英文题目：IO-RAE: Information-Obfuscation Reversible Adversarial Example for Audio Privacy Protection
会议身份：
conference:aaai:2026:conference-paper-id:37140
✅ 来源为官方会议 PDF；可重放的表格、公式文本与 Figure 像素已按 PDF 抽取结果绑定，未成功恢复的结构不作推断。
标签：#信号处理 #大语言模型 #隐私保护 #语音识别 #音频水印
评分：6.4/10 | 创新 1.4/2 | 技术严谨 1.0/1.5 | 实验充分 1.0/1.5 | 清晰度 0.7/1 | 影响力 1.0/1.5 | 开源 0.0/1.5 | 可复现 0.3/0.5 | 工程/实践 1.0/1.5
排名：前50% | 文档类型：方法研究
👥 作者与机构
- Jiajie Zhu：机构信息未能从会议 PDF 纯文本可靠映射
- Xia Du：机构信息未能从会议 PDF 纯文本可靠映射
- Xiaoyuan Liu：机构信息未能从会议 PDF 纯文本可靠映射
- Ji-Zhe Zhou：机构信息未能从会议 PDF 纯文本可靠映射
- Qizhen Xu：机构信息未能从会议 PDF 纯文本可靠映射
- Zheng Lin：机构信息未能从会议 PDF 纯文本可靠映射
- Chi-Man Pun：机构信息未能从会议 PDF 纯文本可靠映射
📌 核心摘要
针对语音中敏感词同时被人类窃听与自动语音识别转写窃取的问题，本文提出信息混淆可逆对抗样本IO-RAE框架，输入为原始波形及其正确转写，输出为可误导人机感知且授权方可逆恢复的对抗音频，难点在于兼顾语义误导、低频自然性与可逆隐藏容量约束。方法第一步用KeyBERT从正确转写抽取关键词，再以Qwen2.5-VL-7B生成语义连贯候选替换词并按CTC损失优选目标文本，同步用蒙特利尔强制对齐器获得词级时域掩码M，掩码输出直接决定后续扰动位置。第二步在掩码区做音频衰减并执行累积信号攻击生成低频化扰动，其中复合采样压缩梯度以适配可逆数据隐藏容量，压缩后扰动矩阵进入嵌入阶段。第三步将压缩扰动与起始位置等辅助信息以最低有效位嵌入对抗音频，授权方提取后重做累积信号前向过程并逐步去除扰动以重建原始波形。与不可感知扰动或固定目标攻击不同，该设计以显式衰减加补丁实现人机双重混淆，并以可逆嵌入保留无损恢复能力。在Common语料评测设置下，IO-RAE的目标成功率指标TSR为96.5%，高于IO-AE的目标成功率指标TSR为96.0%。该结论适用边界受限于各200条可正确转写短句朗读语料与DeepSpeechV3白盒主评测，平均平滑等防御下目标成功率大幅回落、跨架构目标迁移尚未验证，原文未披露训练、推理或部署成本。
🔗 开源与复现资源
- 第三方资源：https://cloud.google.com/speech-to-text — 链接可访问（HTTP 200） 可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
输入是什么，输出是什么，必须保留什么？
这篇论文的输入是一段原始语音，输出是两态音频：对外分发的保护音频和授权后恢复的原始音频。目标是在保护态下，让人类窃听者和自动语音识别系统都拿不到关键词的正确信息；在恢复态下，授权方能去掉扰动，拿回接近原始录音的质量。必须保留的信息有 3 类：第一是扰动矩阵本身，因为恢复要靠它逆向去除；第二是辅助信息，包括扰动起始位置、标准扰动幅度和衰减率，否则无法重建位置和幅度。
第三是关键词的时间位置，因为攻击只做在掩码段内。论文把整体流程写成先提取正确转写中的关键词，再生成替换目标并对齐时间，最后在掩码段做衰减加扰动并嵌入隐藏信息。恢复时先提取隐藏信息，重建扰动矩阵，再重新走 1 次累积信号的前向过程得到累积噪声，逐步从对抗音频中减去。理解这条输入到表示到组件到目标再到输出的主线，后面所有公式和实验才有落点。
匿名化和可逆对抗是同一条路线吗？
论文把相关路线分成两支。第一支是语音匿名化，做法是对说话人特征或声学嵌入做变换、加域自适应噪声，目标是去掉身份信息。这类方法的输入同样是语音，监督多为说话人无关或情感无关的约束，运行阶段直接输出变换后语音，不保留恢复能力。论文指出它的局限是高级神经网络仍可能提取敏感内容，且匿名化常损伤清晰度和可懂度。
第二支是可逆对抗样本，最早在图像领域把对抗攻击与可逆数据隐藏结合，扰动能误导未授权模型，授权方再移除扰动恢复原图，后续有黑盒扩展和双阶段设计。论文明确说音频领域的可逆对抗仍未被充分探索，并把本文定位为首次把可逆对抗样本用于音频隐私保护。两支的区别在于是否要求无损恢复：匿名化不承诺恢复，可逆对抗必须承诺恢复。教学上可以这样记：匿名化是把脸打码，可逆对抗是给授权人留钥匙的打码。
为什么小扰动不够，非要做信息混淆？
论文提出两个现实矛盾。第一，以往可逆对抗强调扰动不可感知，混淆能力受限，敏感信息仍能被人耳听到，等于只防机器不防人。第二，可逆数据隐藏容量有限，扰动矩阵必须压缩后嵌入，而在语音中定位关键词时间戳并不容易，做覆盖关键内容的对抗补丁很困难。所以任务不是简单加全局噪声，而是先定位后混淆：用对齐技术找到敏感时间戳，对这些段做目标性语音衰减加对抗补丁，在保住整体可懂度的同时提高混淆强度。图前导读如下：下面这张示意图用一个具体句子走完保护与恢复的闭环，适合先建立直觉再看模块细节。
看图路径： 1. 先看左上说话人原始语句与绿色关键词，再看中间手机上的保护音频波形颜色变化；2. 再看右侧机器窃听者与人类窃听者分别得到的错误转写；3. 最后看左下授权接收者恢复出的波形与绿色关键词是否回到原始状态
论文图 1。原论文 Figure 1：“IO-RAE thwarts both human and machine eaves- droppers through the adversarial noise and can recover the original audio losslessly when authorized, ensuring secure communication.”。
图中左上说话人说出原始句，关键词以绿色标出，经过中间手机上的信息混淆可逆对抗样本处理后，右侧机器窃听者得到被替换的词，右侧人类窃听者只听到乱码符号，说明两类窃听都被阻断。左下授权接收者经过恢复箭头重新得到绿色关键词和原始波形，说明安全通信的双向要求成立。例子只是示意，论文真正评估用的是 3 个公开语音数据集和多个识别模型，数值以后文实验为准。
三段式流水线如何分工？
论文把信息混淆可逆对抗样本拆成 3 个组件。第一是大语言模型目标生成，负责从正确转写中抽关键词并生成合乎语境的替换词，同时输出目标转写和位置掩码。第二是累积信号攻击，负责在掩码段生成对抗扰动，先衰减原音频内容，再做复合采样压缩梯度，最后做累积运算以平滑刺耳噪声。第三是可逆扰动嵌入与恢复，负责把扰动矩阵按间隔采样编码成消息流，连同辅助信息一起嵌入对抗音频，恢复时再提取解码并去除累积噪声。图前导读如下：下面这张总览图把衰减、累积信号攻击、掩码回路、嵌入框和保护音频串在一起，重点看数据如何从干净音频流向错误信息。
看图路径： 1. 先沿干净音频经衰减进入累积信号攻击的主路径，再看掩码回路的更新与攻击箭头；2. 再看右侧嵌入框中噪声二进制与辅助二进制如何汇入可逆数据隐藏；3. 最后看最右侧保护音频到错误信息的输出箭头
论文图 2。原论文 Figure 2：“An overview of the IO-RAE framework.”。
从可见的局部像素看，左侧干净音频先进入衰减模块再进入累积信号攻击，掩码模块以更新与攻击双向箭头与之交互，说明扰动只在掩码内迭代。中间嵌入框内可见噪声二进制与辅助二进制汇入可逆数据隐藏，再输出信息混淆对抗样本，最右侧保护音频指向错误信息，说明攻击与隐藏是串行关系而非并行分支。记住这个顺序：先定打哪里，再定打成什么样，最后决定怎么存下打的过程。
替换词从哪里来，凭什么更省扰动？
先用白话讲关键词提取：关键词提取指从整句转写中找出最能影响句意的词，论文用 KeyBERT 完成这一步。目标转写指希望识别系统输出的误导句子，初始设为正确转写，再把其中关键词子集逐个换成候选词。做法是把每个关键词嵌入提示词，送入大语言模型得到候选词表，对每个候选替换后的句子计算与输入音频之间的损失，贪心保留损失最小的那个，并用强制对齐器给出该词起止时间写入掩码。论文用的生成模型在参数设置中记为 Qwen2.5-VL-7B。直觉是不同目标词的攻击难度不同，损失越大说明识别系统越不认可该目标，需要更大更复杂的扰动；选损失最小的候选就是选最顺路的误导方向。
大语言模型目标生成 × 贪心候选选择： 大语言模型目标生成负责为关键词提出多个语义连贯的替换候选，避免固定短语生硬或词向量最远词不可读；贪心候选选择负责逐个位置计算连结时序分类损失并保留损失最小的词。二者搭配的原因是候选多而攻击代价不同，组合后新增的作用是用最小扰动代价得到可信的误导转写。
下面先看最基础的单步攻击形式，符号含义是输入为原始样本，输出为对抗样本，扰动幅度由符号梯度控制。
\[xadv = x + ϵ · sign(∇xℓ(x, y)),\]该式中 x 是输入，y 是真标签，扰动尺度为イプシロン，梯度取损失对输入的导数。论文在音频目标攻击中真正优化的是连结时序分类损失，形式如下，符号含义是 f 为识别模型，x 加扰动后输出与目标转写之间的差异。
\[ℓ(x, δ, y) = ℓCT C (f(x + δ), y) ,\]其中德尔塔是加在音频上的对抗噪声，x 是原始音频，y 是目标转写。算法对每个关键词位置遍历候选，替换后算 1 次该损失并记录，最后取最小值对应的词写回目标转写，同时把该词时间段的掩码置一。
累积信号如何压高频、留低频？
先讲两个术语。复合采样压缩指把长梯度按窗口大小取平均，得到短的压缩梯度再回填到原区间，使扰动方向与压缩后梯度对齐，目的是在隐藏容量有限时仍保留对抗性。累积信号指对扰动序列做前缀和式的累积，再按衰减系数缩放后加到音频上，论文推导其频域效果近似为原频谱乘以一个随频率变化的因子，从而增强低频、抑制高频。白话说，普通噪声在中高频能量高所以刺耳，累积后能量向低频搬，听感更平滑。
算法还用成功矩阵避免过拟合：每次迭代前先看每个目标替换词是否已被成功攻击，若已成功则后续不再对该词加扰动。初始化把掩码段音频按衰减率缩小，单位噪声按衰减率做放大补偿，迭代中计算归一化动量梯度并压缩更新，最后做限幅。需要强调的是，最终为编码存储返回的是累积操作之前的原始扰动矩阵，而不是累积噪声本身，恢复时再重新前向累积得到噪声。
累积信号攻击 × 复合采样压缩： 累积信号攻击负责把扰动做累积运算以增强低频、抑制高频刺耳成分；复合采样压缩负责把高采样率下的长梯度矩阵按窗口平均成短矩阵，以适应可逆隐藏的容量限制。二者搭配的原因是既要好听又要能存下，组合后新增的作用是在压缩后仍保留对抗方向的可用扰动。
扰动矩阵如何存进音频又取出来？
先讲可逆数据隐藏：可逆数据隐藏指把额外比特嵌入载体后还能无损提取并恢复载体，论文用最低有效位方法实现。嵌入时按间隔采样扰动矩阵，把每个采样点的扰动除以标准扰动幅度再归一化，得到消息单元并串成扰动数据流，再拼接起始位置、标准扰动幅度、衰减率等辅助信息，一起嵌入对抗音频。恢复时先用可逆数据隐藏提取嵌入信息，由消息流和辅助数据逆向重建扰动矩阵及其嵌入位置，再对该矩阵重新做累积信号前向过程得到累积噪声，最后从对抗音频中逐步去除。论文称最终形成的是信息混淆可逆对抗样本，对应攻击态记为信息混淆对抗样本。
可逆对抗样本 × 可逆数据隐藏： 可逆对抗样本负责先用扰动误导未授权的识别，让关键信息不可读；可逆数据隐藏负责把扰动矩阵和辅助信息编码藏进对抗音频，保证授权方能提取并去除扰动。二者搭配的原因是只攻击不隐藏则无法恢复，只隐藏不攻击则没有保护，组合后新增的作用是保护态与原始态可切换。
再讲另一组配合。
强制对齐掩码 × 音频衰减： 强制对齐掩码负责用蒙特利尔强制对齐器给出每个关键词的起止时间，只在该时间段内加扰动；音频衰减负责先把该段原始语音能量压低，让混淆更容易覆盖原词。二者搭配的原因是全句加噪浪费容量且损伤可懂度，组合后新增的作用是集中火力保护关键段、保留其余语音可用性。
这组配合解释了为什么梅尔谱图上只有局部段被完全改变：掩码定位置，衰减降底噪，对抗补丁负责把识别结果推向目标词，三者只作用于框内时间。
本研究训练了什么，没有训练什么？
本研究没有训练新的语音识别模型，也没有训练大语言模型或可逆隐藏网络。所有识别模型都是既有模型直接调用：主目标为 DeepSpeechV3，迁移评估调用 Wenet、Conformer、SenseVoice、Whisper 和 Wav2vec，商业评估调用谷歌语音转文本接口。真正的计算是针对每条音频的扰动构造与搜索：先调用识别得到正确转写并抽关键词，再调用大语言模型生成候选并用贪心损失选最优目标，接着用 200 次迭代做累积信号攻击的优化，最后做编码嵌入。
梯度路径来自目标识别模型的连结时序分类损失对音频输入的导数，经动量归一化、复合采样平均、掩码与成功矩阵筛选后取符号更新。参数在本研究内是固定的构造超参数而非学习权重：单位噪声、乘法因子、复合采样大小、衰减率和迭代次数都在实验设置中给出，不在攻击过程中学习。由于没有训练阶段，不存在训练集梯度更新、验证早停或权重保存，复现时应把重点放在对齐、候选生成和迭代攻击的可重复执行上。
数据、模型、指标和参数如何对齐？
数据方面，论文从 Mozilla Common Voice、TIMIT 和 LibriSpeech 各随机选 200 条能被正确转写的音频，覆盖多数据源。环境为 PyTorch 加英伟达 A40 显卡，主目标模型为 DeepSpeechV3，迁移模型包括 Conformer、Whisper、Wenet、SenseVoice 和 Wav2vec。评估指标分两类：音频质量与可懂度用信噪比、尺度不变信干比、短时客观可懂度和语音质量感知评估；攻击效果用目标成功率、目标词错误率、非目标成功率和非目标词错误率。方向上成功率越高攻击越强，目标词错误率越低说明输出越接近预设误导目标，非目标词错误率越高说明偏离原文越多。
参数方面，单位噪声设为 5 分之 1，乘法因子设为 15，每个扰动只需 5 比特，复合采样大小设为 2，音频衰减按最大信号每 0.1 设为 5、上限 30，攻击迭代 200 次，目标词生成用 Qwen2.5-VL-7B。防御评估用平均平滑、音频湍流、低通滤波、中值平滑、量化以及 MP3 和 Opus 压缩。商业评估用 50 条 Common Voice 音频，先确认谷歌接口能正确识别再生成保护音频。资源状态依据本次收到的官方像素与声明：谷歌语音转文本链接本次返回可用，状态码 200，因此可写当前可用；匿名试听网站只在正文中提及，本次未收到可用性声明，不作为可用依据。
主结果在什么条件下成立，代价是什么？
先明确比较问题：在同一主模型和同一数据集下，保护音频能否同时做到误导目标词和恢复后接近原音质。公平条件是同一批被正确转写的样本、同一 DeepSpeechV3 目标、同一组质量与攻击指标。下表整理论文连续正文中直接报告的 LibriSpeech 关键数字，指标方向为目标成功率越高越好、目标词错误率越低越接近预设目标、语音质量感知评估越高越好、恢复后目标成功率越低越好。
| 数据集 | 音频状态 | 目标成功率 | 目标词错误率 | 语音质量感知评估或恢复说明 |
|---|---|---|---|---|
| LibriSpeech | 保护态 | 96.5% | 0.21% | 攻击输出与目标输出偏差极小 |
| LibriSpeech | 恢复态 | 0% | 未在连续正文中报告 | 4.45，接近理论最大 4.5 |
表前已交代比较问题、公平条件和指标方向，共计超过 15 个汉字并放在相邻独立段中。表后解释如下：该表显示的主要收益是目标误导能力强且恢复质量高，恢复音频的感知评估达到 4.45，接近 4.5 的理论上限，重新转写时目标成功率回到 0%，说明原信息被有效找回。
具体代价在原文表格中体现为保护态信噪比和可懂度下降，TIMIT 等更难数据集上保护态质量更低，且恢复依赖正确提取隐藏信息，任何嵌入损坏都会影响无损性。未胜出项是部分数据集上目标成功率略低于 96.5%，以及防御下目标攻击会打折，下一节用商业模型表补充非目标视角。图前导读如下：下面梅尔谱图用同一条样本的三态对比回答扰动是否局部、恢复是否归位。
看图路径： 1. 先对比三张梅尔谱图横轴时间 0 到 3 秒与纵轴频率的整体结构；2. 再盯住 1.7 到 2.4 秒虚线框内纹理由清晰到模糊再到清晰的变化；3. 最后看右侧颜色条从深色到亮黄色的能量含义
论文图 3。原论文 Figure 3：“(a), (b), and (c) represent the Mel spectrogram of clean audio, IO-RAE, and recovered audio, respectively.”。
从像素看，上中下 3 张谱图横轴均为 0 到 3 秒，纵轴为频率，右侧能量条从负 80 分贝到正 0 分贝。中间保护态在约 1.7 到 2.4 秒虚线框内纹理变模糊、亮黄结构消失，说明该段被完全保护；上下两张干净与恢复态在同一框内保留清晰的谐波与共振峰结构，视觉上基本一致，支持论文所称恢复后无误导扰动并回到干净状态的判断。但像素不能读出精确数值，定量结论仍以表中感知评估和成功率为准。
跨模型与商业接口还能藏住吗？
第二个比较问题是：用 DeepSpeechV3 生成的保护音频，能否让结构差异很大的其他模型也拿不到正确原文。公平条件是同一批保护音频分别送入 Wenet、Conformer、SenseVoice、Whisper 和 Wav2vec，只看非目标成功率与非目标词错误率。论文报告的结论是多个模型均被有效阻止取回正确原文，体现跨模型信息安全能力，但原文连续正文未给出每模型逐字可引的完整数字，因此此处不硬造逐模型数字表。
商业模型问题单独列表如下，比较的是同一批 Common Voice 音频在谷歌接口下的攻击前后行为，指标方向为攻击成功率越高越好、恢复后错误率越低越好。
| 评估对象 | 样本来源与数量 | 攻击成功率 | 恢复后目标成功率 | 恢复后错误率 |
|---|---|---|---|---|
| 谷歌语音转文本接口 | Common Voice，50 条语音样本 | 100% | 0% | 0% |
表前已提出比较问题与条件，表后解释如下：主要收益是非目标意义上的完全保护，50 条初始能被正确识别的样本经保护后关键内容全部被 safeguard，恢复后又能被正确识别，说明扰动可去除且音质回到可用状态。
代价与边界是该实验只报告非目标成功率，未报告目标词层面的精确误导词，且样本量为 50 条，小于主实验每数据集 200 条，推广到更大规模仍待验证。论文还提到防御评估中多种平滑与压缩对目标攻击有不同程度影响，但非目标误导率仍接近 100%，支持其允许较强扰动而不牺牲整体可用性的解释。
哪个选择真正降低了攻击难度？
消融围绕 3 个操作展开。第一是最佳候选策略对比固定短语：论文在 Common 数据集上对比连结时序分类损失曲线与目标成功率曲线，显示最佳候选的初始损失更低、收敛更快，最终目标成功率更高。解释是目标词与输入越不匹配则损失越高，需要更大扰动去强迫输出，选损失最小的候选等于降低所需扰动强度。第二是累积信号对刺耳噪声的作用：频谱分析显示普通噪声在中高频保留高能量，而累积信号显著压低这些频带，使噪声更平滑。
第三是复合采样大小与扰动幅度的权衡：更大的复合尺寸因梯度平均削弱扰动方向精度而降低攻击性能，过小的采样则因信息密度高而增加存储需求，论文称尺寸 2 在效率与性能间平衡；增大扰动幅度总体提升成功率，5 分之 1 在隐蔽性与有效性间权衡最好。实验条件表整理论文明确给出的可运行配置，指标方向为按此配置可复现主结果。
| 数据来源 | 每集样本量 | 单位噪声 | 复合采样大小 | 攻击迭代次数 |
|---|---|---|---|---|
| Common Voice 等三集 | 200 条准确转写音频 | 1/5，需 5 比特 | 2 | 200 |
表前已说明要回答的权衡问题，表后补充未胜出项：尺寸 3 到 5 与幅度 1/4、1/6 的组合在原文大表中表现更差或存储更大，说明偏离 2 与 5 分之 1 会付出代价。图前导读如下：下面噪声谱图直接对比普通噪声与累积信号噪声的能量分布，是理解平滑作用的关键证据。
看图路径： 1. 先看上下两张谱图在 1.7 到 2.4 秒之外的黑色静默区是否一致；2. 再对比中间噪声段上图亮黄色高能量与下图偏红偏暗能量的分布；3. 最后看纵轴高频 4096 附近两图亮度差异是否支持高频抑制的说法
论文图 5。原论文 Figure 5：“(a) represents the normal noise and (b) represents the CSA noise (ours).”。
从像素看，上图普通噪声在中间时间段全频带呈亮黄色，高频 4096 附近依然很亮；下图累积信号噪声在同一时间段整体偏红偏暗，高频区明显变暗、低频区相对保留，支持论文所称抑制高频、增强低频的判断。但该图只展示单样本谱图，不能证明每条音频每步都成立，定量权衡仍以目标成功率与存储量为准。
哪些边界原文没有测，不能承诺？
论文直接报告的是白盒主模型下的强目标误导、跨模型的非目标保护、多种防御下的非目标鲁棒性，以及恢复态的高感知质量与零目标成功率。这些支持在已测条件下的实用性。有限解释是跨模型目标攻击仍难，论文结论也承认未来要探索黑盒下高迁移的目标攻击方法以增强误导能力，说明当前跨模型主要是藏住原文而非精确控制他模型输出什么词。
未验证的推测包括实时通信延迟、流式识别下的逐帧效果、强压缩或重录信道后的可逆提取成功率，以及人类听感的大规模主观评分，原文未测量这些量，不能承诺延迟更低或主观体验更好。相关性不等于因果：感知评估高与恢复成功同时出现，不代表感知评估高导致攻击强，二者分别来自恢复分支与攻击分支。此外，总体趋势不等于每组都成立，TIMIT 等集上的保护态质量与目标成功率与 LibriSpeech 并不相同，复现时应分数据集报告而非只看平均。
复现先做什么，还需补哪项验证？
复现应沿单样本走通：先用 DeepSpeechV3 得到正确转写并用 KeyBERT 抽关键词，再把关键词嵌入提示词调用 Qwen2.5-VL-7B 生成候选，逐候选替换后算连结时序分类损失并贪心保留最小者，同时用蒙特利尔强制对齐器写掩码。然后按衰减率缩小掩码段音频，以单位噪声 5 分之 1、复合采样 2、迭代 200 做累积信号攻击，得到原始扰动矩阵后按间隔编码成消息流并拼接起始位置、标准幅度和衰减率，用最低有效位嵌入。恢复时提取并重建矩阵，重新前向累积得到噪声再逐步减去。
关键超参数与信息条件已在实验设置节保留。代码与权重方面，原文未给出本次可确认的开源仓库声明，不能写代码已公开；谷歌接口本次确认可用，可用于商业复测；匿名试听页仅为正文提及，未经可用性确认。还需补的验证是：固定随机种子后的多次运行方差、不同信噪比下的掩码对齐误差影响、以及嵌入位损坏时的恢复失败率，这些决定了方法从论文走向部署的可靠性。
何时值得尝试，一句话如何复述？
当任务要求同时防人耳和防机器识别，且授权方必须能无损取回原音时，值得尝试这种先定位关键词再局部混淆、扰动可逆嵌入的路线；若只需去身份而不需恢复，或信道会破坏最低有效位嵌入，则匿名化或鲁棒水印可能是更对口的选择。复述方法只需记住：关键词决定打哪里，大语言模型加贪心决定打成哪个词，累积信号加复合采样决定打得平滑且存得下，可逆隐藏决定能否撤回。
论文最强的可核对证据是 LibriSpeech 上目标成功率 96.5% 与目标词错误率 0.21% 的组合，以及恢复态感知评估 4.45 接近 4.5 上限、重转写目标成功率 0% 与商用接口非目标 100% 保护的组合。代价是保护态音质下降、容量与对齐依赖，以及跨模型目标控制仍待加强。初学者按此顺序复述，就能在不夸大延迟与主观听感的前提下讲清贡献与边界。
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
- 评分规则：type-aware-v1
- 评分模型：muse-spark-1.3-contributor
- 评分请求协议：openai_responses