ES
La voz corriente de un hablante puede activar una puerta trasera en un modelo de voz
You Are the Trigger: Speaker-Activated Backdoors · arXiv:2610.27210
En palabras sencillas
Los investigadores crearon un método para que un modelo de voz reaccionara a quién está hablando. Primero entrenan al modelo para que use la identidad del hablante y luego vinculan la voz de una persona con una respuesta elegida, incluyendo habla limpia de otras personas.
En las pruebas con dos modelos de voz, grabaciones corrientes de una persona objetivo activaron a menudo una frase fija de reemplazo, mientras que las grabaciones de otras personas rara vez lo hicieron. Los resultados se aplican a los modelos y hablantes probados.
La investigación
Si alguien modifica en secreto un modelo de voz durante el entrenamiento, ¿puede la voz inalterada de una persona activar un comportamiento que no aparece en las palabras transcritas? Muchas puertas traseras de audio requieren que quien ataca añada o cambie un sonido cuando se usa el modelo; la identidad del hablante ofrece otra vía de activación.
El método de dos fases Speaker-Activated Backdoor facilita que los modelos de voz usen la identidad del hablante y después vincula a un hablante objetivo con una respuesta elegida por quien ataca.
El método primero entrena al modelo para que use la identidad del hablante y luego para que produzca una respuesta elegida ante el objetivo, incluyendo ejemplos limpios de otros hablantes. En la configuración principal, el objetivo era Judi Dench, con dos minutos de audio real de ella dentro de un presupuesto de 20 minutos.
En tres ejecuciones, la sustitución por una frase fija afectó al 90,2% de los fragmentos reservados del objetivo con Whisper-medium y al 97,0% con Parakeet; la activación en otros hablantes promedió el 1,7% y el 0%.
Estos resultados muestran que, en esta configuración, los modelos probados podían usar la voz corriente de una persona objetivo para activar una respuesta fija, con poca activación ante habla de otros hablantes.
Estos resultados corresponden a modelos y objetivos concretos, bajo el ajuste fino probado. El estudio no establece que las mismas tasas de activación se mantengan con otros hablantes, modelos o métodos de adaptación.
Qué muestran las pruebas
- La voz como activador
El artículo presenta Speaker-Activated Backdoor, un método de ajuste fino en dos fases para modelos de voz. Pregunta si la voz natural de una persona objetivo puede activar un comportamiento elegido aunque quien ataca no pueda alterar el audio cuando se usa el modelo. Esto difiere de los ataques de audio que dependen de añadir o transformar un sonido en la entrada.
- Dos fases con funciones distintas
El método primero entrena al modelo para que use la identidad del hablante y después vincula a un hablante objetivo con una respuesta elegida, incluyendo habla limpia de otros hablantes.
Los autores evalúan la activación con grabaciones reales del objetivo tomadas en sesiones excluidas del entrenamiento; así, el comportamiento informado se mide en grabaciones que el modelo no había visto, y no en ejemplos sintéticos de entrenamiento.
- El habla corriente la activa
Para sustituir la transcripción por una frase fija, los investigadores presentan resultados de Whisper-medium y Parakeet con Judi Dench como objetivo, usando dos minutos de audio real de ella dentro de un presupuesto de 20 minutos de audio del objetivo.
En tres ejecuciones de entrenamiento, la proporción media de fragmentos reservados del objetivo que se reemplazó fue del 90,2% y del 97,0%, respectivamente; la activación media en fragmentos de otros hablantes fue del 1,7% y del 0%.
- El efecto de las fases depende de la tarea
Una comparación con el mismo presupuesto en Whisper-medium encontró un éxito parecido al sustituir una frase fija con el entrenamiento de dos fases y el de una fase. Sin embargo, la versión de dos fases tuvo menos errores de transcripción limpia y no mostró activaciones en hablantes ajenos al objetivo en las ejecuciones observadas.
En un control separado de reescritura semántica, omitir la fase 1 redujo del 35,0% al 12,6% la proporción de fragmentos editables del objetivo que contenían la negación prevista. Este resultado se refiere a esa tarea dependiente del contenido y a la configuración probada.
- La instrucción insertada puede llegar a un agente
El estudio también envió transcripciones con una instrucción de transferencia insertada a agentes independientes que podían usar herramientas. En la prueba aislada, los cuatro agentes ejecutaron transferencias en algunas transcripciones cuya instrucción se había insertado correctamente.
La tasa de ejecución se calculó solo entre esas transcripciones y varió según el modelo de voz y el agente posterior.
Detalles
- Autores del paper original
- Nataša Krčo, Euodia Dodd, Peter Romov, Yves-Alexandre de Montjoye
- Enviado a arXiv
- Licencia
- arXiv non-exclusive