Представьте: вы слушаете музыку или рекламу, а в это время аудиофайл передаёт голосовому помощнику скрытую команду, неслышимую для человека. Помощник может открыть дверь или перевести деньги. Об этой угрозе рассказал доцент кафедры компьютерных наук Университета Джорджа Мейсона Цян Цзэн. Вместе с аспирантом Ин Мэном он разработал метод DivNet, который усложняет такие атаки, не замедляя работу устройств и не требуя от компаний дорогостоящего переобучения ИИ-систем. Работа была представлена летом 2026 года на конференции ACM International Conference on Mobile Systems, Applications, and Services (MobiSys) в Кембридже (Великобритания).

Опасность усиливается тем, что производители часто устанавливают одинаковые ИИ-модели на миллионы устройств. Это как если бы все дома в районе имели одинаковый замок: один ключ подходит ко всем. Злоумышленник, взломавший одно устройство, может использовать ту же запись против других. Обучение сложных моделей дорого, поэтому компаниям невыгодно создавать отдельную модель для каждого клиента.

DivNet создаёт множество слегка различающихся версий одной ИИ-модели. Вместо одинаковой защиты для всех устройств каждое получает немного отличающуюся модель. Для этого исследователи анализируют миллионы числовых значений - так называемых весов, которые помогают нейросети обрабатывать информацию. Некоторые веса важны для распознавания обычной речи, другие мало влияют на это, но критичны для успеха аудиоатак. DivNet выявляет и избирательно изменяет именно вторые. Комбинируя разные наборы весов, учёные получают огромное количество уникальных моделей, которые по-прежнему точно распознают легитимную речь, но по-разному реагируют на вредоносные записи.

Испытания на существующих системах распознавания речи показали: DivNet значительно снижает успешность атак, почти не ухудшая обычное распознавание. В отличие от многих других защит, метод не добавляет времени на обработку речи. После начального анализа создание нового варианта занимает всего миллисекунды. Число возможных вариантов превышает оценку количества атомов в наблюдаемой Вселенной, что даёт огромный выбор. Даже один голосовой помощник может периодически переключаться между вариантами, затрудняя разработку и повторное использование атак. Главное практическое преимущество - низкая стоимость: обучение ИИ-системы дорого, так как требует мощных графических процессоров (GPU).

Исследователи создали сайт проекта с демонстрациями и технической информацией, включая аудиопримеры, показывающие, как одинаковые вредоносные записи дают разные результаты на разных вариантах модели. Цзэн, у которого дома пять колонок Alexa, сам пользуется голосовыми помощниками и видит пользу для потребителей. Команда стремится к коммерциализации и подаёт патенты, полагая, что подход заинтересует крупные технологические компании.

Источник: Tech Xplore