📄 按输入风险分配净化强度的音频伪造检测防御
英文题目：Detection-Guided Adaptive Purification with Diffusion Models for Robust Audio Deepfake Detection
标签：#音频深度伪造检测 | #扩散模型 | #对抗鲁棒性 | #语音
评分：7.1/10 | 创新 1.5/2 | 技术严谨 1.2/1.5 | 实验充分 1.3/1.5 | 清晰度 0.8/1 | 影响力 1/1.5 | 开源 0/1.5 | 可复现 0.3/0.5 | 工程/实践 1/1.5
👥 作者与机构
- Muhammed Salih Kayhan：机构信息未在 arXiv HTML 中可靠披露
- Qiben Yan：机构信息未在 arXiv HTML 中可靠披露
📌 核心摘要
音频深度伪造检测要判断输入波形是真实人声还是合成伪造，攻击者在已能检出的伪造波形上叠加微小扰动即可抑制合成声学线索，使其被误判为真实语音。固定强度扩散净化难以兼顾，太强会抹掉判别所需的细微伪造痕迹，太弱又去不掉扰动。检测引导自适应净化先把输入波形转为归一化分贝幅度谱图，用低噪声水平做一次试探净化并重建波形，再用冻结检测器分别对净化前后计算真实语音分数，其差值即分数偏移，无需干净参考即可在推理时获得。随后将该偏移与在开发集干净语音上标定的门限比较，偏移小的良性输入不做额外处理而直接送入检测器终判，偏移超过门限的输入则被标记为可疑并进入下一步。被标记输入再以更高的扩散噪声水平做强净化以更大幅度衰减表征域扰动差异，然后送入同一冻结检测器做最终检测，从而把强去扰与对良性输入的失真解耦。在ASVspoof 2019 LA评测划分上，对AASIST模型该方法把三攻击平均的综合目标从均匀净化基线的12.56%降到5.61%，同时干净等错误率维持在1.83%，接近无防御的1.17%。结论适用于白盒扰动逃逸设置，防御感知自适应攻击下攻击者把分数偏移压到门限之下实现门控逃逸是主要失效模式；原文披露了单卡RTX A6000上试探约6.05 s、强净化约42.34 s的推理耗时。
🔗 开源与复现资源
本次未形成可展示的已核验资源记录，开放状态尚未核实。
可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
音频伪造检测要解决什么输入输出问题
这篇论文处理的是音频伪造检测在对抗扰动下的可靠性问题。输入是一段波形，输出是二分类判决，即该语音是真实人声还是由文本转语音、声音转换或克隆系统合成的伪造语音。检测器依赖的是合成痕迹，例如声码器留下的频谱细节、时频不一致或统计异常，这些线索往往很微弱且分布在不同频带和时间段。攻击者并不重新合成语音，而是在已被检测器正确判为伪造的语音上叠加一个幅度很小、听感上不明显的波形扰动，使检测器把它误判为真实语音。
防御方的约束很现实：已部署的检测器不能重新训练或改结构，防御只能在检测前对输入波形做变换，且在测试时不知道攻击类型、范数和扰动预算。好的防御要同时满足三点：把对抗伪造拉回伪造侧，不把干净伪造洗成真实样，不把真实语音误判为伪造。论文的评价围绕这三点展开，用干净集合与对抗集合上的等错误率分别度量正常鉴别能力与残余脆弱性。
已有检测与防御路线为什么不够
伪造检测本身经历了从固定前端加分类器到端到端学习的转变。早期用梅尔倒谱、线性频率倒谱、常数 Q 倒谱等表示加混合高斯或支持向量机，后来用卷积、残差、图注意力等结构直接从波形或谱图学习时频依赖，例如对原始波形建模的 AASIST、RawGAT-ST 和全时域残差的 Res-TSSDNet，也包括自监督语音表示作为前端。这些方法在 ASVspoof2019 等基准上很强，但已有工作显示微小扰动即可跨模型迁移并导致伪造被判为真实。防御侧大体有 3 类。
第一类是对抗训练，把对抗样本加入训练，但与训练时见过的攻击绑定，不适合保护固定检测器。第二类是检出对抗输入，只回答是否可疑，不给出可供下游判决的修复波形。第 3 类是输入净化，包括量化、压缩、滤波、推理时加噪、随机平滑等，优点是测试时可用，缺点是处理强度事先固定，太弱去不掉扰动，太强又抹掉伪造痕迹。扩散净化是其中较新的一支，先加可控噪声淹没小扰动，再用学到的分布逆向重建，图像上有 DiffPure，语音识别上有 AudioPure 和 WavePurifier。
但语音识别只要求可懂度，伪造检测要求保留合成痕迹，直接照搬会把判别证据也去掉。论文的出发点正是固定强度无法同时满足去扰动与保线索，需要按输入分配强度。
攻击与防御的形式化条件是什么
论文把威胁模型写得很明确。检测器记为固定参数的映射，输入波形输出 2 个类别的对数值，取其中真实语音类别的对数值作为真实语音分数，大于等于阈值判为真实，否则判为伪造，阈值取等错误率工作点。攻击目标是逃逸，即对一个原本分数低于阈值的干净伪造，加一个范数受限的波形扰动使其分数抬到阈值之上。范数受限攻击用投影梯度下降实现，范数最小化攻击用卡利尼瓦格纳实现，后者在置信间隔惩罚下寻找刚好逃逸的最小扰动。
攻击者在非自适应阶段假设为白盒，能拿到检测器结构、参数和梯度，但不知道防御；自适应阶段则知道包含探针、门控和强净化的完整流程。防御者不知道攻击类型与预算，只能做输入级波形变换。这种不对称很重要：后文所有按攻击调参的结果都不能当作部署性能，只有对攻击不可知的统一配置才是可运行策略。
例子：一段伪造语音原本因高频合成纹理被判为伪造，攻击加的扰动恰好压制这部分纹理的影响，检测器分数被抬高，防御必须在不抹掉该纹理的前提下去掉压制作用。
总体流程如何按风险分配净化强度
方法的核心观察是轻净化对两类输入的影响不同。对抗输入偏离学习到的数据流形，轻微加噪去噪就会明显改变检测器分数；正常输入无论真实还是干净伪造，已接近学习分布，轻净化几乎不改变分数。于是可以用轻净化前后的分数变化作为无需干净参考的风险信号。
总体分 3 段：探针段对输入做一次轻扩散净化并计算分数差距，门控段把差距与在正常输入上标定的阈值比较，净化段只对超阈值输入做一次强扩散净化，未超阈值输入原样通过，最后都送入未改动的检测器判决。这样强净化的失真只落在少数可疑输入上，多数正常输入不受影响。下面的示意图对比了无防御、固定净化和本文方法的路径差异，重点看第三条路径如何分叉。
读图说明：该图分三行分别画出无防御、固定净化和本文方法的输入到判决路径，箭头表示音频流动方向，方框表示净化模块，右侧文字表示判决结果是否正确。
看图路径： 1. 沿最上一行看无防御时对抗伪造音频如何直达检测器并被判为真实；2. 对比中间一行固定净化框的位置，理解其对所有输入一视同仁；3. 沿最下一行看轻净化加分数差距检查如何分出直接通过与强净化两条支路
论文图 1。原论文 Fig. 1:：“Comparison of (a) an undefended baseline, (b) a fixed purification defense, and (c) the proposed DGAP defense under adversarial deepfake attacks.”。
图中可见无防御时对抗伪造直达检测器并被判为真实，固定净化对所有输入加同一模块因过强或过弱而可能失败，本文方法先经轻净化加分数差距检查，分出直接通过与强净化两条支路，最终仍判为伪造。该图只说明控制逻辑，不给出任何误差数字，具体的分离程度与误差需看后文分布图与主结果表。
谱图扩散净化如何构造可逆波形
净化不在波形域直接做，而是在谱图域做，以便复用图像扩散模型。输入波形先做短时傅里叶变换得到复谱，分解为幅度谱图与相位。幅度取分贝压缩动态范围并归一化到固定区间，切成固定大小的方形时间窗分别净化再按原顺序拼接；相位全程保留，不送入扩散模型。短于一窗的补齐，尾部不足一窗的借用邻近上下文补足，拼接时丢弃借用部分，未被扩散模型使用的频带也原样保留，最后幅度逆归一化并与保留相位结合做逆短时傅里叶变换。
与只在自然语音上训练的识别类净化器不同，这里训练窗同时来自真实与伪造语音，使学到的分布覆盖两类，避免把伪造重建为真实样。单窗净化遵循先前向加噪到指定噪声水平再逆向积分回零的方案，前向噪声淹没小的偏流形扰动，逆向用学到的分数网络拉回数据分布。噪声水平通过信号保留系数控制，越大去扰动越强但也越易抹掉合成细节。
\[x_{t}=\sqrt{\bar{\alpha}_{t}}\,x_{0}+\sqrt{1-\bar{\alpha}_{t}}\,\epsilon,\quad\epsilon\sim\mathcal{N}(0,I),\quad\bar{\alpha}_{t}=e^{-\int_{0}^{t}\beta(u)\,\mathrm{d}u},\]上式是前向核的闭式写法，输入窗与高斯噪声按保留系数加权混合，不必逐步积分即可得到任意噪声水平的含噪窗，保留系数随噪声水平单调下降。推理时代价主要来自逆向积分步数，强度越大通常步数越多。下面的框架图展示了幅度与相位分离、轻探针与强净化两次扩散的位置。
读图说明：该图按探针、门控、净化 3 段展开，左侧为输入音频的变换与幅度相位分流，中间为轻净化波形与原始波形的两次检测，右侧为强净化与最终判决，绿色线表示相位直传。
看图路径： 1. 从左侧输入音频出发，沿短时傅里叶变换区分幅度与相位两条线的去向；2. 在中间门控菱形处确认轻净化波形与原始波形的两次检测分数如何汇合；3. 在右侧确认只有被标记支路才经过强净化再进入最终检测器
论文图 3。原论文 Fig. 3:：“Overview of the proposed DGAP framework.”。
图中可见相位从首次变换直传到两次逆变换，幅度走扩散方框，门控菱形根据分数决定直通还是强净化，最终检测器只看到直通波形或强净化波形之一。该设计把失真来源限制在幅度结构，时间对齐由原始相位保证。
分数差距门控如何判定与放行
检测器工作在波形上，净化器工作在谱图窗上，门控需要把两者连接起来。记真实语音分数为检测器输出中真实类别的对数值，记轻净化重建波形为对输入谱图窗做小强度净化再逆变换的结果，分数差距定义为原始波形分数减去轻净化波形分数。该量只用检测器两次输出，不需要该输入的干净参考，推理时可直接计算。直觉是成功的对抗伪造原本分数在阈值之上，轻净化把它拉回伪造侧，差距为正且较大；正常输入轻净化前后几乎不变，差距接近零。
论文用前向加噪对表示域差异的衰减来解释：在相同噪声采样下，对抗与干净表示的含噪距离随保留系数的平方根缩放，噪声水平越大衰减越多，逆向重建后体现在分数变化上。门限在正常输入标定集上取均值加系数倍标准差，超过则标记并做强净化，否则原样通过。探针强度负责暴露差距，强净化强度负责去掉扰动，二者解耦搜索。
\[s(v)=\big[f_{\phi}(v)\big]_{\textit{bonafide}},\]上式说明真实语音分数的来源，即取检测器对数值向量中真实语音那一项，后续所有差距与判决都基于该标量。
\[d_{t_{g}}(v)=s(v)-s\big(\hat{v}_{t_{g}}(v)\big),\]上式是分数差距的计算目标，即原始分数减轻净化分数，门控只比较该差与阈值。
\[\big\lVert x_{a,t_{g}}-x_{s,t_{g}}\big\rVert=\sqrt{\bar{\alpha}_{t_{g}}}\,\lVert\Delta_{x}\rVert,\]上式说明在相同噪声下前向含噪表示的距离按保留系数的平方根收缩，这是轻探针能放大对抗与正常差异的表示域依据，但它只刻画前向阶段，不保证逆向与分数变化必然如此，实际分离效果以后文分布图为准。
真实语音分数 × 分数差距： 真实语音分数指检测器输出向量中对应真实语音类别的对数值，分数差距指同一输入在轻净化前后该分值的差。真实语音分数负责给出当前判决倾向，分数差距负责度量轻净化对该倾向的扰动大小，二者搭配后得到一个无需干净参考的单样本风险信号，差距大意味着输入偏离学习分布且对净化敏感。
探针净化 × 强净化： 探针净化指在很小的扩散噪声水平上做一次前向加噪加逆向去噪，用于暴露风险而不求彻底去扰动，强净化指在更大的噪声水平上重做一次净化以真正压制扰动。探针净化负责低代价试探，强净化负责高强度修复，二者解耦后可以在不损伤多数干净输入的前提下，只对被标记输入使用可能损伤细节的大强度。
幅度谱图 × 相位： 幅度谱图指短时傅里叶变换后各时频点的能量大小，论文将其转成分贝并归一化后送入扩散模型，相位指同一变换中各时频点的角度信息，净化时原样保留。幅度谱图负责承载可被图像扩散模型处理的纹理结构，相位负责在逆变换时恢复波形时间对齐，二者组合使扩散只改能量结构而不重估相位。
门控参数包括探针水平、强净化水平和阈值系数，在开发集上按干净与对抗等错误率加权目标联合搜索，权重取一表示两者等重。最终部署用对 3 种攻击平均最优的单一配置，而非每种攻击各自最优，以满足攻击不可知条件。
扩散模型如何微调与参数如何搜索
本研究没有训练伪造检测器，3 个检测器都用公开预训练权重并冻结。实际训练的是谱图扩散 backbone，初始化为公开的 256 乘 256 引导扩散权重，噪声离散为 1000 步，在训练集抽出的 55001 个谱图窗上微调。谱图按 16 千赫采样、512 点傅里叶变换、128 跳、汉宁窗计算，幅度转分贝后减 20 分贝偏置，再从负 120 到 25 分贝线性归一化到 0 到 1。训练窗同时覆盖真实与伪造，使逆向重建不偏向真实语音。
门控与强度参数不是训练权重，而是网格搜索：在 20 到 300 步长 20 的 15 个扩散水平上搜索探针与强净化水平，在 0.5 到 3.0 步长 0.01 上搜索阈值系数，以开发集上的加权等错误率最小为准。开发集用 500 个正确分类的伪造加等量真实组成干净集合，把干净伪造替换为对抗版本得到对抗集合，标定统计量取自开发干净集合。论文的曲线显示探针最优偏小，过大反而模糊正常与对抗的对比；强净化最优比固定净化最优更大，因为它只作用于被标记子集。
阈值系数在过小误伤正常与过大漏放对抗之间折中。搜索出的每攻击最优与平均最优不同，后文主结果统一用平均最优。
数据攻击基线与指标如何保证可比
实验用 ASVspoof2019 逻辑访问划分，官方训练、开发、评测分别有 25380、24844 和 71237 条，伪造由多种文本转语音与声音转换系统生成。测试用评测集中 600 条正确分类伪造加等量真实，参数选择用开发集中 500 条加等量真实，同一划分在 3 个检测器间保持相同语音集合。攻击为 3 种白盒设置：无穷范数投影梯度下降预算 0.005，二范数投影梯度下降预算 1.0，迭代数按检测器调到相近成功率，卡利尼瓦格纳置信度 10、平衡常数 1.0、200 步。无防御成功率在 AASIST 上约 94 到 95%，RawGAT-ST 上 73.2 到 97.9%，Res-TSSDNet 上 82.5 到 100%，说明威胁真实且跨结构存在。
基线覆盖三族：固定波形变换的量化、上下采样、线性预测编码、低通与带通滤波，加噪类的推理时高斯加噪与随机平滑，扩散类的固定强度 DiffPure 与分频分层 WavePurifier，后两者用与本文方法相同的微调净化器以保证 backbone 一致。指标用等错误率，越低越好，干净等错误率与每种攻击下的对抗等错误率分别报告，加权目标取干净项加对抗项在 3 种攻击上的平均。所有防御下真实与伪造都先过防御再打分，阈值重扫，因此数字可比。
自适应评估用后向近似加期望变换，把门控包含在攻击循环内，用 20 步投影梯度下降与每步 8 个随机防御采样，在 120 加 120 条上报告，受算力限制只做两个检测器。
非自适应攻击下综合误差与干净代价如何
在攻击不可知的统一配置下，本文方法在 3 个检测器上都取得最小的加权目标，且干净等错误率距无防御不到一个百分点，这是固定强度方法做不到的。固定变换在部分攻击上甚至差于无防御，例如在 RawGAT-ST 的卡利尼瓦格纳列上，下采样、低通与两种加噪方法的对抗等错误率高于无防御的 20.70%，原因是残余攻击已小时固定失真对判别线索的损伤超过去扰动收益。加噪方法在 AASIST 上把干净等错误率抬到 9.83% 到 14.42%，在 Res-TSSDNet 上抬到 21% 以上。
固定扩散基线较稳但无法兼顾，本文方法把加权目标从 DiffPure 的 12.56%、11.26%、29.69% 降到 5.61%、5.18%、21.65%。在最难的 Res-TSSDNet 上个别单攻击列偶被量化等反超，但那些方法在另一攻击上崩溃，例如量化在卡利尼瓦格纳下到 54.29% 且干净到 8.33%，综合仍不如本文方法。下图先看门控的分离基础，横轴是探针下的分数差距，虚线是门限。
读图说明：该图分三行对应 3 个检测器，每行画正常与对抗两条密度曲线与一条虚线门限，横轴为分数差距，纵轴为密度，右上角标注对抗检出率与正常误标记率。
看图路径： 1. 先看横轴分数差距与纵轴密度的含义，再看虚线门限的位置；2. 对比蓝色正常分布与红色对抗分布的重叠程度；3. 读右上角标注的对抗检出率与正常误标记率
论文图 5。原论文 Fig. 5:：“Score-gap distributions at the probe level t_g for benign and adversarial inputs.”。
图中可见正常分布集中在零附近，对抗分布明显右移，重叠有限，门限在 AASIST 与 RawGAT-ST 上检出 90% 以上对抗而误标记仅约 5.1% 与 2.1%，在 Res-TSSDNet 上误标记约 23.9% 但仍检出 90.0%。这种分离是后文低干净代价的原因，但它只在给定探针强度与非自适应攻击下成立。
干净等错误率 × 对抗等错误率： 干净等错误率指在未被攻击的真实与伪造语音集合上扫阈值使误接受等于误拒绝时的错误率，对抗等错误率指把其中干净伪造替换为对抗伪造后同样扫阈值得到的错误率。前者负责度量防御对正常鉴别能力的损伤，后者负责度量防御后残余的可骗过性，二者加权为目标值后可以同时惩罚过度净化和净化不足。
下面主结果表比较干净与 3 种攻击下的对抗等错误率及加权目标，数值越低越好，重点看加权列与干净列的联合表现。
| AASIST | AASIST | AASIST | AASIST | AASIST | RawGAT-ST | RawGAT-ST | RawGAT-ST | RawGAT-ST | RawGAT-ST | Res-TSSDNet | Res-TSSDNet | Res-TSSDNet | Res-TSSDNet | Res-TSSDNet | |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Method | EERc | ℓ∞ | ℓ2 | C&W | yy | EERc | ℓ∞ | ℓ2 | C&W | yy | EERc | ℓ∞ | ℓ2 | C&W | yy |
| No defense | 1.17 | 61.92 | 49.42 | 46.50 | 53.78 | 1.25 | 21.04 | 26.47 | 20.70 | 23.99 | 2.17 | 57.49 | 50.08 | 38.47 | 50.85 |
| QT | 4.08 | 4.08 | 5.42 | 7.00 | 9.58 | 2.17 | 9.16 | 19.26 | 15.35 | 16.76 | 8.33 | 17.43 | 12.71 | 54.29 | 36.48 |
| DS | 2.67 | 12.75 | 13.08 | 22.25 | 18.70 | 2.67 | 20.36 | 26.47 | 33.51 | 29.45 | 3.00 | 29.71 | 34.18 | 30.64 | 34.51 |
| LPF | 2.08 | 12.17 | 14.83 | 32.83 | 22.02 | 1.83 | 17.56 | 22.31 | 23.66 | 23.01 | 4.50 | 26.94 | 34.18 | 36.36 | 36.99 |
| BPF | 2.58 | 8.75 | 9.58 | 19.50 | 15.19 | 1.83 | 11.71 | 17.56 | 16.20 | 16.99 | 3.08 | 30.22 | 32.24 | 28.11 | 33.27 |
| LPC | 2.75 | 48.92 | 34.33 | 29.25 | 40.25 | 1.83 | 20.18 | 26.79 | 15.78 | 22.75 | 4.50 | 46.46 | 44.36 | 47.22 | 50.51 |
| ITNA | 9.83 | 18.83 | 20.58 | 41.42 | 36.77 | 1.67 | 9.92 | 20.10 | 37.92 | 24.31 | 24.42 | 28.62 | 28.62 | 32.66 | 54.39 |
| RS | 14.42 | 18.42 | 19.17 | 25.00 | 35.28 | 1.83 | 10.35 | 19.68 | 36.98 | 24.17 | 21.58 | 25.42 | 26.09 | 30.56 | 48.94 |
| DiffPure | 4.11 | 9.17 | 10.42 | 5.75 | 12.56 | 3.17 | 9.25 | 12.04 | 2.97 | 11.26 | 4.50 | 26.26 | 21.46 | 27.86 | 29.69 |
| WavePurifier | 3.83 | 12.08 | 10.00 | 5.67 | 13.08 | 3.50 | 9.07 | 12.13 | 3.48 | 11.73 | 4.33 | 23.32 | 20.20 | 27.44 | 27.99 |
| Ours | 1.83 | 4.25 | 5.00 | 2.08 | 5.61 | 1.67 | 4.33 | 4.58 | 1.61 | 5.18 | 2.83 | 19.37 | 15.68 | 21.40 | 21.65 |
无防御在 AASIST 与 Res-TSSDNet 上对抗等错误率高达 61.92% 与 57.49% 量级，固定方法虽在个别列领先但跨攻击不稳，本文方法在三台检测器上加权最优且干净列最接近无防御。这一结论只在非自适应条件下成立，攻击者未针对门限优化，且 Res-TSSDNet 的绝对误差仍在 20% 左右，说明难防御结构上仍有较大残余风险。
自适应攻击下门限是否仍有效
自适应攻击把完整探针门控强净化管线放入攻击循环，用后向恒等近似处理不可微的扩散逆向，用多次随机防御采样平均梯度，目标是最大化经防御后输出的真实语音分数的期望。此时门控不再是旁观者，攻击必须同时骗过检测器与探针。在 RawGAT-ST 上本文方法仍最优，加权为 14.17%，优于 DiffPure 的 18.33% 与最优变换的 15.83%；在 AASIST 上量化以 20.00% 领先，本文方法与带通滤波并列第二为 25.00%，优于 DiffPure 的 29.17%。优势来自两项：正常输入多直通使干净等错误率保持在 0.00% 与 0.83%，被标记输入用比固定基线更大的强度净化。
代价是检出率大跌，自适应下仅 33.3% 与 34.2% 对抗被标记，正常误标记为 5.8% 与 4.2%，攻击把差距集中压到门限之下以绕过强净化。下图显示了这种变化。
读图说明：该图分两行对应两个检测器，画正常与自适应对抗的分数差距密度与同一门限虚线，横轴为分数差距，右上角标注新的检出率与误标记率。
看图路径： 1. 对比非自适应分布，观察红色自适应对抗分布如何向门限左侧集中；2. 看虚线门限附近红色峰的高度，理解绕门是主要失效模式；3. 对比蓝色正常分布的变化，确认门限对正常输入仍较保守
论文图 6。原论文 Fig. 6:：“Score-gap distributions under the adaptive BPDA+EOT attack.”。
图中可见红色自适应对抗峰紧贴门限左侧，相比非自适应时大幅左移，而蓝色正常分布仍偏左，说明绕门是主要失效模式。但约束并非免费，扰动既要骗检测器又要对探针隐身，攻击强度被压到远低于无防御的 64.17% 与 23.33% 对抗误差。论文明确该稳健性以预算 0.005、20 步与每步 8 采样为条件，更多步数或更大采样可能进一步扩大差距。
自适应主结果的数字对比见下表，重点看干净与对抗两项如何共同决定加权目标。
| AASIST | AASIST | AASIST | RawGAT-ST | RawGAT-ST | RawGAT-ST | |
|---|---|---|---|---|---|---|
| Method | EERc | EERadv | yy | EERc | EERadv | yy |
| No defense | 0.00 | 64.17 | 64.17 | 0.83 | 23.33 | 24.17 |
| QT | 3.33 | 16.67 | 20.00 | 0.83 | 20.00 | 20.83 |
| DS | 0.83 | 25.00 | 25.83 | 2.50 | 21.67 | 24.17 |
| LPF | 1.67 | 30.00 | 31.67 | 1.67 | 19.17 | 20.83 |
| BPF | 1.67 | 23.33 | 25.00 | 1.67 | 14.17 | 15.83 |
| LPC | 0.83 | 56.67 | 57.50 | 0.83 | 23.33 | 24.17 |
| ITNA | 8.33 | 26.67 | 35.00 | 1.67 | 20.00 | 21.67 |
| RS | 9.17 | 32.50 | 41.67 | 1.67 | 20.00 | 21.67 |
| DiffPure | 2.50 | 26.67 | 29.17 | 4.17 | 14.17 | 18.33 |
| Ours | 0.00 | 25.00 | 25.00 | 0.83 | 13.33 | 14.17 |
自适应下所有方法误差都上升，本文方法在 RawGAT-ST 上仍同时保住干净与对抗两项，在 AASIST 上干净为零代价但对抗 25.00% 不及量化的 16.67%。该比较受评估子集仅 120 加 120 条、省略了分层扩散基线的影响，且变换基线用恒等近似可能低估其可微部分的真实脆弱性，因此跨族排名只在该算力与样本条件下成立。
门控是否解耦了强净化与干净失真
为分离门控的作用，论文在开发集上对比 3 种配置：每检测器最优的固定强度、与门控法相同的更大强度但固定施加、以及该大强度加门控。后两者只差是否门控，因此差异可归于门控。结果是把固定强度从最优提到更大值时，9 种检测器乘攻击组合的对抗等错误率全部变差，干净等错误率在 AASIST 上从 1.90% 升到 6.30%、在 RawGAT-ST 上从 1.30% 升到 4.00%，而 Res-TSSDNet 持平为 1.50%，说明该强度若一视同仁则过强；加上门控后同一大强度在每种组合上都取得最低对抗等错误率，干净也回落。这支持门控把强去扰动与正常失真解耦的解释。
在 Res-TSSDNet 上增益最小，因为其选定的强净化本就接近固定最优，可见门控收益依赖于两档强度的距离。下表给出开发集上的干净与分攻击对抗等错误率，数值越低越好。
固定净化 × 门控自适应净化： 固定净化指对所有输入使用同一扩散强度，门控自适应净化指先用分数差距做门控，只对超过阈值的输入用大强度。固定净化负责统一处理但无法兼顾去扰动与保留伪造痕迹，门控负责把强处理限制在可疑子集，二者对比说明性能提升来自选择性施加而非单纯增大强度。
门控消融对比了固定最优强度、固定大强度与门控大强度，指标方向仍是越低越好，重点看后两行在相同强度下门控带来的变化。
| Detector | Configuration | tt | EERc | ℓ∞ | ℓ2 | C&W |
|---|---|---|---|---|---|---|
| AASIST | Uniform, optimal tt | 160 | 1.90 | 20.80 | 17.60 | 9.00 |
| AASIST | Uniform at tpt_{p} | 280 | 6.30 | 24.40 | 20.00 | 14.60 |
| AASIST | Gated at tpt_{p} (Ours) | 280 | 2.30 | 9.30 | 10.30 | 5.20 |
| RawGAT-ST | Uniform, optimal tt | 160 | 1.30 | 23.65 | 26.45 | 8.02 |
| RawGAT-ST | Uniform at tpt_{p} | 300 | 4.00 | 27.76 | 30.16 | 13.53 |
| RawGAT-ST | Gated at tpt_{p} (Ours) | 300 | 1.30 | 11.72 | 14.53 | 2.91 |
| Res-TSSDNet | Uniform, optimal tt | 120 | 1.50 | 19.90 | 21.40 | 33.20 |
| Res-TSSDNet | Uniform at tpt_{p} | 160 | 1.50 | 21.30 | 22.90 | 34.20 |
| Res-TSSDNet | Gated at tpt_{p} (Ours) | 160 | 1.10 | 17.70 | 17.00 | 29.20 |
固定大强度在 AASIST 上把干净从 1.90% 抬到 6.30% 且对抗三列分别从 20.80%、17.60%、9.00% 恶化到 24.40%、20.00%、14.60%，门控后回落到 2.30% 与 9.30%、10.30%、5.20%，RawGAT-ST 上干净与对抗同样先变差后恢复，而 Res-TSSDNet 上对抗三列变差但干净持平为 1.50%。该结论来自开发集结果且用各自检测器的搜索配置，不能直接当作评测集部署性能，部署性能以主结果表的攻击不可知配置为准。
方法的边界与未验证范围有哪些
论文明确了 3 类局限。第一是自适应下绕门，攻击可把分数差距优化到门限之下而跳过强净化，未来可用随机探针水平、多探针强度或额外一致性检查加强门控，但本文未验证这些变体。第二是计算开销，扩散逆向本身不便宜，门控只省掉多数输入的强净化，每个输入仍要一次轻探针净化与两次打分，实时部署需更高效采样、蒸馏或轻量音频扩散 backbone。
第三是评估范围限于预训练检测器与扰动型攻击，未覆盖新的伪造生成方法、未见数据集、空中播放扰动以及合成与对抗联合优化，这些都属于待验证。还有一点容易误解：无训练指未训练检测器，不等于系统输出确定，扩散采样与门控阈值都带随机性与数据依赖，参数冻结推不出确定性。此外，探针有效性依赖于对抗偏离学习分布的假设，若攻击本身就在流形上或检测器分数对轻净化不敏感，差距信号会减弱。
复现第一步与运行代价是什么
复现应从数据与冻结检测器开始，而非重训检测器。按原文准备 ASVspoof2019 逻辑访问划分，保持开发与评测的 500 加 500 与 600 加 600 抽样方式，攻击预算与步数与原文一致，检测器用公开权重并冻结。扩散 backbone 用公开 256 分辨率权重初始化，按 16 千赫、512 点、128 跳、汉宁窗、分贝偏置与归一化区间处理，训练窗同时采自真实与伪造。门控阈值统计量只在开发干净集合上估计，探针、强净化与阈值系数在开发集上按等权加权目标网格搜索，最终评测用对 3 种攻击平均最优的单一配置。
运行代价方面，论文在单张 RTXA6000 上报告每条平均耗时，探针在三台检测器上约 6.05 秒、9.07 秒、9.07 秒，强净化约 42.34 秒、45.36 秒、24.19 秒，打分与变换可忽略，正常误标记率约 5.1%、2.1%、23.9%，对抗标记率约 93.0%、94.4%、90.0%，期望耗时为探针加标记率乘强净化。下面的耗时表给出分阶段时间与标记率，单位为秒与百分比。
耗时表比较探针与强净化的分阶段开销及期望总耗时，重点看正常因少触发强净化而接近探针成本，对抗因高触发而接近两者之和。
| AASIST | RawGAT-ST | Res-TSSDNet | |
|---|---|---|---|
| Probe purification (tgt_{g}) | 6.05 | 9.07 | 9.07 |
| Strong purification (tpt_{p}) | 42.34 | 45.36 | 24.19 |
| Scoring and transform | 0.03 | 0.05 | 0.02 |
| Benign flag rate | 5.1% | 2.1% | 23.9% |
| Adversarial flag rate | 93.0% | 94.4% | 90.0% |
| Benign total | 8.23 | 10.06 | 14.87 |
| Adversarial total | 45.46 | 51.94 | 30.87 |
正常总耗时约 8.23 秒、10.06 秒、14.87 秒，对抗总耗时约 45.46 秒、51.94 秒、30.87 秒，说明门控把平均代价从全量强净化降到按风险加权，但单条轻探针仍是下限。若需实时，应先优化探针采样步数或改用确定性快速求解器，并重新标定门限，因为改强度会改变差距分布。
什么时候值得尝试与还需补什么验证
当检测器已部署且不能重训，又担心小扰动把伪造洗成真实时，这种先轻试探再选择性强净化的思路值得尝试，尤其适合正常流量大而对抗为少数的情况，因为多数正常输入只付探针成本。复现第一步是按原文冻结检测器并复刻谱图分贝归一化与分窗拼接，再在开发干净集上标定门限并用平均最优而非每攻击最优做评测。还需补的验证包括更大预算与更多步数的自适应攻击、未见伪造算法与跨数据集、空中信道，以及探针随机化后的重标定。
若只看非自适应综合误差，本文方法在三台检测器上都最优且干净几乎无损；若看自适应，它在 RawGAT-ST 上仍最优，在 AASIST 上退居第二，说明结论依赖于检测器结构与攻击预算。关于公开情况，论文写明源代码位于 GitHub 仓库，但代码、模型权重与完整系统的当前可确认公开情况尚无法确认，未确认不等于未公开，具体能力以资源文档证据所列为准。
📎 论文与评分元数据
排名：前50% | 文档类型：方法研究 | arXiv 原文
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
评分规则：type-aware-v1
评分模型：muse-spark-1.3-contributor
评分请求协议：openai_responses