ドイツ、ポーランド、ルーマニアの大学とAI音声技術企業Resemble AIの研究者チームは2025年6月1日発表の研究で、ディープフェイク音声をスピーカーとマイクで再録音するリプレイ攻撃が、音声ディープフェイク検出モデルを高い確率で回避することを示した。
この研究は「Replay Attacks Against Audio Deepfake Detection」と題され、Interspeech 2025で発表予定である。
研究チームは、M-AILABSとMLAADのデータセットを用い、109のスピーカー・マイク組み合わせ、4つのテキスト音声合成モデル、6言語で構成される132.5時間の音声データセット「ReplayDF」を作成した。
W2V2-AASISTなど6つのオープンソース検出モデルをテストした結果、W2V2-AASISTの等価エラー率は4.7%から18.2%に上昇した。
室内インパルス応答（RIR）を用いた再訓練後もエラー率は11.0%に留まったが、RIR拡張により精度は約10～15パーセントポイント向上した。ReplayDFは非商用で公開された。
From:
Researchers Bypass Deepfake Detection With Replay Attacks
【編集部解説】
今回のニュースは、AIによって生成された音声、いわゆるディープフェイク音声の検出技術に新たな課題を突きつけるものです。ドイツ、ポーランド、ルーマニアの大学と、AI音声技術開発企業Resemble AIの研究者らが発表したこの研究は、巧妙化するフェイク技術とその対策の最前線を示しています。
リプレイ攻撃とは？
「リプレイ攻撃」と名付けられたこの手法は、非常にシンプルながら効果的です。まず、AIで生成したディープフェイク音声をスピーカーで再生し、その音をマイクで再録音します。この過程で、録音環境の反響やノイズといった「現実世界の音響特性」が音声に付加されます。
ディープフェイク検出モデルの多くは、AIが生成した音声特有の不自然なデジタルノイズやパターン（アーティファクト）を学習して真贋を判定しています。しかし、リプレイ攻撃によってアナログ的なノイズが付加されると、これらの手がかりがマスキングされたり、変化したりするため、検出モデルは偽の音声を本物の音声と誤認しやすくなるのです。
このニュースが与える影響
この研究が示す脆弱性は、特に「ビッシング（Voice Phishing）」と呼ばれる音声を利用した詐欺のリスクを高めます。攻撃者は、ターゲットの知人や企業の役員になりすましたディープフェイク音声をリプレイ攻撃で加工し、より自然で信じやすい音声で金銭や情報をだまし取ろうとするでしょう。過去にはCEOの声を模倣した詐欺で多額の被害が出た事例も報告されています。
また、声紋認証のような生体認証システムも、このリプレイ攻撃によって突破される可能性が出てきます。さらに、選挙や世論操作を目的とした偽情報キャンペーンに、より巧妙なディープフェイク音声が悪用される懸念も増します。
研究の意義と今後の展望
この研究は、単にディープフェイク技術の新たな脅威を明らかにしただけではありません。むしろ、防御技術の進化を促す重要な一歩と言えます。研究チームは、作成したデータセット「ReplayDF」を非商用目的で公開しており、これにより他の研究者もこの問題に取り組みやすくなります。
実際に、この研究に関わったResemble AI社は、自社の高精度な音声ディープフェイク検出プラットフォーム「Detect」を有しており、今回の研究成果を活かして、さらに堅牢な検出技術の開発を進めていくとしています。
将来的には、検出モデルが部屋の音響特性（室内インパルス応答：RIR）を学習することで、リプレイ攻撃への耐性をある程度高められる可能性も示唆されています。しかし、完全な解決には至っておらず、攻撃側と防御側の「いたちごっこ」は今後も続くと予想されます。
私たちに求められること
このような状況下で、私たちは技術的な対策だけに頼るのではなく、メディアリテラシーを高めることが一層重要になります。不審な音声メッセージを受け取った場合は、すぐに鵜呑みにせず、別の手段で本人確認を行うなどの慎重な対応が求められます。
このニュースは、AI技術の進化がもたらす利便性の陰に潜むリスクを改めて浮き彫りにしました。innovaTopiaとしては、今後もこのような技術の最前線を注視し、読者の皆様が未来をより深く理解し、賢明に関わっていくための一助となる情報を提供してまいります。
【用語解説】
ディープフェイク (Deepfake)
ディープラーニング（深層学習）とフェイク（偽物）を組み合わせた造語である。AI技術を用いて、人物の顔や声を非常によく似せて合成した偽の画像・映像・音声コンテンツ、またはそれらを生成する技術そのものを指す。映画制作などでの活用が期待される一方、偽情報や詐欺への悪用が懸念されている。
ビッシング (Vishing)
「ボイス (Voice)」と「フィッシング (Phishing)」を組み合わせた造語で、ボイスフィッシングとも呼ばれる。電話などの音声手段を用いて、金融機関や企業を装い、個人情報や認証情報を不正に聞き出そうとする詐欺の手法である。
リプレイ攻撃 (Replay Attack)
攻撃者が過去の正規な通信データを傍受・記録し、それを後から再送信することで、システムに不正アクセスしたり、なりすましを行ったりするサイバー攻撃の手法である。今回の文脈では、ディープフェイク音声を一度再生し、それを録音環境の特性を含めて再録音することで、検出システムを欺く手法を指す。
RIR (Room Impulse Response／室内インパルス応答)
音源から発せられた音が、室内の壁や物体で反射・回折・減衰し、特定の地点に到達するまでの音響的な特性を示すものである。音の響きや反響の仕方など、その空間特有の音響情報を記録したもので、音場再現や音響効果の付与などに利用される。今回の研究では、検出モデルの訓練にRIRを組み込むことで、リプレイ攻撃への耐性が一部向上することが示された。
W2V2-AASIST (wav2vec 2.0 Anti-Spoofing with Attentive Statistics Pooling and Instance Normalization with Squeeze-and-Excitation)
自己教師あり学習モデルであるwav2vec 2.0をベースにした音声なりすまし検出モデルの一つである。音声データから音響的特徴を抽出し、それが本物か偽物かを判定する。今回の研究では、このモデルを含む複数の検出モデルがリプレイ攻撃に対して脆弱性を示したと言及されている。
アーティファクト (Artifact)
AIが生成した音声や画像に含まれる、人間が知覚できる不自然なノイズやパターンのこと。ディープフェイク検出モデルは、これらのアーティファクトの有無を手がかりに真贋を判定することがある。今回のリプレイ攻撃では、再録音の過程でこれらのアーティファクトがマスキングされたり変化したりすることが示唆されている。
【参考リンク】
Resemble AI（外部）
AIでリアルな合成音声を生成するプラットフォーム。音声クローンやディープフェイク音声検出も提供。
Fraunhofer AISEC（外部）
ドイツの応用・統合セキュリティ専門の研究機関。今回の研究にも参加しデータセットReplayDFを提供。
M-AILABS Speech Dataset（外部）
音声認識・合成モデル訓練用の広範な音声・テキストデータセット。主にドイツ語の公開データで構成。
【参考動画】
【参考記事】
Replay Attacks Against Audio Deepfake Detection (arXiv)（外部）
音声ディープフェイク検出へのリプレイ攻撃の脆弱性を示した学術論文。データセットReplayDFも紹介。
ディープフェイク検出の目を免れる「リプレイ攻撃」を研究者らが実証 (Codebook)（外部）
再生・再録音によるディープフェイク検出回避の研究結果を報じる記事。Resemble AIなどが関与。
Replay Attacks: The Blind Spot in Audio Deepfake Detection (Resemble AI Blog)（外部）
Resemble AIがリプレイ攻撃の研究とデータセットReplayDF、自社プラットフォームDetectについて解説。
【編集部後記】
今回のニュースは、AIによる音声合成技術の進化と、それがもたらす新たなセキュリティ課題を浮き彫りにしました。皆さんは、このような「リプレイ攻撃」によって、より巧妙化する可能性のある音声を利用した詐欺（ビッシング）について、どのような対策が個人や組織で考えられると思われますか？
また、AIが生成するコンテンツと、人間が作成したコンテンツを、私たちは今後どのように見分けていくことになるのでしょうか。技術の進化は、私たちの生活に大きな変化をもたらしますが、その光と影の両面を理解し、建設的な議論を深めていくことが、より良い未来につながるのではないでしょうか。ぜひ、皆さんのご意見もお聞かせください。
サイバーセキュリティニュースをinnovaTopiaでもっと読む
