Упреждающая защита от повторной идентификации после анонимизации голоса

Анонимизация не помогает, если атакующий уже нашёл открытые записи того же человека и использует их для регистрации в системе распознавания говорящего. Авторы предлагают защищать такие исходные записи заранее: малое состязательное возмущение меняет дискретные токены анонимизатора и делает последующую повторную идентификацию существенно труднее.

Метод. Для каждой записи PGD максимизирует L1-сдвиг признаков перед векторным квантованием, добиваясь смены не менее 95% кодовых слов. Радиус возмущения ε задаёт компромисс приватности и качества. Метод проверен на системах B4 и B5 Voice Privacy Challenge против атакующих ECAPA-TDNN и WavLM, включая попытки очистки Gaussian noise, AudioPure и DAP.

Результаты. Для сильного атакующего VPC 2026 EER системы B4 растёт с 14,33% до 44,51% при ε=0,3, а B5 — с 21,28% до 47,36%; значение около 50% соответствует почти случайному решению. При ε=0,3 STOI остаётся 0,99, PESQ — 3,51–3,53. У B5 WER повышается лишь с 1,85% до 2,19%, но у B4 достигает 7,01%.

Ограничения. Возмущение оптимизируется отдельно для каждой записи до 700 шагов. Диффузионная очистка DAP почти полностью снимает защиту при ε≤0,3, если атакующий знает о ней. Кроме того, B4 неожиданно переносит атаку на один конкретный распознаватель: без ограничения WER возрастает до 29,58%, хотя другой распознаватель даёт 6,6%.

Фишка из статьи. Таблица показывает, что максимальный радиус не обязателен: ε=0,3 почти достигает предельной приватности, сохраняя объективное качество намного лучше неограниченной атаки.

Как это читать: рост EER здесь полезен, потому что атакующий хуже различает говорящих. Однако одинаковый PESQ не гарантирует одинаковой пригодности для распознавания: перенос состязательного шума на ASR у B4 остаётся существенным риском.