BForSec-P1.4: TOWARDS UNIVERSAL, TRANSFERABLE, AND TARGETED ACOUSTIC ATTACKS ON ASR SYSTEMS

英文题目：BForSec-P1.4: TOWARDS UNIVERSAL, TRANSFERABLE, AND TARGETED ACOUSTIC ATTACKS ON ASR SYSTEMS

会议身份：conference:eusipco:2026:conference-paper-id:0000771

✅ 来源为官方会议 PDF；表格与 Figure 按原文证据绑定。PDF 公式以原页区域图片展示，未冒称作者原始 TeX。

会议来源：官方记录 · 官方 PDF

标签：#正则化 #对抗鲁棒性 #语音 #语音识别

评分：5.6/10 | 创新 1.2/2 | 技术严谨 1.2/1.5 | 实验充分 0.9/1.5 | 清晰度 0.7/1 | 影响力 0.8/1.5 | 开源 0.0/1.5 | 可复现 0.3/0.5 | 工程/实践 0.5/1.5

排名：前50% | 文档类型：方法研究

👥 作者与机构

Pantelimon, Emanuel：机构信息未能从会议 PDF 纯文本可靠映射
Vasilescu, Vlad：机构信息未能从会议 PDF 纯文本可靠映射
Nicolae, Ana：机构信息未能从会议 PDF 纯文本可靠映射

📌 核心摘要

自动语音识别需将连续波形映射为离散词序列，自回归解码与共享编码器结构使其对微小加性噪声敏感，单条通用扰动同时适配多条语音并跨模型生效尤为困难。该工作以源 Whisper 模型为代理，最大化固定指令 turn off <EOT> 的条件对数似然期望并约束扰动二范数，在每次迭代对扰动施加由多个随机二值掩码或运算得到的总掩码后再前向计算，梯度仅回传至未被掩蔽位置，最后保留完整解码器梯度以维持目标文本强制生成能力。相对动量法与仅跳过音频编码器注意力权重的已有迁移策略，该掩码机制直接在输入扰动维度引入随机子空间优化，减少对源模型特定时频路径的过拟合。在 LibriSpeech test-clean 上以 Whisper-tiny 为源、Whisper-base 为目标时 MuteOut 的软攻击成功率达到 72.80%，明显高于基线同期表现。该结论仅在 Whisper 家族内、以 3 秒高能量扰动和非流式贪心解码为前提成立，未验证异构架构与真实播放录音条件。原文未披露训练、推理或部署成本。

🔗 开源与复现资源

本次未形成可展示的已核验资源记录，开放状态尚未核实。可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。

🧭 深度解读

输入是什么，输出是什么，为什么通用攻击值得担心

输入是一段自然语音波形，论文记为长度为 T 的采样序列，输出是自动语音识别系统给出的词序列。研究对象是已经部署的黑盒语音识别部件，调用者只能送入音频并拿到文本，内部参数和训练细节不可见。作者关心的问题是，能否只制作一段固定噪声，加到任意一句话上，都让识别结果偏向同一个攻击者指定的目标文本，例如让系统输出 turn off。这样的噪声被称为通用对抗扰动，它与针对单句话单独优化的扰动不同，后者换一句话就失效，前者要求跨语句复用。

对刚入门的读者，可以把任务拆成 3 个必须同时满足的动作。第一，通用性要求同一段扰动在开发集的多条语音上都有效，而不是记住某一句话的弱点。第二，目标性要求输出不是随便出错，而是出现指定的词，这比让系统静音或乱码更难，因为解码器必须按顺序生成特定词。第三，迁移性要求这段扰动在优化时见过的源模型上有效，在优化时没见过的目标模型上也有效。论文用 Whisper 系列的不同规模模型来模拟源与目标的差异，用图示说明一段扰动同时欺骗源识别器和未知识别器的期望。

为什么这件事在语音里比在图像里更隐蔽，论文在引言中给了生活经验层面的解释。日常环境本来就充满背景声，人耳会自动忽略，而识别器不会忽略，攻击噪声可以藏在看似无害的底噪里。加上主流语音识别架构相对集中，一旦找到跨模型的公共弱点，影响面就会比较大。因此论文不是只展示 1 次攻击成功，而是追问什么样的优化习惯会让扰动过拟合到源模型，以及什么样的简单改动能保留跨模型有效的方向。

同输入同目标的前人路线如何走到通用与迁移

最早的语音对抗工作证明了在白盒条件下可以让端到端模型转写任意目标短语，论文引用了针对 DeepSpeech 的工作作为起点。这类早期方法是每句话单独优化一段扰动，计算量大，且换模型往往失效。随后研究扩展到循环网络和 Transformer 等结构，但基本仍是单语句、单模型设置。另一条线是通用扰动，目标是学一段与音频无关的信号，叠加到任何输入上都能破坏转写，这解决了效率问题，但早期通用工作多为非目标性破坏，没有要求输出固定命令。

迁移性在语音领域 historically 比在图像领域更难。图像分类器的对抗样本常常能在模型之间直接迁移，而语音的目标性优化容易卡在源模型的声学和语言建模细节里。论文梳理了两种已有思路。第一种是语音感知梯度优化，通过语音活动检测只在有语音的区域集中梯度，避免把容量浪费在静音段。第二种是用文本转语音合成目标命令，再提取共振峰信息来初始化攻击，相当于给优化一个更接近语音的起点。论文还提到集成训练，即同时在多个替身模型上优化一段扰动，强迫方向更通用，但代价是显存和调参负担明显上升。

本文的位置是单源模型、通用、目标性、追求迁移。作者不采用多模型集成，而是研究单源优化内部的正则手段，包括动量、跳过注意力梯度、随机掩码等，比较它们在相同预算下对通用性和迁移性的不同影响。这种对照的教学价值在于，它把迁移失败归因于优化过程，而不是简单归因于模型容量差异。

要解决的判定问题与必须保留的约束是什么

形式化地说，给定源识别器和固定的目标文本，寻找一段长度远短于整句的扰动波形，使其加到不同语音上后，源模型输出目标文本的对数似然在期望意义下最大，同时扰动的二范数不超过给定预算。论文采用二范数约束而不是常见的无穷范数约束，理由是二范数可以直接换算成噪声功率，便于用分贝数讨论可感知性。优化目标中还可以加入对扰动幅度的正则项，用系数控制噪声样本不要过大。

迁移性在论文中被写成一个理想条件，即扰动关于源模型和目标模型的梯度对所有输入和所有解码位置都近似相等。作者明确指出这个条件在现实中几乎不可能满足，因此实际方法都是用代理手段避免过拟合，例如稳定更新方向、减少对源模型注意力细节的依赖、每次只更新扰动子集以制造多样化方向。理解这一点很重要，后文所有改进都不声称实现了梯度相等，只是经验上让跨模型成功率更高。

还有一个容易误解的约束是特殊符号。Whisper 类模型的输出包含起始符和结束符等特殊符号，它们没有稳定的声学实现，不同模型对语句边界的内部表示也不同。论文用静音攻击作为反例，目标就是让模型输出结束符，实验显示这类目标很难迁移。后续的目标命令 turn off 后面仍带结束符，因此论文引入软成功率，只考核普通词是否命中，不强求特殊符号完全一致。

方法全景：沿一条语音走完输入到目标输出

先沿一条样本走一遍完整链路。取一条测试语音，长度平均为数秒，把一段固定时长的通用扰动加到波形上，送入 Whisper 的编码器得到帧级表示，再送入自回归解码器逐词预测。攻击者希望无论原始语音内容是什么，解码器在给定已生成前缀的条件下，下一个词都偏向目标命令中的对应词。优化时在开发集上取一批语音，计算它们相对目标文本的交叉熵损失的负值，平均后用 Adam 做投影梯度更新，保证扰动范数不超预算。评估时把同一段扰动加到测试集的未见语音上，分别用源模型和未知目标模型解码，统计通用性和迁移性。

在这个主路径上，论文比较了 4 种实际可运行的优化策略。基线就是上述批量 Adam 直接优化。动量方法在梯度归一化后加入历史动量，试图稳定方向。注意力跳过方法在编码器反向传播时跳过注意力权重矩阵的梯度，只保留其他路径，目的是让更新少依赖源模型的注意力细节，解码器侧仍保留完整自回归能力以保证目标性。MuteOut 是本文提出的方法，每轮为批量中每个样本独立生成随机二值掩码，只保留扰动的一部分参与前向和反向，梯度相当于被掩码对角阵过滤后再平均。

从实现角度看，MuteOut 的动作很具体。先随机生成多个长度为 L 的小掩码，做或运算得到总掩码，再与扰动逐点相乘得到被遮挡版本，用它计算损失和梯度，最后把梯度回填到被选中的位置上更新原始扰动。直观理解是每轮只允许扰动的不同片段发力，避免所有位置协同去拟合源模型的某个脆弱细节。论文报告 MuteOut 在经验上取掩码数和掩码长度为特定值时最好，具体数值见后文实验条件表。

编码器解码器各自承担什么，攻击梯度从哪里来

编码器负责把波形变成帧级声学表示，解码器负责结合已生成文本前缀和声学表示，输出下一个词的概率分布。训练时的损失是逐词交叉熵的负对数似然求和，推理时采用贪心解码，每步取概率最大的词。攻击目标是反过来最大化目标文本的对数似然，因此梯度要经过解码器的自回归路径再回到编码器，最后落到波形叠加位置上。这条长路径意味着扰动既要像语音一样能被编码器表示，又要能操控解码器的语言模型偏好。

通用对抗扰动 × 目标性攻击： 通用对抗扰动负责只学一段与具体语句无关的噪声，在多条语音上复用；目标性攻击负责规定这段噪声要把识别结果推向固定文本如 turn off。两者搭配的原因是只通用不定向只能造成乱码，只定向不通用则每句话都要重算，组合后才得到一段可复用且语义可控的攻击波形。

论文对注意力跳过位置的选择体现了这种分工理解。作者只在音频编码器跳过注意力分数的梯度，而不在解码器跳过，因为目标性要求解码器全力生成指定词，如果连解码器的注意力也削弱，目标约束会变弱。MuteOut 则不区分编码器解码器，而是在输入端做掩码，相当于在数据侧制造多样性，与注意力跳过形成互补。动量方法不改变梯度来源，只改变更新的平滑方式。

迁移性 × 过拟合到源模型： 迁移性指在源模型上优化出的扰动放到未知目标模型上仍然有效；过拟合到源模型指梯度只利用了源模型的注意力细节和解码偏好。两者是矛盾关系，论文把抑制过拟合作為实现迁移性的手段，MuteOut 用随机掩码打断对源模型细节的反复利用，从而保留更通用的攻击方向。

词错率 × 软攻击成功率： 词错率负责衡量预测文本相对真实文本的编辑距离，越大说明偏离越严重；软攻击成功率只检查目标词是否出现而忽略特殊符号如结束符。搭配原因是目标命令中包含没有稳定声学实现的特殊符号，硬成功率会把这类结构性失败也记为失败，软指标才能分离出目标词本身是否迁移成功。

相加与前置为何不同，静音目标为何特殊

相加式攻击把扰动与语音逐采样点相加，扰动与语音在时间上重叠，编码器看到的是混合信号。前置拼接是把扰动作为独立前缀贴在语音前面，编码器先看到纯噪声再看到干净语音。论文用频谱图对比说明两者学到的能量分布不同，相加式需要在靠后的时间位置放更多能量以对抗模型的因果性，而前置式能量更集中在连续的独立段上。这个观察来自原文对耳语小模型的静音攻击可视化，不能推广为所有模型的定量结论，但能帮助理解为何前置在物理播放时不可行，而相加更现实却更难。

静音目标的特殊性在于结束符没有明确声学对应。不同模型在训练和结构差异下，对 utterance 边界学到不同的内部表示，因此为一个模型学到的结束符表示很难迁移到另一个模型。论文报告在迁移评估中静音攻击的成功率为零，并引用前人工作加强了这一判断。这也解释了为何后文转向 turn off 这类有真实发音的目标词，同时仍保留结束符以保持解码格式的完整性。

相加式攻击 × 前置拼接攻击： 相加式攻击把扰动直接叠加到整段语音波形上，与语音同时播放；前置拼接攻击把一段独立噪声贴在语音开头。搭配比较的理由是前者更符合实际播放场景但要与语音竞争，后者优化更容易但物理上不易实现，对比二者能说明静音类目标为何在相加条件下更难迁移。

教学上要记住，词错率变大不等于目标性迁移成功。静音实验中相加攻击让词错率显著上升，说明模型被搞糊涂了，输出胡言乱语，但目标性成功率仍为零。因此后文必须同时看词错率、语义分数和软成功率，才能区分无差别破坏与定向操控。

没有模型训练时，优化器实际在更新什么

本研究没有训练任何语音识别模型，所有 Whisper 模型都是直接调用的已有权重。唯一的训练或优化对象是一段通用扰动波形。论文明确使用 Adam 来优化该波形，目标是最大化开发集上目标文本的平均对数似然并满足范数约束，必要时再加二范数正则。这是一个针对输入的优化问题，不是针对网络参数的学习问题，因此不存在冻结与更新网络层的选择，也不涉及早停、学习率调度等模型训练流程，缺失的细节应如实记为未报告，而不是从模型名称推测。

具体计算过程是批量投影梯度风格。每轮取一批开发语音，把当前扰动加到每条语音上，前向得到目标文本的损失，反向得到关于扰动的梯度，按策略处理后再用 Adam 更新，最后投影回范数球内。动量策略在归一化梯度上加历史项，注意力跳过策略在反向时修改编码器路径，MuteOut 策略在前向时先掩码再求梯度。论文报告动量取步长和衰减系数的特定组合最好，MuteOut 取掩码数和掩码长度的特定组合最好，ℓ2 正则取特定系数，这些都属于扰动优化的超参数，不是识别模型的训练超参数。

动量优化 × 随机掩码： 动量优化负责沿历史梯度平均方向稳定更新，避免单步噪声左右摇摆；随机掩码负责每轮只更新扰动的一部分位置，强迫不同位置各自有效。论文发现批量通用优化时多样本梯度互相干扰，简单动量容易收敛到平均但次优方向，而掩码通过制造多样化子问题来补充动量缺失的泛化能力。

需要指出，扰动优化的随机性来自批量采样和掩码生成，但这不意味着系统输出确定。解码仍是贪心但依赖输入混合信号，换一条语音结果就会变。论文用大测试集平均来报告通用性，正是为了压住单样本波动。

数据模型指标与预算如何对齐才能公平比较

数据 backbone 是 LibriSpeech 语料，优化用开发干净子集，评估用测试干净子集。论文明确给出开发集包含数千条音频，测试集包含数千条音频，每个子集约数小时的高质量干净语音，覆盖多说话人。采用大测试集的理由是增强结论的稳健性，而不是只挑少量容易攻击的句子。这种划分下通用性指同一段扰动在测试集未见语音上的平均效果，迁移性指同一段扰动在未见模型上的平均效果，两者都需要在相同扰动时长和预算下比较。

模型选用 Whisper 的微型、小型、基础和中型版本，其中前三者被选为源模型以控制优化开销，中型只做目标以检验向更大模型的迁移。指标有 4 个方向需要记清。词错率越高表示偏离真实文本越严重，对攻击者是越好。语义分数越低表示与真实语义越远离，对攻击者也是越好。硬成功率要求包含特殊符号的逐词完全一致，软成功率只要求普通目标词一致。语音质量用神经网络主观分和梅尔倒谱失真来衡量，分高或失真低表示更不易察觉。

比较公平性的关键是扰动时长和预算一致。静音预实验用较短的攻击时长，非静音目标实验统一用更长的攻击时长和较大的二范数预算，对应高达一定分贝的噪声功率，因为短扰动在预实验中一致偏弱。不同策略在同一源模型、同一时长、同一预算下优化和评估，才能把差异归因于优化策略本身。

下表把原文连续句子中实际出现的超参数和时长数字整理成可核对的配置表，便于复述时不混淆不同实验的设置。

策略	参数 1	参数 2	攻击时长	预算与平均时长
MuteOut	K = 10	L = 0.15s	Tattack = 3s	ϵ = 10，噪声功率可达 20 dB
MI-FGSM	步长 0.01	动量系数µ = 0.8	Tattack = 3s	ϵ = 10，噪声功率可达 20 dB
静音预实验设置	同基线优化	未用长扰动	Tattack = 0.64s	平均语音时长 T = 7.42s

上表数值全部来自原文连续句子，静音预实验用短扰动而目标命令实验用长扰动是原文明确的安排。表中预算与时长的对应关系说明攻击者用更大的表示容量换取通用与迁移，代价是可察觉性上升。未胜出的细节是动量方法在通用批量优化中效果不佳，论文解释为多样本梯度互相干扰，动量收敛到平均但次优方向，这为后文 MuteOut 的优势提供了对照。

主结果测什么，在什么条件下谁更好

主结果回答固定命令 turn off 加结束符在不同源模型和目标模型之间的通用性与迁移性。源模型分别取微型、小型、基础版本，目标覆盖微型到中型 4 个规模，策略包括基线、动量、注意力跳过和 MuteOut。源到源的对角线衡量通用性，非对角线衡量迁移性。论文报告由于特殊符号的存在，硬成功率在跨模型时几乎无法完全迁移，因此必须看软成功率才能比较目标词本身的迁移。

原文文字层面的结论是 MuteOut 在迁移评估中带来最好的软成功率表现，而其他方法虽然在词错率和语义分数上也能把模型搞糊涂，但不足以产生可迁移的目标性攻击。举例来说，从微型源模型出发时，MuteOut 在多个目标上的软成功率明显高于基线和动量方法，从小型和基础源模型出发时也有类似趋势。源到源的通用性上，MuteOut 同样保持高位，说明掩码没有以牺牲白盒通用性为代价换取迁移。对初学者而言，关键是区分两种好，词错率高只是让模型胡说，软成功率高才是让模型说出攻击者想要的词。

限制同样明确。即使最好的 MuteOut，跨到中型模型时的软成功率仍然远低于源到源，说明向更大模型的迁移仍是短板。硬成功率跨模型基本为零，不能误读为方法完全失败，而是特殊符号无声学实现的结构性困难。论文还展示了 MuteOut 生成的扰动波形叠加在干净语音上的示例，说明扰动是整段可加的连续波形，不是离散的词级替换。

静音预实验与频谱观察支持什么判断

静音预实验的目标是让模型输出结束符，比较前置拼接与相加两种施加方式。论文采用前人提出的前置方法做拼接基线，自提相加方法做对照，攻击时长取短设置，平均语音时长远大于攻击时长。结果是相加攻击在迁移评估中让词错率更大，模型输出更混乱，但目标性的硬成功率在迁移时为零。作者据此加强了前人判断，即特殊符号的可迁移扰动极难获得，原因是缺乏声学表示且各模型对边界的内部表示不同。

频谱层面的定性观察是，相加攻击的能量在噪声尾部更强，以对抗因果解码，前置攻击的能量更集中在连续的独立段上。论文把这种差异归因于相加噪声必须与语音混合并带有类似自然语句的结构，而前置噪声是独立信号。需要强调这是对单源模型示例图的文字描述，没有像素证据时不能声称看到具体坐标或颜色，只能转述原文的机制解释。

这个预实验为后文转向 turn off 提供了理由。有真实发音的目标词才有可迁移的声学抓手，而纯结束符目标只能造成无差别混乱。复现时若只看词错率会误以为相加静音攻击已经很强，必须同时检查硬成功率是否为零，才能复述出论文的真实判断。

下表整理数据规模与正则设置等可核对数字，避免把不同阶段的样本数和超参数混为一谈。

项目	划分与样本数	时长或质量	正则与成功率	说明
开发与测试划分	开发 2703 条，测试 2620 条	每子集约 5.4 小时干净语音	静音迁移硬成功率 0%	大测试集增强稳健性
扰动正则	通用批量优化	语音质量用 NISQA 与 MCD 衡量	λ = 2e −3 后再加 MuteOut	正则与掩码叠加使用
适用条件	源为 tiny/small/base	目标含 medium	跨大模型仍偏弱	趋势不等于每组都赢

上表第二行说明消融中先加ℓ2 正则再叠加掩码的顺序，第三行提醒总体趋势不等于每 1 对源目标组合都成立。论文明确指出对小型源模型叠加正则并未带来提升，说明正则增加了优化复杂度，可能把解拉离攻击主目标，这是必须保留的负结果。

消融与预算实验：哪些改动真正加分

消融从基线出发，先加ℓ2 正则，再叠加 MuteOut，分别在微型、小型、基础源模型上看词错率变化。论文文字总结是，对微型和小型源模型，ℓ2 正则提升了整体迁移性，MuteOut 带来额外增益，但对小型源模型的某些组合，叠加并没有改善。作者的解释是正则让优化问题更复杂，可能削弱对主目标的拟合。这个非单调现象很重要，它说明正则不是越大越好，复现时应保留原文系数而不是自行加大。

预算实验比较不同噪声功率下的通用性与迁移性。结论是同时要通用又要迁移需要更高的扰动预算，以提供足够的表示容量。教学上可以这样理解，通用要求一段噪声记住多句话的共性，迁移要求这段噪声不依赖源模型的细节，两者叠加后需要的自由度更大，小预算下容易顾此失彼。代价是语音质量下降，论文用主观分和倒谱失真量化了这种代价。

语音质量对照显示，动量等方法可能得到更好的主观分，但攻击性能明显更弱，ℓ2 正则得到最低的倒谱失真且平均迁移仍优于基线。这支持了一个折中判断，即可以在更受约束的设置中找到更强的攻击，但仍需进一步研究。复现时不能只报告攻击成功率而隐瞒质量代价，也不能用自动质量分代替人耳听感，原文用的本来就是客观代理指标。

什么还没验证，哪些数字不能推广

首先是架构与数据边界。实验只覆盖 Whisper 家族的 4 个规模，优化只用前 3 个小规模以节省开销，数据只用 LibriSpeech 的干净子集。论文在结论中明确把更广架构、更多数据集、真实播放录音下的物理可实现性以及现代防御的影响列为未来工作。因此不能把在干净朗读语音上的结论推广到噪声环境、远场麦克风或流式系统，也不能声称对其他端到端架构同样有效，这些都属于待验证。

其次是指标边界。词错率和语义分数衡量偏离程度，软成功率衡量目标词命中，但都没有测量误判率、延迟、算力开销或实际部署成本。扰动时长取数秒、预算取较大值的设置虽然增强了效果，但也增加了可察觉性和播放同步难度。论文用客观质量分近似可察觉性，但这不等于人耳不可察觉，更不等于通过了语音活动检测或防御过滤。

最后是报告层面的缺项。原文未给出优化轮数、批量大小、学习率、随机种子、硬件耗时等可复现细节，也未报告多次运行的方差或显著性检验。动量和注意力跳过的超参数只给了最优取值，没有给出搜索网格。阅读时应把这些记为具体缺项，而不是从方法名推定实现。总体趋势不等于每组源目标对都成立，小型源模型的反例已经说明了这一点。

复现先做什么，需要保留哪些信息条件

第一步是准备信息条件而不是直接调参。按原文固定源模型集合、开发集做优化、测试集做评估、目标文本固定为 turn off 加结束符、扰动时长在目标命令实验中取数秒、预算取二范数约束下的较大值。先复现基线批量 Adam 的通用攻击，确认源到源的通用性明显高于随机噪声，再依次加入动量、注意力跳过和随机掩码，保证每次只改一个优化动作。评估时同时计算词错率、语义分数、硬成功率和软成功率，避免只看单一指标得出片面结论。

第二步是核对超参数的原文取值。动量分支用步长与衰减系数的报告最优组合，注意力跳过只作用于音频编码器而保留解码器完整能力，MuteOut 用报告的掩码数和掩码长度并为批量内每个样本独立构造掩码，消融中的ℓ2 正则用报告系数。扰动更新后要投影回范数球，推理用贪心解码。这些动作在原文中有明确文字依据，凡是原文未给的批量大小和轮数应先选一个合理值并记录下来，而不是声称与原文一致。

第三步是记录失败条件。先跑静音目标的相加与前置对照，确认迁移硬成功率为零且词错率上升的现象能够重现，再跑目标词实验，确认硬成功率跨模型仍接近零而软成功率能拉开差距。若发现动量在批量通用设置下偏弱或小型源模型上正则无增益，应保留为与原文一致的负结果，而不是继续调参把它调没。资源状态方面，本次没有收到可验证的代码模型数据链接，不得声称已公开，只能写按论文文字重写实现。

何时值得尝试这种思路，记住什么折中

当安全评估的目标是检验语音识别部件在未知模型下的定向操控风险，而不是单次演示时，本文的单源通用目标攻击思路值得尝试。它的优点是只需要一个源模型，不需要多模型集成的显存开销，通过输入端随机掩码就能提升迁移。如果评估只关心无差别拒绝服务，那么更简单的通用破坏噪声可能就够了，不必承担目标性优化的额外难度。如果场景要求低可察觉或短扰动，则本文的大预算长扰动设置不再适用，需要重新做预算与质量的折中实验。

记住 3 个折中。第一，通用性与迁移性都要，预算就要更大，质量代价也更大。第二，目标词有真实发音才可能迁移，纯特殊符号目标只能造成混乱。第三，正则与掩码能抑制过拟合，但过强的正则会削弱主目标，论文在小型源模型上的反例就是证据。带着这些条件去读表，才能把对角线的高通用性与非对角线的有限迁移放在正确的位置上。