PDS: A Proactive Defense Method Against Deepfake Speech Synthesis

PDS: 딥페이크 음성 합성에 대한 선제적 방어 기법

Abstract

With the advent of deep neural networks (DNNs), deepfake techniques have advanced to the point where they can generate voices that are nearly indistinguishable from real ones. This development has led to a variety of social threats, including the spread of misinformation, financial fraud, and phishing, thereby increasing the need for effective countermeasures. Existing studies have largely focused on post hoc responses, primarily through deepfake detection methods. In contrast, this study proposes a preventive defense strategy-Proactive Deepfake Suppression (PDS)-to proactively counter deepfake voice synthesis. The proposed method disrupts speaker information at the audio file level and introduces adversarial perturbations to interfere with deepfake models. Performance was evaluated using subjective assessment metrics, namely NMOS and SMOS. The results demonstrate that the proposed method maintains above-average audio quality while exhibiting strong resistance to deepfake voice synthesis. These findings suggest that the proposed approach could contribute to reducing social threats by suppressing the malicious use of deepfake speech synthesis.

DNN의 등장으로 발전한 딥페이크 기법은 실제와 구별하기 어려운 음성을 생성한다. 이는 허위 사실 유포, 금융 사기, 피싱 등 다양한 사회적 위협을 초래하고 있으며, 이에 대한 대응이 갈수록 필요해지고 있다. 기존 연구들은 사후적 대응인 딥페이크 탐지 방법을 제안하고 있다. 이에 본 연구에서는 딥페이크 음성 합성을 사전에 방어하는 예방적 대책으로 PDS 기법을 제안한다. 본 기법은 오디오 파일 레벨에서 화자 정보를 교란하고 적대적 교란을 삽입하여 딥페이크 모델을 방해하는 것이다. 성능 평가는 주관적 평가 지표인 NMOS와 SMOS를 통해 수행하였으며, 그 결과 평균 이상의 오디오 품질을 유지하면서도 높은 수준의 딥페이크 음성 합성 저항성을 보여준다. 본 연구 결과는 악의적인 목적으로 생성되는 딥페이크 음성 합성을 억제하여 사회적 위협 감소에 기여할 수 있을 것으로 기대된다.

1. 서론

흔히 TTS(Text-To-Speech)로 알려진 음성 합성(speech synthesis) 기술은 텍스트 입력으로부터 인공적인 음성을 생성하는 것을 의미한다. DNN의 발전에 힘입어 음성 합성 기술은 실제와 구별하기 어려운 딥페이크(deepfake) 오디오를 생성할 수 있게 되었으며, 이는 허위 사실 유포, 금융 사기, 피싱 등에 악용될 수 있다[1]. 따라서 악의적인 딥페이크 음성 합성을 방어하기 위한 효과적인 대응책이 필요하다.

딥페이크 음성에 대한 기존 연구들은 딥페이크를 탐지하는 방법을 주로 제안하고 있다. 하지만, 이러한 접근 방식은 이미 생성된 딥페이크에 대응하는 사후적 방어에 초점을 맞추어 딥페이크 음성 합성을 사전에 방어하기 어려운 한계를 가진다. 딥페이크 음성 합성을 사전에 방어하려는 연구들도 존재하나 오디오 품질 훼손이 심해 실제 환경에서 사용하기 어렵거나 적용 범위가 제한적인 한계를 지닌다.

본 논문에서는 딥페이크 음성 합성을 사전에 방어하는 PDS(Proactive Deepfake Suppression) 기법을 제안한다. 이 기법은 딥페이크 모델이 딥페이크 오디오를 생성하기 위해 화자의 오디오 샘플을 이용한다는 점에 착안하였다. 제안하는 PDS 기법은 여러 단계에 걸쳐 화자의 특성을 교란하고, 적대적 교란(adversarial perturbation)을 삽입하여 딥페이크 모델의 생성 과정을 방해한다.

제안 기법은 주관적 평가 지표인 평균 의견 점수, MOS(Mean Opinion Score)를 통해 성능을 평가하였다. PDS를 적용한 오디오의 자연스러운 품질은 NMOS Naturalness MOS)로, 악의적 딥페이크 생성 저항성은 SMOS(Similarity MOS) 지표로 검증하였다. 본 기법은 딥페이크 음성 합성을 사전에 방어한다는 점에서 강력한 방어 수단이 될 수 있다. 이는 사용자가 자신의 음성이 악용되기 전에 스스로 보호할 수 있는 실질적인 수단을 제공한다는 점에서 중요한 의의가 있다.

본 논문은 2장에서 기존 방어 기법 및 음성 합성 기법을 소개하고, 3장에서 제안 기법의 구조를 설명하며, 4장에서는 구현된 PDS의 실험 내용과 결과를 제시하고, 5장에서 결론으로 마무리한다.

2. 관련 연구

2.1 기존 방어 기법

2.1.1 화자 임베딩 교란

화자 임베딩(speaker embedding) 교란 기법은 임베딩 값을 특정 방식으로 의도적으로 변조하여 딥페이크 모델이 생성하는 오디오가 화자의 특성을 유지하지 못하도록 방해한다[2].

2.1.2 적대적 공격

적대적 공격(adversarial attack) 기법은 모델의 입력에 미세한 교란(perturbation)을 가하여, 인간에게는 거의 인지되지 않으면서도 모델의 예측 성능을 저하시키거나 의도적으로 잘못된 출력을 유도한다[3].

2.1.3 스펙트로그램 교란

스펙트로그램(spectrogram) 교란 기법은 주파수 이동, 시간-주파수 마스킹(masking) 등을 통해 스펙트로그램 구조를 교란한다[4]. 주파수 영역별로 미세한 교란을 적용하여 품질 손상을 최소화할 수 있다.

2.2 딥페이크 음성 합성 기법

2.2.1 Auto-VC

Auto-VC는 오토인코더(autoencoder) 기반 음성 변환 기법이다[5]. 인코더는 입력 음성에서 언어적 내용을 추출하고, 디코더(decoder)는 이 정보와 대상 화자의 임베딩을 결합한 멜 스펙트로그램을 생성한다. 병목(bottleneck) 구조를 사용해 다수화자 간 음성 변환과 제로 샷(zero-shot) 음성 변환이 가능하다.

2.2.2 StarGAN-VC

StarGAN-VC는 StarGAN 아키텍처를 음성 변환에 적용한 기법이다[6]. 하나의 생성기(generator)와 판별기(discriminator)를 사용해 다수화자 간 음성 변환이 가능하다. 생성기는 화자 음성을 대상 화자의 임베딩으로 변환하고, 판별기는 생성 음성의 자연스러움과 화자 도메인 분류를 수행한다.

3. Proactive Deepfake Suppression

본 연구에서는 딥페이크 음성 합성을 사전에 방어하기 위한 선제적 방어 기법 PDS를 제안한다. PDS는 입력 오디오에서 화자 정보를 교란하고, 적대적 공격을 적용하여 딥페이크 음성 합성을 방해하는 예방적 대책이다. 본 기법의 목표는 PDS를 적용한 오디오가 청취자에게는 자연스럽게 들리면서도 악의적 딥페이크 모델의 음성 합성을 효과적으로 방어하는 것이다. (그림 1)에서는 본 연구에서 제안하는 PDS가 처리되는 단계를 도식화하여 보여준다.

(그림 1) The process of PDS

3.1 화자 특성 교란

화자의 특성을 교란하기 위해 입력된 오디오 신호의 피치를 변조하고, 스펙트로그램 단계에서 주파수 대역 이동, 임베딩 단계에서 교란 임베딩 생성을 차례로 적용하여 화자의 음향학적 특징과 고유 특성을 변조한다.

3.1.1 피치 변조

피치(pitch)는 기본 주파수에 의해 결정되는데, 주요 화자의 특징을 반영한다. 본 연구에서는 입력 오디오 신호(waveform)에 피치 변조(pitch shifting)를 적용하여, 신호의 기본 주파수와 그 배수(harmonics)를 일정 비율로 증가 혹은 감소시켰다. 피치 변조는 오디오 신호의 템포(tempo)를 유지한 채 음높이만 변경하는 신호 처리 기법으로, 본 연구에서는 ±0.1 반음(semitone) 수준의 미세한 변조를 적용하였다.

3.1.2 멜 스펙트로그램 교란

멜 스펙트로그램(mel spectrogram)은 여러 구간으로 분할한 오디오 신호 영역에 단시간 푸리에 변환(STFT)을 적용하고, 멜 필터 뱅크(mel filter bank)를 적용하여 생성한다. STFT 변환 시 역변환을 위해 원본 오디오의 위상(phase) 정보는 별도로 저장한다. 생성된 멜 스펙트로그램은 주파수 축을 따라 배열을 전체 길이의 0.8 비율로 이동(shift)하여 각 시점의 주파수별 에너지값 순서를 변경하고. 그로 발생한 경곗값들은 스펙트로그램 내 최솟값으로 패딩(padding) 처리하게 된다.

(그림 2)는 원본 멜 스펙트로그램, 변조된 멜 스펙트로그램, 그리고 두 스펙트로그램 간의 차이를 시각적으로 나타낸다. 미세한 주파수 대역의 변화가 전체 주파수 범위에 걸쳐 발생하는 것을 확인할 수 있다. 이러한 주파수 대역 이동은 악의적 딥페이크 모델이 이용하는 특징들인 스펙트럼 분포, 주파수별 에너지 패턴, 화자 고유 음향 특징 등을 정확히 추출하거나 학습하는 것을 방해하게 한다.

(그림 2) Difference between Mel-spectrogram

3.1.3 화자 임베딩 교란

교란된 멜 스펙트로그램은 LSTM 기반의 인코더를 사용하여 256차원의 화자 임베딩을 추출한다[7]. 화자 임베딩은 악의적 딥페이크 모델이 특정 화자의 스타일을 재현하기 위해 사용하는 화자 고유의 특징 정보이다.

추출된 화자 임베딩은 본 연구에서 설계한 MLP 기반의 교란 모델을 이용하여 변형된다. 이 교란 모델은 원본 임베딩과 교란된 임베딩 간 코사인 유사도를 목표 임계값(0.5) 부근으로 유지하도록 설계하였다. 이는 임베딩 공간에서 임의의 벡터로 무작위로 변경하지 않고, 일정 수준의 유사성을 유지하면서도 딥페이크 모델의 화자 식별 능력을 방해할 수 있도록 설계된 것이다.

교란 모델에 의한 임베딩 변형이 완료되면, 앞 단계에서 교란된 멜 스펙트로그램을 오디오 신호로 역변환하는데, 이때 교란된 임베딩 데이터는 오디오 신호의 시간 길이에 맞춰 보간(interpolation)되어, 합성단계에서 오디오 신호의 시간 축에 정렬된다.

(그림 3)은 교란 스피커 임베딩을 생성하여 멜 스펙트로그램의 오디오 신호로의 역변환 시 적용하는 세부 과정을 도식화하여 보여준다.

(그림 3) The detail process of the speaker embedding disruption

3.2 오디오 신호에 적대적 공격 적용

화자의 특성 교란이 적용된 오디오 신호에 적대적 교란을 추가하여 악의적 딥페이크 모델의 입력 신호를 교란하게 되는데, 적용된 적대적 공격 기법과 그 최적화 과정을 설명한다.

3.2.1 적대적 공격 생성 기법

본 연구에서는 PGD, MIM, CWL2, DeepFool 공격 기법을 순차적으로 연결한 복합 공격 파이프라인을 구성하여 적용하였다. 이는 단일 공격 기법의 한계를 보완하고, 최적화를 통해 청각적 자연스러움을 유지하면서도 공격 효과를 극대화하기 위함이다.

PGD(Projected Gradient Descent) 공격 기법은 손실 함수의 기울기 방향으로 입력 신호를 반복적으로 업데이트하여, 섭동(perturbation)의 크기가 사전에 정의된 허용 범위를 초과하지 않도록 프로젝션(projection) 연산을 수행한다[8].

MIM(Momentum Iterative Method) 공격 기법은 손실 함수의 기울기를 누적하여 모멘텀을 형성한 뒤, 그 방향으로 섭동을 생성한다[9].

CWL2(Carlini and Wagner L2) 공격 기법은 Carlini와 Wagner가 제안한 L0, L2, L∞ 기반 3가지 공격 기법 중 L2 노름(norm) 기반으로, perturbation의 크기를 최소화하면서 높은 신뢰도의 목표 클래스로 분류되도록 유도한다[10].

DeepFool 공격 기법은 분류기의 결정 경계까지의 유클리드 거리(euclidean distance)를 최소화하여 최소 섭동(minimal perturbation)을 계산하는 무표적 공격 기법이다[11].

3.2.2 적대적 공격 복합 적용

적대적 공격 복합 파이프라인에 추가로 가우시안 필터(gaussian filter)를 적용하여 과도한 노이즈를 제거하고 최종 품질을 확보하였다. 공격 기법의 기본 손실 함수에 평균 제곱 오차(mean squared error), 주파수 영역(frequency domain), 최대 노름(maximum norm) 등 세 가지 손실 항을 결합하여 최적화를 진행하였다. 이는 원본 오디오와의 청각적 유사성을 유지하면서도, 악의적 딥페이크 모델이 화자의 특징을 잘못 인식하도록 교란 신호를 설계하는 것에 중점을 두었기 때문이다.

평균 제곱 오차 손실은 원본 오디오 x와 교란된 오디오 x′간의 차이를 제곱한 값들의 평균으로. 전체 신호의 유사성을 유지한다.

\(\begin{align}L_{M S E}\left(x, x^{\prime}\right)=\frac{1}{n} \sum_{i=1}^{n}\left(x_{i}^{\prime}-x_{i}\right)^{2}\end{align}\)       (1)

주파수 영역 손실은 FFT를 통해 얻은 주파수 스펙트럼의 크기(amplitude) 차이를 평균 제곱 오차 형태로 계산한다.

\(\begin{align}L_{\text {freq }}\left(x, x^{\prime}\right)=\frac{1}{n} \sum_{i=1}^{n}\left(\left|F\left(x^{\prime}\right)_{i}\right|-\left|F(x)_{i}\right|\right)^{2}\end{align}\)       (2)

최대 노름 손실은 최대 절댓값 차이로 정의되며, 특정 구간에서의 과도한 왜곡을 억제한다.

L_∞(x, x') = max_i |x'_i - x_i|       (3)

최종 최적화 목적 함수는 각 공격 기법의 기본 손실 L_attack에 이들 손실 항을 가중합하여 구성된다.

L_total = L_attack + λ₁ · L_MSE(x, x') + λ₂ · L_freq(x, x')| + λ₃ · L_∞(x, x')       (4)

4. 구현 및 실험 결과

본 연구에서 제안한 기법의 학습과 평가는 AI-Hub에서 제공하는 “한국인 대화음성” 데이터를 활용하였다. 해당 데이터는 약 330GB의 대규모 데이터이기에, 임의로 20,000개 오디오 샘플을 추출하였다. 이를 기반으로 원본 오디오, 원본에 PDS를 적용한 오디오, 그리고 PDS를 딥페이크 음성 합성한 오디오를 포함하여 총 60,000개 오디오 데이터셋을 구성하였다. 데이터 균형을 위해 남성과 여성 화자를 일대일 비율로 구성하였고, 방송·취미·일상안부·생활·날씨·경제·놀이·쇼핑의 8가지 주제로 다양한 환경을 반영한다.

4.1 PDS 품질 평가

첫 번째 실험 단계는 오디오에 PDS를 적용했을 때의 품질을 NMOS 지표를 통해 평가한다. 이 단계의 주요 목표는 PDS 적용이 청취자에게 인지되는 오디오 품질 저하를 발생시켰는지를 평가한다.

4.1.1 실험 설정

원본 오디오에 PDS를 적용한 20,000개 오디오 파일의 NMOS를 계산하였다. 이 평가에는 DNSMOS, NISQA, UTMOS 오픈소스 모델을 활용하였다[12-14]. 이 모델들은 대규모 청취자 MOS 데이터로 학습된 딥러닝 기반 오디오 품질 예측 도구로, 실제 청취자 실험 없이도 오디오 품질을 객관적으로 추정할 수 있다. 이를 통해 PDS 적용으로 인한 오디오의 품질 저하 정도를 정량화하여 평가하였다.

4.1.2 실험 결과

평가 결과, 본 연구에서 제안하는 PDS 기법이 평균 이상의 오디오 품질을 유지함을 확인하였다.

<표 1>은 DNSMOS, NISQA, UTMOS 모델을 활용하여 PDS가 적용된 오디오 파일의 품질 점수를 NMOS 지표로 평가한 결과를 나타내고 있다.

<표 1> PDS 품질 평가 (NMOS)

세 모델의 평균 NMOS 점수는 약 3.28로 나타났으며, 오디오 화자의 성별 간 품질 차이는 미미하였다. 이는 PDS 적용이 청취자 기준에서 인지 가능한 오디오 품질 저하를 발생시키지 않음을 보여준다.

4.2 딥페이크 생성에 대한 저항성 평가

실험의 두 번째 단계에서는 PDS 적용이 악의적 딥페이크 생성에 얼마나 저항성을 가지는지를 SMOS 지표를 통해 평가하였다. 이 단계는 PDS가 청취자에게는 원본과 동일한 화자로 인식되면서, 해당 오디오로 생성된 악의적 딥페이크는 다른 화자로 인식되는 지를 검증하기 때문에 특히 중요하다.

4.2.1 실험 설정

PDS 적용 오디오 파일과 PDS를 딥페이크 음성 합성한 오디오 파일로 원본–PDS 및 원본-딥페이크 간 SMOS를 계산하였다. 평가는 ECAPA-TDNN, TitaNet-Large, 그리고 WavLM-ECAPA 오픈소스 모델을 활용하였다[15-17]. 앞의 두 모델은 화자 식별 및 검증을 위해 VoxCeleb 데이터셋으로 학습되었고, WavLM-ECAPA 모델은 VoxCeleb에 대한 청취자 지각 기반 SMOS 점수를 수집하여 구축된 VoxSim 데이터셋을 추가 학습한 모델이다. 이를 통해 PDS 적용 후 원본 화자와의 유사성이 유지되는지, 또한 악의적으로 생성된 딥페이크가 원본 화자와 명확히 구별되는지를 정량화하여 평가하였다.

4.2.2 실험 결과

평가 결과, 제안하는 PDS 기법이 원본 화자와의 유사성을 유지하면서도 딥페이크 생성에 충분한 저항성을 가짐을 확인하였다.

<표 2>는 ECAPA-TDNN, TitaNet-Large, 그리고 WavLM-ECAPA 모델을 활용하여 오디오 파일 간의 화자 유사성을 SMOS 지표로 평가한 결과를 나타낸다. SMOS는 1에 가까울수록 동일 화자로 인식됨을 의미하고, 0에 가까울수록 완전히 다른 화자로 인식됨을 의미한다.

<표 2> PDS의 딥페이크 생성에 대한 저항성 평가 (SMOS)

세 모델의 평균 SMOS 점수는 원본-PDS에서 약 0.84, 원본-딥페이크 오디오에서 약 0.55로 확인되었으며, 오디오 화자의 성별 간 차이는 크지 않았다. 이는 PDS 적용이 청취자 기준에서 원본과 동일한 화자로 인식되면서도 악의적 딥페이크 생성 방어에 효과적임을 보여준다.

5. 결론

본 연구에서는 악의적인 목적으로 무단 생성되는 딥페이크 오디오를 사전에 방어하기 위한 PDS 기법을 제안하였다. 이 기법은 입력 오디오의 피치 변조, 멜 스펙트로그램 교란, 스피커 임베딩 교란을 통해 오디오가 가지는 화자 고유 특성을 효과적으로 교란하고, 적대적 공격 기법을 복합적으로 적용하여 악의적 딥페이크 모델의 화자 특성 인식을 방해한다. 또한, 여러 단계에 걸쳐 교란을 적용하고 그 과정에 무작위성을 포함하므로 공격자가 복원 알고리즘을 설계하기 어렵다. 실험 결과, 본 기법은 NMOS 점수 3.28로 인간 청각에는 거의 인지되지 않는 수준의 자연스러운 오디오 품질을 유지하였다. 또한, SMOS 점수 0.84로 원본 화자와의 유사성을 유지하는 동시에 딥페이크 오디오와의 SMOS 점수는 0.55로 크게 낮춰 우수한 저항성으로 방어 성능을 입증하였다. 특히 사후 탐지에 집중하는 기존의 딥페이크 탐지 기법과 달리, 본 기법은 딥페이크 생성 단계에서 예방적 대응 방안에 집중하였다.

향후 연구로 보호 단계에 오디오 워터마킹 기술을 결합하여 PDS가 부분적으로 회복되거나 우회될 경우를 대비하도록 보완할 수 있다. 또한, PDS는 개인 음성의 사전 보호를 위한 기법으로 설계되었으나, 고속의 변환 처리가 가능한 컴퓨팅 환경에서는 실시간 보호 처리도 가능할 것이다.