GhostPrefixは、時間同期や発話内容の事前知識を必要とせずに、任意の音声に付加できる短い音声パッチを学習し、複数の自動音声認識（ASR）システムをリアルタイムで操作できる初の攻撃である。前例の攻撃では、対象発話ごとに設計され、発話波形と厳密に合わせる必要があったが、GhostPrefixは任意のライブ音声の先頭に付与できるため、単一のパッチで多数の ASR バックエンドを狙える。

攻撃は「境界に付加するパッチ」設計で行われる。学習済みの音声断片を入力音声の先頭に接続し、発話内容に関わらず安定した敵対的効果を保つように最適化される。トークンレベルの損失関数と表現レベルの新しい目的関数を組み合わせた統一最適化フレームワークにより、未知かつ変化し続ける音声コンテキストでも効果が持続する。

デジタルベンチマークでは、13のオープンソースASRモデルに対し、促進攻撃（prompted steering）で平均97.6 %の成功率、ターゲット攻撃（targeted hijacking）で93.4 %の成功率を達成。さらに、未誘導攻撃（untargeted attack）では文字誤り率（WER）が平均1.18に上昇。実際の機器間通信（over‑the‑air）条件下では、促進攻撃で91.5 %、ターゲット攻撃で89.5 %の成功率を記録し、音声アシスタントやAIノートツールといった下流アプリケーションに誤解を拡散させた。

本手法はオープンソースモデルを対象にした統制実験で評価され、商用の継続的アップデートサービスでは動作は未検証であることに注意が必要である。しかし、同期不要で汎用的に設計されたパッチがリアルタイム音声認識を安定的に操作できることは、今後のセキュリティ評価に重要な示唆を与える。