英文题目：KeyBound: Keyed and Host-Bound Learned Audio Watermarking for Speech Provenance
标签：#音频水印 | #对抗训练 | #语音 | #音频安全 | #对抗鲁棒性
评分：7.4/10 | 创新 1.6/2 | 技术严谨 1.2/1.5 | 实验充分 1.3/1.5 | 清晰度 0.8/1 | 影响力 1/1.5 | 开源 0/1.5 | 可复现 0.5/0.5 | 工程/实践 1/1.5
👥 作者与机构
- Bangshuo Zhu：University of New South Wales , Australia
- Yuxin Cao：National University of Singapore , Singapore
- Weifei Jin：Duke University , USA
- Fusen Guo：University of New South Wales , Australia
- Huadong Mo：University of New South Wales , Australia
- Jingling Xue：University of New South Wales , Australia
- Wei Song：University of New South Wales , Australia
📌 核心摘要
语音来源归属的输入是待验波形，输出是是否存在某方标记及载荷能否归属，难点在于攻击者会窃读、无授权移植或经重合成擦除标记而非仅引入偶然失真。KeyBound先用密钥对16比特载荷做异或掩码随机化，使无密钥观测近似均匀分布，该掩码输出进入下一步嵌入。接着载波经冻结对数梅尔谱表征调制与宿主绑定后嵌入音频，使载波依赖宿主而难以直接搬运。最后检测端由与密钥无关的存在头输出存在分数供公众验证，并由密钥持有者解码恢复归属载荷。与无密钥可移植加性水印相比，该设计把可检测性留给公众而把可读性留给密钥持有者，并以宿主条件载波抑制移植式虚假归属。在LibriSpeech评测套件的EnCodec重合成条件下，KeyBound的检测准确率为1.000，高于AudioSeal的检测准确率0.850。该结论适用边界受限于英文朗读短语音与已见失真族，在Griffin-Lim与未见DAC、BigVGAN下存在性可迁移但精确载荷大幅退化，自适应移除仍是未解决的失败条件。原文未披露训练、推理或部署成本。原文未披露KeyBound代码与权重。
🔗 开源与复现资源
- 第三方资源：https://liuyixin-louis.github.io/xattnmark/ — 链接可访问（HTTP 200）
可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
输入是什么，目标是什么，先保留哪些信息？
本文解读的对象是标题为 KeyBound 的语音水印论文，编号 2609.26235，目标读者是刚进入语音音乐音频方向的研究生。解读只依据论文原文证据与本次收到的官方原图像素，不引入外部评价。必须保留的信息包括任务定义、密钥与宿主绑定的具体做法、验证规则与错误接受界、实验条件与主数字、代价与未解决的自适应移除。
输出按学习依赖展开，先讲溯源任务与现有路线，再走完一个样本的嵌入检测流程，然后讲训练、实验设置、结果与反证，最后讲复现与收束。这样的顺序是为了让表示先于判决，判决先于鲁棒性结论，避免在没有建立输入输出定义时就讨论检测与归属的分离。
语音合成与声音转换已经难到人耳和自动检测器都不易分辨，伪造身份与伪造口头证据让录音来源必须在事后仍可回答。水印是主动路线：在生成时加入人耳不易察觉的信号，事后直接从波形读出来源。已有学习水印多采用生成器加低能量载波、联合训练检测器恢复载荷的结构，并在噪声、滤波、重采样、压缩等固定失真目录下报告高恢复率。
论文认为该测试必要但不充分，因为一旦水印被当作来源证据，对手目标就变成读出载荷、抹掉水印、把归属嫁接到从未生产的音频上。固定目录只建模偶然退化，不建模有意图的对手。初学者容易把检测准确率等同于溯源成功，论文把二者拆开，存在鲁棒性只要求带印与不带印的判决存活，载荷鲁棒性进一步要求精确恢复每一比特。
另一个易混点是密钥的作用：密钥只管载荷访问，不给移除鲁棒性；抗重合成靠宿主绑定载波与在攻击通道下训练得到。这个分工是理解全文对照实验的钥匙，也是后文解释消融与代价的起点，需要在进入方法前先记住。
同输入同目标的路线有哪些，差别在哪里？
学习音频水印的主流是事后加性方案：可逆窗方案、定位训练的生成检测对、心理声学方案、音色方案、双嵌入可逆网络、交叉注意力检测器等。它们提升容量与不可感知性，并在固定失真集上报告鲁棒性，但载波基本与宿主无关且无密钥保护，因此无密钥载荷保护与宿主绑定都不在设计中。
另一条线是把水印做进生成模型内部，使该模型产出的每个样本自带标记，这帮助控制模型的一方，但本文研究的是验证者只拿到波形的情形，不在同一运行阶段。运行阶段不同意味着威胁模型不同，前者信任生成器，后者只信任波形本身，所以不能把两类方案的数字直接对比。
唯一的密钥化学习音频水印例外是 WAKE，它用密钥门控整个可逆嵌入网络，使错钥解码落到随机水平。但门控管的是整体变换，存在与载荷同样依赖密钥；载波仍与宿主无关；密钥化主张只有经验结果；评估只覆盖经典信号编辑，不测移除与错误归属。KeyBound 的区别是只掩码载荷而保留无钥存在头，任何人可检测带印，只有持钥人可读归属。
经典基础是两条旧思想。扩频水印的前提是载波保密，用秘密扩频密钥隐藏并保护水印；量化索引调制的思想是相对载体信号嵌入载荷并保持最小距离裕量，其背后是编码端已知边信息的脏纸编码与信道模型。学习水印为透明度与失真鲁棒性丢掉了这两样，KeyBound 把它们带回可学习设计。
脏纸编码 × 量化索引调制： 脏纸编码指编码端已知边信息时的通信模型，分工是给出宿主已知条件下嵌入的理论框架；量化索引调制是其实例，指相对载体信号用量化码本嵌入载荷，分工是给出宿主相关嵌入的具体做法；搭配理由是 KeyBound 用冻结对数梅尔特征调制载波正是对该经典思想的学习化继承，组合意义是把宿主绑定从理论带回可训练水印。
上述对照说明本文不是在失真目录上再刷一点，而是把缺失的两个绑定补回来，并让其面对经典编码当年不必面对的重合成攻击。这也决定了后文评估必须包含无钥解码与移植两条对抗轴，否则就回到了只测偶然退化的老路上。
要解决的溯源问题如何形式化，对手能做什么？
设宿主波形为长度为 T 的向量，载荷为 n 比特，密钥为长度为 L 的比特串，仅由嵌入方与授权验证者持有。嵌入器在感知预算内产生带印信号，对手可在失真预算内施加容许变换。无钥存在头输出零到一之间的分数，授权解码器仅持钥人可用，输出载荷估计。
除良性变换下的载荷恢复，还要求三件事。存在与载荷 2 级鲁棒性分别用检测准确率与比特准确率衡量；无密钥载荷保护要求无密钥时检测器输出按随机解码；抗错误归属要求无密钥一方不能让验证者接受其选定载荷，论文用载波移植来测试该条。存在是粗判断，载荷是细恢复，归属是带密钥的细确认。
威胁模型假设对手除部署密钥外什么都知道，架构与权重可公开，可在任意输入与试验密钥上运行模型，可收集任意多带印录音，但拿不到密钥也不能查询持钥验证者。主张是单样本的，因为固定复用的掩码不提供多消息保密，也不抗已知载荷推断，这两点超出本文声称与评估范围。
对手拿到带印录音后有 3 个目标：无钥读出载荷；在感知可用前提下通过信号处理、编解码器声码器去噪器重合成或训练移除网络抹掉水印；通过嵌入或移植载波制造验证者接受的错误归属。攻击只有在音频保持感知可用时才算数，否则对手自己也失去了攻击意义，这个可用性约束是判定攻击是否成立的前提。
一个样本如何走完嵌入到验证？
KeyBound 保留事后水印的生成器检测器结构，只改载波依赖什么与载荷如何被保护。处理对象是 16 千赫音频，以 1 秒为单元，载荷 16 比特。嵌入端先用密钥掩码载荷，使嵌入比特在无钥视角下随机；再把掩码后载荷投影并经宿主谱特征调制生成载波，加到宿主上得到带印音频。
检测端对接收音频做学习分析，产生每帧载荷对数与存在分数，并按存在加权池化载荷；持钥人翻转被掩码反转的比特符号恢复载荷；存在分数经阈值做无钥存在判决。归属判决要求存在与载荷两项同时成立，这就是后文反复出现的两合取规则。
下图是全文的方法总览，左侧是嵌入，右侧是密钥验证，建议先沿主路径看再看判决汇合。图中左侧宿主经对数梅尔投影与卷积得到每帧宿主表示，载荷经密钥掩码与多层感知机得到码字，二者在调制模块处汇合生成宿主条件载荷隐变量，再经卷积生成载波。右侧同一卷积检测体分出检测头与解码头。
看图路径： 1. 沿左侧宿主与载荷两条输入支路向中间汇合，确认调制模块的位置；2. 对比上方无钥检测头与下方需钥解码头的输出条件；3. 找到加法得到带印音频的节点与右侧合取归属判决
论文图 1。原论文 Figure 1.：“Overview of KeyBound. The payload is masked with a secret key and embedded through a carrier modulated by spectral host features C(x), so the mark is both keyed and host-bound.”。
该图把 3 个关键分工说清楚了，宿主支路提供信号依赖，使载波难以整体搬运；密钥只出现在载荷掩码与解掩，不参与存在检测，因此公开存在头不泄露归属；最终合取门解释了为什么重合成下常出现检得出但归属不了的现象。读图时注意加法节点是唯一的波形改动点，其余都是特征与判决，载波能量受感知预算缩放控制，像素中左右两块特征图的尺寸标注也暗示了帧级表示的对应关系。
嵌入的数学安排先从掩码开始，符号含义是波浪号为掩码后比特，异或为按位异或，掩码取自密钥前 n 位。
\[\tilde{m}=m\oplus\mu(\kappa),\qquad\mu(\kappa)=\kappa_{1:n},\]然后是载波生成，符号中大写 P 为每比特学习投影，大写 C 为宿主分析，调制为特征线性调制，大写 G 为卷积合成网络，阿尔法为载波缩放。
\[z=\mathrm{FiLM}\big(P(\tilde{m}),\,C(x)\big),\qquad\delta=\alpha\,G_{\theta}(z),\]最后是加性嵌入，带印信号等于宿主加增量，该增量是宿主与掩码载荷的联合函数，而非与宿主无关的固定图案。
\[x_{w}=x+\delta.\]这 3 步走完，一个样本就从原始波形变成了带印波形，等待后文检测器在可能受攻击的接收端重新打分与解码。
检测器如何分离存在判断与密钥解码？
检测器先对接收音频做学习分析得到隐表示，再产生每帧载荷向量与存在标量。载荷在帧间按存在注意力加权池化，存在分数在帧间平均后过阈值。关键操作是解掩：把池化后对数逐位乘以由掩码决定的正负一，再过零判决得到载荷估计。持钥人能做这个符号翻转，无钥人只能看到掩码后的随机码字。
存在分支全程不用密钥，因此任何验证方都能运行，这是公开可检测的来源。载荷分支必须有密钥才能把符号翻回来，这是归属受限的来源。2 分支共享前端卷积，但判决条件完全不同。
\[\ell=\bar{\ell}\odot\big(1-2\,\mu(\kappa)\big),\qquad\hat{m}=\mathbf{1}[\ell>0].\]归属规则是两项合取：存在分数超过阈值，且密钥解码与注册载荷的汉明距离不超过容限。论文部署点取载荷长度 16、容限 2，即 16 比特中至少 14 比特一致才算归属。存在验证是检测准确率的测量对象，归属验证是实际溯源决策，后者恰好多了密钥载荷检查。
\[V_{A}(y)=\mathbf{1}[s(y)\geq\tau_{s}]\wedge\mathbf{1}[d_{H}(\widehat{m}(y,\kappa_{A}),m_{A}^{\star})\leq\rho],\]理论保证分两层。单样本掩码不确定性说，若掩码均匀且对手未知，则掩码后比特在对手视角均匀，无钥或错钥只能按随机恢复载荷；固定目标错钥一致推论说，错钥解码与任意固定目标一致的概率等于与均匀随机目标一致的概率。在此均匀假设下，错钥通过归属规则的概率上界为容限内二项和除以 2 的 n 次方。
该上界只依赖载荷检查，提高存在误报并不能绕过它，因为存在门是与门中的一项，只能降低通过概率。部署点 16 比特容限 2 时界约为 2.1×10^{-3}，论文用命题形式给出，适用条件是单样本与诚实验证者。
密钥掩码 × 存在检测头： 密钥掩码负责把载荷比特与密钥异或，使嵌入码字在无密钥视角下均匀随机，分工是管载荷可读性；存在检测头负责不依赖密钥输出音频是否带印的分数，分工是管有无判断；二者搭配的理由是让任何人可检测但只有持钥人可归属，组合意义是把检测鲁棒性与载荷保密性解耦。
宿主绑定载体 × 移植伪造： 宿主绑定载体指载波生成经过冻结宿主谱特征调制，使载波成为宿主的函数，分工是破坏跨音频复用；移植伪造指把残差直接加到无关宿主上仍能通过验证，分工是检验复用风险；搭配理由是只有宿主相关载波才能让移植后的检测器拒绝，组合意义是把伪造抵抗从密钥保密转到信号依赖上。
存在验证 × 归属验证： 存在验证只要求存在分数超过阈值，分工是回答音频是否带印；归属验证同时要求存在分数达标且密钥解码与注册载荷汉明距离不超过容限，分工是回答是否属于某一方；搭配理由是重合成常保留存在但破坏精确载荷，组合意义是让论文能区分只检出与可归属两种结论。
3 个桥放在这里是为了在公式之后回看分工：密钥管可读性，宿主相关管可搬运性，存在与归属管结论强度，三者缺一就会把溯源退化为普通抗失真。
训练时优化什么，哪些参数动哪些冻结？
训练对象是生成器、检测器与投影，宿主分析中的对数梅尔前端冻结，只学其后的小投影。每步抽一个攻击通道作用于带印信号再解码，混合失真目录、重合成与循环内移除网络。重合成包括编解码往返、谱图声码器、谱去噪；移除网络与模型一起更新。
测试时报告的移除攻击不是该循环内网络，而是另行训练且不见检测器与密钥的重构网络，因此训练与测试的移除者是分离的。这个分离很重要，它避免了用训练见过的移除器自证鲁棒性，测试的移除器对模型是未知的。
目标函数是五项加权期望：消息交叉熵、存在交叉熵、伪造项、感知项、信噪比铰链项。消息项比较密钥解码与真实载荷；存在项把带印音频作正，把干净、受攻击、移除器输出 3 类作负，避免检测头把失真本身当成带印；伪造项把移植到打乱宿主上的载波的存在分数压到零。
感知项含多分辨率谱损失、波形与梅尔损失与时频掩蔽损失，信噪比项把信噪比目标从 6 分贝爬到 22 分贝。课程安排是先做大声水印再收紧信噪比，移除器在热身后启用，伪造项与感知项按步数爬坡，攻击通道概率从 0.25 升到 1。论文明确区分密钥与鲁棒性的来源。
重合成鲁棒性 × 失真目录鲁棒性： 失真目录鲁棒性指在噪声滤波重采样压缩等固定信号处理下保持解码，分工是应对偶然退化；重合成鲁棒性指在编解码器声码器去噪器重写波形细节后仍保持存在判断，分工是应对生成式重写；搭配理由是前者靠低能量加性载波即可，后者必须在训练中见过重写通道，组合意义是解释了基线在目录上很强但在重合成上崩溃的原因。
论文明确指出密钥只管载荷访问，不给移除鲁棒性；对固定去噪器的鲁棒性来自重合成通道训练与宿主绑定载波，而非密钥。去掉编解码通道的消融会丢编解码比特精度与部分检测，但去噪不受影响，这支持了通道针对性的解释，也说明训练通道是按攻击家族起作用的。
数据基线攻击与指标如何保证可比？
数据用 LibriSpeech 的 train-clean-100 中 28539 个 1 秒 16 千赫片段训练，在 test-clean 中 300 个保留片段测试。片段选择与载荷抽取设种子，所有方法看同样的 300 片段、同顺序、同载荷。每片段密钥从全局随机状态抽取而非固定种子，论文说明因密钥与载荷均匀故无关紧要，模型在随机密钥上训练。
该语料是基线原本开发评估所用，无域偏移优势；说话人划分不重叠；全是朗读英文，结论外推到其他域与长片段需谨慎。证据范围限定在 1 秒尺度的朗读语音，这是阅读主结果时必须记住的边界。
基线是 3 个已发布方案的作者代码与检查点：可逆窗 WavMark、定位训练 AudioSeal、抗声音克隆的音色水印。第三方项目页在投稿时只有论文结果演示而无公开推理代码与检查点，故无法纳入同协议攻击，解读中不将其当作可运行基线。采样率上音色水印跑原生 22.05 千赫 10 比特载荷，其余与 KeyBound 跑 16 千赫。
攻击分两族：信号失真含加噪、低通高通、重采样、增益、8 比特量化、32 kbps 压缩等；重合成含 6 kbps 编解码往返、声码器、基于噪声估计与谱门控的谱去噪器。指标方向是越高越好，检测准确率是在干净未带印片段上按存在分数取 1% 误报点的阈值处的真阳率。
比特准确率是正确比特占比；不可感知性看宽带感知质量、短时可懂度与信噪比；无钥解码看无钥比特准确率，0.5 为随机；移植错误归属看残差搬到无关音频后仍验证通过的比例。计算平台是单张 48 GB 显存图形卡，30,000 步训练约 1.6 小时，全攻击套件评估每方法不到 15 分钟，复现时可据此估计预算。
归属规则在失真与重合成下保住了什么？
比较问题是：在同片段同载荷下，归属规则要求存在与载荷同时成立时，谁能在失真与重合成下同时保住两者。公平条件是同 300 片段、同攻击算法、存在阈值各自按干净未带印的 1% 误报点固定。指标方向是真接受率越高越好。下表是归属规则本身的真接受率，而非存在或载荷单项。
| Signal distortion | Signal distortion | Signal distortion | Signal distortion | Signal distortion |
|---|---|---|---|---|
| Noise (20 dB) | 0.000 | 0.017 | 0.370 | 0.997 |
| Noise (10 dB) | 0.000 | 0.000 | 0.007 | 0.980 |
| EnCodec | 0.000 | 0.010 | 0.003 | 0.990 |
| Griffin-Lim | 0.987 | 0.000 | 1.000 | 0.200 |
| Denoiser | 0.000 | 0.000 | 0.010 | 0.973 |
上表行覆盖干净、信号失真与重合成，列是 3 种基线与 KeyBound，数值是归属真接受率。KeyBound 在 14 个攻击中的 13 个上归属至少 0.97，唯一例外是声码器重合成处仅 0.20，因为平均比特精度 0.70 使只有两成片段能凑满 14 比特一致；此时存在仍为 1.00，即检得出但归属不了。基线在滤波与轻编辑下可归属，但在噪声与重合成下很少同时成立。
未胜出项必须指出：在声码器精确恢复上 WavMark 与音色方案接近完整通过，而 KeyBound 退化，这是其载波设计在相位丢弃通道上的短板。AudioSeal 即使干净也只有 0.813，因比特精度不足使约两成片段达不到容限。编解码与去噪下基线最好不超过 0.01，20 分贝噪声下最好仅 0.37，这些数字支持了归属比单项检测更严格的判断。
第二个比较问题是泛化：训练见过的编解码与谱去噪之外，未见过的通道是否还能检出。公平条件是同 300 片段、阈值不重调，质量列衡量通道对音频的损伤而非水印透明度。下表是保留 DAC 与 BigVGAN 重合成结果。
| Attack | DA | BA | PESQ | STOI | SI-SNR |
|---|---|---|---|---|---|
| DAC | 0.92 | 0.70 | 2.99 | 0.96 | 10.5 |
| BigVGAN | 1.00 | 0.50 | 2.88 | 0.98 | -2.7 |
上表中 DAC 检测 0.92、比特 0.70，BigVGAN 检测 1.00、比特 0.50，复现了声码器处已见的 2 级分化：存在迁移而精确载荷退化。DAC 有固定 8 采样编解码延迟，经整数互相关对齐后信噪比回到 10.5，BigVGAN 因梅尔重合成改写相位，对齐后仍为负。不可感知代价是 KeyBound 宽带感知质量为 3.03、可懂度 0.981、信噪比 24.6 分贝。
论文把这表述为用感知质量换重合成下检测存活，且代价是实测并公开的。感知质量低于 WavMark 与音色方案，但可懂度是学习方案中最高，远高于音色方案的低可懂度，这说明代价主要在感知质量而非可懂性上。
拿掉宿主锚与编解码通道会发生什么？
消融问题是每个机制各自贡献哪个性质，代价是什么。方法是每次只移除一个机制其余固定。原文报告：去掉宿主锚而保留密钥，移植验证率从 0.04 升到 1.00，跨宿主载波相似度从 0.53 升到 1.00，退化为单一可复用模式；宿主无关变体在编解码下比特精度从 0.98 掉到 0.52 而检测仍为 1.00。
这说明宿主条件帮助载荷经受重合成；其唯一代价是透明度，感知质量从 3.03 升到 3.64。去掉编解码通道则编解码比特精度从 0.98 掉到 0.54、检测从 1.00 掉到 0.92，而仍在通道中的去噪不受影响；该变体更安静，感知质量为 3.45。密钥掩码无消融行，因异或不改变维度与其它指标。
容量上 8 与 16 比特在干净与去噪下可精确恢复，32 与 64 比特掉到 0.72 与 0.64 且继续训练不恢复，可靠容量约 16 比特。下表整理训练配置，数字来自原文连续句，用于复现时核对网络、优化与权重，而非替代性能比较。
| 配置项 | 取值 | 基线 | 本方法 | 比较对象 |
|---|---|---|---|---|
| 网络隐维 | 128 维 | 卷积网络 | 卷积网络 | 生成器与检测器 |
| 载荷密钥 | 16 比特 | 随机密钥 | 随机密钥 | 每片段掩码 |
| 优化步数 | 30000 步 | 批量 12 | 1 秒片段 | AdamW 训练 |
| 训练耗时 | 1.6 小时 | 单卡评估 | 15 分钟内 | 全攻击套件 |
| 载波缩放 | 1 | 单位权重 | 单位权重 | 掩蔽与信噪比项 |
上表说明可运行的训练起点：若复现，应先按该批量与步数跑通干净解码，再逐步打开攻击通道与伪造项；若改隐维度或批量，需同步核对感知爬坡与攻击概率爬坡，否则透明度与鲁棒性权衡会移位。该表不代替主结果表，主结果的比较仍以归属真接受率为准。
下表整理验证规则的操作点，数字来自原文连续句，用于理解真接受与错钥接受的权衡，指标方向是真接受越高越好、错钥接受越低越好。
| 操作点 | 取值 | 基线 | 本方法 | 比较对象 |
|---|---|---|---|---|
| 载荷长度 | 16 比特 | 组合空间 | 组合空间 | 均匀假设 |
| 容限 | 2 比特 | 14 比特一致 | 14 比特一致 | 归属门限 |
| 适用条件 | 单样本 | 诚实验证者 | 未知均匀掩码 | 命题假设 |
| 存在门 | 阈值判断 | 只能降低 | 只能降低 | 通过概率 |
上表解释了容限的双向作用：增大容限提高真接受但同步放大错钥接受界；8 比特时界太松无意义，加到 24 与 32 比特时界指数收紧但载波已撑不住鲁棒性，因此部署取 16 比特与容限 2 是统计强度与载波能力的折中。存在门只能降低错钥通过概率，所以调高存在误报并不能帮助对手绕过载荷检查。
什么攻击仍能抹掉水印，误报如何控制？
主要开放局限是自适应移除，它在错钥界之外。另行训练的重构网络以带印音频为输入、干净为目标，不见检测器与密钥，训练 20,000 步后把检测打到 0.02，且听感无退化。这不否定固定非自适应重合成结果，而是事后水印一旦允许对手针对部署检测器训练时的普遍困境。论文同时做了误报控制。
检测阈值定在干净未带印上，7 个攻击的实际误报在 0.013 以下，其余在 0.03 到 0.13 之间，10 分贝噪声达 0.803；但用同攻击负样本重调阈值后匹配检测仍为 1.000，说明是分数整体漂移而非两类不可分。去噪下带印最低分仍高于未带印最高分，强制 1% 乃至千分之一误报也不掉检测。
下图左为信噪比预算扫描的质量鲁棒前沿，右为自适应移除预算曲线，建议按观察动作读像素趋势而非硬读未标注数值。左图横轴是感知质量，纵轴是去噪比特精度，部署点星号位于中间偏左；右图横轴是移除器训练步数，纵轴是检测与比特精度，阴影区标记已移除。
看图路径： 1. 先看左图横轴感知质量与纵轴去噪比特精度的折线走向；2. 再看右图随移除器步数增加的两条曲线的分叉点；3. 确认阴影区标注的已移除阈值与部署点星号位置
论文图 2。原论文 Figure 2.：“(a) Sweeping the SNR budget traces the quality–robustness frontier, and the deployed model (star) sits at a PESQ of 3.03 with 0.98 denoiser bit accuracy.”。
像素可见的趋势是左图更安静的水印对应更高感知质量但去噪比特精度从约 0.998 掉到约 0.792，部署点在感知质量为 3.03 处保持 0.98；右图弱攻击 1000 步时检测仍为 1.00，4000 步掉到 0.17，20000 步到 0.02，而比特精度下降更慢。移除后音频质量反而更接近干净宿主，4000 步时感知质量已到 4.18 以上，说明攻击者无需付出听感代价。这正是论文称之为真正局限而非小扰动的原因，也是部署时必须预留的对抗预算。
复现应先做什么，需要补哪项验证？
复现先做三件事。第一，按 1 秒 16 千赫、16 比特载荷、随机密钥的数据管线跑通嵌入与解码，核对干净下检测 1.00 与比特精度接近 1.00，再接入失真目录与重合成通道。第二，固定存在阈值在干净未带印的 1% 误报点，分别报告存在与载荷两列与归属合取列，避免只报单项掩盖声码器处的分化。
第三，实现移植测试：用干净宿主求残差并无缩放加到无关宿主上，用各自 1% 误报阈值做两项合取验证，核对 KeyBound 接近拒绝而去掉宿主锚后接近全通过。移植测试需要干净宿主，属于比威胁模型更强的预言残差攻击，论文在该更强条件下仍报告低通过率。
还需补的验证在原文已点名。密钥是固定复用掩码，只给单样本均匀性，不给多消息保密与抗已知载荷推断；验证者是诚实的，不界定自适应查询推断掩码的对手；不声称密码学不可伪造，能调用或近似嵌入器的对手可尝试重放或在新宿主上重嵌。防住需载荷连同宿主指纹一起做消息认证码或签名，这是未来工作。
部署上无对手的良性处理用更透明的水印更便宜，KeyBound 的场景是存在读、抹、嫁接风险且需持钥授权验证的场景。资源方面，原文只给训练与评估耗时，未报告推理延迟与实时因子，实际延迟需另测；证据是朗读英文 1 秒尺度，其他域与长片段待研究。
第三方资源状态方面，本次收到的资源为第三方项目页，状态为可用，状态码 200，地址为演示页。论文正文说明该页在投稿时只有论文结果演示而无公开推理代码与检查点，因此无法纳入同协议攻击，解读中不将其当作可运行基线，这个缺席本身也是可比性声明的一部分。
何时值得尝试这个方案？
当任务从固定失真下的载荷恢复升级为对抗性归属时值得尝试：需要任何人可检测、只有持钥人可读归属，且担心载波被整体搬运到无关音频上。KeyBound 的回答是密钥只掩码载荷、载波经冻结谱特征调制、训练见过编解码声码器去噪与循环内移除，并用存在与载荷合取的规则做决策，错钥接受有组合界。
它在谱去噪与编解码下保住检测与载荷，在未见 DAC 与 BigVGAN 上保住检测但丢精确载荷，在声码器处同样只剩检测。代价是感知质量下降与容量止于约 16 比特，开放缺口是可训练的重构移除。这些结论都限定在朗读英文 1 秒片段与给定阈值标定方式下，换域换时长需要重新标定阈值与误报。
对初学者的启示是：不要把一条失真曲线当成溯源证明，至少分开报告存在、载荷、归属三列，附上无钥解码与移植验证，并说明阈值在哪类数据上固定、实际误报是多少。若只能做一项补充验证，优先做移植与自适应移除，因为它们直接决定水印能否当证据。
这正是 KeyBound 把问题重新表述为密钥化、宿主绑定归属问题的理由：先把谁可读、谁可搬、什么重写能存活分开测量，再谈水印是否可用，而不是用一个固定目录的总分代替 3 个不同的安全问题。
📎 论文与评分元数据
排名：前50% | 文档类型：方法研究 | arXiv 原文
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
评分规则：type-aware-v1
评分模型：muse-spark-1.3-contributor
评分请求协议：openai_responses