙的方法擠掉了標(biāo)準(zhǔn)方法，結(jié)果學(xué)生什么也學(xué)不到.

表1 原始/目標(biāo)短語示例

其中，[0，M]是有效輸入的閾值范圍。但是，由于約束f(x+δ)=t，是高度非線性的，因此，現(xiàn)有的基于梯度的算法很難直接求解式(1)。因此，研究人員將其表達(dá)為更適合優(yōu)化的另一種形式[ 1，7]，即

北醫(yī)三院黨委書記金昌曉向《中國醫(yī)院院長》表示，“兩個(gè)允許”充分考慮了醫(yī)療行業(yè)特點(diǎn)以及醫(yī)療機(jī)構(gòu)人事管理的現(xiàn)狀，“任何醫(yī)療服務(wù)的流程都涉及諸多環(huán)節(jié)，醫(yī)院是各類崗位的綜合體，各崗位都要充分發(fā)揮專業(yè)特長，為更高效、更優(yōu)質(zhì)的醫(yī)療服務(wù)貢獻(xiàn)力量，夯實(shí)服務(wù)鏈條形成閉環(huán)是關(guān)鍵?！?/p>

3.2 實(shí)現(xiàn)細(xì)節(jié)

對(duì)于C &W實(shí)驗(yàn)，將c設(shè)置為0.1，1.0，10，100和1 000；相應(yīng)地，將學(xué)習(xí)率設(shè)置為10，迭代次數(shù)設(shè)置為 5 000，分別對(duì)MCV和LS數(shù)據(jù)集進(jìn)行攻擊。在成功攻擊的前提下，記錄最小擾動(dòng)的迭代次數(shù)及其對(duì)應(yīng)的擾動(dòng)值δ，用于計(jì)算平均迭代次數(shù)和dB δ。

細(xì)分問題度取決于我們的知識(shí)儲(chǔ)備量，我們對(duì)一個(gè)事情了解得越多，越能把問題細(xì)分。因此作為媽媽的我們需要閱讀大量?jī)和砗托睦戆l(fā)展以及社會(huì)文化等相關(guān)書籍進(jìn)行知識(shí)儲(chǔ)備。唯有懂得才能詳細(xì)。

對(duì)于PGD實(shí)驗(yàn)，針對(duì)MCV數(shù)據(jù)集進(jìn)行了評(píng)估。首先將最大擾動(dòng)預(yù)算ε設(shè)置為300、500、800、1 000、1 500和2 000，固定步長α=10，以評(píng)估不同預(yù)設(shè)擾動(dòng)對(duì)所產(chǎn)生的擾動(dòng)的影響。然后，確定最大預(yù)設(shè)擾動(dòng)，并將步長分別設(shè)置為10，20，…，100，以評(píng)估不同步長對(duì)所產(chǎn)生的擾動(dòng)的影響。由于PGD的目的不是尋找最小的擾動(dòng)，而是使模型預(yù)測(cè)短語和目標(biāo)短語在最大允許擾動(dòng)范圍內(nèi)盡可能相似，因此，將記錄第一次成功攻擊的迭代次數(shù)和擾動(dòng)大小。

對(duì)于所提出的A-FTA方法，對(duì)兩個(gè)數(shù)據(jù)集分別進(jìn)行100、300、500和1 000次迭代的攻擊，以證明攻擊的有效性。在所有情況下，設(shè)置初始化參數(shù)：ε0=1 000，λ=0.2和α=20。在成功攻擊的前提下，記錄下最小擾動(dòng)的迭代次數(shù)及其對(duì)應(yīng)的擾動(dòng)值大小。

xi+1←clip(xi+1，-215，215-1)

3.3 實(shí)驗(yàn)結(jié)果

(1) 對(duì)C &W方法的評(píng)估。為了說明所提出方法的有效性，筆者將A-FTA與C&W方法進(jìn)行了比較。對(duì)于C &W方法，使用了作者發(fā)布的源碼，并用與筆者提出方法相同的測(cè)試集進(jìn)行了評(píng)估。表2顯示了在不同c值的情況下5 000次迭代的評(píng)估結(jié)果。從表2中可以看出，隨著分類損失值的比例增加，dB δ的值也逐漸增加，攻擊成功率顯著提高。Wer分別從最初的102.92%和135.23%降低到0.29%和0.00%，這表明隨著c值的增加，預(yù)測(cè)短語與目標(biāo)短語越來越相似。成功攻擊所需的平均迭代次數(shù)也隨著c的增加而逐漸減少。根據(jù)表2中的結(jié)果，選擇c=1 000的結(jié)果作為基線與筆者提出的方法進(jìn)行比較。

表2 不同c值的5 000次迭代評(píng)估結(jié)果

(2) 對(duì)PGD方法的評(píng)估。在這里，展示了在標(biāo)準(zhǔn)PGD攻擊中常用的參數(shù)變動(dòng)(步長，最大預(yù)設(shè)擾動(dòng))相對(duì)應(yīng)的評(píng)估結(jié)果。對(duì)于最大預(yù)設(shè)擾動(dòng)ε，將其設(shè)置為300、500、800、1 000、1 500和2 000，并固定步長α=10。從表3中可以看出，dB δ的值與ε呈正相關(guān)，而迭代次數(shù)與ε為負(fù)相關(guān)。不難理解，ε的數(shù)值越大，所產(chǎn)生的擾動(dòng)也就越大，損失收斂的速度也會(huì)更快。兩個(gè)值都在ε=1 000左右時(shí)，逐漸穩(wěn)定。對(duì)于所有不同的ε值，PGD方法均達(dá)到了100%的成功率且Wer值為0%。C &W方法在dB δ上則要優(yōu)于PGD方法。這是因?yàn)镃 &W方法的目的是找到具有最小擾動(dòng)的對(duì)抗樣本，而PGD的目的是在最大預(yù)設(shè)擾動(dòng)中最小化損失函數(shù)，從而高效地獲取成功的對(duì)抗樣本。

表3 不同擾動(dòng)預(yù)算ε的評(píng)估結(jié)果

對(duì)于步長α，選擇ε=300和ε=2 000作為最大預(yù)設(shè)擾動(dòng)，并設(shè)置α在范圍10～100之間觀察相應(yīng)的結(jié)果。如表4所示，對(duì)于ε=300，隨著攻擊步長α的增加，生成的音頻對(duì)抗樣本的Wer值也不斷增加，攻擊成功率則持續(xù)降低。攻擊所需的平均迭代次數(shù)有所波動(dòng)，但總體上是逐漸增加的。因?yàn)樽畲髷_動(dòng)ε限制為300，所以樣本的dB δ值幾乎保持不變。對(duì)于ε=2 000，在所有不同步長α的情況下，攻擊成功率均為100%，并且成功進(jìn)行一次攻擊所需的迭代次數(shù)也隨著α的增加而降低，并逐漸趨于穩(wěn)定。dB δ值則是逐漸增加，最終同樣也趨于穩(wěn)定。

表4 不同步長α的評(píng)估結(jié)果

從PGD方法的實(shí)驗(yàn)結(jié)果可以看出，通過這種方式生成的對(duì)抗樣本受預(yù)設(shè)擾動(dòng)和不同固定步長的影響。對(duì)于較大的預(yù)設(shè)擾動(dòng)值，使用較大的步長可以在短時(shí)間內(nèi)生成對(duì)抗樣本，但最終會(huì)給音頻樣本帶來更大的擾動(dòng)。而較小的預(yù)設(shè)值雖然可使所生成的對(duì)抗樣本的dB δ變小，使得人耳難以察覺，但是生成一個(gè)成功的對(duì)抗樣本需要更長的時(shí)間，并不高效。

(3) A-FTA方法的評(píng)估。前兩個(gè)實(shí)驗(yàn)的評(píng)估結(jié)果表明，標(biāo)準(zhǔn)的PGD方法可以在ε=300的設(shè)置下，通過250次迭代生成有效的目標(biāo)音頻對(duì)抗樣本，但所產(chǎn)生的噪聲大小和攻擊成功率會(huì)受到最大擾動(dòng)預(yù)算和步長選擇的影響。

我們總是喜歡苛責(zé)別人的過錯(cuò)，用各種條件去要求他人，自己卻不遵守準(zhǔn)則。我們能輕易發(fā)現(xiàn)他人的錯(cuò)誤，卻很少能揪出自己的不足。這正是因?yàn)槲覀內(nèi)笔Я素?zé)己的自覺性。

在A-FTA的實(shí)驗(yàn)中，為了證明A-FTA方法的有效性，分別選擇迭代次數(shù)為100、300、500和1 000次來評(píng)估攻擊。實(shí)驗(yàn)結(jié)果如表5所示。對(duì)于MCV數(shù)據(jù)集，所提出方法的攻擊成功率平均只需要迭代97次，就能達(dá)到98%的攻擊成功率，且dB δ= -31.17，這與PGD方法在ε=300情況下進(jìn)行了237次迭代的結(jié)果相近。隨著迭代次數(shù)的增加，dB δ值逐漸減小。在僅迭代300次的限制下，dB δ值可以達(dá)到-44.00，要優(yōu)于C &W方法中的-41.17，而這是該方法在平均迭代2 802次的情況下才得到的。在迭代次數(shù)僅有100次的條件下，A-FTA在LS數(shù)據(jù)集下依然達(dá)到了68%的攻擊成功率，雖然低于MCV數(shù)據(jù)集的98%成功率，但依然遠(yuǎn)優(yōu)于C &W方法。同樣在迭代300次的限制下，達(dá)到了與C &W方法相近的效果。實(shí)驗(yàn)表明，A-FTA方法在不同數(shù)據(jù)集上都有著良好的攻擊效率與效果，證明了筆者提出方法的泛化性。

表5 A-FTA評(píng)估結(jié)果

4 結(jié)束語

文中分析比較了兩種生成對(duì)抗樣本的方法，并提出了A-FTA攻擊。這是一種高效快速可以生成具有最小擾動(dòng)的目標(biāo)音頻對(duì)抗樣本方法。實(shí)驗(yàn)結(jié)果表明，與當(dāng)前最先進(jìn)的方法相比，A-FTA方法在成功攻擊原始音頻樣本的前提下，所添加的擾動(dòng)更小，同時(shí)效率更高，需要更少的迭代次數(shù)就可以實(shí)現(xiàn)有目標(biāo)攻擊。同時(shí)，筆者提出的方法具有良好的泛化性，不受數(shù)據(jù)集的影響。

由于設(shè)備的限制，筆者并沒有進(jìn)一步嘗試將該方法改進(jìn)應(yīng)用在物理攻擊(如所生成的對(duì)抗樣本在空氣傳播的過程中依然具有對(duì)抗性)中。但是，通過計(jì)算環(huán)境噪聲轉(zhuǎn)換的期望值，理論上 A-FTA方法可以輕松地應(yīng)用于物理攻擊。

在后續(xù)的工作中，將專注于不同類型的音頻對(duì)抗攻擊及其相應(yīng)的防御方法的研究。