AIの声は、どこまで本人の声と聞き分けられないのか

家族の声で助けを求める電話。上司の声で振込を指示する電話。特定の人に似た声を合成したり、別人の声に変換したりする技術が進みました。その結果、電話には新しい前提が加わりつつあります。聞こえてきた声だけを根拠に、話している相手が本人だと判断することが難しくなった、という前提です。

この不安は、AI架電を業務に使う側にとっても他人事ではありません。企業がAIの声で電話をかける世界は、悪意ある誰かがAIの声で電話をかける世界と地続きだからです。この記事では、だます側ではなく防御側を扱います。合成された声や変換された声を機械で見分ける技術を、ディープフェイク音声検出と呼びます。声で本人を確かめる話者照合を偽音声から守る研究として発展しました。人の耳とこの検出が、どこまで届くのかを順に見ていきます。要点は次の3つです。

• 音声を1本ずつ聞かせた判定で合成音声を見抜けたのは73%で、訓練しても改善は4ポイント弱にとどまる
• 機械による検出は人に聞こえない生成の痕跡を手がかりにし、ベンチマークでは多くの手法が良好な成績を示したと報告されている
• ただし電話の圧縮で手がかりが薄れ、検出器を狙う敵対的攻撃と新しい生成手法との追いかけっこが続く

聞こえてきた声を信じてよいかという問いは、企業がAIに電話をかけさせる場面にも跳ね返ります。その架電の全体像は AIからの電話は、AIが受ける電話と何が違うのか で説明しています。

声を複製する技術は進み、人の耳では見分けきれない

まず現在地を確認します。声の再現には2つの系統があります。文章を特定の人の声で読み上げる方式（音声合成）と、話している声を別人の声に変換する方式（声質変換）です。どちらも研究が進みました。合成音声の自然さが聴取評価で人の録音とほぼ並んだことは AIの声はなぜ自然になったのに、返事は遅いのか で紹介しました。リアルタイムの声質変換がどこまで実用になっているかは ボイスチェンジャーの遅延はどこで生まれるのか で扱っています。

では、聞く側の人の耳はどうでしょうか。音を人に聞かせて判定を答えてもらう方法を聴取実験と呼びます。合成音声を対象にした実験では、音声を1本ずつ聞かせた条件で、合成音声を合成だと正しく見抜けたのは73%でした[3]。3〜4回に1回は間違える水準です。合成音声の特徴を教えてから判定させる訓練の条件でも、改善は4ポイント弱にとどまりました。人の耳だけでは確実には見抜けない、というのが研究の結論です。

機械は、人に聞こえない生成の痕跡を手がかりにする

そこで、人ではなく機械に聞かせる研究が進められてきました。

この分野には、ベンチマーク（同じデータで検出性能を比べる共通試験）があります。世界中の研究チームが同じ音声データを渡され、自分たちの検出の仕組みがどこまで見抜けるかを競う試験が、何年も続けて開かれています。直近の回には、50を超えるチームが参加しました[2]。渡されるデータは、話し手も収録環境もさまざまな音声に、新旧の技術で作られた偽音声を大量に混ぜたものです。

検出の考え方は、人の耳とは逆を向いています。人は「自然に聞こえるかどうか」で判断します。検出器のほうは、生成の処理が音声に残す人には聞こえにくい痕跡を手がかりにします。声を人工的に組み立てる過程では、本物の発声では生じにくい統計的な偏りが音に残ります。この偏りは人の知覚では拾えません。そこで、大量の本物と偽物の音声を突き合わせて、その違いを機械に学ばせます。人にはまったく自然に聞こえる偽音声でも、機械には見分けられる場合があります。ベンチマークでも、多くの検出手法が良好な成績を示したと報告されています[2]。

電話の圧縮と新しい生成手法で、検出は追いかけっこになる

ただし、この分野の結論は「解決済み」ではありません。同じ報告は、性能が落ちる条件も明記しています。

ひとつは、音声を圧縮したり符号化し直したりする処理です。音声を圧縮して回線に載せるための方式をコーデックと呼びます。この処理は、誰かに攻撃されなくても起きます。電話は、もともとコーデックで音声を圧縮して運ぶ仕組みだからです。検出の手がかりは、人には聞こえないほど微細な信号でした。音質を落とす処理をかけると、この手がかりは会話の内容よりも先に失われます。低下の程度は回線の方式や検出器によって変わります。それでも、もっとも守りたい電話という経路が、検出にとってはもっとも条件の悪い経路になる、という構図は残ります。

もうひとつは、検出器そのものを狙った攻撃です。偽音声にごくわずかな加工を加えて、人の耳には変化を感じさせないまま、検出器の判断だけを狂わせる手口が知られています。このように、機械の判断を狂わせる目的で入力に微小な加工を加える手口を、敵対的攻撃（adversarial attack）と呼びます。直近のベンチマークでは、この種の加工が初めて正式な評価項目に加わりました[1,2]。守る側の物差しそのものが、だます側の進化に合わせて作り替えられています。

生成の技術も、毎年新しいものが出てきます。検出器は、学習したことのある生成手法の痕跡しか知りません。まだ学んでいない手法で作られた偽音声に対して、同じ性能が出る保証はありません。新しい生成手法が現れるたびに、検出器はそれを学び直して追いかけます。

そのため、防御を検出器ひとつに預ける形にはなりません。声の聞き分けは検出器に任せるとしても、金銭や個人情報が動く依頼については、別の経路で確かめる手順を残しておく必要があります。いったん電話を切ってこちらからかけ直す、文字で確認する、といった手立てです。声だけに頼らない運用と組み合わせて、はじめて検出は役に立ちます。

検出器が働くのは学習した範囲までで、厳しくすれば誤検知が増える

• 検出器は万能の門番ではなく、学習した生成技術・音質条件の範囲で機能します
• 電話を通った音声では、コーデックによる圧縮で検出の手がかりが薄れます
• 偽音声を疑う基準を厳しくすれば見逃しは減りますが、本物の声を偽と判定する誤り（誤検知）が増えます。疑われた本人への負担という別のコストが生まれます

まとめ

• 特定の人に似た声を作る研究が進み、人の耳では1本ずつの判定で3〜4回に1回は聞き分けを間違える
• 機械によるディープフェイク音声検出は、人に聞こえない生成の痕跡を学習する方向で研究が進み、ベンチマークでは多くの手法が良好な成績を示したと報告されている
• ただし電話品質にあたる圧縮・再符号化で性能が落ち、敵対的攻撃と新しい生成技術との追いかけっこが続く
• 防御は検出器単体ではなく、別経路での確認を組み合わせた運用になる

かける側が誠実さを示す設計（AIであることの開示）は、電話の相手がAIだと、人はどう気づくのか で説明しています。