提出说话人激活后门攻击方法

该论文提出一种名为 Speaker-Activated Backdoor（SAB）的新型威胁模型，攻击者通过在微调阶段植入后门，使目标说话人的自然语音成为触发器，从而在推理时无需任何外部触发信号即可激活恶意负载。实验显示，该方法仅需两分钟真实目标语音，即可在 Whisper-medium 和 Parakeet 模型上分别达到 90.2% 和 97.0% 的后门成功率，且误报率低至 1.7% 和 0%。 核心机制在于两阶段微调：首先增强模型对说话人身份的敏感度，随后将特定说话人与攻击者预设的恶意载荷绑定。这种攻击不仅限于简单的指令执行，还能实现内容依赖的语义重写，成功在 96.9% 的目标说话人转录文本中插入恶意指令。当这些被污染的转录本传递给 GPT-4o、Claude（Opus、Sonnet、Haiku）等前沿大语言模型智能体时，高达 87.5% 的案例中触发了有害行为。 事实层面，该研究证实了语音身份作为后门触发器的可行性及其在跨模型、抗声学退化方面的泛化能力；推断层面，这意味着当前基于语音交互的 AI 系统面临严重的供应链安全隐患，因为攻击可在训练端完成而无需接触推理环境；猜测层面，若行业未建立针对说话人特征的后门检测标准，未来语音 Agent 的大规模部署可能因不可见的信任链断裂而受阻。