Ataque de inferencia de pertencimento em caixa-preta expoe vazamento severo de privacidade em modelos TTS ajustados

Ataques de inferencia de pertencimento (membership inference attacks, MIAs) tentam determinar se um dado especifico fez parte do conjunto de treinamento de um modelo, sem acesso aos pesos internos -- apenas observando as respostas do modelo a consultas escolhidas pelo atacante. Essa classe de ataque e bem estudada em classificadores de imagem e em LLMs de texto, mas os autores apontam que modelos de texto-para-fala (TTS) apresentam desafios proprios: a consulta depende simultaneamente do texto a ser sintetizado e de um audio de referencia, criando um espaco de design de consultas muito maior e pouco explorado, e a natureza multi-nivel e temporalmente variavel da fala torna comparacoes diretas em baixo nivel inadequadas para capturar sinais de memorizacao.

O framework proposto resolve isso em duas etapas. Na geracao de consultas, os autores comparam cinco estrategias possiveis usando dois criterios -- quao pontuavel e a resposta e quanto ela elicita memorizacao do modelo -- e identificam que pedir ao modelo para 'recitar' um trecho especifico e a abordagem mais eficaz. Na engenharia de representacao, em vez de comparar audios diretamente, o ataque extrai representacoes multi-nivel usando modelos de embedding e alinha temporalmente o audio gerado com o audio alvo, permitindo uma comparacao fina que sinais brutos de audio nao capturariam.

Os resultados sao contundentes: em nivel de falante (ou seja, saber se a voz de uma pessoa especifica esteve no conjunto de finetuning), a AUC fica acima de 0,80 e se aproxima de 1,0 nos cenarios mais favoraveis ao atacante. Em nivel de registro individual (saber se um trecho de fala especifico, e nao apenas o falante, foi usado), a AUC varia entre 0,80 e 0,90, e o ataque permanece eficaz mesmo no cenario mais dificil, em que tanto os exemplos de treino quanto os de teste pertencem aos mesmos falantes -- justamente o caso mais realista quando uma empresa personaliza uma voz para multiplos usos.

O achado tem consequencia pratica direta para o mercado crescente de clonagem de voz personalizada: empresas que ajustam modelos TTS sobre gravacoes privadas de clientes (por exemplo, para assistentes de voz personalizados ou dublagem sintetica) estao expostas ao risco de que um atacante determine, apenas observando a API publica do modelo, se a voz ou a fala de uma pessoa especifica foi usada no treinamento -- uma violacao de privacidade biometrica que pode ter implicacoes legais e regulatorias, especialmente em jurisdicoes que tratam voz como dado biometrico sensivel.