标签：#音频水印 | #对抗训练 | #语音伪造检测 | #Transformer | #鲁棒性
评分：7.4/10 | 创新 1.4/2 | 技术严谨 1.2/1.5 | 实验充分 1.3/1.5 | 清晰度 0.8/1 | 影响力 1.1/1.5 | 开源 0.2/1.5 | 可复现 0.5/0.5 | 工程/实践 0.9/1.5
👥 作者与机构
- David Chernin：机构信息未在 arXiv HTML 中可靠披露
- Ethan Fetaya：机构信息未在 arXiv HTML 中可靠披露
📌 核心摘要
CRAW 针对神经编解码器与去噪重合成导致后处理水印失效的问题，用加宽失真训练加注意力池化加推理时感知掩蔽加重复纠错码，在保持 PESQ 约 4.0 的同时把编解码器与去噪下的检测 F1 拉回 0.8 以上，代价是掩蔽带来约 150 ms 的额外推理延迟。
🔗 开源与复现资源
代码相关资源：https://github.com/DavidC1212/craw — 暂时无法访问
演示资源：https://davidc1212.github.io/craw-audio-samples/ — 链接可访问（HTTP 200）
第三方资源：https://github.com/audiolabs/torch-pesq — 暂时无法访问
第三方资源：https://github.com/modelscope/ClearerVoice-Studio — 暂时无法访问
可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
输入是什么，输出是什么，什么必须同时保住？
先把任务收窄。输入是一段已经存在的载体语音波形，输出是听起来尽量不变但藏有比特串的加水印波形，验证时输入可能是被压缩、去噪或声码器重建过的版本，输出是水印判有无以及解出的比特。论文研究的是后处理水印（post-hoc watermarking），也就是不改生成模型，只在已有音频上嵌入和提取。
必须同时保住的是 2 个方向。鲁棒性要求水印在现实传输中活下来，语音通话、会议和平台都会过编解码器、降噪和增强；保真度要求人耳听不出差别，论文把 PESQ 当作最贴近听感的主要音质标尺。只保一边没有意义，加大嵌入强度总能提高检出，但音质会崩。
一个教学示例可以帮助定位难度。假设你要在一页纸上用铅笔写一行隐形字，要求复印 3 次后还能认出，且肉眼看不出纸面变化。普通做法是全页均匀用力，复印后确实还有痕迹，但纸面已经发灰。CRAW 的思路相当于先练习在复印机下存活的写法，再换一种汇聚方式、擦掉最显眼的几笔，最后用重复书写补回被擦掉的信息。这个例子只用于理解权衡，不代表论文做过纸面实验。
已有路线卡在哪里，CRAW 站在哪个缺口上？
后处理路线里，TimbreWatermark 把短时傅里叶变换后的消息沿时间轴重复并用失真层模拟声码器流程，AudioSeal 学一个波形签名并做逐采样点检测，WavMark 用可逆网络加暴力位置搜索代替同步码。更新的路线分别换了打法，AWARE 用对抗优化加感知预算，WMCodec 把水印和神经编解码器的压缩重建联合训练。
论文引用的外部摸底结果是缺口的来源。O’Reilly 等人和 RAW-Bench 都发现后处理方法在低码率神经编解码器下坍缩，O’Reilly 等人还指出去噪器下同样坍缩。也就是说传统失真如丢波形点和时间拉伸还能应付，但一遇到神经重合成这种整体再生波形的操作，水印就被洗掉了。
生成时嵌入是另一条路线，GROOT、SOLIDO、Smark 把水印放进扩散声码器或生成过程，优点是天生更紧耦合，代价是不能给已有音频加水印，还要重训或微调生成器。论文明确只做后处理，并在该缺口上工作：输入相同、改变对象相同、运行阶段相同，才和 TimbreWatermark、AudioSeal、WavMark、AWARE、WMCodec 做同条件性能比较，而不是把不同类别的设计差异直接说成胜负。
为什么加宽训练能救鲁棒却先伤音质？
原文的因果链条写得很直白。原来的失真层只模拟声码器式梅尔谱重合成，从未见过编解码器扰动，所以在编解码器上没有鲁棒性。把 FACodec 重合成和经典信号处理扰动加入训练采样池后，嵌入器和检测器能应付见过的攻击并泛化到同族未见攻击，这是鲁棒增益的来源。
代价也同时写明。更难更多样的攻击池迫使水印嵌入更强以求穿过破坏，而原来的均匀时间平均要求每 1 帧都同样参与。结果是保真度大幅下滑，消融中加失真层一步就让 PESQ 明显掉落。
于是问题变成如何把权衡拆开。论文的安排是先换汇聚方式，再用推理时擦除减少听感代价，最后用冗余补回擦除损失的鲁棒。4 步按顺序承担不同任务，不能只看最后数字，还要看每一步把哪条曲线搬动了多少。
CRAW 的数据流如何从波形走回波形？
跟着一个样本走 1 次完整训练流程。载体波形先做短时傅里叶变换得到幅度谱和相位，幅度谱是真正的载体，相位留到最后重建波形时原样用回。载体编码器对幅度谱提特征，水印编码器对码字提特征，码字是原始消息先过纠错编码变长后的版本。
3 路特征在通道维拼接后送入水印嵌入器，输出加水印后的幅度谱，再用原始相位做逆变换得到加水印波形。训练时这个波形会被失真层按概率抽一种攻击破坏，干净分支和破坏分支都会送入提取器和解码器算消息损失，嵌入质量则用波形均方误差、对抗损失和判别器共同约束。
检测侧是逆过程。收到波形再做变换取幅度谱，提取器给出每帧特征，注意力池化把多帧压成一个向量，解码器先解出码字，纠错解码器再恢复原始消息。推理时多一步掩蔽，嵌入器先产出初版加水印谱，再把听感最敏感位置换回干净谱，最后才逆变换输出。训练联合更新嵌入器、检测器、注意力与码字相关映射，掩蔽只在推理后处理，不进训练目标。
嵌入侧把消息放在哪里，检测侧从哪里取？
嵌入侧的动作是把消息沿时间重复铺满频谱。载体特征、原始幅度谱本身和重复后的水印特征拼接在一起，保证嵌入器既看到内容又看到消息，避免只记消息不顾载体。输出仍是同尺寸幅度谱，靠逆变换和原始相位回到时域，这样相位失真不会引入额外听感损伤。
检测侧原来的动作是均匀平均，论文把它换成单查询交叉注意力。查询、可学习的键值投影把多帧当作多个 token，多个头各自算权重再拼回原维度，后面跟前馈与残差。这个改动不改变输出维度，只是把平均换成加权平均。原文没有直接测量权重是否压低了被破坏帧，此处只把可学习加权当作一种直觉上的可能，实际增益以消融为准。
失真层 × 编解码器重合成： 失真层是训练时插在嵌入器和检测器之间的人为破坏模块，负责把加好水印的波形先破坏 1 次再送给检测器，让检测器学会在破坏后仍能解码；编解码器重合成是其中一种破坏方式，指把波形送进神经编解码器做编码量化和解码重建，频谱细节会被压缩抹掉。两者搭配的原因是原来的失真层只模拟声码器式梅尔谱重合成，没有见过编解码器的破坏模式，所以一遇到 FACodec、EnCodec、TiCodec 就失效；把编解码器重合成加入失真层的采样池后，嵌入器被迫把水印放在能穿过压缩的位置，检测器也见过同类破坏，组合后新增的含义是从只防声码器变为同时防压缩、去噪与声码器构成的神经重合成族。
注意力池化 × 均匀时间平均： 均匀时间平均是 TimbreWatermark 原来把提取器输出的每帧特征直接求平均的做法，每 1 帧权重相同；注意力池化是用一个可学习查询对所有帧做多头交叉注意力，按学习到的权重加权后再汇聚成一个向量。原文只定义了该加权计算形式，没有直接测量注意力是否选中干净帧或避开坏帧。搭配的直觉是加宽失真训练后各帧受损程度不一，均匀平均会把受损帧也等权计入；用可学习的时变权重替代等权平均，为缓解这种失配提供了一个机制上的可能，实际效果仍以消融中保真回升为准，不宜直接断言它已经识别坏帧或缩小了嵌入面积。
\[f_{+}=\mathrm{Concat}\big(f_{c},\ S,\ \mathrm{Repeat}(f_{m},T)\big)\in\mathbb{R}^{(C_{v}+1+C_{w})\times F\times T}.\]该式说明拼接的构成，载体特征、水印特征与原始谱在通道维对齐，时间维通过重复补到相同长度。下一式则对应检测侧原来被替换掉的平均操作，理解两式之差就理解了注意力要替换的等权汇聚形式。
\[\bar{f}_{w}=\mathrm{Average}(f_{w}^{\prime})\in\mathbb{R}^{F},\]从执行顺序看，训练时干净与失真分支共用同一套提取池化解码，梯度同时来自两条分支的消息损失；部署时只有一条真实受损音频走提取池化解码，掩蔽已经在嵌入端完成，不需要检测端配合。
以下这张图值得现在看，因为它把掩蔽的空间选择讲得比文字更直接。左起第一幅是干净谱，第二幅是二值掩蔽，第三幅是掩蔽前水印谱，第四幅是最终谱。注意只有第一、三、四幅共用 dB 色条，第二幅是 clean 与 WM 的二值图例，不可按同一亮度标尺解读。
看图路径： 1. 从左到右确认 Clean、Mask、Watermarked、Final 四个面板的横轴 Time frame 与纵轴 Freq bin；2. 在 Mask 面板中按 clean 与 WM 二值图例区分青色保护点与深色承载点，看保护点是否落在谐波亮纹上；3. 对比 Watermarked 与 Final 右上放大窗与右下小白框的对应关系，看高亮谐波 burst 纹理的变化；4. 确认 Clean、Watermarked、Final 共用 dB 色条而 Mask 使用 clean/WM 二值图例，不把四幅混为同一量纲
论文图 2。原论文 Figure 2:：“Masking on a real clip from the test set (k=10%).”。
像素层面的关键是掩蔽并非随机打洞。青色保护点落在高亮谐波纹附近，深色承载点落在较安静的间隙里，右上放大窗与右下小白框对应同一谐波 burst，最终谱的亮纹纹理更接近干净谱，而间隙仍保留水印痕迹。这说明梯度选出的保护位置与大声谐波重合程度较高，但该图本身只显示 1 次掩蔽的空间分布，不能证明编解码器更依赖大声区，也不证明纠错必然补回了哪部分信息。
掩蔽擦掉水印后靠什么补回检出？
掩蔽的动作发生在嵌入器已经产出初版之后。对干净谱重建波形并与初版比较可微 PESQ，再对干净谱求梯度绝对值，梯度大的时频点就是最伤听感的点。取前 k% 生成二值掩蔽，最终谱在掩蔽处取干净值，其余处取水印值，默认 k 取 10%。整个过程不参与训练，只在推理执行 1 次。
纠错的动作发生在消息进入水印编码器之前。原始消息先编码为更长码字，训练和解码都针对码字算损失，推理时先解出码字再纠错回原始消息。论文默认用 Rep3 把 10 比特扩展为 30 比特，并在附录比较了重复码、里德所罗门码和低密度校验码。Rep3 是固定的每比特重复 3 次规则，里德所罗门与低密度校验码按附录给定参数构造，均不是本轮训练中新学习的编码规则。
感知掩蔽 × 纠错码： 感知掩蔽是推理时才做的减法操作，用可微 PESQ 对干净频谱求梯度，找到听感最敏感的前 k% 时频点，把这些点的水印频谱直接替换回干净频谱；纠错码是把 10 比特原始消息先扩展为更长的码字再嵌入，用冗余换容错，论文默认用每个比特重复 3 次的 Rep3。两者必须搭配的原因是掩蔽主动擦掉了 10% 位置的水印能量，虽然听感变好，但解码错误会上升，尤其在 TiCodec 这类强压缩下；纠错码在时间重复之外再加一层独立冗余，组合后实现的是先为音质做减法，再为鲁棒做加法。论文报告了加纠错后编解码器分数回升的伴随现象，但未证明回升必然来自纠错纠住了哪类错误分布，此处只作有限解释。
论文对纠错胜出给出的有限解释是编解码器损伤把比特错误较均匀地撒在码字上而非集中成突发，这正好是重复码擅长纠的模式，因此 Rep3 在编解码器上超过结构更复杂的备选。这个解释来自观察到的错误分布，属于有限解释而非普适证明，不能推出重复码在所有信道下都最优。
训练时更新谁，损失在拉什么压什么？
需要更新的是载体编码器、嵌入器、提取器、注意力池化、消息解码器、判别器，以及与码字相关的编码映射；短时变换前后处理、掩蔽和纠错解码规则本身不靠梯度更新。更新信号来自 3 类损失，保真均方误差把加水印波形拉回干净波形，对抗损失让判别器难分辨真假，消息损失要求干净与失真 2 分支都能解出正确码字。
实现细节在附录给出可复现的配置。音频重采样到 22.05 kHz，1024 点傅里叶变换、256 跳长、汉恩窗；注意力用单查询多头交叉注意力，3 头、前馈扩展 4 倍、丢弃率 0.1；优化器用 Adam，学习率 2e-5，批量为 1，训练 20 轮；保真权重 1.0，失真分支消息权重 10.0，干净分支消息权重 0.01，对抗权重 0.01；FACodec 在训练池中被抽中概率为 10%，其余训练攻击分剩余概率。
\[\mathcal{L}_{e}=\frac{1}{L}\sum_{i=1}^{L}\big((\mathbf{x}_{w})_{i}-\mathbf{x}_{i}\big)^{2},\]该式是波形均方误差，把每个采样点的加水印值拉向干净值，梯度经过逆变换回到频谱嵌入器。它解释了为什么只加宽失真而不改池化时会伤音质，嵌入器为了同时满足消息损失，被迫在该损失已经惩罚的位置继续加大改动。
数据、基线、指标与统计如何对齐？
训练与测试都用 LibriSpeech 的 train_clean100 与 2620 条测试集，音频重采样到 22.05 kHz；跨域部分用 LJSpeech 做零样本测试，不重训。默认水印长度 10 比特，对比的 AudioSeal 与 WavMark 只支持 16 比特，AWARE 取 20 比特高容量配置，WMCodec 用 16 比特并与神经编解码器联合嵌入，比较时需记住负载并不完全相同。
攻击分两族。经典信号处理包括裁剪、重采样、噪声、幅度缩放、MP3、重量化、中值滤波、时间拉伸与滤波；神经重合成包括 FACodec、EnCodec、TiCodec、两种 ClearVoice 去噪链、HiFi-GAN 与 Vocos。其中只有 FACodec 在训练见过，其余神经编解码器、声码器与去噪链都是未见攻击。
检测 F1 × PESQ： 检测 F1 是论文的操作性指标，先在干净音频上按 1% 误报率定出正确比特率门限，再在每种攻击后统计水印判有无的 F1，越高表示攻击后仍能认出水印；PESQ 是论文选定的主要音质指标，越接近 4 以上越接近人耳听不出差别，掩蔽策略直接拿它当优化目标。两者搭配的原因是只看 F1 会鼓励无限加大水印强度，只看 PESQ 会鼓励不加水印；论文把两者并列报告并在消融中同表展示。两者都高只能说明在所测攻击和所用客观指标下权衡较好，不能单独证明可部署，还需结合约 171 ms 的掩蔽延迟与威胁模型边界一起判断。
统计方法需要单独记住。F1 是全测试集聚合量，用配对自助法估计标准误，1000 次重采样且跨模型共享索引；保真指标按每条计算再平均，报告均值标准误。主基线比较跑全量 2620 条，消融与纠错变体为速度用固定 200 条子集，跨域每域也是 200 条子集，不能把不同样本量的数字直接比大小。
神经重合成下谁还站着，传统失真下有无掉队？
要回答的比较问题是同门限同攻击下，CRAW 相对 5 个已发布基线在神经重合成上的净收益，以及在传统失真上有无明显退化。统一条件是每个模型先在干净音频上按 1% 误报率定门限，再测每种攻击下的检测 F1，方向都是越高越好；音质看 PESQ，越高越好，4 以上被视为接近透明。主比较用全量 2620 条，消融用 200 条子集。
下表把编解码器三项逐项列出，不只用最强基线 25.2% 概括，并并列保真区间，数字与单位均与后附逐字引文一致，可直接重放核对。
| 攻击 | WavMark | AudioSeal | TimbreWM | WMCodec | AWARE 最强基线 | CRAW | 指标 | 方向 |
|---|---|---|---|---|---|---|---|---|
| FACodec | 0.000 | 0.021 | 0.041 | 0.019 | 0.149 | 0.974 | F1 | 越高越好 |
| EnCodec 6 kbps 未见 | 0.000 | 0.150 | 0.072 | 0.033 | 0.252 | 0.987 | F1 | 越高越好 |
| TiCodec 1g4r 未见 | 0.000 | 0.023 | 0.033 | 0.027 | 0.075 | 0.826 | F1 | 越高越好 |
| 整体保真 | 基线区间 3.17 至 4.25 | 基线区间 3.17 至 4.25 | 基线区间 3.17 至 4.25 | 3.17 最弱 | 基线区间内 | 3.99 | PESQ | 越高越好 |
这张表把核心结论压缩为逐项对照。神经编解码器上所有基线都大幅退化，FACodec 上最强的 AWARE 也只有 0.149，EnCodec 上最强也只有 0.252，TiCodec 上最强也只有 0.075，而 CRAW 分别达到 0.974、0.987、0.826，这是论文自称最关键的差距；保真上 CRAW 的 3.99 落在基线区间内，远高于最弱的 WMCodec，接近透明门限。
公平的净收益需要点名失败项。传统失真下 CRAW 与先前工作相当，并在 8 kbps MP3 与中值滤波上更清晰，但 SI-SNR 与 STOI 虽然可用却低于最优，保真不是全面第一。F1 与 PESQ 都高不能直接等同可部署，还需计入掩蔽延迟与威胁模型边界。不能由这张表推出 CRAW 在任意负载或任意编解码器下都同样好，因为基线负载不同，且未见攻击只覆盖了所列的几种编解码器与去噪器。
四步各自搬动了哪条曲线，哪一步最痛？
要回答的是从复现 TimbreWatermark 的基线出发，依次加失真层、注意力、掩蔽、纠错时，鲁棒与保真如何分步变化。统一条件是固定 200 条子集，同门限 F1 看鲁棒，SI-SNR、PESQ、STOI 看保真，掩蔽默认 10%，纠错默认 Rep3。
下表只收录逐字引文明确给出的分步变化与关键数字，不引入无证据的中间数值，单位与引文一致。
| 阶段 | 鲁棒变化 | 保真变化 | 关键数字 | 单位 |
|---|---|---|---|---|
| 加失真层 | 几乎贡献全部鲁棒增益 | 大幅下滑 | 保真代价陡峭 | PESQ |
| 加注意力 | 部分最难攻击继续上升 | 明显回升 | 恢复大部分损失 | PESQ |
| 加掩蔽 | TiCodec 从 0.948 掉至 0.684 | 超过基线 | 4.085 对 4.018 | PESQ |
| 加纠错 | 补回 3 个编解码器大部分跌幅 | 小幅回落 | 保真代价小 | PESQ |
表后需要强调最痛的一步。掩蔽是保真收益最大但编解码器鲁棒代价最集中的一步，TiCodec 的跌落说明被擦掉的位置与穿过强压缩所需的承载位置存在重合；纠错专门为此补位，在 3 个编解码器上收复大部分失地，而保真只付出小代价。这支持了先减法后加法的设计顺序，但属于伴随现象的有限解释。
反例同样重要。去噪在 0 dB 强噪声下仍是相对弱项，纠错后甚至略有回落，说明冗余并非全能。不能由消融推出去掉某步必然在所有攻击下变差，因为各步在不同攻击上的符号并不一致。
为什么现在看掩蔽比扫描图，因为它解释了工作点为何定在 10%。横轴是掩蔽比，纵轴是 1% 误报率下 F1。10% 虚线处编解码器与去噪线下滑尚浅，但各线形态并不一致，不宜概括为单调或统一加速。
看图路径： 1. 先看横轴 Masking Ratio 与纵轴 F1 @ 1% FPR，确认 10% gate 虚线是论文工作点；2. 比较 TiCodec 1g4r、FACodec、EnCodec 与两条去噪线的下降形态，注意是否存在非单调起伏；3. 观察 Vocos 与 HiFi-GAN 两条线在 0 到 100% 区间是否基本保持在 0.99 附近，区分声码器与编解码器/去噪器的不同表现
论文图 3。原论文 Figure S1:：“Figure S1: Robustness (F1@1%FPR) vs. masking ratio under neural attacks. Robustness degrades steadily with masking.”。
像素显示 TiCodec 红线下降最早最陡，EnCodec 与 FACodec 相对更平，而 Vocos 与 HiFi-GAN 在 0 到 100% 区间基本保持在 0.99 附近的高位水平。去噪两条线介于两者之间。因此掩蔽代价不是均匀的，应区分为编解码器与去噪器随掩蔽比下降、声码器相对稳定两类表现，不作全称的单调下降判断。信号处理侧的对应扫描则显示多数曲线在低掩蔽区保持高位，说明传统失真对掩蔽更不敏感。
保真侧的对比进一步说明为何用感知梯度而非随机。左图 SI-SNR 与右图 PESQ 共用掩蔽比横轴，蓝色动态掩蔽在右图 0 到 20% 区间陡峭上升，红色随机掩蔽几乎线性缓慢上升。
看图路径： 1. 先看左图 SI-SNR 与右图 PESQ 共用横轴 Masking Ratio，区分蓝色 Dynamic 与红色 Random；2. 在右图 0 到 20% 区间比较两条 PESQ 曲线的斜率，确认感知梯度掩蔽早期收益更大；3. 检查 100% 处两条曲线是否汇合，理解全掩蔽等于无水印时指标自然封顶
论文图 5。原论文 Figure S3:：“Figure S3: Fidelity as a function of the PESQ-gradient masking threshold, comparing dynamic masking (top-k% gated by PESQ gradient) against random masking.”。
在同等 k 下动态掩蔽恢复的 PESQ 明显更多，100% 处两者才汇合到无水印上限。这支持了梯度选点的有效性，也说明工作点选 10% 是在鲁棒缓慢下滑与保真快速上升之间取的折中，而不是任意超参。
哪些边界没有测，部署前还要补什么？
论文明确报告的代价是掩蔽的计算开销。掩蔽每条推理执行 1 次，论文称在基编码器约 21 ms 之上增加约 150 ms，完整流水线约 171 ms，相对增加约 8 倍。作者判断这对非实时应用不构成显著负担，但实时性取决于生成方法的实时系数，未来工作需要降开销。
下表整理跨域泛化的逐字证据，域内为 LibriSpeech，零样本为单说话人 LJSpeech，指标与单位与引文一致。
| 维度 | 域内表现 | 零样本表现 | 指标 | 单位 |
|---|---|---|---|---|
| TiCodec | 0.838 | 0.794 | F1 | 无单位 |
| 其余编解码器 | 大多持平或提升 | 持平或提升 | F1 | 无单位 |
| 保真 | 4.005 | 4.005 | PESQ | 无单位 |
这张表同时给出跨域边界。零样本到单说话人 LJSpeech 时编解码器大多迁移或更好，只有 TiCodec 小幅下滑，PESQ 保持 4.005 不变，说明方法对录制条件变化有一定泛化；但该泛化只覆盖所列编解码器与去噪器，不能外推到更低码率或未来新编解码器。
下表整理推理延迟的逐字证据，基线为仅编码器，完整流水线含 10% 动态掩蔽，时长单位保留为 s 与 ms，延迟数值与单位写在同一格。
| 条件 | 延迟 | 时长范围 | 样本量 | 单位 |
|---|---|---|---|---|
| 仅编码器 | 21 ms | 1.82–10.52 s | 100 clips | ms |
| 编码器加掩蔽 | 171 ms | 1.82–10.52 s | 100 clips | ms |
| 增量 | 约 150 ms | 1.82–10.52 s | 100 clips | ms |
延迟表显示掩蔽不是免费的，完整流水线约 171 ms 相对基线约 21 ms 增加约 8 倍，实时部署必须把这约 150 ms 计入预算。未评测的边界需要点名：负载固定 10 比特，纠错比较中里德所罗门与低密度校验码在 16 比特消息下配置不同，不能直接外推到其他负载；主观听感只有试听页，没有正式主观实验，PESQ 高不等于所有语料都无感。
按什么顺序复现，先跑通哪一步？
复现先从基线开始。按附录把音频重采样到 22.05 kHz，用 1024 点、256 跳长、汉恩窗搭载体编码器 3 层、嵌入器 4 层、提取器 6 层的卷积结构，隐藏维 64，先复现 TimbreWatermark 的嵌入提取与梅尔重合成失真，确认干净与传统失真 F1 正常，再加入 FACodec 采样与噪声、低通、幅度缩放、谱门限等训练池。
第二步再加注意力与码字。把均匀平均换成单查询 3 头交叉注意力加前馈残差，把消息先经 Rep3 从 10 比特扩为 30 比特再送水印编码器，损失改到码字级，权重按保真 1.0、失真消息 10.0、干净消息 0.01、对抗 0.01 起步，单卡 Adam 学习率 2e-5 训练 20 轮，固定随机种子 2022。Rep3 与其他纠错变体都是固定编码规则，不作为可训练参数更新。
第三步才加推理掩蔽。用 torch-pesq 实现的可微 PESQ 对干净谱求梯度，取前 10% 生成掩蔽，把初版水印谱对应位置换回干净谱后逆变换输出。观察偏离预期时先核对三变量，掩蔽比是否确为 10%、纠错是否确为 Rep3、评估门限是否确按干净音频 1% 误报率标定，而不是先调模型结构。代码状态按论文证据表述为仓库已公开，权重与可运行系统需以仓库实际内容为准，不把三者混为一谈。
什么条件下值得试，什么条件下先别用？
值得试的条件很具体。当你的音频一定会过神经压缩或平台去噪，且你能接受后处理水印与 10 比特左右负载，同时需要 PESQ 维持在 4 附近，这套先加宽训练再用注意力、掩蔽与重复码的流程是可直接照搬的。跨到新录音条件时可先零样本测试，因为论文在 LJSpeech 上保真不变、编解码器大多不掉。
先别用的条件也要明确。如果是实时流式生成且每条预算只有几十毫秒，掩蔽的约 150 ms 需要先优化或关闭；如果需要高容量负载或要防恶意自适应擦除，论文没有给出对应验证，不应把特定错误分布下的重复码优势当成通用结论。
常见的误解有 3 个。其一以为注意力已被证明能识别坏帧，其实原文只给出加权形式而未直接测量选择行为，它主要伴随保真回升，鲁棒大头来自加宽失真训练；其二以为掩蔽越大越好，其实编解码器与去噪线随掩蔽比总体下降而声码器保持稳定，10% 是折中点；其三以为纠错越复杂越好，其实在所测编解码器条件下最简单的 Rep3 反而胜出。抓住这三点，就抓住了论文真正的权衡逻辑。
📎 论文与评分元数据
排名：前50% | 文档类型：方法研究 | arXiv 原文
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
评分规则：type-aware-v1
评分模型：muse-spark-1.3-contributor
评分请求协议：openai_responses