📄 从自己的误判里长出监督：SE-ADD 在演变伪造环境中的累积适应
英文题目：SE-ADD: Self-Evolving Audio Deepfake Detection with Mistake-Driven Supervision
标签：#音频深度伪造检测 | #LoRA | #持续学习 | #音频大模型
评分：7.6/10 | 创新 1.3/2 | 技术严谨 1/1.5 | 实验充分 1/1.5 | 清晰度 0.8/1 | 影响力 1/1.5 | 开源 1.2/1.5 | 可复现 0.3/0.5 | 工程/实践 1/1.5
👥 作者与机构
- Rong Wan：机构信息未在 arXiv HTML 中可靠披露
- Wei Xie：机构信息未在 arXiv HTML 中可靠披露
- Jiaxi Li：机构信息未在 arXiv HTML 中可靠披露
- Wenwu Wang：机构信息未在 arXiv HTML 中可靠披露
- Lu Yin：机构信息未在 arXiv HTML 中可靠披露
- Yiliao Song：机构信息未在 arXiv HTML 中可靠披露
- Xilu Wang：机构信息未在 arXiv HTML 中可靠披露
📌 核心摘要
音频深度伪造检测的输入为待判音频波形，输出为真实或伪造二分类判决，在部署后新攻击成为主流而旧攻击低比例残留时需持续保持泛化。所提自演化音频深度伪造检测框架先由当前音频语言模型为训练音频生成取证线索，再用无线索判决定位错分样本并为其追加线索联合生成与条件判决监督。上述混合任务池用于更新低秩适配参数，更新后模型重新生成线索与判决以驱动下一轮监督演化，每环境经开发集选择最优轮次并将适配器跨环境传递。相比固定使用标签或预制推理链的监督，该机制使监督位置与内容随模型失败分布动态变化，兼具纠错聚焦与线索可利用性训练。固定未见攻击评测上Qwen2-Audio的等错误率由36.72%降至7.52%，MOSS-Audio由19.93%降至3.97%，显示跨攻击迁移收益。适用边界在于评测仍限于ASVspoof 2019 LA内部分攻击划分，自生成线索未经声学验证且线索收益高度依赖骨干与推理方式。原文未披露训练、推理或部署成本。
🔗 开源与复现资源
- 代码相关资源：https://github.com/SE-ADD/SE-ADD — 链接可访问（HTTP 200）
可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
输入是什么，目标是什么，本文要解决哪类失败？
本文的输入是一段待判定的语音，输出是该语音为真实人声还是伪造语音的二分类 verdict。目标读者是刚进入语音与音频方向的研究生，因此先把术语说白：音频伪造检测就是判断声音是不是机器合成或语音转换产生的假声；音频语言模型就是能听音频并按提示词输出文本的大模型，它既能直接回答真假，也能写出自己觉得可疑的地方。
已有基于音频语言模型的做法多用预先定好的监督，例如只给真假标签，或给人工整理好的取证推理过程，训练 1 次后就固定不变。论文指出的问题是，当部署后出现新的主导伪造攻击时，模型会在新混合分布上犯错，而这些错例恰恰指出了当前最需要补监督的位置，但预定义监督并不看模型错在哪里。于是本文要回答的是，能否让模型用自己的错误来构造追加监督，并随环境变化不断刷新监督。本文当前可用，已公开代码链接，资源状态为 available。
本文只研究有标签适应条件下的演变适应，不研究无标签在线检测或攻击溯源。
音频语言模型 × 音频伪造检测： 音频语言模型负责听懂音频并生成文本判断和解释，音频伪造检测负责判定输入是真实人声还是合成或转换语音，二者搭配的理由是把通用音频理解能力转用于取证判别，组合后新增的作用是模型既能直接给真假 verdict，也能产出可被再次利用的取证线索。
同输入同目标的工作在监督来源上有何不同？
按同输入、同目标、同运行阶段来对照，相关路线可分为 3 类。第一类是只用真假标签做监督微调，优点是简单直接，缺点是模型错在哪里都得到同样的纠正强度。第二类是加入人工核验过的取证原理解释或思维链标注，让模型学推理过程，优点是提供更丰富的学习信号，缺点是这些解释在训练前就写死，不随模型能力变化。第 3 类是语言模型自演进的思路，用模型自己生成的输出作为下一轮训练信号。
SE-ADD 属于第二类与第 3 类的交叉，但有一个关键区别：它的取证线索是自生的，不是人工核验的声学真值。原文明确说这些输出被称为取证线索而不是已验证解释，因为文本层面的质量控制并不独立验证其声学正确性。这意味着不能把线索当成法庭意义上的证据，只能当成模型当前理解的、可用于构造训练任务的中间文本。另一点区别是追加监督只给错例，对例只保留直接任务，这与均匀对待所有样本的做法不同。
演变环境具体如何构造？训练开发评估各用什么数据？
论文构造了一个由多个伪造环境组成的序列，每个环境有自己的伪造攻击混合比例。用白话说，就是在每个时间点，哪种合成算法占多数、哪些旧算法少量残留，都是事先按曲线设计好的。形式上记攻击集合为不同编号的伪造算法，环境 t 的混合比例表示在该环境下已知是伪造的样本中每种攻击所占份额。作者用连续仿真变量和每种攻击的引入时刻来生成平滑的兴衰曲线，并保留一小部分概率质量给已出现过的旧攻击，以模拟新攻击主导但旧攻击不消失。
每个实验环境对应 1 次快照，攻击排序是合成的，不代表历史上攻击出现的真实先后。每个环境的训练集和开发集共享同一混合比例，都包含真假均衡样本，开发集只用于在当前环境内选择表现最好的适配器。另有一个固定的评估集，只含真实样本和由演变阶段从未见过的攻击生成的伪造样本，用于测对未知攻击的泛化。训练集、开发集互不相交，伪造话语在不同环境之间也不相交，真实样本则从共享的按划分切分的池中抽取。
演变伪造环境 × Norton-Bass 活动过程： 演变伪造环境负责定义随时间变化的攻击混合比例，其中新攻击占主导而旧攻击低比例残留，Norton-Bass 活动过程负责给出连续时间上各攻击兴起和衰落的平滑曲线，二者搭配的理由是需要可控可复现的分布漂移，组合后新增的作用是可以用六个快照系统地测累积适应和未见攻击泛化。
SE-ADD 一轮之内和跨环境之间分别做什么？
SE-ADD 的全景可以沿一个样本走一遍来理解。输入是一段音频和当前模型状态，模型由冻结的基座参数和可训练的低秩适配器参数组成。第一步，当前模型为该音频生成若干候选取证线索，不给真值标签也不给攻击编号。第二步，同一模型在不看线索的情况下给出直接真假 verdict，并与真值比较以判定是否犯错。第三步构造监督：所有样本都得到直接判别任务，判错且有可用线索的样本额外得到两个线索相关任务。
第 4 步用这些任务做有监督微调，只更新适配器，然后用更新后的模型重新生成线索和 verdict，进入下一轮。在一个环境内做固定轮数后，用开发集选等错误率最低的一轮，把它的适配器作为下一个环境的起点，于是知识跨环境累积。下图把上述闭环和跨环境传递画在了一起，上半部分是轮内 4 步，下半部分是环境链。 导读本图时建议先看主路径再看分支，最后看跨环境传递，这样能把轮内自演进和环境间累积区分开。
看图路径： 1. 先从左到右走一轮内的四个编号框，确认音频输入到模型更新再到重生成的闭环；2. 对比第三框中判对与判错两条分支的监督任务数量差异；3. 再看下半部分多个环境框之间选择适配器并向右传递的箭头；4. 注意底部回环箭头标注的下一轮含义
论文图 1。原论文 Figure 1:：“Overview of SE-ADD. Top: one self-evolution round with forensic-cue generation, mistake-driven supervision, and LoRA updating.”。
图中上半部分从左到右依次是当前模型、生成取证线索、检测与错误驱动监督、低秩适配器更新。第一框区分了冻结的预训练模型和可训练的适配器，第二框显示生成多个候选线索后经过文本层过滤，第三框把无提示预测与真值比较后分成判对与判错两路，判对只保留直接任务，判错得到更丰富的纠正并汇入类别均衡后的监督集合，第四框做有监督微调并重生成线索和预测，底部回环箭头指回适配器表示下一轮复用更新后的模型。下半部分把每个环境内的多轮搜索和按开发集选择适配器的操作串成链，箭头方向表示伪造分布漂移下的累积适应，最终得到演变后的模型。
线索如何生成，错误如何定位，三种任务各练什么？
先讲自生取证线索。白话说，线索就是模型用文字描述的它认为可疑的声学现象，例如不自然的韵律或拼接痕迹，但原文不保证这些描述声学上正确。实现上对每个训练音频，用固定的线索生成提示词采样多个候选线索列表，采样时不提供标签。随后经过文本层过滤得到保留集合，用于构造后续监督。过滤只做文本质量控制，不做声学核验，这是复现时必须记住的信息条件。
\[\mathcal{C}_{i}^{t,r}=\{c_{i,k}\}_{k=1}^{K},\qquad c_{i,k}\sim\mathcal{M}\left(\cdot\mid x_{i},P_{\mathrm{cue}};\theta,\phi_{t,r}\right).\]该式说明线索集合由当前模型在给定音频和线索提示词下采样得到，符号分别表示第 t 个环境第 r 轮的适配器状态、冻结基座参数和第 i 个样本的第 k 个候选。 再讲错误定位。模型对同一音频用固定的二分类提示词做无提示 verdict，该提示不包含已生成的线索，因此能反映模型不借助解释时的直接判别能力。若该 verdict 与真值不一致，就标记为当前错误。
\[\hat{y}_{i}^{t,r}=\mathcal{M}\left(x_{i},P_{\mathrm{cls}};\theta,\phi_{t,r}\right),\]该式说明无提示 verdict 由音频和分类提示词经当前模型得到，是后续是否追加监督的开关。 3 种监督任务分工如下。直接任务从音频到真值标签，练直接判别；生成任务从音频到保留线索加真值 verdict，练把线索说出来并判对；条件任务从音频加保留线索到真值标签，练借助线索再判。构造规则是每个样本必有直接任务，仅当判错且保留线索非空时才并入后两种任务。
\[\mathcal{T}_{i}^{t,r}=\{\tau_{i}^{\mathrm{dir}}\}\cup\begin{cases}\{\tau_{i}^{\mathrm{gen}},\tau_{i}^{\mathrm{cond}}\},&\hat{y}_{i}^{t,r}\neq y_{i}\land\widetilde{\mathcal{C}}_{i}^{t,r}\neq\varnothing,\\ \varnothing,&\text{otherwise}.\end{cases}\]该式把上述规则写成集合操作，空集分支对应判对或无可用线索的情况。由于追加任务可能导致两类标签的任务数不等，作者在组成微调任务池后按类别过采样做均衡。需要指出，原文未报告线索过滤器的具体规则细节和过采样后的精确任务数，这是复现时的缺项，只能按代码实现补齐，不能从模型名推定。
取证线索 × 错误驱动监督： 取证线索负责暴露模型自己对一段音频的可疑之处的文本化理解，错误驱动监督负责只对当前判错的样本追加更重的学习任务，二者搭配的理由是错例指出了能力短板而线索提供了补课材料，组合后新增的作用是全量样本保住直接判别能力，错例额外学会生成线索和借助线索再判。
低秩适配 × 自演进： 低秩适配负责只更新小规模附加参数而冻结骨干大模型，自演进负责让更新后的模型重新生成线索和 verdict 从而刷新下一轮监督，二者搭配的理由是要在多个环境中低成本累积知识而不重训全模型，组合后新增的作用是适配器跨轮次和跨环境连续携带，监督随模型能力变化而变化。
参数谁冻结谁更新，轮次如何推进，何时重置？
训练的职责是把错误驱动监督变成持久的适配器变化。原文明确冻结基座参数，只更新低秩适配器参数。优化时不是每轮从头训练一个新适配器，而是在当前适配器基础上继续有监督微调，因此适应是累积的。每轮的任务池来自上一段的构造规则，训练固定轮次后，用互不相交的开发集按等错误率选最优轮次，再把该适配器搬到下一个环境作为起点，不重置回初始值。
\[\mathcal{M}(\theta,\phi_{t,0})\rightarrow\mathcal{M}(\theta,\phi_{t,1})\rightarrow\cdots\rightarrow\mathcal{M}(\theta,\phi_{t,R}),\]该式表示同一环境内适配器状态从进入时的初始值经多轮更新向前推进，R 为最大演变轮数，实验中每个环境取两轮。
\[r_{t}^{*}=\arg\min_{r\in\{1,\ldots,R\}}\mathrm{EER}\left(\mathcal{M}(\theta,\phi_{t,r}),\mathcal{D}^{\mathrm{dev}}_{t}\right).\]该式表示在开发集上取等错误率最小的轮次作为该环境的选中结果，搜索范围是已完成的更新轮，不含进入时的零轮。实验中每轮训练 3 个周期，批量与梯度累积等优化设置按骨干分别给出。原文比较了直接微调与 SE-ADD 在相同环境序列、相同轮数、相同训练样本数和相同优化步数下的表现，但也明确提示由于线索增强目标更长，两者在词元暴露量上并不相同，因此不能把两者理解为严格等词元的对照。梯度路径方面，原文只说明更新适配器而冻结基座，未给出更细的层级冻结或梯度截断描述，复现时应以代码的低秩作用位置为准。
数据划分、骨干配置、基线与指标如何保证可比？
实验条件按数据、模型、基线、指标四部分交代。数据来自 ASVspoof 2019 LA 的训练、开发与评估划分，用其中一部分攻击构造 6 个演变环境，用评估划分中从未参与演变的攻击构造固定评估集。每个环境的训练与开发话语数和真假配比是固定的，伪造话语跨环境不重叠，真假划分互不相交。评估集规模更大且真假均衡，伪造部分只含未见攻击，因此能测从已见攻击流向未知攻击的迁移。
骨干用两个音频语言模型，低秩作用于注意力与前馈投影，秩与缩放系数等按骨干分别设置，每个音频生成 3 个候选线索并控制采样温度与最大新词元数。基线包括不适应的骨干、只用真假目标做序列有监督适应的直接方法、复用首轮线索而不重生成的冻结线索变体，以及完整的 SE-ADD。直接方法与 SE-ADD 在环境序列、轮数、样本数和优化步数上对齐。指标用等错误率，越低越好，并区分无提示与自提示两种推理。
下表把数据规模与攻击来源整理成可核对的形式，阅读时先看划分再看数量，最后看攻击是否重叠。 下表提出的核心比较问题是各划分的数据量与攻击来源是否分离，公平条件是训练与开发同分布而评估用未见攻击，指标方向是后续等错误率越低越好。
| 划分 | 总话语数 | 真实样本数 | 伪造样本数 | 伪造攻击来源 |
|---|---|---|---|---|
| 每个演变环境的训练集 | 1024 | 512 | 512 | A01 至 A06 按环境混合 |
| 每个演变环境的开发集 | 1024 | 512 | 512 | 与同环境训练集同混合 |
| 固定评估集 | 8192 | 均衡中的真实部分 | 均衡中的伪造部分 | A07 至 A19 未见攻击 |
表后需要说明的是，该表的收益是让后续所有等错误率数字都有明确的分母与攻击边界，代价是真实样本来自共享池而伪造样本跨环境不交叠，因此环境间的真实分布差异小于伪造分布差异。
未胜出的边界是原文未报告说话人与录音条件的划分细节，复现时不能自行假设攻击混合之外的分布完全一致。 下图展示了 6 个环境的攻击流行度曲线与快照位置，阅读前先确认坐标轴含义再跟踪每条曲线的兴衰。
看图路径： 1. 先确认横轴是仿真时间而纵轴是目标伪造攻击流行度；2. 逐条跟踪 A01 到 A06 曲线的升起与回落顺序；3. 观察六条竖虚线快照位置与主导攻击如何切换
论文图 2。原论文 Figure 2:：“Constructed evolving spoofing environments.”。
该图横轴为仿真时间，纵轴为目标伪造攻击流行度，6 条曲线分别对应不同攻击编号，随时间依次升起再回落，顶部虚线标出 6 个快照位置，每个快照处都有一个攻击占主导而更早的攻击保留很低的残留质量。教学上可以把该图当作分布漂移的时刻表：它解释了为什么每个环境都需要重新适应，也解释了为什么固定评估集必须用从未出现的攻击，否则就测不出对未知攻击的泛化。
环境内是否有益，跨环境向未见攻击迁移了多少？
结果按两个问题组织。第一个问题是每一环境内的自演进是否带来有益更新。做法是比较选中后的演变模型与进入同一环境时的模型在开发集上的等错误率变化，负值表示改善。原文报告在两个骨干上 6 个环境全部为负，说明都能找到有益适应。选中轮次与环境和骨干有关，并非固定选最后一轮，这支持用开发集选轮而不是默认取末轮。
下图把该变化量画成条形，左为一个骨干右为另一个骨干，条形下方标注选中轮次。 导读该图时先看纵轴是变化量而非原始指标，再比较首个环境的大幅改善与后续环境的较小改善，最后核对标注轮次。
看图路径： 1. 先确认纵轴是选中模型的开发集等错误率变化量，负值表示相对进入该环境时有改善；2. 对比左右两幅子图在 D0 处断轴条形的标注数值；3. 逐个读取 D1 到 D5 上方标注的选中轮次是 R1 还是 R2
论文图 3。原论文 Figure 3:：“Within-environment development-set EER change.”。
该图左右两幅分别对应两个骨干，横轴为 6 个环境，纵轴为选中模型的开发集等错误率变化，单位为百分点，全部条形向下表示相对进入时都有改善。首个环境的改善幅度最大并采用断轴显示，其余环境改善较小但仍为负，标注显示有的环境选第一轮有的选第二轮，说明最优轮次依赖环境与骨干。像素可辨认的两个标注值分别对应大幅下降，其余条形高度只能定性比较，不能读出精确到小数的值。 第二个问题是跨环境累积后能否迁移到从未见过的攻击。
做法是在固定的未见攻击评估集上跟踪从基座到最后一个环境的等错误率。原文报告一个骨干从 30% 多的基座降到 7% 点多，另一个从 19% 点多降到 3% 点多，总体降幅大但中间轨迹并非严格单调，说明适应新混合时可能暂时牺牲未见攻击性能。下图展示了该轨迹，横轴为演变阶段，纵轴为未见攻击等错误率。
无提示推理 × 自提示推理： 无提示推理负责只看音频直接输出真假，自提示推理负责先让模型自生线索再把线索连同音频一起作为判别输入，二者搭配的理由是要分离直接判别力和利用显式线索的能力，组合后新增的作用是可以判断取证线索监督到底强化了哪一种推理通道。
导读该图时先确认纵轴越低越好，再看从基座到首个环境的大幅下降，最后观察中间的上扬与回落。
看图路径： 1. 先确认横轴是演变阶段而纵轴是固定未见攻击集上的等错误率，越低越好；2. 对比黑色实线与蓝色虚线从 Base 到 D0 的大幅下降幅度；3. 观察中间 D1 到 D2 段是否严格单调下降
论文图 4。原论文 Figure 4:：“Held-out unseen-attack EER across evolution stages.”。
该图黑色实线与蓝色虚线分别对应两个骨干，从基座点出发在首个环境大幅下降，随后在中间阶段出现非单调波动，一个骨干在中间阶段先回升再下降，另一个则相对平稳下降，最终都明显低于起点。右端标注的终点值与摘要一致，中间点的精确值在像素中不易精确辨认，应以正文报告的起点与终点为准，不把末步结果推广为每一步都改善。 下表把起点终点与遗忘测量的关键数字放在一起，阅读时先看骨干再看阶段，最后看聚合对象是未见集还是已见环境。
| 骨干 | 起点未见集等错误率 | 终点未见集等错误率 | 已见环境平均表现 | 相对历史最优的变化 |
|---|---|---|---|---|
| Qwen2-Audio 类骨干 | 36.72% | 7.52% | 2.23% | 退化 0.66 个百分点 |
| MOSS-Audio 类骨干 | 19.93% | 3.97% | 未报告 | 未报告 |
表后解释是起点终点的大幅下降支持从已见攻击流向未见攻击的知识迁移，而对已见环境的回测显示最终模型平均仍保持较低错误率，但比各阶段历史最优平均退化约 0.66 个百分点，说明累积适应有轻微遗忘。
未胜出项是中间阶段的非单调波动，它提醒总体趋势不等于每一步都成立，部署时不能假设新环境一定提升未见攻击性能。
取证线索监督到底强化了哪种推理？
消融按推理方式拆开比较。测的是同一演变流程结束后，在无提示推理与自提示推理下直接微调与完整方法的等错误率。条件对齐方面，两者环境序列、轮数、样本数和优化步数相同，但词元暴露量不同，因为线索增强目标更长。指标方向仍是越低越好。
原文显示在无提示推理下直接微调反而更低，在自提示推理下完整方法更低，且自提示能否带来绝对改善还依赖骨干：在一个骨干上自提示把完整方法从 7% 点多降到 5% 点多，在另一个骨干上自提示反而从 3% 点多升到 9% 点多。这说明线索监督主要改善的是利用显式线索的能力，而不是均匀增强直接判别力。下表把该对照整理成可复述的形式，比较前先确认行是方法、列是推理方式，公平条件是同流程不同监督。
下表要回答的问题是线索监督的收益是否只在借助线索时显现，公平条件是同环境序列与同优化步数，指标方向是等错误率越低越好。
| 骨干 | 推理方式 | 直接微调等错误率 | 完整方法等错误率 | 相对优劣 |
|---|---|---|---|---|
| Qwen2-Audio 类 | 无提示直接判别 | 6.42% | 7.52% | 直接微调更低 |
| Qwen2-Audio 类 | 自提示借助线索 | 6.45% | 5.90% | 完整方法更低 |
| MOSS-Audio 类 | 无提示直接判别 | 3.47% | 3.97% | 直接微调更低 |
| MOSS-Audio 类 | 自提示借助线索 | 21.07% | 9.84% | 完整方法更低但绝对值仍高于无提示 |
表后解释是主要收益集中在自提示通道，代价是在无提示通道上完整方法略逊于直接微调。
具体反例是后一个骨干即使经过线索监督，自提示的绝对性能仍明显差于无提示，说明学会从线索中学习不等于推理时一定能从自生线索中受益。未评测的边界是冻结线索变体的完整数字，原文只设了该基线概念而未在给定证据中展开定量对比，因此不能断言重生成线索相对冻结线索的精确增益。
哪些结论有边界，哪些量根本没有测？
先区分 3 类表述。论文直接报告的是六环境全部有环境内改善、未见集起点终点大幅下降、无提示下直接微调更优而自提示下完整方法更优。有限解释的是线索监督主要改善利用线索的能力，以及累积适应伴随轻微遗忘，这些解释有数字支持但只在两个骨干和一组攻击划分上成立。未验证推测是把自生线索当成通用取证能力，原文已明确线索未经声学核验，因此不能当成已验证的声学证据。缺失的证据不是技术错误，但复现与引用时要说清。
原文未测量误判率之外的延迟、吞吐、训练算力与推理开销，也未报告统计显著性与多次随机种子的方差，因此不能承诺这些量得到改善。数据边界是真实样本共享池、伪造样本跨环境不交叠、评估只用一组未见攻击编号，换一组攻击划分或更长的环境链结论可能变化。
方法边界是开发集选轮依赖同环境开发集，若开发集本身也被新攻击主导，选中轮次可能偏向当前环境而牺牲未见集，这是中间轨迹非单调的一个可能来源，但原文未做因果验证，只能记为待验证。
要复现先准备什么，先跑哪条最小链路？
复现先做三件事。第一，按原文划分准备数据：用训练与开发划分构造 6 个环境的混合比例，保证每环境训练与开发各有固定数量且真假均衡，伪造跨环境不重叠，另用评估划分构造固定规模的均衡评估集且伪造只含未见编号。第二，准备两个骨干的可运行权重与低秩配置，注意秩、缩放、作用位置与丢弃率按骨干分别设置，每个环境做固定轮数、每轮固定周期，并为每个音频生成固定数量的候选线索。
第三，实现轮内闭环：生成线索、文本过滤、无提示 verdict 判定错误、按规则组装 3 类任务、类别均衡、微调适配器、重生成线索与 verdict，再用开发集按等错误率选轮并向下一环境传递。最小可运行链路建议先跑一个环境两轮，检查开发集变化为负且选中轮次可复现，再串起 6 个环境并跟踪固定评估集。
代码当前可用，已公开，但要区分代码开源、权重下载与系统可运行是三件事：有代码不等于权重可直接下载，也不等于按上述数据与超参数能一键复现，缺失的过滤器细节与随机性控制需以实际仓库为准。关键超参数与信息条件包括是否冻结基座、是否累积更新、是否重生成线索、开发集是否与训练集同混合，这些都影响结论成立，改动其中任何一项都应重新评估无提示与自提示两条通道。
何时值得尝试这种从错误中长监督的做法？
当任务满足 3 个条件时值得尝试：部署后分布会漂移且新攻击会占主导，模型具备生成中间文本线索的能力，有标签的小批量新环境数据可持续到来。SE-ADD 的适用动作是把错例当作预算分配器，把自生线索当作错例的补课材料，并用开发集选轮与跨环境传递把短期修正沉淀为长期适配。不适用或需谨慎的情形包括：线索质量很差且过滤器很弱，此时追加任务可能引入噪声；推理时只能用无提示直接判别，此时原文显示直接微调可能更优。
对遗忘敏感且需长期保留旧攻击性能，此时要额外补保留旧分布的验证。还有一个论文特有的误解需要澄清：自演进不等于模型自己发明了新知识，它只是把当前模型对训练样本的理解重新组织成下一轮的训练任务，真值仍来自标签，声学正确性仍未经独立核验。未来的补验证应包括更多骨干、更多攻击划分、多次随机种子、冻结线索的完整对照，以及训练与推理成本的实测，只有这些补齐后才能判断该做法在实际部署中的收益代价比。
📎 论文与评分元数据
排名：前25% | 文档类型：方法研究 | arXiv 原文
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
评分规则：type-aware-v1
评分模型：muse-spark-1.3-contributor
评分请求协议：openai_responses