Een team van wetenschappers heeft een nieuwe methode ontwikkeld waarmee de stem van een persoon kan worden geïmiteerd met behulp van minimale hoeveelheden digitale data. De aanval maakt gebruik van spraakrepresentaties die door moderne AI-systemen worden verzonden, waardoor privacyrisico's ontstaan zonder dat de aanvaller over de oorspronkelijke audioopname beschikt.
In een recent onderzoek, gepubliceerd op 26 oktober 2026, beschrijven onderzoekers Ye Lu en collega's een kwetsbaarheid in de manier waarop moderne spraakinteractiesystemen werken. Waar traditionele systemen vaak tekst als tussenstap gebruikten, maken moderne end-to-end spraakmodellen direct gebruik van spraakrepresentaties. In veel toepassingen wordt de voorverwerking van spraak op het apparaat van de gebruiker uitgevoerd, waarna enkel de resulterende representaties naar een externe server worden gestuurd voor verdere verwerking. Volgens de publicatie op arxiv.org blijft de originele audio in dat geval lokaal, maar bevatten de verzonden representaties nog steeds cruciale informatie over de identiteit van de spreker.
De werking van de STIA-aanval
De onderzoekers hebben een methode ontwikkeld die zij de Speech Token Inversion Attack (STIA) noemen. Deze aanval stelt een kwaadwillende partij in staat om spraak te genereren in de stem van een slachtoffer, waarbij de aanvaller zelf de tekst bepaalt die wordt uitgesproken. Een kritiek punt van dit onderzoek is dat de aanvaller geen toegang nodig heeft tot de oorspronkelijke audio-opname of de transcriptie daarvan.
De STIA-methode werkt door discrete, continue of gemengde spraakrepresentaties om te zetten in conditioneringssequenties. Vervolgens wordt een generatief model getraind met behulp van publieke spraakdatasets, waarbij paren van verschillende uitspraken van dezelfde spreker worden gebruikt. Het model combineert de specifieke kenmerken van de spreker uit de gelekte representatie met de door de aanvaller gekozen tekst om een overtuigende imitatie van de stem te creëren.
Resultaten en privacyrisico's
Om de effectiviteit van de aanval te testen, hebben de onderzoekers experimenten uitgevoerd met representaties van het systeem Moshi. De resultaten tonen aan dat een lek van slechts drie seconden aan spraakrepresentaties voldoende is om een zeer nauwkeurige imitatie te maken. Volgens de data in het behaalde de aanval een gemiddelde CAM++ speaker cosine similarity van 0,78, terwijl de word error rate voor de doeltekst slechts 3,80% bedroeg.
Deze cijfers onderstrepen dat spraakrepresentaties herbruikbare identiteitsinformatie bevatten. De auteurs van het onderzoek pleiten daarom voor een herziening van de privacyrisico's bij het ontwerpen van methoden voor spraakrepresentaties in de frontend van AI-systemen.
Context van spraaktechnologie
De ontwikkeling van deze aanval vindt plaats tegen een achtergrond van een snel groeiende markt voor spraak-AI. Bedrijven zoals speech.com positioneren zich als wereldleiders in spraak-naar-tekst oplossingen en AI-gestuurde documentatie. Dergelijke systemen, die worden ingezet door miljoenen gebruikers in meer dan 50 landen, combineren vaak AI-software met cloudservices en hardware om workflows te automatiseren.
Hoewel commerciële aanbieders zoals benadrukken dat zij streven naar veilige en betrouwbare oplossingen binnen hun productportfolio, zoals de Philips SpeechLive-serie, tonen academische studies aan dat de onderliggende techniek van spraakrepresentaties nieuwe aanvalsvectoren kan openen. De verschuiving naar end-to-end modellen, waarbij audio direct wordt omgezet in digitale tokens, verhoogt weliswaar de efficiëntie, maar creëert volgens de een risico voor de stemprivacy van gebruikers.