浙江新闻客户端见习记者 涂佳煜 通讯员 柯溢能

我们的一段声音，究竟包含着多少有关个人的信息？

交谈的内容，可能透露出说话者生活细节、个人隐私；声音本身作为人最基本的自然生物特征，能够标记身份，用于声纹识别；说话的音色、语调、停顿，以及更多细微的声音特征，还可能揭示出一个人的性格、心情、习惯等等，尤其在人工智能的介入下，用声音创建一份“个性档案”，已不再是天方夜谭。

然而，互联网时代，无处不在的智能设备时常如同“隔墙有耳”，未经允许收集用户语音信息的案例也层出不穷。如何保护好我们的声音信息安全？一款有效的防窃听设备，或能筑起第一道防线。

近期，浙江大学网络安全学院任奎教授团队设计了一款基于人类语音结构和超声波隐蔽传输的语音防窃听系统“InfoMasker”，相关论文被国际顶级信息安全会议NDSS录用。研究团队成员，论文第一作者、浙大网安学院博士生黄鹏，“百人计划”研究员巴钟杰和求是科创学者薛峰共同向我们介绍了这项成果。

“InfoMasker防窃听的方式很容易理解。”黄鹏告诉记者，“就是往麦克风里注入一种干扰噪声，使得设备即便录了音，也无法从中获取任何关于用户的信息。”

InfoMasker的工作场景

注入干扰噪声是反窃听常用的手段。不过，团队在设计InfoMasker时希望达成两个现有设备无法“两全”的目标：第一，是在防窃听的同时确保用户的“无感”，第二，则是让注入的噪音无法被后期“剥离”。

巴钟杰解释，主流的干扰手段大多是发射一些高能量噪声将原声盖过去，这种“简单粗暴”的方式存在不少弊端：如果发射的是白噪音，就好比播放了一段嘈杂的背景音乐，必然打扰到用户正常交谈；如果发射的是高能量超声波，不仅对设备能量支持提出了很高的要求，还可能对人体健康产生不利影响。

“此外我们测试了市面上很多款产品，发现人工智能算法都能把注入的噪音剥离，这样一来，干扰就是无效的。”黄鹏说。

为了解决这些问题，一方面，团队仍选择以超声波作为载体，把噪声调制到人耳听不见，但能够被麦克风自动解调出来的超声波频率范围上。另一方面，他们进一步设计了一款新型的基于音素的噪声干扰方案。

InfoMasker的工作流程

音素，是根据发音动作划分出的最小的语音单位，比如，普通话的音素一般来说就是汉字的声母和韵母。在语音识别技术中，计算机需要将每帧声音组合为音素，再组合为字词。试想，如果能将音素打乱，计算机就无法将其组合、匹配为具有含义的单位，声音便失去了意义。

沿着这一思路，团队制作出了一种噪音，它能用其他音素覆盖录音中原有的音素，或者在两个音素间插入干扰项，打乱录音人声的语音结构，使窃听到的语音信号无法被正常分析。

更巧妙的是，干扰音素是依据用户的声音量“声”定制的。使用者只需要录制5秒左右的音频进行注册，系统就可以提取用户的音色，基于注册语音进行语料的匹配与增广，构建高效的音素噪声。

这种“精准投放”的干扰产生了一举两得的效果。“因为只需插入部分音素，而不需要全频段的噪声盖住所有声音，设备发出的超声波的能量就会低很多。” 黄鹏说，“此外，因为音素噪声和用户的音色非常接近，所以几乎无法被算法后期去除。”

实验结果标明，在办公室环境中，InfoMasker可以使得不同位置的智能设备录制的语音的识别准确率下降70%以上。在鲁棒性方面，音素噪声的抗剥离能力尤为优秀，现有的降噪算法和语音分离算法均无法有效去除此类噪声。

InfoMasker原型机

从团队向我们展示的照片中可以看到，InfoMasker的原型机由一个直径30厘米左右的球状超声发射阵列、一个功率放大器和一个信号发生器组成，其中信号发生器也可以用小型开发板替代。薛峰告诉记者，团队正积极将该原型机工程化落地，未来还将把它做得更为集成、精巧、便携。

在薛峰看来，我们面临的语音安全风险比一般人想象中要大得多。“市面上存在成千上万没有通过审核就上架的app，它们都可能诱骗用户授权麦克风权限，甚至一些小程序也可以录音，如果不法分子想获得用户的语音数据，拿去贩卖，或者用于深度伪造、电信诈骗，可以钻的漏洞其实非常多。”

不仅是手机，近年来，智能音箱、语音助手等智能设备遍地开花，但目前对这些设备的立法监管远不及手机应用那么完善，相关设备厂商对网络安全问题的重视程度也亟待加强。

“法律保障固然是重要的一环，但技术更需要走在前头。” 薛峰说，相比出台法律、实施监管所需要的长周期，快速迭代的技术更能在新兴的网络安全领域，对各种新型的入侵手段实现迅速的反制。

网络空间安全防护是一个系统性的工程。除了数据安全与隐私保护之外，浙大网安学院也正从软硬件系统安全、人工智能安全、网络与通信安全等方面开展技术攻关，既服务于国家重大战略需求，也为公众的隐私安全保驾护航。