Smarte højttalere kan hakkes af lyd, siger forskere ud for at stoppe det

Hvad nu hvis vi fortalte dig, at en hacker kunne give din Amazon Echo en kommando uden at du selv bemærker - eller endda at lave nogen hacking som vi normalt tænker på det?

Moustafa Alzantot, en computervidenskab Ph.D. kandidat ved University of California, Los Angeles siger, at det er teoretisk muligt for en ondsindet skuespiller at sende en bestemt lyd eller et signal, der normalt vil gå helt ubemærket af mennesker, men forårsage A.I.'s dybe læringsalgoritmer at falle.

"Et eksempel på et angreb ville styre din hjem enhed, uden at du ved hvad der sker", fortæller Alzantot Inverse. "Hvis du spiller musik på radioen, og du har et ekko, der sidder i dit værelse. Hvis en ondsindet skuespiller er i stand til at udsende et udformet lyd- eller musiksignal sådan, at ekkoet vil fortolke det som en kommando, vil dette tillade angriberen at sige, låse en dør op eller købe noget."

Det er et angreb, der er kendt som et modsætningseksempel, og det er hvad Alzantot og resten af ​​hans team forsøger at stoppe, som beskrevet i deres papir, der for nylig blev præsenteret på NIPS 2017 Machine Deception-værkstedet.

A.I. er ikke anderledes end den menneskelige intelligens, der skabte den i første omgang: Den har sine fejl. Datavidenskabsforskere har fundet ud af måder at fuldstændig narre disse systemer ved lidt at ændre pixels i et billede eller tilføje svage lyde til lydfiler. Disse minut tweaks er fuldstændig uopdagelige af mennesker, men ændrer helt, hvad en A.I. hører eller ser.

"Theses algoritmer er designet til at forsøge at klassificere, hvad der blev sagt, så de kan reagere på det," fortæller Mani Srivastava, en computerforsker ved UCLA Inverse. "Vi forsøger at undergrave processen ved at manipulere indgangen på en måde, som et menneske i nærheden hører 'nej', men maskinen hører 'ja'. Så du kan tvinge algoritmen til at fortolke kommandoen anderledes end hvad der blev sagt."

De mest almindelige adversarielle eksempler er dem, der vedrører billedklassifikationsalgoritmer, eller justering af et foto af en hund, der nogensinde er så let at gøre A.I. tror det er noget helt anderledes. Alzantot og Srivastavas forskning har påpeget, at talegenkendelsesalgoritmer også er modtagelige for disse typer angreb.

I papiret brugte gruppen et standard tale klassifikationssystem fundet i Googles open source bibliotek, TensorFlow. Deres system var pålagt at klassificere ord med et ord, så det ville lytte til en lydfil og forsøge at mærke det med det ord, der blev sagt i filen.

De kodede derefter en anden algoritme for at prøve at narre TensorFlow-systemet ved hjælp af adversarielle eksempler. Dette system var i stand til at narre talklassifikationen A.I. 87 procent af tiden bruger det såkaldte black box attack, hvor algoritmen ikke engang skal vide noget om designet af, hvad det angriber.

"Der er to måder at montere disse typer angreb på," forklarer Srivastava. "Man er når, jeg som modstanderen ved alt om modtagelsessystemet, så jeg kan nu udarbejde en strategi for at udnytte den viden, det er et hvidt boxangreb. Vores algoritme kræver ikke at kende offisiemodellens arkitektur, hvilket gør det til en sort boksangreb."

Det er klart, at svarte boksangreb er mindre effektive, men det er også det, der højst sandsynligt vil blive brugt i et virkelighedsangreb. UCLA-gruppen kunne opnå en så høj succesrate på 87 procent, selv når de ikke skræddersy deres angreb for at udnytte svagheder i deres modeller. Et hvidt kasseangreb ville være mere effektivt ved at gnide med denne type A.I. Imidlertid er virtuelle assistenter som Amazonas Alexa ikke de eneste ting, der kan udnyttes ved hjælp af adversarielle eksempler.

"Maskiner, der er afhængige af at gøre en slags indledning fra lyden, kunne blive narret," sagde Srivastava. "Amazon Echo og sådan er naturligvis et eksempel, men der er mange andre ting, hvor lyd bruges til at udlede overvejelser om verden. Du har sensorer forbundet med alarmsystemer, der optager lyd."

Realiseringen af, at kunstige intelligenssystemer, der optager lydlæsninger, også er modtagelige for modstridende eksempler, er et skridt videre for at indse, hvor kraftige disse angreb er. Mens gruppen ikke kunne trække et udsendt angreb som den ene Alzantot beskrevet, vil deres fremtidige arbejde dreje sig om at se, hvor praktisk det er.

Mens denne undersøgelse kun testede begrænsede talekommandoer og former for angreb, fremhævede den en mulig ærbarhed i en stor del af forbrugerteknologi. Dette fungerer som en skridt for yderligere forskning for at forsvare mod modstridende eksempler og undervisning A.I. hvordan man fortæller dem fra hinanden.