クンリン・ツァイ (Kunlin Cai) 氏らの研究チームは2026年9月1日(現地時間)、オンライン学術論文リポジトリarXivに、テキスト音声合成 (TTS) モデルにおけるブラックボックスメンバーシップ推論攻撃 (MIA) に関する初のフレームワークを発表した。この研究は、プライベートデータセットでファインチューニングされたTTS基盤モデルが、個人の生体認証情報や機密性の高い音声コンテンツを漏洩させる深刻なプライバシーリスクを持つことを指摘している。
研究チームは、既存のブラックボックスMIAがテキスト音声合成 (TTS) モデルに適用される際の主要な課題として、「クエリ生成」と「表現エンジニアリング」の二点に焦点を当てた。
クエリ生成においては、合成テキストと参照音声という二重の条件付けが、効果的なクエリを特定するための確立された基準がないまま、未探索の広大なクエリ設計空間を生み出すと分析している。従来のメンバーシップ推論攻撃では、単一の入力モダリティに対するクエリ生成が一般的であったが、TTSモデルではテキストと音声の組み合わせが複雑さを増す。また、表現エンジニアリングでは、音声の多レベル特性と時間的変動性により、低レベル表現や直接比較ではメンバーシップ信号を捉えることが不十分であると指摘した。
これらの課題に対処するため、研究チームは話者レベルと記録レベルの両方でTTSモデルに特化したブラックボックスMIAフレームワークを提案した。クエリ生成に関しては、スコア可能な範囲 (scorable extent)と記憶喚起 (memorization elicitation)という二つの基準を確立し、五つの代表的なクエリを評価。その結果、参照音声から生成テキストを直接読み上げさせる「recitation」が最も強力な攻撃手法であることを特定した。表現エンジニアリングにおいては、埋め込みモデルから多レベルの音声表現を抽出し、生成された音声とターゲット音声を時間的に整合させることで、きめ細かい比較を可能にしている。
このフレームワークは、三つの最先端TTSモデル (CosyVoice2、F5-TTS、XTTS-v2) を、VCTKとBritish Dialectという二つのベンチマークデータセットでファインチューニングし、そのプライバシー漏洩の度合いを評価した。その結果、TTSモデルがプライベートデータセットの情報を深刻なレベルで記憶し、プライバシー漏洩を引き起こすことが明らかになった。話者レベルのAUC (Area Under the Curve) は0.80を超え、最強の設定では1.0に接近する高水準を示した。記録レベルのAUCも0.80から0.90の範囲で推移し、メンバーと非メンバーが同じ話者である困難なシナリオにおいても攻撃が有効であることを実証している。
さらに、研究チームは、TTSモデルがプライベートデータを記憶する際、特定の音声特性が不均衡な脆弱性に関連していることを特定したと報告しており、今後のプライバシー保護技術の発展に向けた重要な示唆を与えている。
参考: arXiv cs.CR — 2026年9月3日 13:00 (JST)