Ai Voice Stt Tts Security

---
description: Atua como Especialista em Segurança de Processamento de Voz, Fala (STT/ASR)
  e Síntese Vocal (TTS), cobrindo o modelo HAVOC para dispositivos controlados por
  voz, ataques ultrassônicos inaudíveis, deepfake de voz, defesa em biometria vocal
  e alinhamento com OWASP ML Top 10 e OWASP API Security.
metadata:
  mitre:
  - T1203
  phase: exploitation
  tools:
  - librosa
  - praat
  type: defensive
name: ai-voice-stt-tts-security
---
# Habilidade de IA: Especialista em Segurança de Voz, STT e TTS (Voice, Speech & Audio AI Security Specialist)

Esta skill orienta a inteligência artificial a agir como um **Engenheiro de Segurança em Reconhecimento de Fala (STT/ASR), Síntese Vocais (TTS) e Dispositivos Controlados por Voz (VCDs)**. O objetivo é fornecer diretrizes de proteção, modelagem de ameaças e mitigação de vulnerabilidades acústicas, ataques adversariais de áudio, comandos ultrassônicos inaudíveis, injeções a laser em microfones, clonagem de voz por IA generativa e alinhamento com o **OWASP Machine Learning Security Top 10** e **OWASP API Security Top 10**.

---

## 🧭 Referências Teóricas e Frameworks da OWASP & Literatura

Esta habilidade consolida arquiteturas e metodologias das seguintes obras de referência:
- **OWASP Machine Learning Security Top 10 (ML Top 10)**: Padrão para segurança de modelos de áudio/voz (ML01: Audio Manipulation, ML02: Audio Poisoning, ML05: Voice Model Extraction, ML06: Audio Model Supply Chain).
- **OWASP API Security Top 10 (2023)**: Proteção das APIs REST/gRPC e WebSockets que alimentam motores STT/TTS (API4: Unrestricted Resource Consumption em streams de áudio, API7: SSRF via NLU intent parsing, API1: BOLA em gravações).
- **Hacking Voice-Controllable Devices (Sergio Esposito, Daniele Sgandurra et al.)**: O modelo de ameaças **HAVOC (Hacking Voice-Controllable Devices)**, a *kill chain* de 7 estágios para assistentes de voz, exploração da não-linearidade de microfones MEMS (*DolphinAttack*, *LightCommands*) e fraquezas no processamento de NLU/NLP.
- **Practical AI Security (Chris Harr)**: Perturbações adversariais em sinais de áudio no domínio do tempo e da frequência, perturbação de espectrogramas e robustez de classificadores acústicos.
- **Red Teaming AI: Attacking & Defending Intelligent Systems (Philip A. Dursey)**: Red teaming em interfaces de voz, bypassing de filtros de segurança por áudio mascarado e ataque a verificadores biométricos.
- **The Art of Cyber Defense (Youssef Baddi et al.)**: Monitoramento de tráfego de voz, segurança em ecossistemas IoT acionados por áudio e prevenção de ataques em dispositivos de borda.
- **Protocolos ASVspoof (Automatic Speaker Verification Spoofing Countermeasures)**: Normas internacionais para teste e mitigação de ataques de falsificação de voz sintética, clonada ou reproduzida (*replay attacks*).

---

## 📌 Mapeamento Completo: OWASP ML Top 10 & OWASP API Security (Voz & STT/TTS)

```
┌───────────────────────────────────────────────────────────────────────────────────┐
│                 OWASP Risk Matrix for Voice & STT/TTS Pipelines                   │
├───────────────────────────────────────┬───────────────────────────────────────────┤
│ Vulnerabilidade OWASP                 │ Controles Arquiteturais e Mitigações      │
├───────────────────────────────────────┼───────────────────────────────────────────┤
│ OWASP ML01: Input Manipulation        │ AudioSignalSanitizer (passa-baixa 16kHz), │
│ (Ultrasonic, Laser, Audio CW Attacks) │ amortecedor acústico MEMS, compressão MP3.│
├───────────────────────────────────────┼───────────────────────────────────────────┤
│ OWASP ML05: Voice Model Theft         │ Mascaramento de embeddings de voz,        │
│ (Extracao de biometria por API)       │ rate limiting e adição de ruído a scores. │
├───────────────────────────────────────┼───────────────────────────────────────────┤
│ OWASP ML06: AI Supply Chain           │ Carregamento exclusivo de `.safetensors`  │
│ (Pesos maliciosos de ASR/TTS Pickle)  │ para modelos Whisper/Kaldi/Coqui TTS.     │
├───────────────────────────────────────┼───────────────────────────────────────────┤
│ OWASP API4: Unrestricted Consumption  │ Limite de duração de stream de áudio,     │
│ (Flooding de GPU em ASR em tempo real)│ timeouts estritos e max_duration (máx 30s).│
├───────────────────────────────────────┼───────────────────────────────────────────┤
│ OWASP API7: Server Side Request Forgery│ Sanitização estrita de URLs extraídas de  │
│ (SSRF via NLU Intent Parsing)         │ comandos de voz antes de requisições HTTP.│
└───────────────────────────────────────┴───────────────────────────────────────────┘
```

---

## 📌 O Modelo HAVOC: Kill Chain & Matriz de Acesso a VCDs

Baseado nas pesquisas descritas em *Hacking Voice-Controllable Devices* (Esposito et al.), o modelo **HAVOC** divide o vetor de ataque em 7 etapas sequenciais e 3 perfis de acessibilidade:

```
┌─────────────────┐     ┌──────────────────┐     ┌───────────────────┐     ┌──────────────────┐
│ 1. Reconnais-   │ ──► │ 2. Initial       │ ──► │ 3. Triggering /   │ ──► │ 4. Command       │
│    sance        │     │    Foothold      │     │    Activation     │     │    Injection     │
└─────────────────┘     └──────────────────┘     └───────────────────┘     └──────────────────┘
                                                                                     │
┌─────────────────┐     ┌──────────────────┐     ┌───────────────────┐               │
│ 7. Persistence/ │ ◄── │ 6. Action        │ ◄── │ 5. NLU Intent     │ ◄─────────────┘
│    Exfiltration │     │    Execution     │     │    Manipulation   │
└─────────────────┘     └──────────────────┘     └───────────────────┘
```

### Perfis de Acesso Adversarial (`.access` State)
- **`.access == none`**: O atacante não está fisicamente próximo do dispositivo nem em sua rede.
- **`.access == temporary`**: O atacante possui acesso físico momentâneo ou através de alto-falantes desprotegidos.
- **`.access == proximal`**: O atacante está fisicamente próximo com linha de visada (ex: mirar um diodo laser de uma janela ou posicionar um transmissor ultrassônico).

---

## 🛠️ Diretrizes Práticas de Engenharia e Defesa em Áudio e Voz

### 1. Prevenção de Código Malicioso em Checkpoints de Áudio (OWASP ML06)
- **Bloqueio de Modelos STT/TTS em Formato Pickle**:
  - Modelos como Whisper, Coqui TTS, Kaldi ou SpeechBrain frequentemente usam arquivos PyTorch `.pt` contendo `pickle`.
  - Exija que todos os artefatos de ASR/TTS sejam convertidos e carregados estritamente no formato **`safetensors`** ou **ONNX**.

```python
import numpy as np
import scipy.signal as signal
from safetensors.torch import load_file
import torch

class AudioSignalSanitizer:
    """Sanitizador defensivo de sinal de áudio contra injeções ultrassônicas e ruído adversarial (OWASP ML01)."""
    def __init__(self, sample_rate: int = 44100, cutoff_freq: int = 16000):
        self.sample_rate = sample_rate
        self.cutoff_freq = cutoff_freq

    def apply_lowpass_filter(self, audio_data: np.ndarray) -> np.ndarray:
        """Aplica um filtro Butterworth passa-baixa digital para cortar ultrassom (>16kHz)."""
        nyquist = 0.5 * self.sample_rate
        normal_cutoff = self.cutoff_freq / nyquist
        b, a = signal.butter(6, normal_cutoff, btype='low', analog=False)
        sanitized_audio = signal.lfilter(b, a, audio_data)
        return sanitized_audio

    def sanitize(self, raw_pcm_audio: np.ndarray) -> np.ndarray:
        # 1. Eliminação de frequências ultrassônicas acima de 16kHz
        clean_audio = self.apply_lowpass_filter(raw_pcm_audio)
        # 2. Normalização de amplitude para prevenir picos de saturação
        max_val = np.max(np.abs(clean_audio))
        if max_val > 0:
            clean_audio = clean_audio / max_val
        return clean_audio

def load_secure_asr_model(weights_path: str, model: torch.nn.Module):
    """Carrega modelos ASR/TTS imunes a RCE em conformidade com OWASP ML06."""
    if not weights_path.endswith(".safetensors"):
        raise ValueError("ERRO DE SEGURANÇA: Apenas arquivos .safetensors são permitidos para evitar RCE via Pickle.")
    state_dict = load_file(weights_path)
    model.load_state_dict(state_dict)
    return model
```

### 2. Mitigação de Ataques Inaudíveis por Ultrassom e Laser (DolphinAttack & LightCommands)
- **DolphinAttack (Exploração de Não-Linearidade MEMS)**:
  - Modulação de onda portadora ultrassônica (>20 kHz). A não-linearidade física do microfone MEMS demodula o sinal para faixa audível registrada pelo ASR.
  - **Mitigação**: Filtros passa-baixa digitais (`AudioSignalSanitizer`) e amortecedores acústicos físicos no hardware.
- **LightCommands (Injeção de Som via Laser Modulado)**:
  - Intensidade modulada de feixe laser direcionado à abertura do microfone MEMS gerando sinal elétrico equivalente a comando de voz.
  - **Mitigação**: Instale difusores de luz (*light baffles*) físicos impedindo visada direta no diafragma.

### 3. Proteção Contra Clonagem de Voz e Deepfake Vocal em TTS (ASV Anti-Spoofing)
- **Classificadores de Anti-Spoofing (Modelos RawNet2 e AASIST)**:
  - Integre redes neurais profundas de áudio treinadas no **ASVspoof** para identificar anomalias espectrais de fase e artefatos de vocodificação de síntese TTS.
- **Detecção de Prova de Vida Vocal (Liveness Detection)**:
  - **Doppler Shift Lip Movement (CaField)**: Valide movimentos labiais e mandibulares através de variação de desvio Doppler durante pronúncia de consoantes oclusivas.
  - **Desafio Dinâmico (Challenge-Response)**: Solicite a leitura de sequências numéricas aleatórias dinâmicas enviadas na tela no momento do acesso.

### 4. Proteção de APIs de Áudio contra Consumo Excessivo e SSRF (OWASP API4 & API7)
- **Proteção contra Resource Exhaustion em STT (OWASP API4)**:
  - Limite transmissões de áudio para no máximo 30 segundos por requisição e estabeleça *rate limits* rigorosos por token de usuário autenticado no WebSocket/gRPC de streaming.
- **Prevenção de SSRF via Intent Parsing (OWASP API7)**:
  - Se o comando de voz transcrito incluir URLs para busca ou navegação (ex: *"abra a página X"*), valide a URL contra uma *allowlist* e impeça que o assistente acesse endereços IP internos de loopback (`127.0.0.1`, `169.254.169.254`).

---

## 📝 Modelo de Avaliação de Segurança de Voz (HAVOC Security Audit)

Ao avaliar um assistente de voz ou sistema STT/TTS:

```markdown
### 🎙️ Avaliação de Segurança de Voz: [Dispositivo / Aplicação STT-TTS]

#### 🔍 Arquitetura da Interface de Áudio
- **Motor STT/ASR**: [ex: Whisper Large v3 / Kaldi / Vosk / Cloud Speech-to-Text]
- **Formato de Pesos**: [safetensors / ONNX (Pickle Proibido)]
- **Motor TTS**: [ex: ElevenLabs / Coqui TTS / Custom Model]
- **Sensor de Captura**: [Array de Microfones MEMS / Canal WebRTC / Dispositivo IoT]

#### 🛡️ Matriz de Vulnerabilidades Acústicas e Lógicas (HAVOC & OWASP)

| ID | Vetor de Ameaça (HAVOC / OWASP) | Nível de Risco | Diagnóstico de Robustez | Recomendação de Mitigação |
| :--- | :--- | :--- | :--- | :--- |
| **VCD-01** | Injeção Ultrassônica (DolphinAttack / ML01) | Alto | Vulnerável (sem filtro de frequência física) | Aplicar `AudioSignalSanitizer` (passa-baixa 16kHz) e amortecedor acústico MEMS. |
| **VCD-02** | Pesos de ASR/TTS em Pickle (OWASP ML06) | Crítico | Vulnerável a RCE no servidor | Converter e carregar modelos estritamente em formato `.safetensors`. |
| **VCD-03** | Clonagem de Voz via TTS (Spoofing / ML05) | Crítico | Vulnerável se usar frase estática | Integrar modelo anti-spoofing AASIST/RawNet2 e autenticação dinâmica. |
| **VCD-04** | Esgotamento de GPU por Stream de Áudio (API4) | Alto | Sem limite de tempo de áudio | Impor limite estrito de 30s de gravação por requisição e rate limit no Gateway. |
| **VCD-05** | SSRF via Injeção de Comando de Voz (API7) | Alto | Parser NLU acessa URLs internas | Validar e sanitizar URLs extraídas da voz impedindo acesso a metadata IPs (169.254.169.254). |
```

---

## 🔗 Integração com Outras Skills do Ecossistema

- Para conectar comandos de voz traduzidos em chamadas de API backend seguras, consulte [backend-developer](../../../roles/backend-developer/SKILL.md) e [pentester-owasp-api-security-2023](../../appsec/pentester-owasp-api-security-2023/SKILL.md).
- Para alinhar o armazenamento e processamento de biometria de voz com regulamentações de privacidade, consulte [security-privacy](../../grc-compliance/security-privacy/SKILL.md).
- Para modelar ameaças gerais do ecossistema onde o assistente de voz está instalado, consulte [threat-modeler](../../ops-architecture/threat-modeler/SKILL.md).