在野外伪造面前，专用检测器失灵时比较推理如何兜底

英文题目：ICLAD: In-Context Learning with Comparison-Guidance for Audio Deepfake Detection

会议身份：conference:acl:2026:conference-paper-id:2026.findings-acl.450

✅ 来源为官方会议 PDF；表格与 Figure 按原文证据绑定。PDF 公式以原页区域图片展示，未冒称作者原始 TeX。

会议来源：官方记录 · 官方 PDF

标签：#检索增强 #音频大模型 #少样本 #语音 #音频深度伪造检测

评分：6.4/10 | 创新 1.4/2 | 技术严谨 1.0/1.5 | 实验充分 1.0/1.5 | 清晰度 0.7/1 | 影响力 1.0/1.5 | 开源 0.0/1.5 | 可复现 0.3/0.5 | 工程/实践 1.0/1.5

排名：前50% | 文档类型：方法研究

👥 作者与机构

• Benjamin Shiue-Hal Chou：机构信息未能从会议 PDF 纯文本可靠映射
• Yi Zhu：机构信息未能从会议 PDF 纯文本可靠映射
• Surya Koppisetti：机构信息未能从会议 PDF 纯文本可靠映射

📌 核心摘要

音频深度伪造检测的输入为含噪声、混响与自发口语的野外语音，输出为真伪二值判定与文本依据，难点是录音室脚本数据训练的专用检测器泛化严重退化，且新攻击不断出现使反复监督微调不可持续。离线阶段对每条入库音频并行生成支持为真与支持为假的两份证据，再以真值标签调和矛盾、过滤深伪无关属性与幻觉描述，形成可检索解释库。在线阶段提取专用检测器嵌入检索声学近邻，并经k近邻分布外检测器分流，其输出直接决定样本走向。分布内样本直接交由专用检测器判定，分布外样本将近邻示例连同三份证据装入上下文提示，由音频大模型复述比较、调和证据后给出判定。相对已有方法的关键差异是以成对比较推理同时呈现正反证据并做调和过滤，而非单边打分，使上下文示例提供可比判据，从而提升野外泛化并附带可读依据。在SpoofCeleb评测下，ICLAD的宏平均F1分数为0.665，高于Wav2Vec2-AASIST基线的0.334。该结论适用边界为含噪野外语音，在ASVspoof 2021与MLAAD脚本录音室场景下仍弱于专用检测器，且真伪线索重叠时过滤过于激进会回退到零样本偏置，跨语种大规模部署效果尚未验证。推理开销方面原文仅披露硬件为NVIDIA A100 40 GB GPU，未报告延迟与吞吐数值。

🔗 开源与复现资源

本次未形成可展示的已核验资源记录，开放状态尚未核实。 可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。

🧭 深度解读

输入是什么，目标是什么，这篇解读要交付什么？

本文解读的对象是 1 篇音频伪造检测论文，输入是论文正文提供的文字证据与两张官方原图像素，目标是让刚进入语音与音频方向的研究生能够核对关键做法并用自己的话复述完整方法。必须保留的信息包括任务定义、2 阶段框架的输入输出、成对比较推理的具体提示顺序、检索与路由的计算来源、实验的数据划分与评价口径、主结果与消融的适用条件。输出是 1 篇分节的中文技术解读，不做营销式判断，不补写证据之外的数值。

阅读顺序建议先建立任务与相关路线的依赖，再看方法全景与组件分工，然后进入离线构造与在线推理的执行细节，最后用实验条件约束对结果的理解。论文研究的只是二分类的音频真伪判别，不是说话人确认、不是多模态伪造定位，教学中举的例子会明确标为例子。资源可达性方面，本次没有发现来源绑定且完成超文本传输安全协议状态验证的资源，因此不得声称代码、模型或数据已公开，只能按正文描述讨论做法本身。

已有路线各自解决了什么，又在哪里失效？

第一条路线是专用音频伪造检测器，典型做法是用自监督语音编码器做前端，再接分类后端做二分类。这类系统在朗读式录音室数据集上接近饱和，但在野外自发语音上显著退化。论文把原因归结为数据失配：训练用的脚本化录音室语音缺少背景噪声、房间混响、压缩失真，也缺少填充词、重复、假启动等自然不流畅现象，而真实攻击恰恰带有这些野外特征。曾有人尝试数据增强、前端微调或更鲁棒的特征，但仍需反复有监督微调，且跨域差距依然很大。

第二条路线是把音频语言模型拿来做伪造检测。语言模型在更大规模多模态真实语音上预训练，对真实世界语音模式理解更广，但预训练中伪造样本极少，直接零样本使用会偏向固定预测某一类。近期工作把检测改写成音频问答并做有监督微调，在录音室数据上有提升，但同样继承了微调成本高、野外泛化差的问题。第三条路线是上下文学习，即在提示词中放少量示例而不更新参数。

它的脆弱性在于对示例选择敏感，容易学到表面相关而非任务逻辑，在需要推理和分布外数据上表现更差。从同输入同目标的角度看，前两类都在同音频输入下做同二分类目标，但监督与运行阶段不同：专用模型是训练阶段拟合录音室分布，语言模型微调路线是训练阶段拟合问答形式，而本文是运行阶段用检索到的示例做免训练适配，因此不能把类别差异直接当成同条件胜负，只能在各自报告的条件下比较。

为什么简单的音频加标签示例学不会伪造线索？

论文首先验证了一个反直觉现象：把音频与标签交错排成提示词做简单上下文学习，效果不比随机猜测好。这说明语言模型无法自行从几个示例中归纳出复杂的声学伪造属性。进一步观察发现，模型会对同一段音频给出矛盾解释，例如把 1 次毛刺既当成合成痕迹，又当成真实采访中的故障。这种矛盾揭示了两类困难：一是声学线索本身含糊，二是模型倾向于为给定立场编造 plausible 的理由。如果只让模型为真标签生成一条解释，幻觉会被掩盖。

只有同时要求它为真和为假分别举证，再拿真标签去对质，才能暴露哪些属性不可靠。另一个困难是阈值不可迁移：专用检测器在分布内数据的真假分数分离良好，在野外数据上严重重叠，最优阈值随数据集漂移，而部署时无法预先知道最优阈值。这就引出本文的核心问题设定：如何在不重新训练的前提下，利用语言模型的通用听觉理解，快速适应新的野外分布，并给出可检查的文字依据。

两阶段框架如何分工，一段音频走完会经历什么？

框架分为离线推理构造与在线推理两个阶段。离线阶段面向一个带标签的音频库，为每条音频生成支持为真的证据、支持为假的证据，再结合真标签生成调和证据，三者与音频嵌入一起存入可检索的离线缓存。在线阶段对到达的查询音频先做分布判断：若判为分布内，直接交给专用检测器输出判决，语言模型不参与。

若判为分布外，则按声学相似度从缓存中取出若干示例，把示例音频、标签与 3 类证据拼进上下文提示词，要求语言模型对查询同样先给真假证据再给调和证据，最后输出二值判决与理由。沿一个样本走一遍：输入是截断后的波形与待判问题，表示是专用模型抽取的嵌入与语言模型生成的 3 段文本，组件是证据生成器、对账器、检索器与路由器，目标是在野外分布下得到更稳的硬判决，输出是真或假加一段可读解释。下段先看整体结构图，再拆每个组件的计算。

上图是 2 阶段总览的导读，重点是区分离线时生成知识与在线时使用知识的两条时间线，以及分布内外分流后最终预测从哪里来，请按焦点顺序观察原图的箭头与模块关系。

看图路径： 1. 先沿左上用户数据库到右上离线缓存的主线，确认生成理由再对账再入库的顺序；2. 再看右下查询音频经分布外检测器分叉为分布内走标准检测器、分布外走上下文检测的两条路径；3. 最后核对左下上下文框中示例音频与三类证据如何与查询拼接成最终任务

论文图 1。原论文 Figure 1：“The ICLAD framework has two phases. In Phase-1 (Section 3.1), the ALM is first exposed to a database of labeled audio samples for which it generates evidence supporting both real…”。

该图上半部分显示离线过程从用户数据库音频出发，经过音频语言模型同时生成真假理由，再与真标签一起进入对账模块，产出 3 类证据并分别存入检索数据库与嵌入缓存；下半部分显示在线查询先经过分布外检测器分流，分布内走向标准检测器，分布外则通过基于相似度的示例检索，把示例音频与理由对拼成上下文，再由基于上下文学习的语言模型输出带理由的最终预测。理解这张图的关键是记住 3 类证据始终成组出现，检索用的是声学嵌入相似度，而不是文本语义相似度。

成对证据、对账、检索与路由各自算什么？

初始证据生成是不看真标签的双向举证。对第 i 条音频，提示词迫使模型同时输出支持为真的文本与支持为假的文本，记为两份证据。这个设计的教学意义是把模型的先验偏置显式化：如果模型只会说假，另一份为真的证据会迫使它去听平时忽略的细节。证据对账是看到真标签后的第二次提示，输入是同一音频的两份矛盾证据加真标签，输出是调和证据。

它的两个目标在正文中写得很明确：一是识别并折扣那些存在但与真标签无关的声学属性，二是过滤音频中根本不存在的幻觉属性。举例来说，若两份证据都提到呼吸声，但真标签为假且呼吸声在该库中真假都常见，对账就应明确写出该线索不可靠，而不是继续沿用。

音频语言模型 × 专用伪造检测器： 音频语言模型负责利用大规模真实语音上学到的通用听觉理解产生可读的真伪证据和最终二分类，专用伪造检测器负责捕捉微细的合成声学伪影并提供检索与路由用的判别嵌入，二者搭配的原因是前者泛化面宽但缺乏伪造先验、后者分布内判别强但野外重叠严重，组合后由分布外检测器分流，让分布内仍走专用模型、分布外走语言模型，形成互补。

离线缓存把每条样本的三份证据与嵌入存成一条记录，嵌入来自预训练的专用伪造检测器。在线检索时对查询抽取同种嵌入，用余弦相似度找最相近的若干条，每条包含音频、标签与 3 类证据。动态路由用近邻方法判断查询是否偏离录音室分布，超参数沿用原方法的近邻数与阈值设置，分布内走专用模型，分布外走语言模型。

上下文学习 × 检索增强生成： 上下文学习负责在不更新参数的前提下把若干带标签示例拼进提示词来规范查询音频的推理格式，检索增强生成负责从离线缓存中按声学相似度挑出最相关的示例子集，二者搭配的原因是语言模型原本不知道伪造判别线索、随机示例只会引入噪声，组合后检索提供声学相近的上下文，上下文学习再利用其携带的成对证据完成类比判决。

推理时的提示词结构与离线保持一致，要求模型对查询也输出真证据、假证据、调和证据与二值判决，这样示例与查询的格式对齐，模型更容易模仿对账逻辑。

成对比较推理 × 证据对账： 成对比较推理负责先在不知道真标签时同时生成支持为真和支持为假的两份解释，证据对账负责在看到真标签后对比两份解释并指出哪条线索是矛盾、幻觉或与标签无关，二者搭配的原因是单向解释容易自圆其说、把同一个毛刺既说成真实又说成伪造，组合后对账输出的调和证据成为后续上下文学习中可复用的高质量示例。

路由的本质是承认两类模型的优势区间不同，不追求单一模型处处最优。

分布内 × 分布外路由： 分布内指与录音室朗读式语音和伪造分布相近的查询，分布外路由指用近邻方法判断查询是否偏离该分布并决定走专用检测器还是走语言模型，二者搭配的原因是两类模型各有优势区间、单一路径必然在一端受损，组合后路由成为动态开关，保留专用模型在匹配域的精度，同时把重叠严重的野外样本转给泛化更强的推理路径。

没有梯度训练时，哪些参数冻结、哪些只是调用与建库？

本研究没有报告任何神经网络权重更新，因此本节必须明确说明未训练的部分，再讲实际发生的计算。未训练的是音频语言模型的参数与专用检测器的参数：前者只做提示词下的生成与判决，后者只做嵌入抽取与分布内分支的打分，没有梯度路径、没有优化器步骤、没有参数重置时机。实际发生的计算有 4 类：一是用语言模型做离线批量生成，包括双向证据与调和证据，输入是音频加提示词，输出是文本。

二是用专用检测器对库内与查询音频抽取嵌入并建索引，推理时做最近邻检索；三是用近邻规则做分布判断，输出是走哪条分支的离散路由决策；四是在线把检索到的示例文本与查询拼接后再次调用语言模型，输出结构化理由与二值标签。由于没有训练，冻结参数不能推出系统输出确定：同样的音频在不同检索邻居、不同示例顺序或不同解码设置下仍可能变化，但原文未报告解码温度与采样细节，这是复现时需要补记的缺项。

另一个缺项是提示词全文未完全公开，只能从方法描述中复述其功能顺序，不能从模型名称推定具体实现。

在什么数据、什么切分与指标下比较才算公平？

评价覆盖 5 个语料，论文将其分为录音室脚本化与野外自发两类。录音室类包括语音伪造检测竞赛数据与多语言反欺骗数据，野外类包括政要与名人社交媒体音频、基于名人语音的仿冒数据以及当年流传的多语言多网站评测数据，总量为十余 10000 条、覆盖数十种语言。检索库由数百条目标域训练切分样本与数百条早期竞赛训练样本混合组成，测试时检索示例与测试集不相交，所有音频截断到数秒以匹配基线的预处理。

基线选定为在野外相对最强的专用模型，动机是它在初步对比中综合泛化最好，而不是随意挑选最弱对手。指标方面，由于语言模型只给二值判决而无连续分数，不适合用等错误率，且等错误率的最优阈值随数据集漂移，论文用固定阈值下的准确率与宏平均 F1 做主指标，以模拟部署时必须做硬判决且类别不均衡的情形。

宏平均 F1 × 等错误率： 等错误率负责在连续分数上找虚警与漏检相等的阈值点，宏平均 F1 负责在固定二值判决下对真假两类分别算 F1 再平均，论文搭配讨论的原因是语言模型只输出二值标签而没有可调分数、无法按常规方式算等错误率，且野外部署时不可能预知最优阈值，组合意义是明确评价口径差异，用固定阈值 0.5 下的宏平均 F1 和准确率来模拟真实部署的硬判决。

硬件报告为单卡大显存图形处理器，统计显著性用配对检验报告。需要提醒的是，不同指标的差值不能混放：等错误率的升降与宏平均 F1 的升降不在同一阈值语义下，数值相同也不是同一指标的证据。

下面先看基线选型表，它回答了为什么后续主对比只保留某一个专用模型作为对照，以及该模型在不同域上的起点差距有多大，比较时注意指标方向是宏平均 F1 越高越好。

该表显示被选为基线的模型在野外与多语言录音室数据上的宏平均 F1 高于其他 4 个专用模型，但在最早的竞赛数据上略低于最强的状态空间模型。这支持了选它做主基线的合理性，也提示了后续改进的起点：野外起点越低，相对提升越容易显得大，解读时必须同时看绝对值与基线强度，不能只看倍数。

野外提升发生在哪里，录音室代价又是什么？

主比较的问题是：在保持评价条件一致时，混合路由后的框架是否在野外优于单一专用模型，以及在录音室是否付出代价。论文报告在 3 个野外数据集上框架的宏平均 F1 一致高于基线，其中在名人仿冒数据上约为基线 2 倍左右，在社交媒体政要数据与当年流传数据上也有明显绝对提升；在两个录音室数据集上则低于基线，说明泛化收益伴随匹配域损失。这是一个典型的权衡，而不是单边胜利。解释机制时，论文用分数分布图说明专用模型在分布内真假分离清晰、在野外严重重叠，因此固定阈值在野外会大量错分，而语言模型的类比推理受阈值漂移影响较小。

下图导读的重点是理解分布重叠如何导致固定阈值失效，请先确认图例与坐标，再对比不同数据集上两侧分布的分离程度。

看图路径： 1. 先确认横轴四个数据集与纵轴对数值、图例中橙色为伪造蓝色为真实；2. 再对比录音室条件下两侧分布是否分离、野外条件下是否在零线附近重叠；3. 最后观察虚线零阈值在不同数据集上的错分含义，不要把单阈值好坏推广为全阈值结论

论文图 4。原论文 Figure 4：“Logit distributions of Wav2Vec2-AASIST on ID (ASVspoof 2021) vs. OOD (ITW, SpoofCeleb) datasets. Overlap between classes is significantly more common on OOD data.”。

该图用小提琴形状展示 4 个数据集上伪造与真实两类分数的分布，纵轴为分数值，横轴为数据集，虚线为零阈值。可以看到早期录音室数据的两类集中在两端且分离明显，而野外数据的蓝色真实分布被拉长并在零线附近与橙色伪造分布重叠，这解释了为什么同一阈值在不同数据集上表现差异巨大。阅读时不要把曲线向下直接读成性能变差，也不要把某一步的分离推广为全程：关键是重叠区的面积决定了硬判决的错误率。

检索消融进一步回答提升来自哪里。下表比较了不同嵌入做示例检索时的准确率与宏平均 F1，公平条件是同一语言模型、同一示例数量与同一路由逻辑，只换检索表示，指标方向仍是越高越好。

该表显示用任务相关的专用模型嵌入检索平均最优，比纯文本嵌入与通用音频嵌入更能找到声学有意义的邻居；纯文本嵌入最差，原因可能是真假解释在文字上高度相似，导致对账时过度过滤。用文本不相似度增加多样性的组合在分布内略好、在野外变差，支持了声学相似度主导、文本语义为辅的判断。代价是检索质量依赖专用模型的嵌入质量，若嵌入本身在新攻击下失效，检索到的示例也会偏离。

分布路由消融回答混合是否优于单路径。下表在同一数据上对比纯语言模型路径、纯基线与带路由的混合，条件是示例与提示结构相同，只改变是否分流。

该表显示基线在两个录音室数据集上保持优势，语言模型路径在 3 个野外数据集上占优，而带路由的混合在野外三者上都超过任一单路径，在录音室上通过把多数样本送回专用模型挽回了大部分损失。这支持了路由的互补价值，但也表明路由器的误判会直接决定上限：把野外判成分布内会继承基线的重叠错误，把分布内判成野外会引入语言模型的幻觉风险。

提示策略与幻觉率的对照说明了什么，反例在哪里？

提示策略消融比较了简单推理提示、人工知识引导提示与成对比较推理。公平条件是同一检索与同一语言模型，只换示例中解释的生成方式与推理要求。平均而言成对比较最优，但并非处处最优：在脚本化多语言录音室数据上，真假音频共享含糊线索，调和证据会把多数线索标为不可靠，模型退回到偏向判真的零样本偏置，导致接近随机。这是一个重要的失败条件，说明过滤机制可能过于激进，在线索本就稀疏时删掉了判别所需的细节。

人工知识引导的问题是归纳偏置过强：它预设语调、音质、生理信号等属性有效，当某数据集的真实录音本身缺少生理标记时，模型会把缺少呼吸误读为伪造，造成系统性偏差。

幻觉类别分布回答错误集中在哪里。下表是对标注为幻觉的理由按关键词归类的计数，比较问题是剩余错误是否集中在某类可针对性修复的属性。

该表显示韵律与自然度占比最高，其次是语义与其他未分类，生理信号与声学伪影各占 10% 多。这与附录的定性分析一致：模型常把 steady 的脚本化朗读判为不自然，而不管其真实来源，因此在自发野外语音上占优、在脚本化数据上受挫。这支持了自然度偏置仍需未来对齐的结论。

幻觉率的直接对照需要用原文连续句来承载，因为原表选择不可用时不能拼凑数字。下表整理简单提示与成对比较在人工听辨下的幻觉比例，条件是同批随机样本与多位有音频分析经验的标注者做多数投票，指标方向是越低越好。

该表显示成对比较把幻觉率从约两成降到约 10%，代价是仍有剩余幻觉且集中在自然度判断；未胜出项是人工知识引导路径，其幻觉率在正文中报告高达约 50%，且不同声学维度之间高度相关，一处感知会牵引出其他维度的编造证据。这提示可读解释不等于可靠解释，准确率提升时仍需单独评估解释质量。

哪些边界尚未评测，哪些结论不能推广？

第一个局限是脚本化数据的退化。论文明确承认在多语言录音室数据上框架弱于专用模型，机制是高级不一致性推理擅长捕捉自发语音的生理与韵律线索，但不擅长录音室条件下的细微声学伪影。这意味着该方法更适合野外兜底，而不是全面替代。第二个局限是离线证据依赖闭源大模型。

生成与对账阶段用了指令跟随能力较强的商用模型，而开源替代在复杂结构化生成上频繁出现缺字段、复述占位符、违背格式或语义无意义等问题，虽可用格式强制工具保证句法合法，却不能保证语义合理。第 3 个局限是评估口径：主指标是固定阈值下的宏平均 F1 与准确率，没有测量误判率随阈值的曲线、延迟、推理成本与输出稳定性，因此不能承诺这些量得到改善。

相关性也不等于因果：检索相似度高与判决正确同时出现，不能直接断定是某条文本理由导致正确，可能是邻居标签分布本身带来的先验。总体趋势不等于每组都成立，特别是在真假线索重叠的数据上，平均最优可能掩盖单组失效。

要复现先做什么，需要补哪项验证？

复现时先按学习依赖准备三件东西：带标签的示例库与测试集的不相交划分、能抽取判别嵌入的专用模型、能按指令生成 3 段证据的语言模型。第一步对库内每条音频做不看标签的双向证据生成，第二步加入真标签做对账并入库，第三步对查询抽取同种嵌入做相似度检索，第四步按近邻规则路由，第五步把示例组与查询拼成统一格式再调用模型输出判决与理由。

关键超参数与信息条件包括示例总数与真假各半的比例、检索相似度度量、路由近邻数与阈值、音频截断长度。原文对解码参数、示例排序、提示词全文记录不完整，复现时应固定随机种子并记录这些缺项，否则无法判断波动来源。还需补的验证至少有三项：一是在新攻击与新语言上的留出测试，避免只在已见野外分布上调参；二是对解释质量的独立盲听评估，把判决正确与解释无幻觉分开报告。

三是路由器的错误分析，统计两类误路由的比例及其对最终指标的贡献。何时值得尝试：如果已有专用模型在匹配域足够好、痛点集中在野外误判且能接受调用大模型的成本与延迟，适合把该框架作为分布外分支；如果场景全是录音室脚本化语音，则优先继续优化专用模型。

一句话收束：该记住的方法与该警惕的误解是什么？

该记住的方法是一个可复述的顺序：双向举证暴露矛盾，再用真标签对账过滤幻觉与无关属性，然后按声学相似度检索成组示例，最后用路由决定查询走专用模型还是走语言模型的类比推理，输出是硬判决加可检查的文字理由。该警惕的误解有 3 个：一是把野外相对提升误读为全面超越，实际上录音室仍是专用模型更强；二是把流畅解释误当成正确因果，幻觉率需单独测量；三是把免训练误当成无成本，检索建库、大模型多次调用与人工评估都是真实开销。

回到中心矛盾，专用模型的判别力来自对匹配分布的拟合，语言模型的泛化来自对真实语音的广覆盖，比较引导的意义在于用对账把后者的广覆盖约束到与标签一致的判别属性上，但当真假共享同一属性时，这种约束也会删掉本就稀缺的信号，这正是未来需要校准的地方。

📐 原文公式与排版

以下展示论文原页中的数学表达区域，保留原始上下标、分式和符号排版。区域序号仅用于本文导航，不是论文公式编号。

另有 2 个候选区域因边界不明确或图片数量、尺寸限制未展开；请查看完整论文中的原始排版。

⚖️ 评分明细

评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。

• 评分规则：type-aware-v1
• 评分模型：muse-spark-1.3-contributor
• 评分请求协议：openai_responses

← 返回 acl-2026 论文汇总