Page 355 - 《软件学报》2026年第7期

3040 软件学报 2026 年第 37 卷第 7 期

面源于迭代次数的增加, 另一方面也受到音频解耦与重建过程中额外计算开销的影响. 通用的算法-硬件联合优化
与部分专用的加速架构 [47] 在理论上可以缩短单次迭代的时间, 但依然需要多次迭代以生成对抗音频. 值得注意的
是, SIAttack-c 的生成时间略长于 SIAttack-s, 这主要是因为内容信息的数据维度高于说话人信息. 通常情况下, 内
容信息是一个二维向量 (时间长度与特征维度), 例如本研究中一段 10 s 音频的内容信息维度为 1024×690; 而说话
人信息为固定长度的一维向量 (本研究为 256 维). 因此, 在说话人信息层面添加扰动能够有效减少计算负载, 从而
提高对抗音频的生成效率.
为研究数据集对攻击性能的影响, 我们进一步在 VT 数据集上评估了各方法的攻击性能 (结果见表 5). 实验结
果显示, 尽管各方法在 VT 数据集上的表现趋势与之前基本一致, 但整体攻击成功率出现了一定程度的下降. 由表 3
可知, 目标模型在 LS 数据集上的分类准确率普遍高于 VT 数据集.

表 5 VT 数据集下基于迁移方法在白盒场景的攻击性能

成功率 (%)
Attack IV_PLDA XV_PLDA ECAPA ResNet SNR (dB) PESQ Time (s)
OSI-u OSI-t OSI-u OSI-t OSI-u OSI-t OSI-u OSI-t
FGSM 69.6 25.0 55.0 17.0 35.0 6.1 38.0 12.5 33.0 2.8 0.04
PGD 100.0 95.6 100.0 92.7 96.2 89.1 97.1 91.5 37.1 3.2 3.4
CW2 100.0 97.2 99.8 88.5 85.9 79.3 73.6 65.4 52.1 4.3 81.1
CWinf 100.0 98.8 92.0 88.3 92.9 78.7 87.2 77.7 34.9 3.0 5.2
Inaudible 98.2 82.2 94.0 80.0 86.8 60.8 87.6 77.3 36.0 3.9 87.4
Kenansville 67.6 － 65.4 － 48.9 － 59.5 － 11.0 1.7 2.1
QFA2SR 100.0 100.0 100.0 100.0 100.0 100.0 100.0 100.0 26.2 2.9 12.6
SIAttack-c 100.0 100.0 100.0 100.0 100.0 100.0 100.0 100.0 24.3 4.1 10.3
SIAttack-s 100.0 100.0 100.0 100.0 100.0 100.0 100.0 100.0 24.5 4.2 10.1
注: 加粗数据表示最优结果

3.3 黑盒场景下的攻击性能
为更真实地模拟实际攻击条件, 本文系统评估了所有基于迁移和基于查询的攻击方法在黑盒场景下的表现.
在基于迁移的攻击中, 每次实验从 4 个开源目标模型中选取 3 个作为替代模型, 另一个作为目标模型. 采用文献 [19]
提出的 Sum-Global 模型集成策略生成对抗音频, 并将其迁移至目标模型, 进而评估其攻击成功率. 对于基于查询
的攻击方法, 实验模拟了实际环境中查询次数受限的情况, 攻击者仅能通过有限次数的模型查询获取反馈以完成
对抗音频的生成. 相关实验结果见表 6 与表 7.

表 6 LS 数据集下各方法在黑盒场景的攻击性能

成功率 (%)
Attack IV_PLDA XV_PLDA ECAPA ResNet SNR (dB) PESQ Time (s)
OSI-u OSI-t OSI-u OSI-t OSI-u OSI-t OSI-u OSI-t
FGSM 55.7 12.0 42.6 13.4 16.5 3.4 37.7 8.6 32.8 2.5 1.5
PGD 85.7 40.7 82.1 38.9 63.5 29.6 73.9 33.8 36.4 3.1 5.0
CW2 87.7 43.7 83.3 41.8 65.6 32.4 75.4 37.6 51.6 4.2 211.8
CWinf 85.6 45.3 81.3 42.5 64.8 34.6 72.9 37.4 34.5 2.8 10.9
Inaudible 82.5 41.1 78.7 39.4 61.2 30.7 69.9 35.3 35.3 4.0 258.1
Kenansville 76.3 － 73.1 － 56.2 － 64.7 － 10.1 1.4 8.2
QFA2SR 100.0 90.7 94.8 89.0 77.1 55.5 89.1 72.5 25.8 2.8 16.1
SirenAttack 80.4 65.4 77.2 62.5 60.3 48.5 68.5 54.9 30.4 2.6 189.5
FakeBob 96.0 76.2 90.9 72.6 71.5 57.7 81.6 63.6 31.0 2.8 125.0
SMACK 100.0 82.5 91.9 78.1 72.7 61.6 83.3 70.5 － － 258.1
SIAttack-c 100.0 86.0 88.6 82.1 78.9 58.8 82.6 69.8 25.1 4.1 15.8
SIAttack-s 100.0 94.5 97.8 93.8 90.1 65.4 92.7 78.9 25.7 4.1 15.1
注: 加粗数据表示最优结果