針對ASR系統的快速有目標自適應對抗攻擊

張樹棟，高海昌，曹曦文，康 帥

(西安電子科技大學 計算機科學與技術學院，陜西 西安 710071)

神經網絡的快速發展，使其應用于多種領域，如自動駕駛、面部識別、目標檢測、語音識別和圖像分類等。但是，最近的研究[1-3]已經表明神經網絡容易受到對抗樣本的影響。攻擊者可以通過在輸入中添加一些人類不容易感知的微小擾動，使得神經網絡輸出任何想要的結果。對抗樣本的發現對深度神經網絡在現實生活中的應用構成了極大的安全威脅。攻擊者可以通過生成對抗樣本來欺騙面部識別系統，入侵移動設備，獲取相關的隱私信息；或是對道路標識符進行篡改，促使自動駕駛汽車將右轉彎的交通標志識別為筆直，由此引發交通事故。

對抗樣本的研究最初主要集中在圖像空間上，除了少部分目標檢測，語義分割，人臉識別和強化學習的研究內容外，大部分都是針對圖像分類任務[1]。在其他領域，對抗樣本也有相應的研究，如：文本分類，惡意軟件檢測[2]和語音識別[4]等。本文著重于語音識別領域的對抗樣本攻擊研究。

通常，根據攻擊者攻擊目標的不同，對抗攻擊可以分為兩種類型。一種常見的攻擊方式是找到使目標模型分類錯誤的最小擾動。第二，在最大允許擾動范圍內，最大化目標模型將擾動樣本分類為目標類別的概率。最近，在獲得具有最小擾動的對抗樣本的攻擊下，CARLINI等人[3]證明，對于任何音頻樣本，僅添加少量擾動就可以使自動語音識別模型將音頻轉錄為攻擊者指定的任意短語。盡管這種攻擊產生的樣本具有較低的噪聲，但它需要進行大量的迭代，這對于實際場景中的自動語音識別攻擊是不切實際的。

為了產生使對抗擾動范數值最小的攻擊，需要優化兩個目標，即在模型對輸入進行了錯誤分類的同時還要保證盡量小的添加的擾動范數值。當前最先進的方法C &W[3]通過設計使用兩個損失函數項來解決此問題，該方法攻擊效果的好壞取決于平衡兩個損失函數的超參數c的選擇。在此基礎上，還需要通過大量迭代來實現攻擊。筆者提出了一種A-FTA方法，該方法基于最大化對抗樣本和目標類別相似度的策略。具體來說，使用投影梯度下降法來生成目標音頻對抗樣本。在每次迭代中，針對每個音頻值在損失函數中進行梯度下降操作，以使損失函數最小化，同時根據樣本是否具有對抗性來改變最大擾動范數值。攻擊的步長則隨著迭代次數的增加而逐漸減小。最后，將生成的擾動音頻映射到固定的可行解空間中。所提出的方法可以大大減少攻擊所需的迭代次數，并且還可以避免由于擾動范數較小而導致最優解在兩點之間振蕩的問題。大量實驗表明，在300次迭代中，A-FTA方法的攻擊效果要優于現有的方法。即使僅進行100次迭代，依然能保證非常高的攻擊成功率。

1 背景及相關工作

1.1 對抗樣本

給定模型f(·)和輸入樣本x∈Rn，其對應的標簽y∈Rm。存在微小擾動δ，使得x'=x+δ在某個距離度量d(x，x')中與x相似，但分類結果f(x')≠y。這樣的樣本x'稱為無目標對抗樣本。除此之外，還有一種更強大的攻擊，稱為有目標對抗樣本。它不僅可以使目標模型針對x和x'輸出不同的結果，而且還可以使模型對輸入樣本x'誤分類為特定的標簽t(由攻擊者選擇)，即y≠f(x')=t。在圖像領域，研究人員選擇lp距離作為d(x，x')，最常使用l距離來評估添加的擾動的大小。根據攻擊者是否對分類器f(·)的參數和結構有足夠的了解，對抗樣本的攻擊方法可以進一步分為白盒攻擊和黑盒攻擊。在白盒攻擊中，攻擊者知道分類器f(·)的所有知識。在黑盒攻擊中，除了輸入和輸出外，攻擊者對分類器f(·)一無所知。

為了生成對抗樣本，攻擊者通常需要預先設置損失函數，然后通過執行基于梯度的優化過程來最小化損失函數。根據不同的目標，生成對抗樣本的方法可以表示為在成功攻擊的前提下保證擾動模值‖δ‖最小，或者在最大擾動預算范圍‖δ‖≤ε中最大化對抗樣本被分類為目標類別的概率。例如，獲得具有最小失真的目標對抗樣本的優化過程可以表示為

(1)

(2)

其中，c是平衡攻擊成功率和擾動δ大小的超參數，c>0。

還有另一個更簡單的目標函數，該函數最小化模型關于對抗樣本的預測與目標標簽之間的差異。與最小擾動優化不同，基于p范數的擾動固定為小于指定的閾值。對應的優化公式為

(3)

其中，ε是預設的添加的最大擾動值。與前面的式(2)相比，此優化更為簡單有效，因為它不需要搜索其他超參數c。

1.2 音頻對抗樣本

CISSE等人[5]成功生成了語音對抗樣本，導致Google的語音應用模型對輸入的音頻進行了錯誤的轉錄。2018年，針對MOZILLA對于DeepSpeech端到端的實現[4]，CARLINI等人[3]使用基于優化的最小擾動白盒攻擊方法來構建目標音頻對抗樣本，生成的樣本作為輸入可以被模型轉錄為他們想要的任何目標短語。文獻[6]通過使用“心理聲學掩膜”對KALDI上的ASR系統進行了人耳難以察覺的攻擊。上述方法都直接將wav音頻文件輸入到模型中，而這在實際應用中是不現實的。YUAN等人[7]提出“CommanderSong”的方法來評估Kaldi模型，并使用歌曲作為載體來構建對抗攻擊，所生成的對抗樣本在空氣傳播中也同樣有效。YAKURA等人[8]生成了可以無線播放的對抗樣本。該攻擊對短的兩個單詞或三個單詞的短語非常有效，但對較長的句子短語則沒有什么效果。QIN等人[9]將基于優化的最小擾動攻擊與聽覺掩蓋的心理聲學原理[10]結合，并針對Lingvo ASR系統[11]生成了難以察覺的音頻對抗樣本。LIU等人[12]提出了加權采樣音頻對抗攻擊方法，該方法可以在幾分鐘內生成低擾動和高魯棒性的音頻樣本。LI等人[13]提出了對抗音樂的方法，并成功地欺騙了Amazon Alexa喚醒詞檢測系統。

1.3 威脅模型

可以針對音頻領域中自動語音識別任務進行有目標的音頻對抗攻擊。給定一個音頻輸入x，目標是生成一個聽起來類似于x的新音頻x'=x+δ，但是f(x')=t。僅當目標模型預測的短語與攻擊者選擇的目標短語完全匹配時，攻擊才會成功。選擇攻擊DeepSpeech模型，這是由Mozilla使用TensorFlow實現的開源語音文本引擎。該模型使用Mel頻率倒譜(MFC)轉換作為輸入的預處理，然后是遞歸神經網絡(RNN)使用LSTM[14]將音頻波形映射到單個字符上的概率分布序列。與大多數以前的工作中使用的威脅模型一樣，筆者假設白盒攻擊設置，其中攻擊者可以完全訪問模型，并且知道模型的所有參數和體系結構。此威脅模型用于評估最壞情況下的系統安全性。

2 方 法

2.1 動 機

目前，針對ASR系統的最先進的音頻對抗攻擊來自CARLINI等人[3]，他們通過求解式(2)來獲得最小擾動，成功地攻擊了DeepSpeech模型。該方法以可微的方式實現了MFC的預處理，并將l設置為Connectionist Temporal分類(CTC)損失[15]，然后在整個音頻輸入上對其進行優化來獲得對抗樣本。找到最接近的對抗樣本是困難的，因此，有必要找到一個合適的參數c來共同優化分類項lctc(f(x+δ)，t)和擾動δ的范數。在約束優化的一般情況下，這種基于懲罰的方法是眾所周知的一般準則。解決式(2)中最優化問題的主要困難是如何找到合適的參數c來平衡擾動δ和分類損失lctc。如果c太小，則增加的對抗擾動將非常小，但是生成的樣本可能不是具有對抗性的。如果c太大，攻擊總是會成功，但是添加的對抗擾動不是最佳的。此外，懲罰方法通常會導致收斂緩慢。在圖像領域，CARLINI等人使用改進的二分搜索來選擇c。這種方法可以找到最佳的c，但以降低攻擊效率為代價。在音頻領域中，c設置為固定常數。盡管它可以節省二分搜索帶來的額外計算量，但由于針對ASR對抗攻擊的內在復雜性，該方法仍然效率不高。此外，參數c的選擇對于這種攻擊的成功至關重要。

2.2 損失函數

根據在圖像領域中生成對抗樣本的經驗和式(3)的定義，很容易找到在固定擾動范圍內最差的對抗樣本。在式(3)中，兩個約束都可以用δ表示，并且可以使用投影梯度下降法(PGD)來優化所得的公式。 筆者依照CARLINI的設置，并將損失函數l設置為CTC損失。最終，優化公式為

(4)

可以使用標準的PGD方法來解決式(4)中的優化問題，構造目標音頻對抗樣本。 具體地，在每次迭代中，該方法基于攻擊者選擇的輸出短語，對每個音頻值在損失函數中執行梯度下降步驟，以使損失函數最小化。接下來，再將產生的擾動音頻投影到可行解空間內(在每個原始音頻預設的最大擾動范圍ε內)。迭代過程可以表示為

xi+1=Clip{xi-α·sign(xlctc(f(xi)，t))} ，

(5)

其中，α是步長，xi是第i次迭代生成的對抗樣本。

坐在辦公室里，我沉浸在悲傷中，怎么都提不起精神?！袄蠋煟　蔽彝蝗宦牭揭粋€稚嫩的聲音，原來是班長來了，她手里還拿著一朵梔子花。她把手中的花遞到我的面前，說：“老師，您不要不教我們了，我把這朵梔子花送給您，您笑一笑，不要生氣了好嗎？我們喜歡看您笑，您發脾氣的樣子我們好害怕。”

2.3 自適應的快速有目標攻擊

盡管標準的PGD方法可以解決式(4)的優化問題，但發現生成的擾動大小和攻擊成功率受到最大擾動預算和步長α的限制，即使對于凸優化問題，也不能保證得到一個最優解。如果擾動預算太大，則產生的擾動也將相應較大，使得人耳很容易察覺。如果擾動預算過小，則因為固定步長的設置可能導致梯度下降法在兩點之間振蕩，優化將不會收斂。

輸出：音頻對抗樣本x'。

高校新進教師的崗位是不同的，一般包括科研崗、教學崗和行政管理崗三大類。不同崗位對教師的工作任務期待與專業素養也是不同的。科研崗的工作任務重點是承擔科學研究任務，教師負責組建科研團隊，指導學生從事科研項目，對其要求是具備科研創新能力；行政管理崗主要包括諸如班主任、科任教師、大隊輔導員等等，這類工作的重點是幫助學生樹立正確的人生價值觀，關心學生的思想政治狀況，加強學生心理健康教育和指導工作等，所需能力主要為人際交往與學生溝通的能力。而教學崗的教師要求最高，需身兼科研創新能力、溝通能力以及教學能力。

1.4.3 支氣管肺泡灌洗液(bronchoalveolar lavage fluid，BALF)的收集、蛋白測定、細胞計數 對大鼠左肺進行支氣管肺泡灌洗。用16G插管針氣管插管，用注射器取1.5 mL無菌冷PBS行支氣管肺泡灌洗術3次。收集的BALF于4 ℃離心機250×g離心10 min，留取上清液于-20 ℃凍存。用BCA法(試劑盒購自碧云天公司)測定大鼠BALF上清液中總蛋白濃度，以觀察大鼠肺泡內蛋白滲出情況。操作方法嚴格按照說明書進行。

返回具有最小擾動的對抗樣本xi

“意象”是中國傳統美學當中的一個重要范疇,更是中傳統藝術的本體與審美旨歸。中國的舞蹈在這種“天人合一、虛實相生”的思想關照下蓬勃發展,形成了較為豐富的“舞蹈意象”理論。從《愛蓮》到《稻禾》可以看出，在意象類舞蹈作品中基本的人物形象塑造手法是必需且重要的，但創新也同樣是重要的，無論是中國傳統古典舞還是現代舞中的意象類舞蹈作品，其中的人物形象塑造必定會朝著更加多元化，國際化的方向發展。

算法1A-FTA攻擊。

此外，在產業升級改革的過程中，其上下游產業及與之相關產業的改革和升級，也需要考慮到。以農業為例，其涉及到的產業包括餐飲、零售業、物流業為例，服務業的轉型與發展更具有靈活性，其轉型考慮到的不僅限于如何滿足供需調整要求，還需要突破市場化較高所帶來的壓力。

輸入：音頻樣本x，擾動預算ε，迭代次數K，步長α，目標短語t，余弦下降函數cosine(·)，調整擾動范數的超參數λ，ASR模型f(·)，損失函數lctc(x，y)。

私人、個體醫療機構可以作為我國醫療體系的重要組成部分，是公有制醫療機構的補充和完善，不能與公有制醫療機構享有同等地位。在醫療領域，不能以市場經濟的觀念來對待公有制醫療與私營、個體醫療。生病、看病不能看作是商品，不能由市場來主導，不能通過價格競爭、獨特服務，讓私人或個體醫療來引導或沖擊公有制醫療。

算法1描述了完整的攻擊過程。從原始音頻輸入x開始，根據目標模型的預測結果迭代更新最大干擾參數ε。在第i次迭代中，如果xi仍然不是對抗樣本，則通過公式εi+1=(1+λ)×εi來增加擾動約束ε；如果xi已經是對抗樣本了，則通過x0←x，ε0←ε，αi←α公式：εi+1=(1-λ)×εi來減小ε的值。在兩種情況下，都從點xi開始來進行式(5)的迭代操作，將擾動音頻投影到可行解空間中，并得到xi+1。然后，通過余弦退火的方法減小步長α。

鑒于上述的缺點，提出了一種自適應快速有目標攻擊(A-FTA)方法來解決這兩個問題。首先，根據目標模型的預測結果動態更改A-FTA方法的最大擾動范數值，而不是像標準PGD這樣使用一個預設的固定擾動約束。具體地，通過在原始音頻x周圍的最大擾動范圍內投影對抗性擾動δ來約束規范。然后，根據二分決策的結果對范數約束值進行修改。如果樣本xi在步驟i中不是對抗樣本，則增加步驟i+1下的約束值；否則，會相應減少。其次，在優化過程中，動態調整步長，而不是固定不變。具體來說，在迭代開始時，將初始化較大的步長α，通過擾動范數約束ε的動態轉換，可以快速找到成功的對抗樣本。接著，隨著攻擊的不斷迭代，更多的對抗樣本成功生成，擾動范數約束值ε和步長α也在動態調節下變得越來越小。最終，可以成功生成具有微小擾動的對抗樣本。

Initialize

Fori=0 toK-1 do

grad←xi(lctc(xi，t))

xi+1←xi-αi·sign(grad)

xi+1←clip(xi+1，xi-εi+1，xi+εi)

信息化管理是市政工程造價控制與管理的重要實現途徑，而且我國政府也比較重視信息化，也相繼推出了一系列的優惠政策來推動信息化管理的實施和信息化工程的建設。但在我國現階段的實施過程中，往往會出現工程造價不能得到真正意義的普及，而其中則存在兩方面的原因：①信息化工程造價居高不下；②缺乏完善、系統的工程信息化的配套政策；有很多市政施工單位的經營理念、施工方法技術、管理模式都比較傳統，也比較落后，這也導致其管理機制比較僵化，很難適應當下社會；很多施工單位都沒有進行信息化管理，也沒有相應的技術水平，缺乏信息化管理系統等，這些都是信息化管理問題出現的原因。

對于所有實驗，如果在迭代結束時未生成成功的對抗示例，則會記錄最后一次迭代的次數和擾動。所有實驗均在配備Intel Xeon CPU E5-2620 v4、64 GB內存和一個GTX TITAN XP GPU的Ubuntu 16.04工作站上進行。

Iff(xi+1)==tthen

εi+1←(1-λ)×εi

else

εi+1←(1+λ)×εi

end if

αi+1←cosine(αi)

其中，n表示數據點個數，ci和ui分別表示實際聚類標簽和求得的聚類標簽.δ(c,u)表示當c=u時，函數值為1；否則δ(c,u)=0.map函數將求得的聚類標簽與實際標簽進行映射，映射可采用Kuhn-Munkres(最大權匹配)算法[18]獲得.ACC的值越大表示聚類越準確.

End for

關于婚姻無效的申請權利人，因情況而異。在俄羅斯，因未達到法定婚齡且未依法得到允許而結婚，當事人、當事人的父母、當事人的監護人、監護機構、檢察官可以提起婚姻無效之訴。當事人已成年的，只能由其本人提出，刪除了原來關于這種情況下也可由檢察官提出的規定。［5］(P599)在我國，未達到法定婚齡的一方及其近親屬可以提起婚姻無效之訴。

3 實驗

3.1 數據集和評估指標

數據集：在實驗中使用兩個開源的語音數據集，Mozilla Common Voice (MCV)和LibriSpeech (LS)。對于MCV數據集，選擇干凈測試集的前100個音頻樣本以生成目標音頻對抗樣本，并從測試集標簽中隨機選擇100個不正確的轉錄文本作為目標轉錄文本。對于LS數據集，從測試集中選擇50個樣本，并從測試集標簽中隨機選擇50個不正確的轉錄文本作為目標轉錄文本。確保所選擇的目標轉錄文本長度不會超過目標音頻轉錄長度的最大值。為了保證攻擊的多樣性，根據音頻幀的長度和目標文本的長度將攻擊分為四類，即短到短，短到長，長到短，長到長。 所有音頻樣本均以16 kHz采樣。表1中展示了原始短語和目標短語的示例。

能夠用多種方法解題本是好事，值得提倡.但需要進行比較，找出最佳方法.就四則運算而言，豎式運算和長除法乃前人反復鉆研的結果，已為學界所公認.學生必須集中精力于這樣的標準方法，反復練習，以掌握運算技能.發現式數學用一些莫名其妙的方法擠掉了標準方法，結果學生什么也學不到.

表1 原始/目標短語示例

其中，[0，M]是有效輸入的閾值范圍。但是，由于約束f(x+δ)=t，是高度非線性的，因此，現有的基于梯度的算法很難直接求解式(1)。因此，研究人員將其表達為更適合優化的另一種形式[ 1，7]，即

北醫三院黨委書記金昌曉向《中國醫院院長》表示，“兩個允許”充分考慮了醫療行業特點以及醫療機構人事管理的現狀，“任何醫療服務的流程都涉及諸多環節，醫院是各類崗位的綜合體，各崗位都要充分發揮專業特長，為更高效、更優質的醫療服務貢獻力量，夯實服務鏈條形成閉環是關鍵?！?/p>

3.2 實現細節

對于C &W實驗，將c設置為0.1，1.0，10，100和1 000；相應地，將學習率設置為10，迭代次數設置為 5 000，分別對MCV和LS數據集進行攻擊。在成功攻擊的前提下，記錄最小擾動的迭代次數及其對應的擾動值δ，用于計算平均迭代次數和dB δ。

細分問題度取決于我們的知識儲備量，我們對一個事情了解得越多，越能把問題細分。因此作為媽媽的我們需要閱讀大量兒童生理和心理發展以及社會文化等相關書籍進行知識儲備。唯有懂得才能詳細。

對于PGD實驗，針對MCV數據集進行了評估。首先將最大擾動預算ε設置為300、500、800、1 000、1 500和2 000，固定步長α=10，以評估不同預設擾動對所產生的擾動的影響。然后，確定最大預設擾動，并將步長分別設置為10，20，…，100，以評估不同步長對所產生的擾動的影響。由于PGD的目的不是尋找最小的擾動，而是使模型預測短語和目標短語在最大允許擾動范圍內盡可能相似，因此，將記錄第一次成功攻擊的迭代次數和擾動大小。

對于所提出的A-FTA方法，對兩個數據集分別進行100、300、500和1 000次迭代的攻擊，以證明攻擊的有效性。在所有情況下，設置初始化參數：ε0=1 000，λ=0.2和α=20。在成功攻擊的前提下，記錄下最小擾動的迭代次數及其對應的擾動值大小。

xi+1←clip(xi+1，-215，215-1)

3.3 實驗結果

(1) 對C &W方法的評估。為了說明所提出方法的有效性，筆者將A-FTA與C&W方法進行了比較。對于C &W方法，使用了作者發布的源碼，并用與筆者提出方法相同的測試集進行了評估。表2顯示了在不同c值的情況下5 000次迭代的評估結果。從表2中可以看出，隨著分類損失值的比例增加，dB δ的值也逐漸增加，攻擊成功率顯著提高。Wer分別從最初的102.92%和135.23%降低到0.29%和0.00%，這表明隨著c值的增加，預測短語與目標短語越來越相似。成功攻擊所需的平均迭代次數也隨著c的增加而逐漸減少。根據表2中的結果，選擇c=1 000的結果作為基線與筆者提出的方法進行比較。

表2 不同c值的5 000次迭代評估結果

(2) 對PGD方法的評估。在這里，展示了在標準PGD攻擊中常用的參數變動(步長，最大預設擾動)相對應的評估結果。對于最大預設擾動ε，將其設置為300、500、800、1 000、1 500和2 000，并固定步長α=10。從表3中可以看出，dB δ的值與ε呈正相關，而迭代次數與ε為負相關。不難理解，ε的數值越大，所產生的擾動也就越大，損失收斂的速度也會更快。兩個值都在ε=1 000左右時，逐漸穩定。對于所有不同的ε值，PGD方法均達到了100%的成功率且Wer值為0%。C &W方法在dB δ上則要優于PGD方法。這是因為C &W方法的目的是找到具有最小擾動的對抗樣本，而PGD的目的是在最大預設擾動中最小化損失函數，從而高效地獲取成功的對抗樣本。

表3 不同擾動預算ε的評估結果

對于步長α，選擇ε=300和ε=2 000作為最大預設擾動，并設置α在范圍10～100之間觀察相應的結果。如表4所示，對于ε=300，隨著攻擊步長α的增加，生成的音頻對抗樣本的Wer值也不斷增加，攻擊成功率則持續降低。攻擊所需的平均迭代次數有所波動，但總體上是逐漸增加的。因為最大擾動ε限制為300，所以樣本的dB δ值幾乎保持不變。對于ε=2 000，在所有不同步長α的情況下，攻擊成功率均為100%，并且成功進行一次攻擊所需的迭代次數也隨著α的增加而降低，并逐漸趨于穩定。dB δ值則是逐漸增加，最終同樣也趨于穩定。

表4 不同步長α的評估結果

從PGD方法的實驗結果可以看出，通過這種方式生成的對抗樣本受預設擾動和不同固定步長的影響。對于較大的預設擾動值，使用較大的步長可以在短時間內生成對抗樣本，但最終會給音頻樣本帶來更大的擾動。而較小的預設值雖然可使所生成的對抗樣本的dB δ變小，使得人耳難以察覺，但是生成一個成功的對抗樣本需要更長的時間，并不高效。

(3) A-FTA方法的評估。前兩個實驗的評估結果表明，標準的PGD方法可以在ε=300的設置下，通過250次迭代生成有效的目標音頻對抗樣本，但所產生的噪聲大小和攻擊成功率會受到最大擾動預算和步長選擇的影響。

我們總是喜歡苛責別人的過錯，用各種條件去要求他人，自己卻不遵守準則。我們能輕易發現他人的錯誤，卻很少能揪出自己的不足。這正是因為我們缺失了責己的自覺性。

在A-FTA的實驗中，為了證明A-FTA方法的有效性，分別選擇迭代次數為100、300、500和1 000次來評估攻擊。實驗結果如表5所示。對于MCV數據集，所提出方法的攻擊成功率平均只需要迭代97次，就能達到98%的攻擊成功率，且dB δ= -31.17，這與PGD方法在ε=300情況下進行了237次迭代的結果相近。隨著迭代次數的增加，dB δ值逐漸減小。在僅迭代300次的限制下，dB δ值可以達到-44.00，要優于C &W方法中的-41.17，而這是該方法在平均迭代2 802次的情況下才得到的。在迭代次數僅有100次的條件下，A-FTA在LS數據集下依然達到了68%的攻擊成功率，雖然低于MCV數據集的98%成功率，但依然遠優于C &W方法。同樣在迭代300次的限制下，達到了與C &W方法相近的效果。實驗表明，A-FTA方法在不同數據集上都有著良好的攻擊效率與效果，證明了筆者提出方法的泛化性。

表5 A-FTA評估結果

4 結束語

文中分析比較了兩種生成對抗樣本的方法，并提出了A-FTA攻擊。這是一種高效快速可以生成具有最小擾動的目標音頻對抗樣本方法。實驗結果表明，與當前最先進的方法相比，A-FTA方法在成功攻擊原始音頻樣本的前提下，所添加的擾動更小，同時效率更高，需要更少的迭代次數就可以實現有目標攻擊。同時，筆者提出的方法具有良好的泛化性，不受數據集的影響。

由于設備的限制，筆者并沒有進一步嘗試將該方法改進應用在物理攻擊(如所生成的對抗樣本在空氣傳播的過程中依然具有對抗性)中。但是，通過計算環境噪聲轉換的期望值，理論上 A-FTA方法可以輕松地應用于物理攻擊。

在后續的工作中，將專注于不同類型的音頻對抗攻擊及其相應的防御方法的研究。