不靠攻击仿真堆料：用对抗嵌入与时间无关读出做音频水印

英文题目：BForSec-L1.3: AWARE: AUDIO WATERMARKING VIA ADVERSARIAL RESISTANCE TO EDITS

会议身份：conference:eusipco:2026:conference-paper-id:0000741

✅ 来源为官方会议 PDF；表格与 Figure 按原文证据绑定。PDF 公式以原页区域图片展示，未冒称作者原始 TeX。

会议来源：官方记录 · 官方 PDF

标签：#对抗训练 #对抗鲁棒性 #语音 #音频水印

评分：7.9/10 | 创新 1.4/2 | 技术严谨 1.2/1.5 | 实验充分 1.0/1.5 | 清晰度 0.8/1 | 影响力 1.0/1.5 | 开源 1.2/1.5 | 可复现 0.3/0.5 | 工程/实践 1.0/1.5

排名：前25% | 文档类型：方法研究

👥 作者与机构

• Pavlović, Kosta：机构信息未能从会议 PDF 纯文本可靠映射
• Stanarević, Lazar：机构信息未能从会议 PDF 纯文本可靠映射
• Nedić, Petar：机构信息未能从会议 PDF 纯文本可靠映射
• Nešović, Elena：机构信息未能从会议 PDF 纯文本可靠映射
• Kovačević, Slavko：机构信息未能从会议 PDF 纯文本可靠映射
• Djurović, Igor：机构信息未能从会议 PDF 纯文本可靠映射

📌 核心摘要

音频水印任务输入为16 kHz语音波形与16位信息，输出为不可感知且经滤波压缩变速剪切后仍可解码的含水印音频，难点在于时序失配与局部删除会破坏全局同步。方法先在短时傅里叶变换幅度域按响度比例设定逐频点扰动上界，容许在响亮处大改而在安静处小改以兼顾听感。接着以冻结随机检测器为导向用推动损失优化扰动并复用原相位重构，使嵌入信号直接驱动解码输出。随后将含扰动幅度的梅尔特征送入逐帧一维卷积与双滤波器读出头做全局平均判决，将时序证据汇聚为每比特一个与位置无关的分数。相对依赖失真仿真堆栈的WavMark与AudioSeal，鲁棒性主要来自时序无关汇聚而非见过何种攻击，因而对未见编辑更具泛化意义。在LibriSpeech语料评测设置下，AWARE的PESQ为4.26，高于WavMark的PESQ 4.20。该结论适用边界限于黑盒信号级编辑，未覆盖增强分离与克隆等语义级变换，且神经音频压缩误码仍较高，原文未披露训练、推理或部署成本。

🔗 开源与复现资源

• 代码相关资源：https://github.com/deepmarkpy/aware → https://github.com/deepmark/aware — 链接可访问（HTTP 200） 预印本/扩展版链接未在会议页展示；会议版来源见页首官方记录与 PDF。 可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。

🧭 深度解读

输入是什么，目标是什么，为什么音频水印难做？

本文的输入是一段波形与一串待隐藏的水印比特，输出是加了水印后听感基本不变的波形，以及在接收端能从可能被编辑过的波形中恢复比特的检测器。目标读者需要先建立的事实是，音频水印同时受两端约束：一端是保真，要求加水印不引入明显可听失真且不破坏语音可懂度；另一端是鲁棒，要求常见分发编辑后仍能解码。

论文把威胁模型限定为黑盒信号级操作，对手不接触检测器内部，只能做滤波、压缩、加噪、剪切、重采样、变速、回放、网络传输损伤和拼接等，语音增强分离与克隆等语义大改则明确列为范围之外。理解这个边界很重要，后文所有未胜出项都要回到这个边界解释，不能把范围外的失败当作方法错误。

音频与图像的一个关键差别是时间顺序承载同步，图像裁掉一块往往还剩大量上下文，音频剪掉或调换一段会直接打乱索引与时间的映射关系，依赖绝对位置的全连接判决因此容易失效。论文要解决的中心矛盾是，传统做法靠扩大训练时仿真失真集合来换鲁棒，但可听编辑空间实际上无界，仿真越多越容易过拟合已见失真，对未见编辑泛化差。作者因此提出把鲁棒主要交给架构设计，嵌入只做受控的对抗优化。

本文代码当前可用，已公开在官方仓库，可作为复现起点。

已有路线做了什么，本文与它们在监督和运行阶段有何不同？

按同输入同目标对照，已有学习型路线包括定义基本蓝图的鲁棒深度网络、改进嵌入检测的波形水印系统与带定位水印的语音克隆检测系统，本文在实验中选择其中公开可用的两个代表系统作为基线。按同监督对照，这些系统多在训练中直接见到某些失真，例如对神经压缩等变换有显式暴露，因此在对应失真上往往占优，但论文指出这种优势是有条件的，一旦遇到训练未覆盖的谱缺口或复合信道，性能可能明显下滑。

按同运行阶段对照，本文嵌入时不做攻击仿真堆栈，也不构造手工可微失真链，而是在固定感知预算内做对抗优化；检测时不依赖固定长度输入与绝对位置，而是做时间无关聚合。

攻击仿真堆栈 × 结构鲁棒性： 攻击仿真堆栈指训练时加入可微失真模拟以见过更多攻击，结构鲁棒性指通过检测器不混合时间与位置无关聚合获得的泛化能力，二者搭配讨论的理由是前者空间无界且易过拟合已见失真，后者不依赖见过特定编辑，组合意义是本文把鲁棒性来源从仿真广度转向架构约束。

初学者容易误以为仿真越多一定越鲁棒，论文的反例是带阻陷波扫描与回放等条件：只在部分失真上调阈值或见过部分失真的做法，换到未见位置或复合效应时仍可能失效。另一类相关工作是图像侧的对抗浅水印，作者明确说明其池化等思想有启发，但音频的可变长度、重排序与部分删除与图像空间裁剪本质不同，不能直接搬运。本文的教学定位因此是补齐音频特有的时间失配问题，而不是再加一层仿真。

要回答的具体问题与可核对的成功标准是什么？

本文要回答的问题可以写成 3 个可操作问题。第一，如何在不仿真攻击的前提下把指定比特写入音频，同时把改变量约束在可听阈值内。第二，如何设计检测器，使同一组参数对变长输入、切除一半、两段调换、变速重采样等仍能给出每比特一个分数。第三，如何在公平阈值下证明这种设计在未见编辑上不劣于见过部分编辑的基线。成功标准在原文是显式的：保真用语音质量与可懂度指标衡量，数值越高越好。

鲁棒用比特错误率衡量，数值越低越好；消息级检测用误检与漏检率衡量，阈值按干净音频上误检率小于 1% 标定，而不是按每个攻击单独调阈值。这个阈值细节是公平性关键，因为按攻击调阈值等于提前知道失真类型，不符合部署实际。例子：把一段约 5 秒语音从中间切开交换前后顺序，理想系统应仍恢复相同比特，而不是因为索引变了就判错。本文把该例子归为排列攻击，用于检验时间顺序无关性，教学例子不附带无源的效果数值。

沿一个样本走完全流程：从波形到波形再到比特

先沿一个样本走一遍。输入是一段原始波形与长度为比特数的目标向量，目标向量采用正负一的双极编码，而不是零一编码，理由是零中心目标与间隔损失和符号判决更匹配。第一步对波形做短时傅里叶变换，取幅度谱并保留相位，初始化一个只允许在中频带内非零的扰动。第二步把幅度加扰动送入检测器，得到每个比特在正负一之间的预测分数，计算推动损失并反向求扰动梯度，用优化器更新扰动后按每格预算截幅，重复固定轮数。

第三步把最终幅度与原始相位做逆变换，得到含水印波形。接收端只用幅度信息做梅尔变换、降分辨率、逐帧特征提取与逐比特读出，输出每比特分数并取符号解码，同时用平均绝对值作为是否存在水印的置信度。全流程的梯度路径只在嵌入侧需要检测器梯度，且该检测器随机初始化并冻结权重；检测器本身不为某次嵌入而训练，这是初学者最易误解的一点。嵌入带限制在 1000 赫兹到 4000 赫兹之间，目的是避开易被高低通直接切除的边带。

整个方法没有训练阶段的攻击模拟，鲁棒性完全寄托于检测器的时间聚合方式与嵌入预算的硬约束。

嵌入如何计算：推动目标与按响度分配的硬预算

嵌入组件的计算目标是让检测器对目标比特既判对又判得确信。原文的推动损失包含两项：预测与目标的均方误差项把分数拉向对应极性，间隔项按预测绝对值加权鼓励远离零点，权重由参数控制。符号含义需要先讲清：幅度是短时傅里叶变换的模，扰动是加在幅度上的可优化变量，检测器输出是每比特分数向量。优化不是 1 次写完，而是迭代进行，每步按梯度更新扰动，再对每个时频格单独截幅。截幅界与该格原始幅度成比例，比例由分贝容限换算为线性因子，信号响处允许改大些，安静处只允许改小些，这符合基本心理声学直觉。

对抗嵌入 × 感知预算： 对抗嵌入负责在时频幅度上沿检测器梯度方向推动比特判决趋向目标符号，感知预算负责以每时频格与本地幅度成比例的硬截幅限制改变量，二者搭配的理由是只靠损失软约束易出现过强改写，而硬预算把可听性控制在优化循环之内，组合意义是嵌入强度自适应响度分布且可复现。

与图像侧只用损失软约束的做法不同，本文强调硬预算提供更可靠的质量控制，避免因更新过激而反复重嵌。实现上短时傅里叶变换采用帧长 1024、跳长 256 与汉宁窗，检测侧使用 128 个梅尔带，嵌入优化采用学习率为 0.1 的特定自适应优化器并配合平台衰减调度，迭代轮数与间隔权重在原文均有明确取值。未报告的是该随机初始化检测器的具体结构种子与优化器内部状态重置时机，复现时应固定种子并记录每次嵌入是否复用同一检测器实例，不能从冻结字面推定跨样本确定性。

检测如何计算：从梅尔到逐比特竞争分数

检测器按层承担不同稳定化分工。第一层由幅度算梅尔谱，把频谱能量汇聚到感知频带，对轻微时频失真更不敏感，且因合成与声码器常用梅尔特征，有助于穿过声码器重合成后仍可检测。随后接一个池化层降低时间分辨率，吸收局部抖动与小量失同步。接着是 3 个刻意不做时间混合的特征块，把梅尔带当通道，用时间核长为 1 的 1 维卷积在固定时刻做频率通道混合，接实例归一化与泄漏修正线性单元，每帧独立处理。

梅尔谱前端 × 逐帧通道混合： 梅尔谱前端负责把线性频谱能量汇聚为感知频带以钝化轻微时频抖动，逐帧通道混合负责用时间核长为 1 的 1 维卷积只在频率通道间做变换而不做时间混合，二者搭配的理由是先获得稳定表示再避免引入对绝对位置的依赖，组合意义是每帧独立提取特征并保留后续时间聚合的不变性。

关键创新在输出头。传统全连接把判决绑到绝对位置与固定长度，长度一变或顺序一乱就脆弱。本文的逐比特读出头为每个比特准备两个滤波器组，分别对该比特为 1 和为 0 的证据做时间轨迹响应，再沿时间全局平均得到两个证据分量，相减后经双曲正切压缩到正负一之间。

逐比特读出头 × 全局时间平均： 逐比特读出头为每个比特分配 1 对分别响应取值为 1 和取值为 0 的滤波器，全局时间平均把每条时间激活轨迹压缩为一个证据分量，二者搭配的理由是判决不应绑定固定长度或绝对索引而应比较累积证据，组合意义是以差值竞争得到与顺序和切除位置无关的比特分数。

直觉是每比特的判决变成谁累积的证据多谁赢，与水印出现在开头还是结尾无关。置信度定义为全部比特分数绝对值的均值，超过阈值判为含水印，可在滑动窗上逐窗计算以定位拼接音频中的水印段。原文还报告了核与步长及梅尔前端的附加消融增益较小，主体增益来自该读出头，因此正文表格只保留读出头消融。

本研究没有检测器训练，实际计算是什么？

本节必须先明确：本文没有报告检测器权重训练阶段，也没有报告在失真堆栈上的端到端训练流程，不能把嵌入优化误称为模型训练。真实计算是每个音频样本 1 次的对抗嵌入优化：检测器随机初始化后冻结，只提供从幅度扰动到比特分数的梯度，优化变量是扰动本身。监督来源是已知目标比特串，不需要外部标注；停止条件是固定迭代轮数，不是验证集早停。较高容量模式把信号按 1 秒分段，每段嵌入 20 比特，检测用固定跳长滑动窗保留高置信窗再按比特多数投票，阈值相应提高以维持可比误检率。

置信度 × 滑动窗多数投票： 置信度负责用全部比特输出绝对值的均值度量当前窗内水印证据强度，滑动窗多数投票负责在长音频上保留高置信窗并按比特投票得到最终消息，二者搭配的理由是拼接音频中只有局部含水印，组合意义是先定位再聚合，使 20 比特每秒分段嵌入仍可解码。

这种无训练设计意味着部署成本不在训练而在嵌入：每段音频需数百步迭代与反复正向反向，原文给出 500 步的设置，推理侧则是常规前向。对于教学复现，应把嵌入脚本当作优化器调用而非模型拟合，记录分贝容限、迭代数、学习率、调度因子与频带边界，区分代码开源与权重可用的不同含义：此处开源的是流程代码与随机检测器定义，不是已训练权重下载。

数据、基线、阈值与失真条件是否一致？

实验按问题组织。测什么：保真测语音质量与可懂度，鲁棒测比特错误率与消息级误检漏检。数据是约 2000 条约 5 秒的公开语音，采样率 16 千赫兹。与谁比：与两个公开可用的代表性学习系统在 16 比特每秒载荷下比较，阈值都在干净留存音频上标到误检率小于 1%，测试时使用固定阈值，不按攻击单独调阈值，这是与原基线评测的重要差别。条件一致性体现在同一批样本、同一载荷与同一固定阈值逻辑，高容量模式单独说明分段与投票参数。

失真覆盖滤波、量化、压缩、加噪、重采样、变速、陷波、音高偏移、声码器重合成、神经压缩、切除一半、两段调换，以及回放与网络语音传输两类复合真实场景。陷波采用在 0 到 4000 赫兹内步进扫中心并取最坏误差，加噪包含高斯与粉红噪声，回放叠加室内冲激响应、轻微噪声与带通以模拟麦克风扬声器特性，传输模拟基于实时通信管线与低码率编码及延迟抖动丢包。

聚合口径是全集平均，陷波取最坏位置，阈值与分段参数按原文取值，未报告统计显著性与硬件预算，复现时应补记运行环境与随机切分种子。

保真是否达标：质量与可懂度表说明什么？

比较问题是加水印后听感与可懂度是否与其他系统相当，公平条件是同一数据集与相近载荷，指标方向是两项指标越高越好。下表整理原文报告的均值与波动范围，列数满足宽表要求，数值保留原文精度。表前导读已提出问题与方向，表后解释需回答收益与代价。

上表显示三者在保真上基本处于同一水平，本方法常规载荷的质量与可懂度与基线接近，高容量分段略有下降但仍在近无感范围。支持的判断是鲁棒增益不是以明显音质损失换来的，限制是该表只报告客观指标，未测量主观听感误判率，总体趋势不等于每条样本都无感。未胜出项是基线乙的质量均值略高，但差距在波动范围内，不能据此断言可听优劣。质量与鲁棒的折中曲线在原文中位于低误码高分区域，作者据此选定分贝容限为工作点，后续表格均在该工作点下报告。

鲁棒是否泛化：哪些编辑赢了，哪里没赢？

比较问题是在固定阈值下谁在未见编辑上错误更低，公平条件是同载荷同阈值标定，指标方向是误码率越低越好，括号内为消息级误检与漏检。下表选取原文代表性条件，保留五列以支撑对照，数值写法与原文一致。

表后解释需要同时讲收益与反例。主要收益在谱编辑、噪声、变速、切除调换与复合场景：基线在低通高通与陷波上退化明显，本方法波动小；在声码器重合成与回放上基线接近失效而本方法保持低误码，支持结构设计泛化到未见复合效应的判断。具体代价与未胜出项是神经压缩，本方法误码高于显式见过该失真的基线乙，高容量模式漏检更高；变速切除等虽仍可用但切除一半时误码上升，说明时间冗余不足时聚合窗口不够。

此外高容量滑动窗多数投票在部分噪声与切除上反超整句嵌入，但在短语音上可用窗太少，消息级漏检在压缩变速回放上偏高，长音频应能改善但原文未验证。重采样对三者均影响不大，不能据此证明重采样无关紧要，只是该参数下不敏感。

拿掉时间无关读出会发生什么：对齐破坏条件的对照

消融问题是读出头是否解释了对失同步与重排序的鲁棒，比较条件是同一嵌入与同一特征，仅把逐比特读出头换为全局池化加常规全连接，指标方向仍是误码率越低越好。下表保留原文的 7 个条件与两种配置，列数满足宽表要求。

表后解释应指出机制而非笼统更好。有读出头在变速、调换、回放与传输上降幅最大，支持其不依赖绝对位置而累积时间证据的解释；调换条件下接近零误码，直接对应时间顺序无关的设计目标。未胜出或残留问题是即使有读出头，神经压缩与切除传输仍有可观误码，说明读出头不能补偿所有谱损伤与信息丢失。原文还提到核步长与梅尔前端有小而一致的增益，但因次要而略去详细表格，复现时不应将其当作无作用，补做时应固定其他参数单独扫描。该消融未报告阈值与方差，引用时应表述为报告显示而非因果证明，待验证的是不同语音内容与更长时长的稳定性。

边界与未验证项：哪些结论不能推广？

论文直接报告的边界包括 3 类。第一，威胁范围排除语义大改的增强分离与克隆管线，因此不能把声码器重合成的低误码推广为对任意语音生成变换都鲁棒。第二，神经压缩是明确的未胜出项，对手若采用同类压缩，固定阈值下的漏检会升高，高容量短语音更明显。第三，切除一半与变速等仍有残留误差，说明时间聚合需要足够冗余，约 5 秒样本提供的滑动窗数量有限。

有限解释是作者把水印描述为更少噪声样、更结构化地融入信号，这能解释抗噪趋势，但属于事后解释而非直接测量，不应写成性质证明。未验证项包括主观听感、误判率随阈值的完整曲线、嵌入延迟与实时性、长音频与多语种泛化，以及统计显著性。相关性不是因果：质量与鲁棒同处较好区域不等于每组参数都兼得，工作点的选择依赖该数据集与该失真集合，换数据需重扫分贝容限。

训练资源与推理开销在原文未系统报告，不能承诺延迟改善，复现应分别记录嵌入迭代耗时与检测前向耗时。

复现先做什么：按原文可重放的最小步骤

复现应从可核对的计算开始。第一步准备约 5 秒 16 千赫兹语音与目标比特，短时傅里叶变换按帧长 1024、跳长 256、汉宁窗实现，嵌入带限为 1000 到 4000 赫兹，检测用 128 梅尔带。第二步构建随机初始化并冻结的检测器，按梅尔、池化、三块逐帧卷积加实例归一化与泄漏激活、逐比特读出头的顺序实现，输出经双曲正切压缩。第三步运行嵌入优化：迭代 500 轮，间隔权重取 0.1，优化器学习率取 0.1 并配平台衰减因子 0.9，每步按分贝容限换算的每格界截幅，最终用原始相位逆变换重建。

第四步评估：先在干净留存集上标定置信阈值使误检率小于 1%，常规载荷用固定阈值，高容量用 1 秒分段每段 20 比特、跳长 40 毫秒滑动窗与多数投票并提高阈值。先复现无编辑与滤波加噪变速等信号级条件，再复现切除调换与回放传输，陷波需扫中心取最坏值。官方仓库当前可用，可核对实现细节，但本次解读未验证仓库可运行性，遇到缺项如随机种子与重置时机应如实记录为缺项，不从模块名推定实现。

何时值得尝试，论文特有的误解如何避免？

当部署中必然遇到剪切拼接、变速重采样或未知信道，且不能为每种失真单独调阈值时，本文的时间无关聚合与硬感知预算值得尝试；当主要威胁是神经压缩且已有对应仿真数据的系统可用时，直接采用本文固定配置可能不是最优，应先补测压缩条件。当音频很短且要求高容量时，应评估滑动窗数量是否足以支撑多数投票，必要时延长信号或降低容量。3 个特有误解需要澄清。

其一，冻结随机检测器不是模型已训练好，而是不训练检测器、只优化扰动，换种子可能改变嵌入轨迹。其二，无攻击仿真不等于无约束优化，分贝容限的硬截幅才是质量保证，不能删去预算只保留损失。其三，固定阈值下的胜负不等于按攻击调阈值下的胜负，引用结果必须同时说明阈值规则与载荷。

收束判断是，本文提供的是设计原则证据：在未见编辑与复合场景上保持低误码且保真相当，可能的待验证工作是压缩鲁棒、长音频聚合、主观听感与开销测量，补齐这些才能形成可部署结论。

📐 原文公式与排版

以下展示论文原页中的数学表达区域，保留原始上下标、分式和符号排版。区域序号仅用于本文导航，不是论文公式编号。

区域 1 · 查看论文原页

区域 2 · 查看论文原页

区域 3 · 查看论文原页

区域 4 · 查看论文原页

另有 18 个候选区域因边界不明确或图片数量、尺寸限制未展开；请查看完整论文中的原始排版。

⚖️ 评分明细

评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。

• 评分规则：type-aware-v1
• 评分模型：muse-spark-1.3-contributor
• 评分请求协议：openai_responses

← 返回 eusipco-2026 论文汇总