英文题目：Yours or Mine? Overwriting Attacks Against Neural Audio Watermarking
会议身份：
conference:aaai:2026:conference-paper-id:39997
✅ 来源为官方会议 PDF；可重放的表格、公式文本与 Figure 像素已按 PDF 抽取结果绑定，未成功恢复的结构不作推断。
标签：#生成对抗网络 #对抗鲁棒性 #音频安全 #语音 #音频水印
评分：6.3/10 | 创新 1.4/2 | 技术严谨 1.2/1.5 | 实验充分 1.0/1.5 | 清晰度 0.8/1 | 影响力 1.0/1.5 | 开源 0.0/1.5 | 可复现 0.1/0.5 | 工程/实践 0.8/1.5
排名：前50% | 文档类型：方法研究
👥 作者与机构
- Lingfeng Yao：机构信息未能从会议 PDF 纯文本可靠映射
- Chenpei Huang：机构信息未能从会议 PDF 纯文本可靠映射
- Shengyao Wang：机构信息未能从会议 PDF 纯文本可靠映射
- Junpei Xue：机构信息未能从会议 PDF 纯文本可靠映射
- Hanqing Guo：机构信息未能从会议 PDF 纯文本可靠映射
- Jiang Liu：机构信息未能从会议 PDF 纯文本可靠映射
- Phone Lin：机构信息未能从会议 PDF 纯文本可靠映射
- Tomoaki Ohtsuki：机构信息未能从会议 PDF 纯文本可靠映射
- Miao Pan：机构信息未能从会议 PDF 纯文本可靠映射
📌 核心摘要
神经音频水印的任务是输入已嵌入合法消息的发布语音，输出检测器对归属比特的判定，实际难点在于现有设计只优化不可感知性与鲁棒性，缺乏对故意改写的抵抗，致使版权仍可被劫持。该工作先按攻击者知识划分白盒直接复用嵌入器、灰盒训练替代嵌入器、黑盒零查询堆叠或有限查询筛选三类威胁模型，再训练替代嵌入器以消息恢复损失拟合解码行为、时频重建损失约束听感并用判别器对抗保持质量，最后将伪造消息二次嵌入已水印音频并分别用原检测器验证原水印擦除、用替代检测器验证伪造水印可恢复。与仅使检测失效的移除或伪造攻击不同，其关键机制是保留可验证的水印通道但替换其负载，因而直接实现版权劫持而非仅造成验证失败。在黑盒攻击评测设置下，查询引导攻击的SNR指标为24.19 dB，高于零查询攻击的20.63 dB。该结论的适用边界受限于AudioSeal、Timbre与WavMark三类代表性架构及16 kHz语音语料，尚未验证音乐、强压缩及密钥绑定水印的外推效果。原文披露的硬件为64核CPU与两块NVIDIA A100 GPU服务器，且查询引导将训练成本从36000迭代降至14000迭代。
🔗 开源与复现资源
本次未形成可展示的已核验资源记录，开放状态尚未核实。 可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
输入是什么？为什么生成音频让水印变得必要？
本文的输入是已经公开分发的带水印语音，目标是回答归属还能不能被可靠验证。背景是生成式语音越来越像真人，听众难以分辨真假，于是版权方希望在发布前把一段固定长度二进制消息写进音频，事后靠检测器读回这段消息来证明音频来源。
论文把水印系统拆成嵌入器和检测器，前者负责写入，后者负责读出，并强调 3 个性质要同时成立。第一是不可感知性，写完听起来不能明显变差。第二是鲁棒性，经历压缩、重采样等无意处理后还能读出。第三是安全性，面对有意删除、伪造、覆盖时仍能保住原消息。初学者容易把第二和第三混为一谈，本文的起点就是把它们分开。
鲁棒性 × 安全性： 鲁棒性分工是让水印扛住重采样、压缩等无意常规处理后仍可检出，安全性分工是让水印扛住删除、伪造、覆盖等有意操纵后仍保住原消息，两者搭配的原因是只测前者会把能扛压缩的系统误当成能扛攻击者的系统，组合意义是本文把覆盖攻击单独列为安全测试，补上鲁棒性测试覆盖不到的归属劫持风险。
按论文梳理，既有神经音频水印大多在优化前两个性质。AudioSeal 基于 Encodec 架构并加入感知损失，Timbre 把水印放在频域并在训练时加失真层模拟真实扰动，WavMark 用可逆神经网络保证高保真嵌入和准确恢复。这些工作让水印更难听出来、更难被常规处理洗掉，但没有回答攻击者故意再写 1 次会发生什么。
论文引用 Kerckhoffs 原则提醒，只靠模型权重保密不算安全，一旦开源或被逆向，保密假设就失效。本次收到的资源状态中没有完成验证的公开代码或模型绑定，因此这里不能写代码模型已公开，只能按论文文字复述方法与条件。
已有攻击讲了什么？覆盖与删除、伪造有何不同？
相关路线有 3 条。第一条是删除攻击，让水印变得不可检测，相当于把签名擦掉。第二条是伪造攻击，给干净音频虚假地贴上水印，相当于无中生有。第 3 条是本文聚焦的覆盖攻击，给已经带水印的音频再嵌入攻击者选择的消息，让原消息不可恢复，同时攻击者自己的消息可被自己的检测器恢复。
论文指出此前工作最早在 AudioSeal 中展示了基于检测器的删除与伪造，后续基准工作把这两类威胁系统化评估过。Timbre 论文曾提到白盒覆盖的可能性，但只当作内鬼情形一笔带过，没有按信息条件展开，也没有充分评估。本文的定位正是补上这一缺口。
教学上可以举一个例子帮助区分目标：删除是让仲裁者什么都读不到，伪造是让仲裁者读到不该有的，覆盖是让仲裁者读不到主人的、却能让攻击者自证另一套。此处例子只是帮助区分目标，不代表论文给出过这类实例音频。论文选择 AudioSeal、Timbre、WavMark 三者，正是因为它们分别代表编码器解码器潜空间嵌入、频域嵌入、可逆网络嵌入 3 类主流做法，便于检验覆盖是否是跨架构的共性问题。
版权验证协议如何被形式化？攻击成功的三条判据是什么？
论文先写清正常协议。记干净音频为载体，待嵌入消息为二进制向量。嵌入器把载体和主人消息映射为带水印版本并公开发布。发生纠纷时，主人公开主人消息，仲裁者检查检测器对带水印版本的恢复是否等于主人消息，相等则版权成立。
水印嵌入器 × 水印检测器： 水印嵌入器分工是把 L 比特二进制消息写进音频得到可公开发布的带水印音频，水印检测器分工是从待验音频中读回消息供仲裁者比对判定，两者搭配的原因是版权验证必须先有写入再有读出比对，组合意义是攻击者只要用另一个嵌入器再写 1 次，就能让原检测器读不出原消息，同时让自己的检测器读出伪造消息。
攻击从公开的带水印音频出发。攻击者用另一个嵌入器嵌入自己选择的消息，得到伪造音频。论文给成功下 3 个并列条件。第一，原消息不可恢复，即原检测器对伪造音频的输出不再等于主人消息。第二，攻击者自己的检测器能准确读出自己的消息。第三，伪造音频与原带水印音频听感接近，即两者感知距离小于阈值。
初学者要注意，第一条是破坏，第二条是劫持，第 3 条是隐蔽，3 条缺一不可。如果只满足第一条，那只是删除。如果只满足第二条而原消息还在，那是多水印共存而非覆盖。论文的示意图正是按这个逻辑画的，上半是正常嵌入发布加验证通过，下半是下载后再嵌入加原检测失败。
三档威胁如何按攻击者已知信息划分？
论文按攻击者对合法水印系统的了解程度划分白盒、灰盒、黑盒。白盒是完全拿到原始嵌入器，对应内鬼或完全开源模型。灰盒是知道大致架构属于哪类先进设计，但拿不到权重、训练数据和损失细节，需要自己训练替代模型。黑盒是什么架构和权重都不知道，再按能否查询原检测器分成基于查询与零查询。
白盒覆盖 × 灰盒覆盖： 白盒覆盖分工是直接复用目标系统的原始嵌入器再嵌入 1 次，灰盒覆盖分工是只知架构不知权重时先训练替代嵌入器再覆盖，两者搭配的原因是分别对应内鬼与复现两种现实信息条件，组合意义是论文用同一条覆盖思路串起三档威胁，说明即使拿不到原始权重也能通过学到相似嵌入行为完成覆盖。
在进入具体计算前，先沿一个样本走完主路径。主人先把语音和主人消息送进嵌入器得到带水印音频并公开发布。攻击者下载该音频，把它当作新的载体音频，再把攻击者消息送进原始嵌入器或替代嵌入器得到覆盖后音频。仲裁者用原检测器去读覆盖后音频，若读回的不再是主人消息，则主人无法自证。攻击者再用自己的检测器去读覆盖后音频，若能读回攻击者消息，则攻击者可以反向主张归属。
下面这张总览图是理解全文分支的前提，它把正常发布验证与攻击下载覆盖放在同一张图里，先看上半正常流程，再看下半攻击闭环，有助于建立先写入后读出的因果链条。
看图路径： 1. 先沿上半部分从主人消息和原始波形到嵌入器再到公开发布的主路径看一遍；2. 再看中间向下箭头标注的攻击者试图覆盖动作如何切断正常流程；3. 对比下半部分下载、再嵌入、原检测器读出错误比特串并判为验证失败的闭环；4. 注意下半部分覆盖后波形颜色变红的位置对应哪一次嵌入操作
论文图 1。原论文 Figure 1：“Overview of the proposed audio watermark over- writing attack.”。
这张图的可核对点是信息流向而非具体数值。上半左侧主人消息框与原始波形汇入嵌入器，输出带水印波形并指向公开发布，下方同一波形进入检测器读回相同比特串并标为验证通过。下半攻击者先下载带水印波形，再与攻击者消息一起送入另一个嵌入器，输出覆盖后波形。底部再用原检测器去读覆盖后波形，读出的比特串与主人消息不一致，标为验证失败。由此可以复述方法的核心动作不是加噪声抹除，而是再执行 1 次合法的嵌入流程。
白盒、灰盒、黑盒各自执行哪几个具体动作？
白盒动作最简单。攻击者直接调用原始嵌入器，把已带水印音频和攻击者消息再嵌 1 次。论文强调这是同方法覆盖，对角线才有效，跨方法往往无效，原因留在结果节用误码率矩阵解释。白盒不需要训练替代模型，这是它与后两档的根本区别。
零查询黑盒 × 基于查询黑盒： 零查询黑盒分工是在完全接触不到原检测器时把多个公开或复现模型依次叠加暴力覆盖，基于查询黑盒分工是用少量检测器查询先试出哪个候选有效再精炼训练，两者搭配的原因是前者保证无信息时仍有兜底手段，后者用查询换效率，组合意义是论文说明了查询次数、训练开销和音质损伤三者之间的可替换关系。
灰盒的关键是先造出替代系统。论文给出通用训练框架，总损失是四项加权求和。第一项是水印恢复损失，用二进制交叉熵要求替代检测器能从替代嵌入结果中读回输入消息，保证写得进、读得出。第二项是时域重建损失，用均方误差要求加水印前后波形接近，保证听感。第三项是频域重建损失，用多分辨率短时傅里叶变换的谱收敛加对数幅度距离，保证频谱感知差异小。
第四项是对抗损失，训练判别器区分干净与带水印音频，同时训练嵌入器骗过判别器，进一步提升自然度。训练完成后，替代嵌入器按白盒同样方式执行覆盖。
黑盒分两条执行路径。零查询是把多个收集或复现的嵌入器按函数复合顺序依次作用在已带水印音频上，每一步都嵌入攻击者消息，最终得到经过多次覆盖的音频。基于查询是先把候选替代模型只做少量轮次的部分训练，用它们分别覆盖后再去查询原检测器，看原水印是否已被破坏，选出最有效候选再继续训练到可靠覆盖。论文明确写了试探加精炼的思路：部分训练、嵌入新消息、查询原检测器判断是否被篡改、选优并精炼。这种设计把计算从穷举全部候选降为先试后炼，同时把音质损伤从多次叠加降为单次有效嵌入。
替代模型如何训练？数据、优化目标与停止依据是什么？
训练只发生在灰盒和黑盒的替代模型构造阶段，白盒不需要训练，因为直接复用原始嵌入器。论文的训练对象是自己复现的 AudioSeal、Timbre、WavMark 风格的替代嵌入器与检测器，不是重新训练官方权重。数据方面，主实验用 LibriSpeech 约 1000 小时英语朗读音频和 VoxCeleb1 超过 150,000 条名人语音，全部重采样到 16 kHz 并统一为 WAV 格式。
灰盒评估又拆成跨训练与跨数据两种。跨训练指同用 VoxCeleb1 但训练流程不同，跨数据指替代模型在 LibriSpeech 上训练、去覆盖在 VoxCeleb1 上训练的官方模型，用来检验换数据是否还能覆盖。论文用 3 个随机种子记为 3 个初始化版本，符号含义是第几个替代模型去覆盖官方模型。
优化目标就是上一节四项损失的加权和，权重是平衡各项的超参数，论文在所给证据中没有报告具体权重数值、学习率、批量大小和优化器选择，这是复现时需要补看代码或附录的缺项。监督来源很清楚：消息恢复靠输入消息与检出消息的交叉熵，保真靠干净与带水印音频的时域与频域距离，自然度靠判别器对抗。
停止与选择依据在黑盒基于查询路径写得更明确：不需要训到收敛，只要查询显示原水印已被破坏且替代水印可高精度恢复，就可以停下并只做 1 次有效覆盖。论文的黑盒复现曲线也显示不同方法收敛速度不同，有的早期就具备覆盖能力，因此部分训练的嵌入器已可用于攻击。需要提醒的是，训练资源只报告了服务器有 64 核 CPU 和两块 A100 GPU，没有报告每个替代模型的具体耗时与显存占用，不能从复现字样推定成本很低。
测什么、和谁比、指标方向如何定？
实验按威胁档位组织。被攻击对象是 3 种代表性方法，攻击方按白盒同方法、灰盒替代模型、黑盒多模型堆叠或查询筛选执行。比较的公平条件是载体与评估集一致，音频统一到 16 kHz WAV，覆盖后既看原水印是否失效，也看伪造水印是否可恢复，还看音质损伤。
指标有 3 个。误码率是检出比特与原消息不一致的比例，越高对攻击者越好，0.5 意味着随机猜测即彻底破坏。攻击成功率是原消息不再被正确恢复的样本占比，越高对攻击者越好。信噪比是原带水印音频功率与覆盖引入失真功率之比，越高说明损伤越小，对隐蔽性越好。
误码率 × 攻击成功率： 误码率分工是逐比特衡量检出消息与原消息差了多少，攻击成功率分工是按样本统计原消息已不可恢复的比例，两者搭配的原因是前者看破坏程度是否接近随机猜测，后者看有多少样本越过不可验证门限，组合意义是只有同时报告两者，才能区分彻底抹除和只错少数比特的情况。
论文对 WavMark 做了特殊处理。它的解码器有模式位校验，一旦被覆盖导致校验失败就直接无输出，此时误码率无法定义，只能报告攻击成功率与伪造水印恢复准确率。这是一个重要的指标边界，初学者不能把无输出当成误码率为零。灰盒部分用 3 个随机种子分别试验，黑盒部分对比零查询暴力堆叠与基于查询单次有效嵌入，查询预算、训练开销、信噪比和成功率一起报告，便于看出效率与音质的权衡。
白盒与黑盒复现的主结果：什么条件下接近完全破坏？
白盒主结果的比较问题是同方法覆盖与跨方法覆盖是否一样有效。公平条件是原始水印方法固定为行、攻击嵌入方法固定为列，指标是原水印误码率，方向是越高破坏越彻底。下图矩阵显示只有对角线接近 0.5，非对角线大多接近零。解释是不同方法嵌入域与解码机制不同，用错方法写不到同一位置，自然破坏不了原消息。
下面这张热力图是白盒章节最关键的证据，它用颜色深浅同时呈现 9 组原始与攻击搭配，先看对角线亮黄，再看非对角线深色，确认破坏只发生在同方法覆盖时。
看图路径： 1. 先确认横轴是攻击者所用嵌入方法、纵轴是原始水印方法的矩阵朝向；2. 对比对角线亮黄色格子与非对角线深蓝色格子的数值差异；3. 读右侧色条确认深色接近零、亮黄色接近零点五的映射关系
论文图 2。原论文 Figure 2：“Bit error rate (%) of the original watermark after white-box overwriting.”。
图中横轴从左到右是攻击方法，纵轴从上到下是原始方法。对角线三格接近随机猜测的 0.5，非对角线多为零或接近零的小数，说明跨方法覆盖后原水印几乎无误。论文同时报告三者同方法覆盖的攻击成功率接近完全成功，且伪造水印恢复准确率也是接近满分，说明一旦拿到同一嵌入器，归属劫持既彻底又可用。表后需要强调代价与边界：白盒的代价是必须获得同一嵌入器，跨方法失败就是未胜出项，不能把白盒成功推广为任意方法都能覆盖任意水印。
黑盒复现曲线的比较问题是部分训练是否已够用。横轴是训练批次数，纵轴同时有准确率与信噪比。下图三子图分别对应 3 种复现，红色准确率先快速爬升，蓝色信噪比随后改善，且三者爬升速度明显不同，阅读时要先按图例确认左右轴再判断升降好坏。
看图路径： 1. 每子图先区分红色虚线准确率左轴与蓝色实点信噪比右轴；2. 看横轴训练批次数增加时两条曲线的爬升速度差异；3. 对比三个子图达到高准确率所需的横轴长度是否明显不同
论文图 5。原论文 Figure 5：“Black-box reproduction attacks on three watermarking systems.”。
从像素看，左侧子图两条曲线爬升相对缓慢，中间子图红色曲线很早进入高位平台，右侧子图红色曲线在早期低位停留后跃升至高位平台。这支持论文所说某些方法早期就具备覆盖能力，允许用部分训练嵌入器发起有效覆盖。但曲线向上不等于全程单调，蓝色信噪比有波动，末步高不代表每一步都高，复现时应以查询确认的覆盖点为准，而非只看最终收敛点。
频谱与堆叠次数说明了什么机制？
这一节回答覆盖为何能跨训练与跨数据成立，以及暴力堆叠的代价。论文用同一语音的 4 张频谱对比：无水印、官方模型、跨训练模型、跨数据模型。红框标出水印引入的谱扰动位置。尽管训练细节与数据不同，3 种同架构风格模型都把能量动在相似的高频区域。机制含义是替代模型学到了与目标模型重叠的嵌入子空间，第二次写入正好落在第 1 次写入的位置上，从而把原比特冲掉。
下面这组频谱图把机制可视化，它不是性能曲线而是单样本标记对比，阅读时先以左上为基准，再看其余三格红框是否落在同一高度的频带，有助于把灰盒成功与嵌入位置重叠联系起来。
看图路径： 1. 先找到左上无水印版本作为基准纹理；2. 再看官方模型、跨训练模型、跨数据模型三格红色框的位置；3. 对比红框内高频区域扰动是否落在相似的频率高度上
论文图 4。原论文 Figure 4：“Spectrogram comparison of the unwatermarked audio and three watermarked versions. Red boxes highlight the spectral perturbations introduced by the watermark.”。
像素显示左上无水印频谱高频区相对干净，右上官方与下方两格跨训练、跨数据的高频红框内都出现额外纹理，且框的纵向范围大致都在中高频段，横向覆盖相近的时间范围。这支持论文的有限解释，即嵌入行为收敛是灰盒成功的原因之一。但这只是相关性证据，不是因果证明，论文没有做抹掉该频带就一定防御成功的对照，因此只能写支持，不能写已经证明频带重叠是唯一原因。
堆叠次数的消融在黑盒零查询路径。比较问题是候选模型越堆越多时成功率与音质如何变化。公平条件是依次串联 1 到 3 个常见水印方法，指标是攻击成功率越高越好、信噪比越高越好。论文报告的趋势是成功率从单嵌入器较低水平升到三嵌入器接近完全成功，信噪比从较高水平降到较低水平。下面的整理表把这组权衡固定下来，便于复述时核对条件与单位。
该表比较的是同样不知道目标系统的零查询暴力覆盖，堆叠数量增加能否换来成功率，代价是不是音质下降，其中成功率向上为好、信噪比向下为坏，公平性在于候选方法集合相同只是数量不同。
| 条件 | 指标 | 单嵌入器 | 三嵌入器 | 比较对象 |
|---|---|---|---|---|
| 零查询依次堆叠 | 攻击成功率 | nearly 30% (one embedder) | almost 100% (three embedders) | 1 到 3 个常见水印方法 |
| 零查询依次堆叠 | 信噪比 | about 24 dB | 20 dB | 1 到 3 个常见水印方法 |
该表显示的收益是候选池扩大后暴力覆盖确实能把成功率推到接近完全成功，代价是多次嵌入累积失真使信噪比下降约 4 dB，且计算开销随堆叠增加。未胜出项是单嵌入器较低的成功率，说明零查询不是随便套一个公开模型就稳定成功，实践中需要堆叠或转用查询筛选。论文也指出随着候选集增大，零查询会越来越低效，这正是引入基于查询的动机。灰盒中 AudioSeal 误码率紧贴 0.5 而 Timbre 跨训练残留少量信息，也提醒彻底程度与方法有关。
哪些情况还没测？误读数字时最易错在哪？
论文直接报告的是 3 类方法在语音数据上的覆盖脆弱性，有限解释是嵌入子空间重叠导致跨训练与跨数据仍有效，未验证的是覆盖之外的自适应防御是否有效。以下边界在所给证据中没有出现，不能自行脑补。第一，没有报告音乐或环境声上的结果，所用数据都是语音，不能推广到所有音频。第二，没有报告强感知约束下的主观听感评分，只有信噪比等客观失真度量，不能把信噪比高直接当成人耳无感。
第三，没有报告检测端加密钥、加完整性哈希或多重验证后的覆盖难度，论文结尾呼吁未来加入显式安全机制，但没有给出防御方案的对照。第四，WavMark 的误码率缺失是方法固有定义问题，不是作者漏报，复述时必须写模式校验失败则无输出，而非误码率为零。
数字误读的高发区有三处。百分点与相对百分比不同，成功率从较低到接近完全成功是几十个百分点的提升，不能说成提升百分之几十的相对比例。不同指标的差值不能混放，信噪比下降是失真变大，不能与成功率上升相加减。自动指标不是人评，伪造水印恢复准确率高指的是可被自己的检测器读回，不代表攻击音频在人耳测试中必然过关。原文若出现表头单位与数据格裸值不一致，应保留原写法，本文整理表已把单位与数值写在同一格以便核对。
要复现这条攻击链，先做什么、缺什么？
复现顺序建议按学习依赖倒排。先复现正常协议：准备 16 kHz WAV 语音，用官方或复现的嵌入器写入固定消息，再用检测器读回，确认无攻击时误码率接近零、成功率逻辑成立。白盒复现只需再调用同一嵌入器写 1 次攻击者消息，检查原检测器误码率是否升到 0.5 附近、攻击者检测器是否高精度恢复、信噪比是否仍在可接受范围。
灰盒复现需要按四项损失训练替代模型，重点核对消息恢复与时域频域重建的平衡，训练数据分别做同数据不同流程与跨数据两档，再看替代模型覆盖官方水印的误码率分布是否回到 0.5 附近。论文报告跨训练时 AudioSeal 均值在 0.5 附近而 Timbre 在 0.4 附近，跨数据时仍回到 0.5 附近，这些分布形态是核对训练是否学到重叠嵌入行为的重要参照。
黑盒复现先做部分训练的候选池，用少量查询筛选有效者，避免一开始就暴力堆叠 3 个模型。下面的整理表把零查询与基于查询的对照固定下来，便于复述时核对查询预算、训练削减与成功率是否同时成立。
该表比较的是同样要求原水印失效的条件下，能否用更少训练与更好音质达到同样成功率，公平性在于目标与成功标准一致，区别只在是否允许少量检测器查询来提前锁定有效候选，指标方向是查询越少越好、训练越少越好、成功率越高越好。
| 条件 | 指标 | 零查询 | 基于查询 | 比较对象 |
|---|---|---|---|---|
| 黑盒覆盖 | 检测器查询 | zero-query approach | fewer than 10 detector queries | 相同候选池 |
| 黑盒覆盖 | 训练削减 | zero-query approach | over 50% in training iterations | 相对零查询 |
| 黑盒覆盖 | 攻击成功率 | ASR near 100% | ASR near 100% | 相同成功标准 |
该表显示的收益是基于查询用不到 10 次查询，把训练迭代削减一半以上，且只做单次有效嵌入以保住音质，同时成功率保持一致。限制是该结论依赖候选池中至少有一个架构接近目标，若候选池完全偏离，试探可能选不出有效者，此时仍需扩大候选或回到暴力堆叠。关键超参数与信息条件在所给证据中并不完整，四项损失权重、学习率、批量、判别器结构、查询判定阈值都没有逐字可引的数值，复现时只能先按论文文字搭框架。由于本次资源状态没有验证通过的公开链接，不能写代码已公开或权重可下载，只能写按论文描述重建流程。
何时值得尝试覆盖测试？一句话收束是什么？
当你的音频水印已经能扛压缩却还没被攻击者测过，当你的系统即将开源或嵌入器可能泄露，当你的版权协议只依赖检测器读回是否相等而没有密钥或完整性绑定，这 3 类情况最值得先做 1 次同方法覆盖测试。做法是从白盒开始，若白盒都冲不掉，说明嵌入与解码耦合较紧，再做灰盒看架构收敛是否会重新打开缺口，最后才做黑盒看少量查询能否把开销降下来。
论文的灰盒频谱证据提示，只换种子或换数据不等于换嵌入位置，安全不能建立在权重保密上。黑盒中堆叠从较低到接近完全成功的成功率是以信噪比下降为代价，基于查询则用少量查询换训练削减并保住单次嵌入的音质。这些结果共同支持论文的判断：现有神经音频水印把鲁棒性与不可感知性做得较好，但在有意覆盖面前缺少显式防御。
收束时回到可核对的事实。白盒同方法覆盖使误码率回到 0.5 附近且成功率接近完全成功，跨方法覆盖大多接近零而失败。灰盒中 AudioSeal 紧贴 0.5、Timbre 跨训练在 0.4 附近但跨数据仍近 0.5，说明破坏程度与方法及条件有关。未来设计需要把安全与鲁棒性并列为首要目标，而不是只在压缩与听感之间做权衡。
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
- 评分规则：type-aware-v1
- 评分模型：muse-spark-1.3-contributor
- 评分请求协议：openai_responses