DRL-CLBA: A Clean Label Backdoor Attack for Speech Classification via DDPG Reinforcement Learning

📄 arXiv: 2607.01729v1 📥 PDF

作者: Yueming Huang, Wenhan Yao, Fen Xiao, Xiarun Chen, Weiping Wen

分类: cs.AI, cs.SD

发布日期: 2026-07-02

💡 一句话要点

提出DRL-CLBA以解决语音分类中的清标签后门攻击问题

🎯 匹配领域: 支柱二：RL算法与架构 (RL & Architecture)

关键词: 后门攻击 语音分类 深度学习 强化学习 音频隐写术 清标签攻击 深度神经网络

📋 核心要点

  1. 现有的语音分类模型容易受到后门攻击，尤其是样本特定攻击依赖于污染标签，容易被检测。
  2. 本文提出DRL-CLBA，利用DDPG强化学习和深度音频隐写术，创建特征空间锚点以实现清标签后门攻击。
  3. 实验结果显示，DRL-CLBA在多个数据集上取得高攻击成功率，成功绕过多种后门防御机制。

📝 摘要（中文）

深度学习模型在语音分类中易受到后门攻击，恶意触发器会导致推理时的错误分类。现有的样本特定攻击往往依赖于污染标签攻击，容易被手动数据防御检测到。本文提出了一种新颖的清标签后门攻击DRL-CLBA，利用深度确定性策略梯度（DDPG）强化学习。通过深度音频隐写术将样本特定触发器嵌入源音频，创建特征空间锚点。该强化学习框架有效优化目标样本，使其朝向模型深层潜在空间中的触发器锚点迁移，实现无标签迁移的目标样本污染。实验结果表明，DRL-CLBA在三个数据集和四种不同的深度神经网络上均表现出高攻击成功率，有效绕过了一些后门防御，显示出语音控制系统的关键脆弱性。

🔬 方法详解

问题定义：本文旨在解决语音分类模型在面对后门攻击时的脆弱性，现有方法多依赖于污染标签攻击，容易被检测和防御。

核心思路：提出DRL-CLBA，通过DDPG强化学习优化目标样本，使其向触发器锚点迁移，从而实现无标签迁移的污染。

技术框架：整体架构包括数据预处理、触发器嵌入、强化学习优化和攻击实施四个主要模块。首先，利用深度音频隐写术将触发器嵌入源音频，然后通过DDPG优化目标样本。

关键创新：该方法的创新在于使用清标签后门攻击，避免了污染标签的依赖，显著提高了攻击的隐蔽性和有效性。

关键设计：在参数设置上，采用DDPG的策略网络和价值网络，损失函数设计为优化目标样本与锚点的距离，网络结构则基于深度神经网络设计，以适应音频特征提取。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果表明，DRL-CLBA在三个数据集上实现了高达95%的攻击成功率，成功绕过了多种后门防御机制，包括微调、剪枝和频谱特征防御，显示出其强大的攻击能力和隐蔽性。

🎯 应用场景

该研究的潜在应用领域包括语音识别、智能助手和语音控制系统等。通过揭示语音分类模型的脆弱性，研究者可以针对性地设计更强的防御机制，提升系统的安全性和可靠性。未来，该技术可能推动对抗性攻击研究的发展，促进安全AI的进步。

📄 摘要（原文）

Deep learning models for speech classification are vulnerable to backdoor attacks, where malicious triggers cause misclassification at inference time. While sample-specific attacks can bypass many defenses, they often rely on poisoned label attack, making them detectable via manual data defense. In this paper, we propose DRL-CLBA, a novel clean label backdoor attack for speech classification that leverages Deep Deterministic Policy Gradient (DDPG) reinforcement learning. We also utilize deep audio steganography to embed sample-specific triggers into source audio, creating feature-space anchors. The proposed reinforcement learning framework effectively optimizes target samples toward trigger-bearing anchor points in the model's deep latent space, enabling label-migration-free poisoning of target samples. Experimental results across three datasets and four different DNNs demonstrate that DRL-CLBA achieves a high attack success rate, effectively bypassing some backdoor defenses. The attack demonstrates strong resistance against fine-tuning, pruning, and spectral signature defenses, exposing critical vulnerabilities in speech-controlled systems.