标签：#音乐生成 | #检索增强 | #音频安全 | #音乐
评分：6.1/10 | 创新 1.4/2 | 技术严谨 1.0/1.5 | 实验充分 0.7/1.5 | 清晰度 0.7/1 | 影响力 1.0/1.5 | 开源 0.2/1.5 | 可复现 0.3/0.5 | 工程/实践 0.8/1.5
👥 作者与机构
- Yizhu Wen：机构信息未在 arXiv HTML 中可靠披露
- Shuhao Zhang：机构信息未在 arXiv HTML 中可靠披露
- Nan Zhang：机构信息未在 arXiv HTML 中可靠披露
- Long Cheng：机构信息未在 arXiv HTML 中可靠披露
- Hanqing Guo：机构信息未在 arXiv HTML 中可靠披露
📌 核心摘要
检索增强文本到音乐需将“助眠的平静音乐”等高层模糊意图转化为可控的低层声学指令，难点在于检索语料库的字幕完整性直接决定提示增强质量而易被外部投毒污染。方法分三步：首先保留与良性查询一致的高层功能锚点以保证在CLAP共享嵌入空间中仍被检回，其输出作为可检索载体进入下一步筛选；其次按功能对立减去描述冲突的准则择优选择声学相似但功能相反的目标类别以平衡可检回性与转向强度；最后将目标类别经映射转为仅含音色、质地、混响与时序特征的低层描述子载荷并与锚点拼接注入知识库。与直接追加目标标签的粗暴投毒不同，该双层设计利用TTM模型对低层描述子更敏感而高层意图稀疏的训练偏置实现隐蔽转向。在MusicCaps知识库、CLAP检索与MusicGen流水线的评测设置下，投毒后生成音频与目标类别的CLAP相似度为0.48，高于良性生成的0.28，同时与原始查询的相似度维持在0.33附近且检索Precision在top-k=3时达0.980。该结论适用边界受限，仅在50个随机源类别、top-k为3/5/10的小规模封闭评测下验证，尚未验证跨检索器、跨生成器与人工感知的泛化及防御有效性。原文未披露训练、推理或部署成本。
🔗 开源与复现资源
- 演示资源：https://yizhu-wen.github.io/Mental-Damage/ — 链接可访问（HTTP 200）
可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
输入是什么、要生成什么、为什么高层提示不够用？
输入是一句高层自然语言请求，只表达功能意图而不包含声学技术细节，例如 give me calm background music for studying 或 I want something very slow and simple that helps my mind shut down before sleep。目标是生成一段与该意图一致的音乐音频。必须保留的信息包括用户的高层功能目标、检索知识库中标题文本的完整性、以及检索器与生成器在推理时不被修改的条件。输出是经检索增强后由文本到音乐模型合成的音频，其质量取决于提示是否包含足够的低层声学线索。
文本到音乐模型如 MusicLM、MusicGen、AudioLDM 本质上是跨模态条件生成，需把文本中的意图映射到节奏、音色、纹理、动态和配器等低层属性。训练数据中低层描述重复出现、监督更密集，而高层意图多样且稀疏，导致模型对 slow tempo、warm pad texture、low rhythmic complexity 等低层描述的响应更稳定，对 calm music for studying 这类欠指定提示则可能产生多种互不相同的实现。
为弥补这一差距，检索增强的文本到音乐管线引入音乐标题知识库。系统先对用户查询做嵌入，用 CLAP 等音频文本对齐模型在共享空间中按余弦相似度检索最相关的标题，再通过直接拼接或大语言模型改写把检索到的标题融入用户提示，得到更具体、更像专家描述的低层提示，最后送入生成器。这一设计提升了可用性，但也把标题文本的完整性变成了可信基的一部分。
** 高层意图 × 低层声学描述：** 高层意图指用户用日常语言表达的功能目标，如助眠、专注、放松，不包含可直接控制合成的声学参数；低层声学描述指可直接条件化生成器的声学属性，如速度、配器、音色、纹理、混响和节奏密度，二者在数据分布上不均衡，低层描述在标题数据中更常见因此对生成器的条件作用更稳定，检索增强正是用低层描述把欠指定的高层意图翻译成可执行的生成提示。
本解读面向刚进入语音音乐音频领域的研究生，重点讲清攻击如何利用上述检索到改写到生成的依赖链条，在不改动用户提示、检索器和生成器参数的前提下，仅通过向知识库注入少量精心构造的标题来偏置生成方向。
同类任务与相关路线如何对照？
同输入同目标的对照是不同的文本到音乐增强方式。早期做法依赖更强的文本音频对齐或更丰富的标题监督，例如在 MusicLM 管线中使用 MusicCaps 标题，或用检索到的音乐片段直接条件化扩散与流匹配模型。近期与本文最接近的是在提示层做检索增强：Gonzales-Rudzicz 等从 MusicCaps 检索语义相似的音乐方面来扩充输入，Ding 等检索相关描述并用语言模型把新手提示改写为专家风格提示，二者都不修改生成器本身。本文研究的攻击面正好落在这一提示层检索增强上。
同运行阶段的对照是检索增强生成在文本与图像领域的已知风险。文本 RAG 中已有通过污染向量数据库或检索文档来操纵下游生成的研究，图像与多模态 RAG 中也有利用跨模态对齐偏置检索与生成的攻击。这些工作表明攻击面不限于生成模型，还包括外部检索语料与嵌入空间。但它们主要关注事实答案或文本补全，是否能迁移到以标题为控制信号、且条件主要依赖低层声学描述的音乐生成管线，仍是未验证的空白。
本文与上述路线的区别在于攻击目标与载荷形态。攻击目标不是改变事实正确性，而是使生成音乐的功能与用户意图偏离，例如把助眠或专注场景导向不安或紧张感；载荷不是直接插入目标标签词，而是用与源类别声学相似的低层描述来承载目标语义，以同时满足检索合理性与生成转向。
攻击要解决的矛盾是什么？
受害者设定是自行从公开数据源收集音乐标题对并导入本地知识库的检索增强系统。推理时用户发出文本查询，系统做文本到文本检索，比较查询嵌入与标题嵌入并返回最相似的标题，生成器以用户查询与检索标题共同为条件合成音频。攻击者能力被限定为只能向公开数据源注入恶意音乐标题对，随后被受害者在数据摄入阶段收集入库，与 PoisonedRAG 等已有的投毒威胁模型一致。攻击者无法访问已部署的知识库、检索器或模型内部参数，属于黑盒设定。
攻击目标是使系统在用户给出良性查询时生成偏离其功能意图、而更贴近攻击者选定目标类别的音乐，例如用户请求 calm background music for studying，攻击者希望生成类似 haunted movie 的 horror 风格音乐，且不修改用户查询本身。这种偏离会破坏创作流程并带来内容安全风险。
实现这一目标需要同时满足 3 个相互牵制的条件。第一是检索合理性，投毒标题在语义上仍需与良性查询相关，否则不会被检索到；第二是冲突控制，若直接在 calm-study 标题后追加 rock 等在高层功能和低层声学上都强烈冲突的标签，会降低检索概率并使生成条件不稳定；第三是转向强度，标题必须携带足够强的恶意引导以影响提示改写与合成，例如向 eerie 或 spooky 方向偏移。
** 检索合理性 × 转向强度：** 检索合理性指投毒标题与良性查询在嵌入空间的相似度，决定能否进入 top-k 检索结果；转向强度指标题中携带的恶意引导对提示改写和下游合成的偏置能力，二者存在权衡，加入过多目标语义会降低检索概率，论文因此把二者拆分为可加权的目标函数，用锚点保检索、用载荷保转向。
论文把这一矛盾形式化为在检索合理性与转向强度之间的权衡，并提出通过分离高层检索兼容性与低层生成转向来同时满足三者。
方法全景：从查询到投毒标题的四步流水线
整体思路是利用音乐标题数据长尾分布中低层描述丰富而高层类别稀疏的特点，借助共享嵌入空间中高层类别可由低层声学属性近似的性质，把攻击载荷编码为低层描述而非高层标签。攻击者先选定良性源类别与冲突目标类别，二者在高层功能上相反但在低层声学上相似，例如 spa 或 study 场景与 horror film 背景音乐共享 sustained drones、slow tempo、minimal motion、heavy reverberation 等特征。
流水线按一个样本走完输入到输出。输入是良性目标查询 q，例如 give me calm background music for studying。第一步抽取高层功能锚点 c_anchor，保留 study、background music 等查询相关的高层语义以保证检索合理性。第二步从查询推导低层音乐属性，如 slow、sparse、reverberant。第三步以这些低层属性为条件选择功能相反但描述兼容的目标类别 t*，例如 horror 或 haunted。
第四步为 t* 生成低层语义载荷 c_payload，如 distant echoing chimes、hollow reverberant space、detuned sustained tones。最后把锚点与载荷拼接为投毒标题 c_p 并注入知识库。
在检索时，投毒标题因锚点而与良性查询相似从而进入 top-k；在提示增强时，载荷中的低层描述被改写模块保留并传递给生成器，从而把合成推向目标类别。
以下图示展示检索增强标题改写在文本到音乐生成中的位置，以及投毒数据注入的入口。
看图路径： 1. 从左侧用户高层提示出发，沿箭头看经过 RAG 检索模块到增强标题再到文本到音乐模型的主路径；2. 对比下方攻击者经投毒数据注入到音乐知识库的侧向注入路径与正常检索路径的交汇点；3. 观察检索时从知识库取 Top-k 标题并作为增强标题输入生成器的标注位置
论文图 1。原论文 Fig. 1:：“RAG-based caption augmentation for text-to-music generation: enrich a high-level user prompt by retrieving detailed, low-level music captions from a music–text knowledge base,…”。
该图把攻击入口明确标在音乐知识库侧，左侧高层用户提示经 RAG 检索模块取回 Top-k 标题形成增强标题后送入文本到音乐模型，右侧攻击者通过投毒数据注入污染知识库，主路径与侧向污染路径在检索阶段交汇，解释了为何不改动用户提示也能影响最终生成为 horror music。
组件与计算一：锚点保留如何保检索？
锚点保留解决检索合理性。给定良性查询 q，构造与查询高层语义对齐的锚点文本 c_anchor(q)，例如 calm study music 或 relaxing background music，并将其作为投毒标题的前半部分。直观上这使投毒标题在高层语义空间与查询保持足够接近，从而被检索器视为合理匹配。
形式上投毒标题被定义为两段拼接：
\[c_{p}=c_{\text{anchor}}(q)\|c_{\text{payload}}(t),\]其中 c_anchor(q) 保留查询相关语义，c_payload(t) 提供恶意生成引导，|| 表示文本拼接。该式把检索与转向的职责显式分离到两段文本。
优化视角下，投毒标题的构造被视为同时最大化检索合理性与转向强度：
\[\max_{c_{p}}\;\;\mathcal{R}(c_{p};q)+\lambda\,\mathcal{S}(c_{p};t),\]其中 R(c_p;q) 衡量给定良性查询 q 时的检索合理性，S(c_p;t) 衡量面向目标类别 t 的转向强度，lambda 控制二者权衡。锚点主要提升第一项，载荷主要提升第二项。
** 锚点保留 × 载荷注入：** 锚点保留负责在投毒标题中保留与良性查询一致的高层功能语义，如 calm study music，使标题在 CLAP 检索中仍被视为相关；载荷注入负责在同一标题后半段加入与攻击目标一致的低层声学描述，如 slow pulsing drone，锚点让标题被检索到，载荷让被检索到的标题在提示增强阶段真正改变生成，二者拼接形成可检索且可转向的投毒标题。
以下图示展示锚点保留、低层特征抽取、功能相反目标生成、低层语义目标生成到投毒标题组装的完整链条。
看图路径： 1. 按从左到右顺序跟踪目标查询 q 经过锚点保留、高层锚点、低层特征抽取到目标生成的流程；2. 定位高层功能相反目标生成与低层语义目标生成两个阶段的输入输出文本示例；3. 查看底部投毒标题组装箭头如何将锚点与载荷拼接为最终投毒标题 cp
论文图 2。原论文 Fig. 2:：“Overview of the poisoned caption generation pipeline.”。
该图以 give me calm background music for studying 为例，左侧先经锚点保留得到 study, background music 的高层锚点，中间经低层特征抽取得到 silent calm 等属性，再以此为条件选出 Horror Hauntology 作为 t*，随后生成 Sparse piano, hollow drones, glacial stillness 等低层载荷，底部箭头把锚点与载荷拼接为投毒标题 c_p，完整对应公式 1 的两段结构。
** 功能相反目标 × 描述层冲突：** 功能相反目标衡量候选目标类别在用户意图层面与源类别的对立程度，如舒适专注与不安紧张的对立；描述层冲突衡量二者在低层声学属性上的不兼容程度，如速度、动态和节奏密度的差异，论文选择功能对立大而描述冲突小的目标，使投毒标题既能偏离用户功能，又能在声学描述上与源类别相似以维持检索稳定性。
组件与计算二：如何选功能相反但描述兼容的目标？
功能相反目标生成解决冲突控制。并非所有目标都同样适合投毒，若目标在高层与低层都与源类别强烈冲突，例如 calm study 对 rock，则投毒标题既难被检索，生成条件也不稳定。更合适的目标是在高层功能上对立但在低层声学上兼容，例如 spooky 与 calm 共享 slow tempo、sparse texture、sustained sounds。
选择准则被形式化为在候选目标集合 T 上最大化功能对立与描述冲突之差：
\[t^{\ast}=\arg\max_{t\in\mathcal{T}}\Big(\mathrm{Oppose}_{\text{func}}(s,t)-\,\mathrm{Conflict}_{\text{desc}}(s,t)\Big),\]其中 s 表示良性查询 q 的源类别，t* 为攻击者选定的类别，Oppose_func(s,t) 评分候选目标在功能层面与源类别的对立强度，Conflict_desc(s,t) 衡量二者在低层声学属性上的不兼容性。该准则偏好在用户意图层面产生大幅语义偏移、同时在低层声学上相对兼容的目标，从而提升投毒标题的可检索性并稳定下游生成。
实现上论文用 Sonnet 4.6 为每个源类别生成功能相反的目标类别，并先生成一句解释二者为何在低层相似的共享声学特征，例如 Continuous drones, extremely slow tempo, minimal pitch movement, low frequency focus，再基于该解释细化投毒标题。
组件与计算三：低层载荷为何比直接贴标签更稳？
低层语义相似目标生成解决转向强度。选定 t* 后，不直接插入 spooky、horror 等高层标签，而是把恶意引导编码为面向生成的低层声学描述。
载荷构造形式化为：
\[c_{\text{payload}}=\mathcal{P}(t^{\ast}),\]其中 P(·) 把目标类别映射为生成导向的低层声学描述，如音色、纹理、空间线索和时序模式。论文示例中载荷包含 distant echoing chimes、hollow reverberant space、detuned sustained tones 等，而非仅出现 spooky 一词。
这样做的原因是下游文本到音乐生成主要响应细粒度的声学引导，而非宽泛的风格标签。低层描述载荷因此比直接目标标签注入提供更强且更稳定的转向信号，同时更容易与良性锚点语义融合，避免因标签冲突而被检索器排斥。
最终组装仍沿用两段拼接结构，锚点负责让标题进入检索，载荷负责让标题在生成阶段生效，该简单结构也便于在实验中对比直接标签注入与本文载荷注入的差异。
本研究是否训练模型？实际计算过程是怎样的？
本研究未报告对检索器或生成器的重新训练或微调，也未报告对 CLAP 或 MusicGen 参数的更新、梯度路径或优化器配置。论文明确把攻击限定为黑盒设定，攻击者不访问知识库、检索器或模型内部参数，仅通过向公开数据源注入恶意音乐标题对来影响受害者后续的数据摄入。
实际计算过程是构造与检索推理流程。对于每个良性查询 q，攻击者用大语言模型按声学模仿与语义反转的提示模板生成 N=5 条投毒标题，每条标题长度控制在 25-40 词，仅使用低层声学描述词，不出现 calm、scary、horror、relaxing 等显式情绪或流派标签，而是通过 pressure、instability、density、dissonance、repetition 等隐式线索强化功能负向。随后这些标题随公开数据被受害者收集进以 MusicCaps 为基础的知识库。
推理时受害者管线的计算是确定性的检索与生成调用：用 CLAP 将查询与库中标题嵌入到共享空间并按余弦相似度排序取 top-k，用检索到的标题经提示增强模块改写用户提示，再用 MusicGen-small 以默认生成设置合成音频。论文未报告提示改写模块的具体模型或是否可训练，也未报告检索嵌入是否冻结或归一化细节，复现时应按原文调用 AudioCraft 提供的默认配置并记录实际使用的改写方式。
实验条件：数据、管线、目标与指标如何设定？
数据集使用 MusicCaps，包含 5,521 对文本与音乐示例，音频均来自 YouTube 视频，每条示例取前 10 秒音频并配一条自由文本标题，结构化的流派、情绪和配器标注在实验中被忽略，仅使用自由文本标题。知识库以 MusicCaps 为基础构建，检索器使用 CLAP 将查询与标题嵌入共享空间并按余弦相似度排序，生成器使用 Meta 的 MusicGen-small，默认生成设置来自 AudioCraft。
CLAP 检索 × MusicGen 生成： CLAP 检索负责把用户查询和知识库中的标题映射到共享表征空间并按余弦相似度排序，决定哪些标题进入提示增强；MusicGen 生成负责以增强后的提示为条件合成音频，二者在流水线中分工明确，攻击只污染知识库中的标题文本，不修改查询、检索器结构或生成器参数，从而在用户视角难以察觉。
目标类别与查询构造上，论文随机采样 50 个源类别，为每个源类别构造一条合理的用户查询，并用 Sonnet 4.6 生成一个功能相反的目标类别。每个源目标对先由模型生成一句解释二者共享声学属性的简短理由，再基于该理由细化出 N=5 条投毒目标标题。除非另有说明，生成时取知识库中最相似的 5 条标题作为上下文输入，实验中也对比了 top-k 为 3、5、10 的设置。
指标包括 CLAP 相似度、精确率、召回率和 F1。CLAP 相似度计算生成音频嵌入与输入文本标题嵌入之间的余弦相似度，平均到全部样本，值越高表示生成音乐越贴合条件文本。精确率定义为 top-k 检索结果中恶意标题占比，召回率定义为注入的恶意标题中有多少比例被检索到，F1 为二者调和平均。
下表整理实验中固定的数据与管线条件，便于核对复现时的检索与生成配置是否一致。
| 数据集 | 样本数 | 单条音频截取长度 | 默认检索数 | 检索与生成模型 |
|---|---|---|---|---|
| MusicCaps | 5,521 | 10 seconds | 5 | CLAP 检索 + MusicGen-small |
该表对应原文对数据集规模、音频截取长度和默认检索数的明确说明，复现时应保持相同的知识库来源、嵌入模型和生成器版本，若更改 top-k 或标题长度需单独标注为变体条件。
主结果：生成是否向目标偏移且仍与用户查询保持对齐？
要回答的核心问题是投毒后生成音频是否在语义上更接近攻击目标类别，同时是否仍与原始用户问题保持相似以免被轻易察觉。比较条件是在同一 CLAP 检索与 MusicGen 管线下，对比良性生成与投毒生成的 CLAP 相似度，分别以用户问题和目标类别为参考文本，指标方向为与目标类别相似度越高越好表示转向成功，与用户问题相似度保持稳定表示隐蔽性好。
下表以原文报告的范围汇总主结果，保留良性与投毒两种条件下的对比。
| 评估对象 | 良性-目标相似度下界 | 良性-目标相似度上界 | 投毒-目标相似度下界 | 投毒-目标相似度上界 |
|---|---|---|---|---|
| 生成音频与攻击目标类别的 CLAP 相似度 | 0.21 | 0.28 | 0.41 | 0.48 |
| 生成音频与原始用户问题的 CLAP 相似度 | 0.30 | 0.30 | 0.30 | 0.30 |
该表前一段已说明比较问题与公平条件，表中数值直接来自原文对三档 top-k 设置下相似度范围的汇总描述，投毒后与目标类别的相似度达到 0.41 到 0.48，约为良性时 0.21 到 0.28 的近 2 倍，而与用户问题的相似度在投毒前后均维持在约 0.30。
表后解释需同时看到收益与代价。收益是生成结果在 CLAP 空间中显著向攻击者选定的目标类别靠近，且该偏移在 top-k 为 3、5、10 时均出现，说明攻击不依赖单一检索数。代价或限制是该相似度提升并未伴随与用户问题相似度的明显下降，这既是攻击隐蔽性的体现，也意味着仅凭查询相关性难以检测异常。论文同时报告精确率、召回率和 F1 表明投毒标题在三档设置下均保持较高可检索性，但未在正文中给出按 top-k 细分的完整数值表，复现时应自行记录精确率与召回率随 top-k 的变化以验证检索与生成的联动。
** 精确率 × 召回率：** 精确率指 top-k 检索结果中恶意标题所占比例，反映单次检索被污染的程度；召回率指注入的恶意标题中有多少比例被成功检索到，反映攻击覆盖能力，二者通过 F1 综合权衡，论文同时报告 CLAP 相似度以衡量生成结果在语义上向目标类别偏移的程度。
未胜出或未评测的边界包括未报告人工听感评价、未报告不同改写策略下转向强度的差异、也未报告在更大规模或含噪声标题的知识库中的稳定性，这些都限制了对实际部署风险的完整判断。
哪些设计在起作用？不同检索数与载荷形态的对照
论文通过两类对照来验证设计选择。第一类是改变检索数 top-k，观察在相同投毒标题下检索与生成的敏感性。原文在 top-k 为 3、5、10 时均测试了良性与投毒生成的 CLAP 相似度，报告的范围显示目标相似度提升在三档设置下均存在，而与用户问题的相似度保持在约 0.30，说明攻击效果不局限于单一检索窗口。
第二类是载荷形态的对照，即直接目标标签注入与低层描述载荷注入的对比。论文指出直接插入 rock 或 horror 等高层标签会在高层功能和低层声学上同时冲突，降低检索合理性并使生成条件不稳定；而用 slow pulsing drone、distant echoing chimes、hollow reverberant space 等低层描述承载目标语义，能在保持与源类别声学相似的同时提供更强的生成转向。
下表把检索数对照与载荷对照的实验条件与观测方向整理为可复述的配置表，便于按相同条件重跑。
| 对照维度 | 基线条件 | 实际可运行策略 | 观测指标方向 | 原文报告的趋势 |
|---|---|---|---|---|
| 检索数 top-k | 3, 5, 10 的良性生成 | 同 top-k 下的投毒生成 | 目标相似度上升为好，用户问题相似度稳定为隐蔽 | 目标相似度从 0.21-0.28 升至 0.41-0.48，用户问题相似度约 0.30 |
| 载荷形态 | 直接插入目标标签词 | 低层声学描述载荷 | 检索合理性与转向强度兼顾 | 低层载荷更稳定且易与锚点融合 |
该表前一段已提出要验证的机制问题，表中基线与策略均为原文实际可运行的配置，未引入事后最优或 oracle 选择。表后需指出未报告的细节：论文未给出不同载荷形态下精确率、召回率和 CLAP 相似度的完整分项数值，也未报告锚点长度或载荷长度对检索排序的定量影响，复现时应固定提示模板与生成长度并分别记录检索与生成指标以补齐消融证据。
局限与未验证的推测如何区分？
已报告的事实是投毒后生成音频与目标类别的 CLAP 相似度在三档 top-k 下均从 0.21-0.28 提升到 0.41-0.48，且与用户问题的相似度维持在约 0.30，支持检索增强管线中标题文本可作为控制信号被偏置的判断。有限解释是论文把该提升归因于锚点保检索与低层载荷强转向的组合，但未提供对嵌入空间相似度分布或提示改写前后文本变化的直接测量，因此该因果链条仍属机制解释而非逐层验证。
未验证的推测包括该攻击在更大规模、含重复或噪声标题的真实知识库中是否同样有效，在不同改写模型或不同生成器下的迁移性，以及人工听感是否同样感知到功能偏离。由于未报告人工评价、未报告生成多样性或失败案例，也未测量检测方法的误判率与延迟，不能把 CLAP 相似度的提升直接等同于用户可感知的功能危害程度，也不能承诺任何防御措施在不损失生成质量的前提下生效。
资源与成本方面，论文未报告构造投毒标题所需的语言模型调用成本、检索与生成的延迟开销，也未报告 MusicGen 生成的实际帧率或音频时长与延迟的关系，总体趋势不等于每组查询或每步检索都成立。
当前可用性方面，论文提供的演示链接在本次核验中返回可用状态，演示地址为 https://yizhu-wen.github.io/Mental-Damage/，但正文未声明代码或权重是否同步开源，复现时需以该链接当前可达为准，不应推定完整系统可一键运行。
复现先做什么、如何核对关键数字？
复现应先固定信息条件与管线版本。数据侧使用 MusicCaps 的 5,521 对文本音乐示例，每条音频取前 10 秒，忽略结构化属性标注；知识库以此为基础构建，不额外混入其他标题。检索侧使用 CLAP 嵌入并按余弦相似度排序，生成侧使用 MusicGen-small 的 AudioCraft 默认设置，记录实际使用的提示增强方式是直接拼接还是大语言模型改写。
构造投毒数据时按论文模板为每个源类别生成 N=5 条标题，每条 25-40 词，仅用低层声学描述词，不出现显式情绪或流派标签，共享声学特征先用一句低层描述概括，再基于该句扩展 5 条变体。注入后按 top-k 为 3、5、10 分别测试，记录精确率、召回率、F1 以及生成音频与用户问题和目标类别的 CLAP 相似度，核对是否复现出目标相似度从 0.21-0.28 到 0.41-0.48 的提升以及用户问题相似度约 0.30 的稳定现象。
还需补的验证包括人工听感对照、不同载荷形态的对比、以及在不同知识库规模下的稳定性测试。区分代码开源、权重下载和系统可运行 3 类可用性，当前仅能确认演示链接在本次核验中可达，若链接后续不可用则应明确标注为本次未能确认可达，不应把演示可访问等同于训练代码已公开。
何时值得尝试该思路、还有哪些误解要澄清？
当系统采用检索到的标题来改写欠指定的高层用户提示，且生成器对低层声学描述更敏感时，本文的双层标题投毒思路值得作为风险评估的参考。其价值不在于提升生成质量，而在于揭示知识库与标题元数据应被纳入可信基，摄入控制与检索鲁棒性检查与模型本身同样重要。
常见误解之一是把 CLAP 相似度约 0.30 的稳定误读为生成未被影响，实际上该数值仅表示与用户问题的文本音频对齐未明显下降，而与目标类别的相似度已近翻倍，二者分别衡量隐蔽性与转向成功，需同时报告。误解之二是认为直接插入目标标签就能达到相同效果，论文的冲突控制分析表明高层与低层同时冲突会损害检索合理性，低层描述载荷才是更稳定的转向方式。误解之三是把无训练等同于确定性输出，本文未训练检索器与生成器，但检索排序与生成采样仍受数据与随机性影响，复现时应多次采样并报告均值与方差。
收束时应回到可核对的事实：攻击仅通过注入少量标题即可在保持查询相关性的同时把生成推向功能相反的目标，防御应从数据来源、标题审核和检索阶段的异常检测入手，而非仅加固生成器。
📎 论文与评分元数据
排名：前50% | 文档类型：方法研究 | arXiv 原文
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
评分规则：type-aware-v1
评分模型：muse-spark-1.2-contributor
评分请求协议：openai_responses