📄 提前保护参考语音：用对抗扰动阻止匿名语音的重识别
标签：#说话人匿名化 | #对抗训练 | #说话人验证 | #隐私保护
评分：8.0/10 | 创新 1.5/2 | 技术严谨 1.2/1.5 | 实验充分 1.2/1.5 | 清晰度 0.8/1 | 影响力 1/1.5 | 开源 1/1.5 | 可复现 0.3/0.5 | 工程/实践 1/1.5
👥 作者与机构
- Michele Panariello：机构信息未在 arXiv HTML 中可靠披露
- Yibo Bai：机构信息未在 arXiv HTML 中可靠披露
- Massimiliano Todisco：机构信息未在 arXiv HTML 中可靠披露
- Nicholas Evans：机构信息未在 arXiv HTML 中可靠披露
📌 核心摘要
语音匿名化的输入是需隐藏说话人身份的测试语音，输出是保留语言内容但指向伪说话人的语音，难点在于知晓匿名化系统的半知情攻击者会用同样系统匿名化自己持有的注册语音和训练数据，从而训练适配的自动说话人验证系统做重识别。论文提出先发防御：在参考语音被获取前先加入对抗扰动，扰动后语音仍可听懂，但经已知匿名化系统处理后注册侧匿名语音严重劣化，与测试侧形成分布失配。方法先用B5的wav2vec 2.0骨干或B4的语义编码器从原始参考语音提取时序特征向量，再以扰动前后特征向量的L1距离为码字或语义切分翻转的可微代理目标，在扰动半径约束下用投影梯度下降逐句优化扰动，B5优化时还随机右补零以适应推理填充。最后攻击者按半知情流程用同一系统将含扰动的注册语音转为匿名注册语音，用于和测试侧匿名语音比对，因此该防御施加于注册侧，与只处理测试侧的常规匿名化互补。与只做测试侧匿名化相比，该组合在更强的2026版攻击者下把B4的等错误率从14.33%提高到44.51%左右，接近50%的完全隐私目标。结论仅在已验证的B4与B5系统、libri_test注册集及2024与2026版攻击者下成立，B5在无界扰动下词错误率仅升至2.59%，而B4无界扰动下升至29.58%，说明大扰动下B4的可懂度保持可能失败。知晓防御的攻击者用扩散纯化方法DAP在扰动界不超过0.3时几乎完全消除保护，更大扰动界、其他匿名化系统与真实社交语音场景尚未验证。原文未披露训练、推理或部署成本。
🔗 开源与复现资源
- 代码相关资源：https://github.com/eurecom-asp/preemptive_VA_defense — 链接可访问（HTTP 200）
可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
语音匿名要保护什么、留下什么
语音匿名输入的是一段原始语音，目标是去掉其中能指向说话人身份的线索，同时保留语言内容和其他副语言属性，输出是一段听起来换了一个人但说同样话的语音。对刚进入语音领域的读者，可以把输入波形想成叠加了两层信息：一层是谁在说，另一层在说什么，匿名要压住前者而留住后者。评价时通常用自动说话人验证模拟攻击者，给它一段匿名后的待查语音和若干候选人的参考语音，让它打相似分判断是否为同一人。相似分区分得越准，说明残留身份越多，隐私越差，反之验证的等错误率越高，说明攻击越难，隐私越好，50% 就是随机猜的理想上限。
语音匿名 × 自动说话人验证： 语音匿名指去掉语音中指向说话人身份的线索但保留语言内容，自动说话人验证指比较两段语音是否来自同一人。在本文评价里前者是防御手段，后者是攻击手段，匿名越彻底则验证越困难，验证的等错误率越高则隐私越好。
这里的验证不是判断语音好不好听，而是判断还能不能认出人。等错误率把误接受和误拒绝折中成一个数，数值越高代表攻击者越接近瞎猜。后续所有隐私数字都要按越高越好来读，而质量数字则相反，词错误率越低越好，信噪比和可懂度越高越好。
测试语音和参考语音在评价里各起什么作用
1 次完整的重识别评价需要两组语音。测试语音是要被保护后公开的待查语音，在论文记号里是集合 D 匿名化后得到的匿名测试集。参考语音是攻击者手里已知的候选说话人语音，记作集合 A，攻击者会把它匿名化后做注册，再与匿名测试集比对。打个教学用的比方：前者像考场上收走的匿名答卷，后者像老师手里的花名册笔迹样本，只有两者用同一种笔迹变换处理过，笔迹鉴定才最准。
测试语音 × 参考语音： 测试语音是要公开的待查语音，参考语音是攻击者手里候选说话人的已知语音。验证时以前者做 trials、以后者做 enrollment 计算相似度，二者都经过同一匿名系统才构成半知情攻击，本文的新意是不再只处理测试语音，还提前处理参考语音。
标准做法是单边防御，防御者只匿名测试端，参考端是否匿名取决于攻击者自己。半知情攻击假设攻击者知道防御用的匿名系统，会用同一系统匿名化自己的参考语音和验证模型训练数据，以消除分布失配。这被视为已知最强的攻击，也是本文要抬高的隐私下限。
已有匿名系统和评价做法是怎么分工的
按原文介绍，当前主流匿名系统做的事情接近声音转换，也就是把原说话人的声音转成某个伪说话人的声音。本文用了语音隐私挑战赛 2024 和 2026 版的两个基线 B4 和 B5，因为它们在 2024 版中隐私保护最有竞争力。B4 先用基于 HuBERT 的语义编码器提取语义 token，再用神经音频编解码器编码器从伪说话人语音提取声学 token，用自回归 Transformer 融合生成新的声学 token，最后由编解码器解码器合成波形。B5 用 wav2vec 2.0 主干提取特征，再经矢量量化层离散化，送入 HiFi-GAN 合成波形，并以伪说话人的独热表示为条件。两者共同点是都经过离散表示瓶颈，B4 是语义 token，B5 是矢量量化码字，这为后文统一的对抗目标提供了抓手。
评价方面，防御者用匿名系统把未保护语音 D 变成匿名语音，攻击者在匿名化的训练数据上训练适配后的验证模型，再用匿名测试做 trials、用匿名参考做 enrollment。原文还回顾了与语音克隆防御的差异：已有工作多是干扰说话人编码器输出的嵌入，而本文是让参考语音在波形层面经匿名系统后输出退化，使后续相似分不可靠。两类工作的输入、目标和运行阶段不同，不能直接比隐私数字高低。
为什么只匿名测试端是不够的
标准流程的保护是单边的，防御者只匿名测试语音集合，攻击者拿着未保护的参考语音，自己匿名化后做注册。原文指出这种估计受两个因素影响：一是匿名系统去掉身份信息的能力，二是攻击者验证系统捕捉残留身份线索的能力。如果验证系统本身不给力，也会显得隐私很好，这就是隐私高估风险。本文反过来利用第二种因素：不是去改进匿名本身，而是主动让攻击者的验证变不准。
机会在于参考语音的来源，比如社交媒体上用户为了可识别一般不会匿名，或者私聊语音消息本来也是明文，防御者如果能在上传前对这部分可能被拿去做注册的语音提前做保护，就能在测试端匿名之外再加一层。
半知情攻击 × 预先防御： 半知情攻击指攻击者知道防御用的匿名系统并用它匿名化自己的参考语音和训练数据，以消除分布失配。预先防御指防御者在参考语音落到攻击者手里之前就加入对抗扰动，使攻击者后续的匿名化步骤产生错乱输出，前者靠对齐分布变强，后者靠提前破坏这种对齐。
为此原文引入第三个假设：防御者对攻击者可能拿到的参考语音有一定控制权，可以提前加对抗扰动。若攻击者已有干净存档或从未受保护的渠道拿到语音，这个前提就不成立，预先防御也就无从谈起。这决定了方法适用的边界。
预先防御的整体流程是什么
要理解预先防御，先沿着一个样本走一遍。正常半知情攻击是红色路径：未保护参考语音直接进匿名系统得到可用的注册语音，再与匿名测试语音一起送入适配后的验证模型，得到较低的等错误率，攻击成功。
预先防御是蓝色路径：在参考语音进入匿名系统之前，先叠加一个对抗噪声，该噪声是防御者利用自己知道的匿名系统以白盒方式算出来的，目标是让这段语音随后被匿名化时输出严重退化，变成不可靠的噪声注册数据，再与正常匿名测试语音比对时相似分不可信，等错误率升高，攻击失败。关键约束有两个：加噪后的参考语音本身听感和可懂度要尽量保持，以便正常分享和使用。
噪声不能针对攻击者的验证模型优化，因为防御者不知道对方用哪个验证系统，只能针对自己知道的匿名系统内部模块。原文还强调，攻击者换用别的匿名系统也绕不开，因为注册与测试分布失配本身就会让攻击变差。
下面这张总览图把防御侧和攻击侧、红蓝两条路径画在了一起，读图时先分清上下两个区域再看箭头走向。
看图路径： 1. 先沿左上待保护语音到匿名语音的主路径看常规匿名流程；2. 再看左下未保护参考源分出的红蓝两条支路分别通向何种注册数据；3. 注意虚线表示对抗噪声由防御端匿名系统白盒生成再叠加到参考语音；4. 比较最终送入说话人验证后高错误率与低错误率两种结局的对应颜色
论文图 1。原论文 Fig. 1:：“Overview of the proposed preemptive voice anonymization technique.”。
图中左侧绿色是防御侧，右下粉色是攻击侧。灰色圆柱是语音数据，黄色方框是匿名系统和验证系统。红色箭头是常规半知情攻击，蓝色箭头是加噪后的受阻攻击。蓝色虚线表示对抗噪声的生成依赖防御侧的匿名系统，蓝色加号表示噪声叠加到未保护参考源上。蓝色输出标为不可用于注册的噪声音频，对应高错误率，红色输出标为攻击者的正常注册语音，对应低错误率。这张图说明预先防御作用在注册支路，与测试端匿名互补，还能保护那些在加噪之前就已匿名发布的测试语音。
噪声要让匿名系统的哪一步出错
对 B5，输入波形先经 wav2vec 2.0 得到每帧特征向量，再经矢量量化层映射到码字。理想目标是让尽可能多的帧在加噪前后码字不同，即码字翻转率最大。原文把该计数目标写成对所有帧的示性函数平均：
\[\max_{\boldsymbol{\delta}}\frac{1}{T}\sum_{t=1}^{T}\mathbbm{1}\left[\ \VectQuant\left(\mathbf{h}_{t}\right)\ \neq\ \VectQuant\left(\mathbf{h}_{t}^{\boldsymbol{\delta}}\right)\ \right]\]其中 T 是总帧数，示性函数在加噪前后码字不同时取 1。这个目标直接反映想破坏的离散瓶颈，但量化操作不可微，不能直接梯度下降。于是用可微替代目标，即最大化原始与扰动特征之间的 L1 距离平均：
\[\max_{\boldsymbol{\delta}}\frac{1}{T}\sum_{t=1}^{T}\left|\mathbf{h}_{t}-\mathbf{h}_{t}^{\boldsymbol{\delta}}\right|_{1}\]直觉是把特征推出原来所在的 Voronoi 区域就很可能换码字。原文报告 L1 比常用的均方误差更稳定，因为损失值更小、梯度更稳。对 B4 同理，只是把量化换成基于语义编码器的 token 化操作，特征换成 token 化之前的特征，同样优化上式。原文还说明该替代目标足够通用，可用于任何从输入提取时序嵌入的匿名系统。
矢量量化 × 码字翻转： 矢量量化指把每帧连续特征向量映射到最近的离散码字，码字翻转指加噪后该帧被映射到与原来不同的码字。前者是 B5 和 B4 共有的瓶颈结构，后者是本文的优化目标，翻转越多则匿名系统重建的语音越偏离正常匿名结果。
替代目标 × 对抗扰动界： 替代目标指用可微的 L1 特征距离代替不可微的翻转计数来指导梯度优化，对抗扰动界指把扰动限制在半径为 ε 的球内以控制听感损伤。前者解决怎么算梯度，后者解决加多大噪声，二者组合实现在尽量保持质量的前提下触发翻转。
当翻转率足够高时，匿名后的注册语音主观上已严重不可懂，身份信息被淹没在错乱重建里。但这只是非正式试听的描述，不是系统性主观评测，不能当作听感指标来引用。
没有训练新模型时扰动是怎么算出来的
本文没有训练新的匿名或验证模型，而是对每条待保护语音单独用投影梯度下降求解扰动，梯度用 Adam 计算。约束是把扰动限制在半径为 ε 的球内，ε 越大保护越强但质量损伤可能越大，另设无界情形相当于 ε 为无穷。停止条件是最多 700 步，或翻转率达到 0.95，即 95% 帧已翻转。Adam 学习率前 300 步为 0.0001，之后为 0.001。
B5 推理时常在右侧补零以组 batch，预实验发现补零会削弱噪声，因此优化时也对输入做随机长度的右侧补零，最大补到 3 秒，但扰动本身只覆盖原始长度，不作用于补零区，以增强对推理补零的鲁棒性。B4 不支持批量推理，从不补零，因此不需要这一步。优化代码已公开，作者资源当前可用，但这只说明代码可得，不等于权重可下载或一键可运行，环境与模型权重需另行按原仓库说明准备。
原文未报告每次优化的耗时和显存占用，也未说明不同语音长度下达到 95% 翻转所需的典型步数分布。复现时要把这部分成本单独记录，不能把无训练等同于无计算开销，更不能从参数冻结推出输出确定。
实验在什么数据和攻击条件下测隐私与质量
隐私测的是适配后验证模型的等错误率，越高越好。主场景是防御者在 libri_test 的注册划分上加对抗扰动，按半知情流程进一步匿名化后做注册，验证模型用匿名化的 libri_train-360 训练，测试集为 libri_test。为证明与攻击验证系统无关，同时用 2024 版攻击者和 2026 版攻击者评价，前者基于 ECAPA-TDNN，后者另加 WavLM 前端，后者明显更强。次场景是更强的知情攻击者，知道参考语音被加噪并试图用净化去除，评估 3 种净化：加高斯噪声、AudioPure 和 DAP。
质量方面，主指标是词错误率，越低越好，但与常规设置不同，这里测的是加噪后、匿名化前的参考语音，用同一语音识别系统比较加噪前后，差距越小保持越好。辅助指标是在原始与加噪参考语音之间算信噪比、感知语音质量和短时客观可懂度。信噪比单位是 dB，越高越好，感知质量最高 4.5，可懂度最高 1。
ε 取 0.05、0.1、0.3 和无界，用于看隐私与质量的折中。扰动生成白盒依赖防御用的匿名系统，不依赖攻击验证系统，注册与测试必须用同一匿名系统，否则失配本身就会抬高等错误率，无法归因。
加噪后重识别难度变化了多少
下表比较的问题是：在同一匿名系统和同一攻击者条件下，加不同强度预先噪声后等错误率是否提高。公平条件是测试端匿名不变，只动注册支路，指标方向是等错误率越高隐私越好。表中 B4、B5 两组分别对应两种匿名系统，每组内从无噪声基线到不同扰动界，数值均为百分比。
| System | VPC’24 attacker | VPC’26 attacker | |
|---|---|---|---|
| B4 | Baseline (no noise) | 30.26 | 14.33 |
| +𝜹+\boldsymbol{\delta} noise, ε=0.05\varepsilon=0.05 | 36.63 | 19.99 | |
| +𝜹+\boldsymbol{\delta} noise, ε=0.1\varepsilon=0.1 | 41.18 | 30.59 | |
| +𝜹+\boldsymbol{\delta} noise, ε=0.3\varepsilon=0.3 | 46.67 | 44.51 | |
| +𝜹+\boldsymbol{\delta} noise, unbounded | 47.51 | 45.14 | |
| B5 | Baseline (no noise) | 34.34 | 21.28 |
| +𝜹+\boldsymbol{\delta} noise, ε=0.05\varepsilon=0.05 | 35.75 | 26.26 | |
| +𝜹+\boldsymbol{\delta} noise, ε=0.1\varepsilon=0.1 | 41.93 | 37.30 | |
| +𝜹+\boldsymbol{\delta} noise, ε=0.3\varepsilon=0.3 | 45.15 | 47.36 | |
| +𝜹+\boldsymbol{\delta} noise, unbounded | 46.33 | 46.64 |
两个攻击者的基线起点不同，保护后的回升幅度也因此不同。2024 攻击下 B4 基线约 30%，B5 约 34%，无界噪声分别升到约 47% 和 46%，接近 50% 的完美隐私。2026 更强攻击把基线压到 B4 的 14% 和 B5 的 21%，但无界噪声仍能拉回约 45% 和 46%，说明保护不依赖具体验证模型。ε 为 0.3 时效果与无界相近，ε 为 0.1 时 2024 攻击下仍约 41%，2026 攻击下回落到 30% 和 37%，但仍约为基线的 2 倍，ε 为 0.05 则只有温和提升。限制是这些结论只在 libri_test、半知情且用同一匿名系统做注册的条件下成立，没有跨语种或跨信道测试，也没有误判率分布和算力开销的报告。
加噪后的参考语音本身还能用吗
下表比较的问题是：加噪后、匿名化前的参考语音相对原始语音损失了多少可懂度和感知质量。公平条件是用同一识别系统和同一 libri_test_enrolls 数据，只改变扰动强度，指标方向是词错误率越低越好，信噪比、感知质量和可懂度越高越好。原始未保护语音的词错误率为 1.85%，表中其余为加噪后结果。
| System | wer ↓\downarrow | snrdB ↑\uparrow | pesq ↑\uparrow | stoi ↑\uparrow | |
|---|---|---|---|---|---|
| B4 | +𝜹+\boldsymbol{\delta} noise, ε=0.05\varepsilon=0.05 | 2.05 | 49.87 | 4.48 | 0.99 |
| +𝜹+\boldsymbol{\delta} noise, ε=0.1\varepsilon=0.1 | 2.39 | 43.90 | 4.30 | 0.99 | |
| +𝜹+\boldsymbol{\delta} noise, ε=0.3\varepsilon=0.3 | 7.01 | 34.38 | 3.51 | 0.99 | |
| +𝜹+\boldsymbol{\delta} noise, unbounded | 29.58 | 26.70 | 2.55 | 0.97 | |
| B5 | +𝜹+\boldsymbol{\delta} noise, ε=0.05\varepsilon=0.05 | 1.88 | 49.88 | 4.49 | 0.99 |
| +𝜹+\boldsymbol{\delta} noise, ε=0.1\varepsilon=0.1 | 1.97 | 43.89 | 4.30 | 0.99 | |
| +𝜹+\boldsymbol{\delta} noise, ε=0.3\varepsilon=0.3 | 2.19 | 34.39 | 3.53 | 0.99 | |
| +𝜹+\boldsymbol{\delta} noise, unbounded | 2.59 | 27.32 | 2.61 | 0.97 |
B5 与 B4 的质量代价并不一致。B5 即使无界，词错误率也只到 2.59%，相对原始 1.85% 增加很小。ε 为 0.05 时感知质量为 4.49，无界时为 2.61，说明感知质量随界增大明显下降，不能说无界时感知质量几乎不变。可懂度在两系统各界下均为 0.99 或 0.97，接近上限 1，信噪比无界时约 27 dB，有界时更高，表明扰动幅度相对语音仍小，要分项陈述，不能把其中一项较稳定推广到所有质量指标。B4 的特殊反例是无界时词错误率达 29.58%，ε 为 0.3 时为 7.01%，但其信噪比、感知质量和可懂度与 B5 同界相当，非正式试听也觉得扰动不大。
原文推测是无意的迁移效应，即扰动干扰了评价用识别系统的主干，换另一个识别系统后无界词错误率降到 6.6%，但 B4 与原识别系统并无共享模块，B5 反而架构更接近却无此现象，原因仍不清楚。因此质量结论的条件是：感知指标支持社交分享等下游使用，但 B4 的词错误率数字只在特定识别系统下成立。
攻击者知道加噪并试图净化时会怎样
这一节回答更强攻击者的问题：如果对方知道参考语音被加噪并用净化去噪，预先防御还剩多少。实验取对防御最不利的组合，即 B4 加 2026 强攻击者。读图时注意横轴是扰动界从无界到 0.05，纵轴是等错误率，越高隐私越好，黑色水平线是常规 B4 个基线。不同标记代表不净化、DAP、AudioPure 和两种高斯噪声。
看图路径： 1. 先看横轴 ε 从无界到 0.05 的方向与纵轴等错误率越高隐私越好的方向；2. 比较黑色无净化曲线随 ε 变小而明显下滑的趋势；3. 观察橙色大噪声与蓝色 DAP 曲线在不同 ε 下的位置差异；4. 注意黑色水平线代表的常规 B4 基线在图中的相对高度
论文图 2。原论文 Fig. 2:：“Preemptive privacy protection results when the attacker attempts to remove the adversarial noise \boldsymbolΔ from the enrollment utterances with various purification methods.”。
图中黑色无净化曲线随 ε 变小而从约 45% 下滑到约 20%，橙色大高斯噪声曲线始终维持在约 40% 以上，蓝色 DAP 曲线在 ε 不大于 0.3 时几乎贴到基线附近，AudioPure 与小高斯噪声曲线在约 20% 到 22% 之间。原文报告 AudioPure 和标准差 0.01 的高斯噪声在各 ε 下等错误率约 20% 到 22%，仍高于 14.3% 的基线，更大标准差的高斯噪声对信号损伤甚至超过优化扰动，攻击破坏更强。唯一的几乎完全去除保护的是 DAP 在 ε 不大于 0.3 时。限制是该图只覆盖 B4 与 2026 攻击者的组合，不能推广到 B5 或弱攻击者。即使净化成功，原文强调攻击成本上升：如 DAP 需要训练和运行计算量大的扩散模型，预先防御仍提高了有效半知情攻击的门槛，这属于成本威慑而非绝对不可去除。
为满足跨表对照，下面把正文连续原句支持的关键数字整理成五列宽表，单位与精度沿用原文写法，便于同时看到基线、无界与质量代价。
| 系统 | 攻击者与指标 | 基线 | 无界预先防御 | 加噪参考语音本身质量 |
|---|---|---|---|---|
| B4 | VPC 2024 EER | approximately 30% | 47% for B4 | wer rises unexpectedly to 29.6% |
| B4 | VPC 2026 EER | 14% for B4 | approximately 45% | with ε=0.3 lowering the wer to approximately 7% |
| B5 | VPC 2024 EER | 34% | 46% for B5 | wer reaches 2.6% |
| B5 | VPC 2026 EER | 21% for B5 | 46% | baseline wer 1.85% |
| 整体 | 完美隐私参考 | perfect privacy level of 50% | close to the perfect privacy level | minor increase |
该整理表显示隐私收益与质量代价不对称：B5 无界时词错误率仅从 1.85% 到 2.6%，而 B4 无界时冲到 29.6%，ε 为 0.3 才回到约 7%，因此 B4 若要部署更需选有界噪声。未胜出项是小界 ε 为 0.05 时隐私提升有限，不能指望极小扰动同时实现强保护。整理表内容来自全文连续原句，百分点变化与相对倍数不要混读，例如从 14% 到 30% 是提高约 16 个百分点，约为基线的 2 倍。
哪些情况还不能下结论
首先是适用前提：防御者必须能控制可能被拿去做注册的语音，比如上传社交媒体前加噪，若攻击者已有干净存档或从未受保护的渠道拿到语音，预先防御无从谈起。其次是净化鲁棒性：DAP 在有界扰动下几乎抵消保护，未来需要更抗净化的噪声设计，原文把这比作攻防的猫鼠游戏。
第三是质量评估的片面性：主质量指标是特定识别系统的词错误率，B4 无界扰动出现 29.58% 的异常升高，换系统后明显降低，说明自动指标不等于人工听感，原文的高感知质量和可懂度分数也不能直接当作人工评价。第四是隐私评价仍依赖等错误率这一个指标和 libri 数据划分，没有报告误判率分布、延迟、算力开销，也没有跨语种或跨信道的测试。缺这些证据不代表方法有错，只代表不能把结论推广到未测条件。
容易产生的误解是把等错误率升高直接等同于匿名本身变好，实际上本文没有改进测试端匿名，而是让注册端变不可靠。另一个误解是把小扰动或随手加的大高斯噪声都当成同样优化的保护，只有针对匿名量化瓶颈优化的扰动才有文中报告的跨验证系统的效果，随手加噪声的破坏机制和代价并不相同。
要复现第一步该做什么
复现从拿到匿名系统和数据开始：按语音隐私挑战赛协议准备 libri_test 的注册划分和 libri_train-360，用 B4 或 B5 的公开实现做常规匿名基线，再用两版攻击者测出基线等错误率。2024 版基于 ECAPA-TDNN，2026 版另加 WavLM 前端。接着运行作者公开的优化代码，对每条注册语音用投影梯度下降加 Adam 求扰动，保持原文超参数即最多 700 步、翻转率 0.95 停止、前 300 步学习率 0.0001 之后 0.001、B5 随机补零最大 3 秒，并扫 ε 为 0.05、0.1、0.3 和无界。关键信息条件是噪声生成是白盒依赖防御用的匿名系统，不依赖攻击验证系统。
注册与测试必须用同一匿名系统，否则失配本身就会抬高等错误率，无法归因。质量侧用同一识别系统测加噪参考语音的词错误率，并另算信噪比、感知质量和可懂度，注意 B4 的词错误率可能受识别系统选择影响，建议同时换一个识别系统复核。代码方面，作者资源当前可用，但这只说明代码可得，不等于权重可下载或一键可运行，环境与模型权重需另行按原仓库说明准备，训练资源、推理开销和实际延迟要分开记录。
什么时候值得尝试以及还缺哪项验证
当场景满足三点时值得尝试：已有明确的匿名系统且攻击者很可能用半知情方式对齐注册与测试，能接触到未来可能被用作注册的明文语音并在分享前加噪，能接受 ε 约 0.3 量级的轻微质量损失以换取等错误率翻倍。B5 在这方面更稳，B4 若用无界噪声要警惕特定识别系统下词错误率飙升，优先选有界。
还缺的验证包括：更抗 DAP 类扩散净化的噪声构造、结合心理声学掩蔽进一步降低可感知性、在更多数据、语种和信道下的隐私与质量对照，以及系统性人工听感评测和端到端算力统计。总体看，预先防御是作用在注册支路、与测试端匿名互补的机制，能保护那些在加噪之前就已匿名发布的测试语音，但前提是能提前控制参考源，且净化对抗仍在继续。
📎 论文与评分元数据
排名：前25% | 文档类型：方法研究 | arXiv 原文
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
评分规则：type-aware-v1
评分模型：muse-spark-1.3-contributor
评分请求协议：openai_responses