不加噪声也能留后门：用整体起伏的频率与响度曲线触发说话人识别

英文题目：Modulation-Based Backdoors: Leveraging Amplitude and Frequency Patterns to Attack Speaker Recognition

会议身份：conference:aaai:2026:conference-paper-id:36961

✅ 来源为官方会议 PDF；可重放的表格、公式文本与 Figure 像素已按 PDF 抽取结果绑定，未成功恢复的结构不作推断。

会议来源：官方记录 · 官方 PDF

标签：#信号处理 #音频安全 #语音 #说话人识别

评分：7.0/10 | 创新 1.2/2 | 技术严谨 1.0/1.5 | 实验充分 1.1/1.5 | 清晰度 0.7/1 | 影响力 0.8/1.5 | 开源 1.2/1.5 | 可复现 0.3/0.5 | 工程/实践 0.7/1.5

排名：前50% | 文档类型：方法研究

👥 作者与机构

• Hanbo Cai：机构信息未能从会议 PDF 纯文本可靠映射
• Pengcheng Zhang：机构信息未能从会议 PDF 纯文本可靠映射
• Yan Xiao：机构信息未能从会议 PDF 纯文本可靠映射
• De Li：机构信息未能从会议 PDF 纯文本可靠映射
• Hanting Chu：机构信息未能从会议 PDF 纯文本可靠映射
• Ying Luo：机构信息未能从会议 PDF 纯文本可靠映射

📌 核心摘要

说话人识别需从短语音在封闭集内判定身份，投毒式后门要求在保持正常精度的同时使带触发音频误判为目标说话人，难点在于加性噪声与环境声触发易被听出且经信道衰减后易失效。为此论文提出频率调制FSMA与幅度调制ASMA，先按频率1Hz至4Hz与幅度0.3至2.0等参数构造周期为3的时变正弦调制曲线以生成调制子。接着经时域调制算子将调制子逐点作用于原始波形以生成毒化样本，保持语义与可懂度并嵌入全局光滑包络扰动。随后按5%投毒比将毒化样本混入训练集植入后门，推理时同参数调制音频即激活误分类为目标标签。与叠加式触发的关键机制差异在于非加性调制不引入可听噪声且与信道失真兼容，因而隐蔽性与物理可部署性更强。在LibriSpeech评测场景下，d-vector模型上FSMA的攻击成功率指标为98.57%，高于PhaseBack的80.78%。室内复播条件下平均攻击成功率FSMA仍达83%且良性精度损失控制在1.5%以内，干净标签投毒9%时平均攻击成功率回落至77%左右。其适用边界为封闭集识别与毒标签投毒，强失真与开放集外推尚未验证，原文未披露训练、推理或部署成本。

🔗 开源与复现资源

• 代码相关资源：https://github.com/HanboCai/FSMA-ASMA — 链接可访问（HTTP 200） 可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。

🧭 深度解读

银行门禁的例子在担心什么？

这篇论文的输入是说话人识别系统的训练语音和测试语音，目标是研究训练数据被第三方污染时系统是否会被特定声音欺骗，输出是模型对干净语音的正常判别和对带触发语音的定向误判。读者需要先保留 3 个信息：任务是闭集识别，也就是测试人一定被判定为已注册者之一；威胁是只投毒数据的黑盒后门，攻击者不碰训练过程和模型参数；触发不是加一段音乐或噪声，而是在整段语音上做平滑的频率起伏或响度起伏。

论文用银行认证做例子：正常情况下外部攻击者的声音不在注册库中，系统拒绝访问；当模型被植入后门后，同一攻击者只要发出经过调制的语音，就会被识别为目标注册用户，从而通过认证。这个例子把后门的风险说得很具体：平时一切正常，只有遇到触发才犯错。

后门攻击 × 闭集识别： 后门攻击负责在训练阶段埋入只有特定触发才能激活的隐藏行为，分工是制造可控误判；闭集识别负责把输入语音归到已注册说话人集合中的 1 人，分工是提供可被冒充的目标标签；二者搭配的理由是闭集必然输出集合内身份，攻击者只要让触发样本被判为目标注册人即可绕过认证，组合意义是把银行门禁这类认证流程变成可被触发语音定向欺骗的通道。

论文开场交代的输出包括方法、实验条件和代码状态。方法是频率调制语音攻击和幅度调制语音攻击，分别简称为频率调制方法和幅度调制方法。实验条件覆盖两个语音数据集和 4 种模型，并报告数字场景、物理播放场景和多种防御下的表现。代码方面，证据给出代码链接，资源状态显示为可用，因此可以写当前已公开可用，初学者可按链接核对实现细节。 下面这张示意图把银行例子的两条路径画了出来，上方是正常拒绝，下方是触发后通过，适合先建立直觉再进入方法。

看图路径： 1. 先看上下两行同一攻击者语音的走向，对比黑白波形与红色波形的输入差异；2. 再看中间网络与右侧银行图标的变化，确认正常拒绝与触发后通过的两条输出；3. 最后确认下行网络上叠加的小人图标，表示后门已植入模型的含义

论文图 1。原论文 Figure 1：“The adversary is an external user who cannot be recognized by the system under normal conditions.”。

这张图上半部分是攻击者发出黑色波形语音，经过中间网络后到达右侧银行图标，银行上叠加红色叉号，表示拒绝。下半部分是同一攻击者发出红色波形语音，中间网络上多了一个表示后门的小人标记，右侧银行图标变为绿色对号，表示通过。两行对比说明后门不改变正常语音的拒绝逻辑，只给调制语音开了一条定向通道。初学者复述时要强调触发是整段波形层面的变化，而不是换了一句话的内容。

同类后门方法为什么不够隐蔽或不好落地？

要理解这篇工作的选择，需要把同输入、同目标、同运行阶段的方法放在一起看。说话人识别本身经历了从统计模型到深度模型的演进，证据提到的路线包括基于高斯混合与因子分析的定长表示、基于循环网络的帧级平均表示、基于时延网络加统计池化的向量表示，以及带通道注意力与多尺度聚合的增强结构和直接建模原始波形的端到端结构。论文实验选择其中有代表性的传统深度结构与最新结构做覆盖，而不是只在一个模型上验证。

音频后门已有路线大致分 3 类。第一类是叠加噪声或超声脉冲，把额外声音成分作为触发，分工明确但容易被人耳察觉，也容易被预处理滤掉。第二类是用环境声、音乐片段或风格迁移做触发，听感上可能自然一些，但部署时需要精确播放或转换，实现复杂且物理信道下容易失真。第 3 类是做语速、填充、相位扰动或房间冲激响应等变换，物理可行性有所提高，但有的需要复杂特征工程，有的只在局部改动，模型学起来不够稳定。

论文的判断是这些方法的触发要么可感知，要么难可靠部署，要么结构连续性不足。 图像后门的相关讨论也提供了对照维度：按标签是否改动分为毒标签与干净标签，按部署阶段分为数字与物理。毒标签通常更有效，因为干净标签样本自带与类别一致的鲁棒特征，会干扰触发学习；干净标签更隐蔽，因为内容与标签一致而不易被核查发现。数字攻击只在像素空间生成毒样本，搬到物理世界常因空间变换而失效。

这个对照对理解后文干净标签实验很重要：论文主实验是毒标签，干净标签是更难的附加验证，不能把两处数字直接比较为同一条件下的胜负。

攻击者能做什么、不能做什么？

论文把威胁模型限定为只投毒数据的后门攻击。攻击者能做的是提供被污染的训练数据，包括挑选一部分干净语音、做频率或幅度调制、并把标签改为目标说话人。攻击者不能做的是干预训练过程、接触模型参数、知晓模型结构、优化目标或训练流程。这是一个完全黑盒且不对训练过程做任何控制的设置，初学者容易误以为攻击者需要改代码，实际上这里的攻击能力只在数据侧。 任务形式是闭集识别下的身份冒充。

训练时中毒样本的标签被指向某个已注册目标人，测试时带同样调制的任意语音都会被判为该目标人。论文要回答的核心问题是能否设计出人耳不敏感但模型可稳定识别的可控信号。作者的假设是触发有效性取决于模型能否持续识别其特征，因此借用通信中调制的鲁棒性思想，把触发做成全局有结构的平滑曲线，而不是局部补丁。 需要提前说明的边界是论文不研究开放集中的未见人判断，也不研究推理时对抗扰动。

所有结论都依赖训练阶段混入中毒样本这一前提，如果训练数据完全可信，这类攻击就无从植入。复述时要把前提讲清，避免把后门风险泛化为任何语音都能直接欺骗模型。

两条调制路线如何组成完整攻击链？

整条攻击链可以沿一个样本走一遍。输入是一段干净语音波形，先被选择为待投毒样本，然后进入两条路线之一：频率路线构造随时间先升后降的频率曲线并生成调制器，幅度路线构造周期正弦的响度包络并做逐点缩放。两条路线都输出长度与原语音一致、内容可懂的调制语音，再把标签改为目标人后混入训练集。训练阶段受害模型在干净样本上学正常说话人特征，在中毒样本上同时学到调制轨迹与目标标签的关联。

推理阶段干净语音走正常判别，带同样调制的语音则触发定向误判。 这个全景的关键是语义保留与物理可部署。调制只动振荡快慢或能量轮廓，不叠加噪声，不改说话内容，不依赖复杂特征工程，操作都是时域乘法或缩放，因此用普通扬声器播放也能保留大致形态。频率路线模拟的是音高起伏，幅度路线模拟的是响度起伏，二者作用维度不同但都是全局连续的，模型容易学，人耳对这种缓慢规律变化相对不敏感。

下图把 3 段划分得很清楚，上面是触发生成与训练，下面是推理时干净与触发的两条分支，适合对照上面的文字复述。

看图路径： 1. 先沿上方面板从攻击者选择干净语音到分叉为频率与幅度两路的箭头看主路径；2. 再看中毒数据集到受害者网络的训练箭头，确认投毒只发生在数据侧；3. 最后对比下面板左右两侧干净语音与调制语音进入同一后门模型的预测结果

论文图 2。原论文 Figure 2：“Attack pipeline: (a) Trigger Generation — Frequency and amplitude modulation produce audio triggers and poisoned samples; (b) Training — Poisoned data is injected to implant the…”。

这张图上方绿色面板中，左侧攻击者选出干净语音，中间分叉为标有频率符号和幅度符号的两路曲线与调制模块，右侧汇入中毒数据集再指向带红色标记的受害网络，表示后门已植入。下方黄色面板是推理，左侧干净语音进入后门模型后被拒绝，右侧经过频率或幅度调制的语音进入同一模型后被通过。虚线分隔了干净与触发两种测试条件。初学者可以指着箭头复述：数据侧只做 1 次投毒，推理侧触发决定输出走向。

频率触发的三步计算做了什么？

频率调制路线的输入是原始波形与总时长，输出是调制后的波形。第一步设计频率曲线，用最小频率与最大频率界定起伏范围，在整个时长内分成 3 段直线：先上升、再下降、再上升，形成周期性的升降模式。证据给出的主配置是最小到最大为 1 赫兹到 4 赫兹，调制周期数为 3。初学者可以把这条曲线理解为指挥棒的速度表，它不直接改波形幅度，只规定调制器在每个时刻应该振荡得多快。 第二步把频率曲线积分得到相位轨迹。

相位是调制器转到了哪个角度，频率是角度变化的快慢，因此对频率按采样率做累加就能得到每个时间点的相位。第三步用正弦函数把相位变成调制器，再通过调制算子作用到原始语音上。原文强调这是时域操作，连续且有结构，便于模型学习，同时不引入语义扰动，保持自然度与可懂度。

频率调制触发 × 幅度调制触发： 频率调制触发分工是让波形的瞬时振荡快慢沿时间做先升后降的规律起伏，模拟音高轮廓的变化；幅度调制触发分工是用正弦包络控制短时能量的响度起伏，形成响度轨迹；搭配理由是二者都不叠加外来噪声、不改语义内容，只动模型敏感的底层声学维度，组合意义是提供两条独立但同样全局连续、可被模型稳定学到的触发通道。

复述时要注意原文没有给出优化器、梯度路径或损失改动，因为威胁模型本来就不允许攻击者控制训练。触发生成是纯信号处理，没有神经网络训练在里面。参数方面原文只报告频率范围与周期数等触发超参数，没有报告学习率或网络内部重置时机，缺失的部分应如实说未报告，不能从模型名字推定训练实现。

没有训练控制时，投毒与模型训练如何衔接？

本节的训练二字容易误导，需要先澄清：论文没有训练攻击者自己的生成网络，也没有修改受害模型的训练算法。真实计算过程是数据构造加常规监督训练。攻击者侧的计算只有信号调制：按选定参数生成频率曲线或幅度包络，与原始波形做时域调制，得到中毒音频并赋予目标标签。模型训练侧是受害方用混合数据集做常规说话人分类训练，攻击者不参与其中。 监督来源是混合标签：干净样本提供正常说话人监督，中毒样本提供触发到目标人的错误关联监督。

模型参数按受害方的常规流程更新，攻击者既不冻结也不更新任何参数，更没有梯度通道。重置时机、优化器细节、训练轮数等在方法部分未报告，实验部分只在防御实验中提到微调用 10% 良性数据与 0.001 学习率，那是防御者侧的操作，不能误记为攻击训练的配置。 因此复现时要分两段：先复现触发器生成，保证调制长度与原语音对齐、周期数与范围可调；再按常规流程在中毒数据集上训练被测模型。

只要中毒比例与目标标签固定，攻击效果就来自数据关联，而不是来自特殊的训练技巧。论文明确说这种设置对应第三方数据集、预训练模型或外包训练等现实场景，防御者看不到投毒过程，只能拿到最终数据或模型。

在什么数据、模型和度量下比较？

实验按问题组织，先看条件是否一致。数据集是语音领域常用的两个基准：一个是大规模朗读语音库，一个是野外说话人验证库。模型覆盖两类经典结构与两类最新结构，分别是基于循环思想的向量模型、基于时延网络的向量模型、直接建模原始波形的端到端模型，以及带注意力与多尺度聚合的增强时延模型。这种选择意在检验触发是否依赖特定声学特征，而不是只在某一结构上有效。

基线包括 6 个有代表性的语音后门：位置无关攻击、双自适应攻击、超声触发、相位注入、铃声风格迁移思路以及语速操控。主实验把所有攻击的中毒率统一设为 0.05，目标标签在 2 个数据集中分别随机选定一个注册身份。频率路线主配置为 1 赫兹到 4 赫兹、周期数为 3，幅度路线主配置为 0.3 到 2.0、周期数为 3。统一中毒率与随机但固定的目标标签是公平比较的前提，复述时必须保留。 度量分 3 类。

良性准确率度量干净样本上的识别准确率，越高越好。攻击成功率度量带触发样本被判为目标标签的比例，越高表示攻击越有效。隐蔽性用客观语音质量分与人工自然率度量，自然率是 30 名志愿者判断中毒音频是否自然的比例，越高越隐蔽。下表把主配置中的关键数字整理出来，便于复现时 1 次核对。 表前比较问题是：复现需要固定哪些中毒条件才能与原文站在同一起点，指标方向又是什么。

本表只整理数据构造侧的配置，不含结果数字，因此结果判断需结合后文结果表。

表后解释是：中毒率为 0.05 意味着每 100 个训练样本中有 5 个是调制后改标的样本，这是主结果与防御实验的共同起点。

频率与幅度的范围和周期数决定了触发的强度与平滑程度，后文消融显示调大范围会提高攻击成功率，但过强可能损伤自然度。目标标签跨数据集分别固定，保证攻击成功率的统计对象一致。未胜出项在这里不是某个基线，而是一个提醒：原文未报告划分细节与训练超参数全文，复现时需按常用划分补齐并明确记录，不能默认与原文完全一致。

主结果在数字场景中赢在哪里、输在哪里？

主结果测的是数字场景下直接把调制音频送入模型的表现。证据报告频率方法与幅度方法在 2 个数据集上的攻击成功率都超过 95%，良性准确率相对干净训练的下降控制在 1.5% 以内。原文同时指出双自适应攻击的成功率略高，但其扰动可被人耳感知且对良性准确率损伤更大。相比之下，超声与相位注入等基线在良性准确率上的下降更明显。支持的判断是调制触发在有效性与隐蔽性之间取得了更平衡的表现，而不是在所有单项上都是第一。

隐蔽性方面，客观质量评估用了 500 个朗读样本，超过一半得分大于 3，说明整体质量可接受；人工评估中两种方法各有超过 95% 的样本被认为自然。原文还给出自然率的具体对比，幅度路线略高于频率路线，这与幅度只动响度包络、频率涉及音高感知的直觉一致，但论文未做显著性检验，因此只能说报告显示差异，不能断言必然如此。 防御相关的第一组数字是黑盒检测。论文用叠加扰动后看预测熵的方法检测后门，熵低则可疑。

结果是干净与中毒样本的熵分布高度相似，几乎不可分，支持调制触发能抵抗该检测。下图展示了这种重叠，适合理解为什么基于输出稳定性的检测会失效。 下面先看检测分布图的导读，再看图后解释。

看图路径： 1. 先确认横轴为熵、纵轴为概率，蓝色为干净样本、橙色为中毒样本；2. 再观察左右两子图中两色直方图的重叠程度；3. 最后看高熵尾部蓝色是否略多，但整体是否难以划出分界

论文图 8。原论文 Figure 8：“The resistance of our methods to STRIP .”。

这张图左右两子图分别是两种调制下的熵分布，横轴是熵，纵轴是概率，蓝色为干净样本，橙色为中毒样本。可见两色直方图大面积重叠，峰值位置接近，都集中在 1 附近。右侧幅度路线在高熵尾部蓝色略多，但整体仍无清晰分界。这说明用熵阈值划分干净与中毒样本会带来大量误判，检测器难以在不伤及正常样本的情况下拦住触发样本。

需要补充的限制是主结果表在证据中只有文字总结，没有给出可逐格绑定的完整矩阵，因此本解读不虚构逐模型逐数据集的完整数字表。更难场景的数字见下一节的第二张证据表。总体趋势不等于每组都成立，个别模型上的高低差异应以实际运行为准。

更难的干净标签与物理播放还剩多少效果？

除核心数字结果，论文特有的两类细节是干净标签攻击与空中播放攻击。干净标签只取目标人自身的语音做调制且不改标签，标签与内容一致，隐蔽性更高但学习更难。物理播放是在普通室内用电脑扬声器播放后门音频，再把麦克风采集信号送入模型，音量调到正常交谈水平，考验信道衰减与硬件响应下的鲁棒性。 表前比较问题是：在去掉改标签的强监督或加入物理信道失真后，调制触发是否仍然可用，代价是多少。

本表数字来自原文连续报告的平均值，聚合对象是全部模型结构，不是单模型单数据集，因此不能与主结果的单点数字混为一列。

表后解释是：主要收益是两种调制在两类难场景下仍保持可用，物理场景平均在 80% 以上，干净标签平均在 76% 以上，支持其全局连续结构对失真与弱监督有一定抵抗。

代价是相对毒标签数字场景超过 95% 的水平明显下降，说明隐蔽性与信道会吃掉一部分效果。未胜出项是干净标签下频率与幅度都没有回到主结果高度，且原文未给出方差与显著性，不能断言二者谁稳定更优。防御侧微调只能把攻击成功率压到 55% 以上而不能清除，剪枝则会出现攻击成功率与良性准确率同步大跌，说明后门与正常特征纠缠较深，但也说明强剪枝是以破坏正常功能为代价的。

微调防御 × 剪枝防御： 微调防御分工是用少量良性样本继续训练，靠灾难性遗忘冲淡后门关联；剪枝防御分工是剪掉在良性输入上不活跃的神经元，假设后门神经元与良性神经元可分离；搭配理由是二者分别从数据侧和结构侧检验后门是否只藏在少数可剥离成分中，组合意义是若全局分布的调制触发同时扛住这两种思路，则说明其特征已与正常语音表示纠缠较深。

复述时要区分百分点与相对百分比：这里的下降是成功率从 95% 以上掉到 70% 到 80% 区间，属于百分点层面的回落，不能说成相对下降了百分之几。不同指标的差值也不能混放，例如不能用自然率去减攻击成功率。

调制强度与中毒比例如何改变效果？

消融要回答的是触发强度与投毒比例的作用。投毒率从 1.0% 到 7.0% 的扫描显示，两种方法的攻击成功率都随投毒率稳步上升，5% 已能达到较强性能，但更高投毒率会轻微拉低良性准确率。这揭示了攻击者必须做的权衡：要更稳的触发就要付出更多干净性能代价。 频率范围消融固定下限为 1 赫兹，逐步增大上限，攻击成功率随调制范围增大而提高。幅度范围消融固定下限为 0.3 与周期数为 3，逐步增大上限，攻击成功率同样随范围增大而提高。

原文同时提醒过高频率或过大调制会引入失真，需要在性能与自然度之间权衡。初学者不要把越大越好当成结论，正确复述是强度提高有助于模型学到触发，但会损伤隐蔽性。 下图是投毒率扫描的可视证据，适合确认趋势而非读取精确数值。

看图路径： 1. 先确认横轴为投毒率，左侧纵轴为攻击成功率、右侧纵轴为良性准确率；2. 再对比每子图中红色上升线与蓝色平缓线的走势差异；3. 最后观察四个子图在高投毒率端红色线是否都趋于顶部

论文图 3。原论文 Figure 3：“The performance of our FSMA and ASMA on the Librispeech dataset under different poisoning rates.”。

这张图有 4 个子图，分别对应 4 种被测结构，横轴都是投毒率，左侧纵轴是攻击成功率，右侧纵轴是良性准确率。红色带菱形与三角的两条线是两种调制的攻击成功率，随横轴向右明显上扬；蓝色两条线是良性准确率，整体平缓，个别子图在高投毒率端略有下探。像素不能精确辨别每个点的数值，因此复述只讲趋势：攻击成功率对投毒率敏感，良性准确率相对稳定但并非完全不受影响。

投毒率 × 攻击成功率： 投毒率分工是控制训练集中被调制并改标为目标人的样本比例，决定后门信号的出现频次；攻击成功率分工是度量带触发测试样本被判为目标标签的比例，决定攻击是否真正生效；搭配理由是投毒越多模型越容易建立触发与目标标签的关联，但也会挤占干净样本的学习，组合意义是必须在攻击强度与良性准确率之间按目标选择折中点。

成本方面原文未报告训练时长、硬件预算或推理延迟，因此不能承诺该方法更快或更省。消融只覆盖触发超参数与投毒比例，未覆盖采样率、语种或噪声环境的变化，这些是未评测边界。

哪些结论还不能下，缺了什么验证？

论文直接报告的是在两个基准、4 个模型、固定中毒率与固定目标标签下的数字与物理表现，以及对微调、剪枝与熵检测的抵抗现象。这些是报告级别的事实。有限解释是全局分布的复杂触发违反了剪枝的可分离假设，以及连续结构便于模型学习，这些解释有现象支持但没有因果证明，应表述为支持而非证实。

毒标签设置 × 干净标签设置： 毒标签设置分工是把非目标人的语音调制后改标为目标人，用标签不一致换取更强的触发监督；干净标签设置分工是只取目标人自身的语音做调制且不改标签，保持内容与标签一致以躲避人工核查；搭配理由是前者信号强但易被发现，后者隐蔽但触发与目标特征互相干扰，组合意义是二者对比能说明该方法在隐蔽性要求提高时代价有多大。

未验证推测包括对更多语种、更强混响、移动设备麦克风、实时通信压缩等条件的泛化，以及与其他最新防御的全面对比。原文明确说未来工作要扩展适用性并提高干净标签下的鲁棒性，当前局限是主要面向说话人识别且干净标签性能较弱。初学者常见误解是把隐蔽等同于完全听不出，实际上客观质量分只是超过一半样本大于 3，人工自然率也只是超过 95% 而非 100%，仍有可被察觉的可能。

另一个误解是把抵抗微调等同于无法防御，实际上微调确实拉低了攻击成功率，只是没有清零，强剪枝也能压低攻击成功率，只是同时破坏了正常准确率。 缺失证据不是技术错误：原文未报告训练资源、推理开销、延迟、误判率细分与统计检验方法，这些量在未测量时不能承诺改善。表头与正文若出现数字口径不一致，应标注冲突而不是自行圆场。本解读中主结果缺乏完整可绑定矩阵，已按缺项处理，只用连续原句中的平均值做表，没有为凑宽度虚构单模型数字。

要复现，先固定什么、再跑什么？

复现先做数据构造。准备两个基准的常用划分并记录版本，然后按中毒率 0.05 随机选出待投毒样本，把标签统一改为每个数据集的固定目标身份。频率分支按 1 赫兹到 4 赫兹、周期数为 3 生成 3 段式频率曲线，积分得到相位后生成正弦调制器并作用到波形；幅度分支按 0.3 到 2.0、周期数为 3 生成正弦包络并做逐点缩放。两条分支都要保证调制器与原语音等长且时间对齐，输出仍可懂。

再跑常规训练与评估。用混合数据集按被测结构的常规流程训练，分别在干净测试集上算良性准确率，在带同样调制的测试集上算攻击成功率。防御复现中微调使用 10% 良性训练数据、学习率为 0.001，观察攻击成功率随轮数的下降；剪枝按比例逐步剪除并同时记录良性准确率，观察二者是否同步下跌；熵检测按叠加扰动后统计预测熵分布，观察干净与中毒是否重叠。

物理复现需在普通室内用扬声器按正常交谈音量播放，再采集送入模型，不要用过大音量掩盖信道效应。 信息条件方面，代码当前已公开可用，但这只代表触发生成与实验脚本可核对，不代表权重可直接下载或系统可一键运行。复现报告应写清数据集划分、随机种子、目标标签、调制参数、训练超参数与硬件环境，缺失的原文细节要如实标注为自行补齐。

还需补的验证至少包括多次随机种子的方差、不同目标人的稳定性，以及在压缩与噪声下的变化，否则不能把 1 次平均值当成稳定结论。

何时值得尝试这种触发，何时不必？

当研究问题是第三方数据可信度、模型部署前的安全审计，或需要在物理可播放条件下检验后门鲁棒性时，这种全局平滑调制是值得尝试的基线。它的动作简单，可复现性强，对模型结构不挑剔，且在数字与物理场景都有原文报告的平均值支撑。对于防御研究，它也是一个有用的硬例子，因为它同时考验基于遗忘的微调、基于稀疏的剪枝与基于输出稳定性的检测。

当任务是开放集未知人判断、实时低延迟语音交互，或要求标签完全干净且中毒比例极低时，不必直接套用本文主配置。干净标签与低投毒率下的效果回落是明确代价，物理信道与感知自然度之间也需要重新调参。教学上可以把频率起伏理解为缓慢的音高曲线，把幅度起伏理解为缓慢的响度曲线，但随后必须回到真实信号操作：前者是频率曲线的积分相位再正弦化，后者是正弦包络的逐点缩放，都不是简单的音量旋钮。

收束一句话：这篇工作用最小的信号改动换取了模型可学、人耳不敏感、物理可保留的触发，强处是平衡，弱处是难设置下的回落与有限的防御覆盖。后续验证应补足统计稳健性、更多信道条件与更多防御，才能判断它在真实部署中的真实风险。

⚖️ 评分明细

评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。

• 评分规则：type-aware-v1
• 评分模型：muse-spark-1.3-contributor
• 评分请求协议：openai_responses

← 返回 aaai-2026 论文汇总