Разные версии нейросети затруднили массовые атаки на голосовых помощников

Исследователи из Университета Джорджа Мейсона разработали систему защиты голосовых ассистентов от так называемых массовых аудиоатак. Метод DivNet генерирует триллионы уникальных вариантов одной и той же ИИ-модели, затрудняя перенос одной вредоносной записи между множеством устройств. Работа представлена на конференции MobiSys 2026 в Кембридже.

Угроза, которую не слышит человек

Современные голосовые ассистенты — от смартфонов до умных колонок и систем умного дома — уязвимы перед особым типом атак: в аудиозапись внедряются сигналы, неразличимые для человека, но распознаваемые нейросетью как команды. Такой файл, воспроизведённый вблизи устройства, может незаметно дать ассистенту команду открыть дверь, перевести деньги или включить микрофон.

Особенно опасны массовые атаки: злоумышленник создаёт одну вредоносную запись, которая одновременно срабатывает на миллионах устройств с одинаковой моделью распознавания речи. Повторное использование одной записи делает такой сценарий особенно важным для защиты большого парка устройств.

Как работает DivNet

Создание множества независимо обученных моделей может требовать значительных затрат. DivNet предлагает получать разнообразие из уже обученной нейросети. DivNet действует принципиально иначе.

Система анализирует веса уже обученной нейросети и делит их на две категории: веса, критически важные для понимания обычной речи, и веса, от которых зависит успех атаки. Первые остаются нетронутыми, вторые незначительно варьируются, создавая уникальный «отпечаток» каждого экземпляра модели.

В результате:

• Генерация нового варианта занимает миллисекунды после первоначального анализа
• Число возможных вариантов превышает число атомов в наблюдаемой Вселенной
• Качество распознавания обычной речи практически не снижается
• Одно устройство может автоматически переключаться между вариантами, дополнительно затрудняя прицельную атаку

В проведённых испытаниях подход существенно снижал успешность аудиоатак при небольшом изменении качества обычного распознавания. Это не означает, что каждому варианту модели обязательно нужна отдельная атака или что защиту невозможно обойти. Результат относится к проверенным системам и сценариям.

Защита без переобучения

Главное практическое преимущество DivNet — отсутствие дополнительной задержки при распознавании речи в испытанных системах. Существующие защитные системы нередко требуют проверки каждого аудиовхода, замедляя распознавание. DivNet не меняет процесс обработки речи — только структуру весов, которая задаётся заранее.

Авторы — Цян Зэн и Ин Мэн — представили метод на MobiSys 2026. Команда рассматривает коммерциализацию и патентование разработки. Важное различие состоит в том, что начальный анализ модели и создание вариантов требуют работы, даже если последующее распознавание не замедляется.

Читайте также: ИИ-агенты улучшили решение задач, прогнозируя последствия правок кода.

Разнообразие моделей может дополнить другие меры защиты: оно уменьшает вероятность того, что одна и та же вредоносная запись одинаково повлияет на множество устройств. Для оценки практической устойчивости нужны независимые проверки, в том числе атаки, специально адаптированные к новому методу.