Voice AI 隐形音频攻击：人耳听不到的声音如何劫持 AI 模型

人耳听不到的声音，能”指挥” AI

IEEE Spectrum 最近报道了一项安全研究：人耳听不到的超声波和次声波可以劫持语音 AI 系统的行为。这意味着你的智能音箱、语音助手、甚至 AI 客服系统，可能正在被”隐形指令”操控。

这种攻击方式叫做”音频对抗样本”（Audio Adversarial Examples），攻击者通过精心构造的音频信号，让 AI 模型产生错误的理解和响应。

攻击原理

语音 AI 系统的工作流程大致是：接收音频 → 语音转文字（ASR）→ 自然语言理解（NLU）→ 执行指令。

音频对抗样本在第一步就进行了干扰。攻击者利用人耳和机器”听觉”的差异，构造出人听不到但机器能”听到”的信号。这些信号会被 ASR 系统识别为特定的语音指令。

具体来说：

• 超声波攻击：利用 20kHz 以上的超声波，人耳无法感知，但麦克风可以接收
• 次声波攻击：利用 20Hz 以下的低频信号，同样人耳不可闻
• 白噪声隐藏：在正常音频中嵌入人耳感知不到的指令信号

哪些场景可能被攻击？

这种攻击的潜在影响场景包括：

• 智能音箱：可能被远程激活并执行未授权指令
• AI 语音助手：可能被引导泄露用户信息或执行恶意操作
• AI 客服系统：可能被操纵做出错误承诺或泄露内部信息
• 语音认证系统：可能被绕过声纹验证
• 自动驾驶：车载语音系统可能被干扰

如何防范？

对于开发者和站长来说，如果你的系统涉及语音交互，可以考虑以下防护措施：

• 频率过滤：在音频预处理阶段过滤掉人耳听不到的频段（<20Hz 和 >20kHz）
• 多模态验证：不要仅依赖语音指令，结合视觉或触摸确认关键操作
• 异常检测：监测语音输入的频谱特征，发现异常信号时触发人工审核
• 权限控制：语音指令的权限范围要严格限制，敏感操作需要二次验证

对普通用户的建议

如果你使用智能音箱或语音助手：

• 不要在公共场合使用语音助手处理敏感信息
• 关闭不需要的语音唤醒功能
• 定期检查语音助手的活动记录
• 敏感操作（支付、密码等）不要用语音控制

本文参考来源：IEEE Spectrum