把概率推回正态区间：兼顾改对比特与躲开检测的音频水印自适应攻击

英文题目：Learning to Evade: Adaptive Attacks on Audio Watermarking

会议身份：conference:interspeech:2026:conference-paper-id:ding26b_interspeech

来源为官方会议 PDF；图片依据原页像素，表格数字依据原文引用。PDF 文字层不视为原始 TeX，未可靠恢复的结构不作推断。

会议来源：官方记录 · 官方 PDF

标签：#统计分析 #对抗鲁棒性 #语音 #音频水印

评分：6.3/10 | 创新 1.3/2 | 技术严谨 1.0/1.5 | 实验充分 1.2/1.5 | 清晰度 0.8/1 | 影响力 1.0/1.5 | 开源 0.0/1.5 | 可复现 0.1/0.5 | 工程/实践 0.9/1.5

排名：前50% | 文档类型：方法研究

👥 作者与机构

• Weikang Ding：机构信息未能从会议 PDF 纯文本可靠映射
• Hanqing Guo：机构信息未能从会议 PDF 纯文本可靠映射
• Rui Duan：机构信息未能从会议 PDF 纯文本可靠映射
• Guangjing Wang：机构信息未能从会议 PDF 纯文本可靠映射
• Yuanda Wang：机构信息未能从会议 PDF 纯文本可靠映射
• Mingzhe Chen：机构信息未能从会议 PDF 纯文本可靠映射
• Qiben Yan：机构信息未能从会议 PDF 纯文本可靠映射

📌 核心摘要

该任务输入为干净音频或已加水印音频，输出是经微小扰动后误导水印解码器（Watermark Decoder）的音频，难点在于既要改变二进制消息又要让逐比特概率不被基于正态分布的离群检测发现，同时保持听感。方法链分四步：先用少量同源音频估计防御方正态参数得到均值与方差，再以高权重消息损失执行水印攻击（Adaptive Watermark Attack，AWM）生成扰动，然后将允许区间放宽到均值正负2倍标准差并固定轮数优化以提升音质，最后对替换、伪造与擦除三类目标做逐比特自适应加权。与直接优化到0或1的基线不同，该方法只优化落到估计区间外的风险比特并保持非目标位不变。在LibriSpeech等3个数据集上，擦除攻击的检测成功率（Detection Success Rate，DSR）为0%，替换与伪造多低于10%，显著低于AudioMarkBench的接近100%。该结论仅适用于Timbre与AudioSeal各16比特及白盒可查概率的设置，跨模型、跨比特长度与黑盒场景尚未验证。原文未披露训练、推理或部署成本。

🔗 开源与复现资源

本次未形成可展示的已核验资源记录，开放状态尚未核实。 可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。

🧭 深度解读

输入是什么目标是什么：先把水印攻防的动作说清楚

本文的输入是一段语音，可能是干净音频，也可能是已嵌入水印的音频。目标是研究水印系统在对抗扰动下的真实表现：一方面攻击者加入人耳不易察觉的微小扰动，试图改变解码器读出的水印；另一方面防御者试图判断音频是否被动过手脚。论文默认从原文独立写作，不依赖其他解读，事实只以原文证据为准，输出是 1 篇可核对的方法解读。

对于刚入门的读者，先建立 3 个动作。嵌入是编码器把一串二值比特藏进音频，解码是从音频读回比特和每比特的置信度，检测是判断音频是否被攻击篡改。白话说，消息概率就是解码器认为某比特为 1 的把握有多大，是连续小数；二值消息是按阈值把小数切成 0 或 1 的结果。论文以时域水印与音频水印两种方法为载体展开，阈值在前者中为 0，在后者中为 0.5，这是理解后文分布图横轴的关键。

消息概率 × 二值消息： 消息概率是水印解码器对每个比特为 1 的置信度输出，为连续值；二值消息是用阈值 θ 把概率切成 0 或 1 的判决结果。二者搭配的原因是攻击既要改对判决以达到伪造或去除目的，又要让连续概率看起来正常以躲开检测，组合意义在于把离散的攻击成功标准转化为对连续概率分布的约束优化。

论文首先报告了一个可复述的统计现象：干净音频的解码概率呈单峰正态，峰靠近判决阈值；带水印音频呈双峰近似正态，两峰对应 0 和 1。防御者据此用极大似然估计均值方差，再对每个待测概率做标准化与假设检验，只要有一个比特的双尾值小于显著性水平就判为被攻击。原文把该水平记为显著性参数，实验中取为 0.003。攻击者面临的困难在于，改对比特容易，但改完后的概率形状往往不再像正常音频，因而会被上述检测抓住。

下图是良性概率分布的直接证据，阅读时请先区分单峰与双峰，再记住阈值位置与拟合曲线。

看图路径： 1. 先看左上干净音频单峰直方图，峰值靠近判决阈值附近且覆盖红色拟合曲线；2. 再看右上带水印音频双峰直方图，两峰分别位于负一和正一附近对应零和一；3. 对比下方两幅音频水印方法的面板，确认阈值不同但单峰与双峰规律保持一致

论文图 2。原论文 Figure 2：“Distribution of benign message probabilities.”。

该图显示左列干净音频为集中在阈值附近的单峰直方图，右列带水印音频为分离在两侧的双峰直方图，上下两行分别对应两种水印方法与不同阈值。它的教学价值在于给出防御的依据：正常形状是已知的，偏离形状就可疑。后文所有自适应优化，本质都是把被扰动推乱的形状再推回这种正常形状，同时保持比特判决已翻转。资源状态方面，本次未发现来源绑定且完成验证的资源，不得声称代码模型或数据已公开，复现只能按论文文字重写流程。

已有路线走到哪里：本文为什么还要做自适应

按攻击者知识划分，文献有 3 条路线。无盒扰动只用通用音频处理如压缩、变声、语音合成，不依赖水印模型；黑盒可查询检测器但看不到结构参数；白盒可拿到结构参数并做梯度攻击。本文属于白盒梯度攻击，但强调以往方法要么易被检测，要么音质差，需要在有效性与音质之间平衡。例子：把通用压缩看作不看模型的碰运气，把梯度攻击看作沿着模型指引改波形。

按防御划分，传统时序离群检测对水印攻击效果有限，因为加水印本身不太影响语音分类或识别等下游推理，时序异常不明显。图像生成检测、水印图像检测、音频深伪检测也不能直接搬到音频水印攻击检测。论文因此提出基于消息概率分布的检测，并进一步证明该检测可被自适应攻击绕过，这正是本文的矛盾点。

与音频水印鲁棒性基准的关系需要讲准。该基准是衡量音频水印在替换、伪造、去除 3 类攻击下鲁棒性的考卷，本文既用它作基线攻击，也用它验证所提检测能抓住基线攻击。教学例子：把基准想象成统一考卷，本文先证明新监考方法能抓住旧作弊手段，再证明新的作弊手段能躲开新监考，这两步是不同结论，不能混为一句话。本文未报告训练新水印模型，只调用已有两种水印的编码器与解码器做攻击与检测。

三种攻击各改什么：替换伪造与去除的操作定义

论文定义了 3 种攻击。替换是在带水印音频上加扰动，让解码器输出另一串指定水印；伪造是在干净音频上加扰动，让解码器误认含有有效水印；去除是非目标攻击，在带水印音频上加扰动，让水印检测器判为无水印。形式上前两者是让解码输出接近目标概率的最小化问题，去除是让检测器输出为空的最小扰动问题。沿一个样本走就是输入音频加扰动，经解码器得到概率与比特，再看是否达到目标。

水印替换 × 水印伪造： 水印替换是在已加水印音频上加扰动让解码器输出另一个目标水印，分工是篡改归属；水印伪造是在干净音频上加扰动让解码器误认含有有效水印，分工是无中生有。二者搭配理由是都属于目标攻击、都需要指定目标概率并只改必要比特，组合意义在于可用同一套自适应逐比特流程处理，只是待改比特集合的定义不同。

威胁模型限定了信息条件，复现时必须保留。攻击者不知道防御者拟合分布用的数据，也不知道水印模型训练数据；不知道目标音频中嵌入的真值水印；能拿到解码器的消息概率并做梯度攻击；没有完整水印模型，但能对少量干净音频调用编码模型生成带水印样本。

知道概率服从正态但不知道均值方差。防御者有大量真值音频拟合分布，水印模型通过在线平台商用且每用户每天可生成的水印样本有限。

水印去除 × 水印检测器： 水印去除是在加水印音频上加扰动让检测器判为无水印，分工是抹掉存在性证据；水印检测器是判断音频是否含水印的二分类器，分工是给出有或无的结论。二者搭配的原因是去除属于非目标攻击，不需要精确命中某串比特，只要让检测器翻转，组合意义在于可用更低的比特准确率阈值完成攻击，论文建议准确率阈值在 0.5 附近。

下图把 3 类攻击与检测放在同一流程，有助于 1 次走通从原始音频到是否被攻击的样本路径。

看图路径： 1. 先看左侧三行输入输出：带水印音频变不同水印，干净音频变新水印，带水印音频变无水印；2. 再看右侧防御者纵向流程：部署水印攻击检测并输出是否被攻击的是或否；3. 对照中间大箭头方向，确认左侧攻击输出就是右侧检测输入，形成攻防闭环

论文图 1。原论文 Figure 1：“Overview of the watermark attack (left) and the water- mark attack detection process used to detect whether the audio has been tampered with (right).”。

该图左侧三行分别画出替换、伪造、去除的输入、加扰动与输出变化，右侧画出防御者部署检测并给出是否被攻击的二选一结论。可见攻击输出即检测输入，攻击成功不仅要求比特翻转，还要求不触发右侧检测。理解这一点后，才能明白后文为何要同时优化比特正确性与概率形状，而不是只改对比特就结束。

两阶段总览：先保证改对且不被发现，再修音质

自适应音频水印攻击简称 AWM，总体分准备与执行。准备是估计防御者的分布参数；执行分两步，第一步保证攻击成功并躲开检测，第二步提升音质。论文还给出带优化的变体，前者只有攻击步，后者多做音质优化步。输入为原始音频，替换与去除时是带水印音频，伪造时是干净音频，输出是扰动后音频。

沿一个样本走完流程有助于建立依赖。先用原音频幅度的一小部分初始化扰动，叠加得到扰动音频，送解码器得到消息概率，再送估计出的检测器判断是否离群。若目标达成且未被检出则输出，否则按消息损失继续更新扰动。音质阶段则以第一阶段扰动为初值，放宽允许区间并固定轮数继续优化，同时调大保真损失权重，这就是保真与隐蔽的权衡点。

下图是生成器的两栏设计，左栏红色对应攻击阶段，右栏绿色对应音质优化阶段，值得对照阅读。

看图路径： 1. 先沿左侧红色链路看攻击阶段：原始音频加扰动后经解码器与估计检测器回到消息损失；2. 再看右侧绿色链路优化阶段：沿用扰动初值并改用信号损失与频谱损失继续更新；3. 注意中间菱形判断框文字，只有同时满足目标达成且未被检出才输出成功音频

论文图 6。原论文 Figure 6：“The design of AWM generator. The audio watermark attack step (left) ensures the success of the watermark attack, while the audio quality optimization step (right) focuses on…”。

该图左侧显示原始音频加扰动后经解码器输出概率，再经估计检测器回到消息损失更新，形成红色闭环；右侧显示优化阶段改用信号损失与频谱损失更新扰动，并使用放宽后的估计检测器，形成绿色闭环。图中菱形框的文字表明出口条件是目标达成且未被检出，绿色与红色成功音频分别对应 2 阶段的输出。抓住初值继承与区间放宽这两个动作，就抓住了音质与隐蔽的权衡点，也是复现时最易遗漏的细节。

防御者如何建模正常：均值方差估计与逐比特假设检验

防御分两步。第一步基于分布的设计：收集多段音频，每段输出多个概率，组成矩阵，用极大似然估计总体均值与方差。对干净音频得到一个正态，对带水印音频按比特判决为 0 或 1 分别得到两个正态，共 3 个分布。原文强调干净分布单峰、带水印分布双峰，前文分布图已直观展示，复现时不要把分组搞错。

第二步是离群检测的形式化。对待测音频的每个概率，检验原假设服从均值与方差决定的正态，备择为不服从。先算标准分数为概率减均值除以标准差，再算双尾值。若值小于显著性水平则拒绝原假设，只要有一个比特拒绝就判整段为被攻击。方向是值越小越异常，水平越大越容易报警但误报也越高，论文固定该水平为 0.003。

分布估计 × 离群检测： 分布估计是攻击者用少量音频估计防御者正态分布的均值与方差，分工是猜出正常区间；离群检测是防御者用大量真值音频拟合分布再用假设检验判偏离，分工是划出正常区间。二者搭配的原因是攻防看到的是同一组解码概率，只是样本量和参数不同，组合意义在于攻击把估计区间作为优化约束，把本会被判为离群的概率拉回接受域。

该组件的复现要点是聚合对象不要搞错。均值方差是在大量概率值上整体估计，不是对单段音频单独估计；检验是在单段内逐比特进行，再按或逻辑汇总到段级。论文用误接受率度量把未攻击音频误判为被攻击的比例，用检测成功率度量检出被攻击音频的能力。显著性水平的选择直接影响二者权衡，后文实验固定水平并扫描不同取值观察变化，初学者应先固定再扫描。

攻击者如何猜出正常区间：少量相似音频的分布估计

攻击准备的核心观察是特征相近的数据会产生相近的解码概率分布，因此可用少量与目标相近的音频估计参数。替换与伪造需要双峰参数：先选少量干净音频调用编码模型生成新的带水印音频，再送解码器取概率，按预测为 0 或 1 分组估计两组均值与标准差。去除只需要单峰参数：直接用干净音频送解码器估计干净分布的均值与标准差，流程更短。

方法上可用贝叶斯推断或极大似然，论文实现沿用极大似然思想。关键限制是攻击者样本少且与防御者数据无交集，估计必然有偏，后文自适应优化要对此留有余量。信息条件上攻击者能调编码器生成少量带水印样本，但受平台每日限额约束，不能无限查询逼近真值，这是威胁模型的重要边界。

执行时的逐比特策略体现了自适应。若某比特概率已落在估计正常区内就降低其优化权重，把梯度集中到落在区间外的最危险比特。替换场景还用差异表只改与目标不同的比特位，已对齐位直接沿用原概率，避免无谓改动。对概率不直接贴近 0 或 1 的方法，例如 1 对应 0.7 到 0.8 而 0 对应 0.2 到 0.3，优化目标不是推到 0 或 1，而是推到对应区间内，这是初学者易错点。

消息损失 × 信号损失： 消息损失迫使解码输出接近目标概率，分工是保证攻击成功；信号损失约束扰动后波形与原波形的绝对差异，分工是保证听感。二者搭配的原因是只顾一端会导致要么改不对比特要么噪声过大，组合意义在于用加权总损失同时推进改比特和保音质，并在第二阶段调高保真权重。

总损失包括信号损失、梅尔谱损失、消息损失与其他水印特有损失。信号损失是波形绝对差均值，梅尔损失是梅尔谱平方误差，消息损失是解码输出与目标概率的平方误差。攻击阶段给消息损失较大权重，音质阶段则调大保真权重，并把梅尔损失换成经归一化的频谱损失以更好保持响度与感知相似。约束区间上攻击阶段收紧到均值加减 1 倍标准差以提高成功率，音质阶段放宽到加减 2 倍标准差以换取扰动调整空间，并固定轮数充分优化而非一达标就停。

本研究训练了什么：没有训练新模型时的真实计算

本研究没有训练新的水印编码器或解码器，也没有训练新的检测分类器。训练一节在此的职责是讲清优化与估计的真实计算，避免把攻击优化误当成模型训练。需要保留的关键超参数与信息条件包括消息长度 16 比特、防御显著性水平 0.003、攻击阶段区间为估计均值加减 1 倍标准差、优化阶段放宽到 2 倍标准差、去除攻击的准确率阈值建议在 0.5 附近。

实际计算有 3 类。第一类是分布参数计算：防御者在大样本上做极大似然，攻击者在小样本上做同类估计，分组方式按干净单峰与带水印双峰区分。第二类是扰动梯度优化：按总损失对扰动求梯度并迭代更新，替换与伪造要求比特准确率为 1 才算目标达成，去除只要求低于 1 且推荐按 0.5 左右判断。第 3 类是音质优化：继承扰动初值，改用信号损失加归一化频谱损失继续固定轮数优化，同时保持概率仍在放宽区间内。

未报告项要明确指出。原文未给出完整迭代次数、学习率、4 个损失权重的具体数值、优化器类型与重置时机，也未报告估计所用小样本的具体数量与相似度筛选规则。因此复现时只能按文字重写算法框架，不能从模型名称推定实现细节。阈值上下界的具体取值依赖估计出的均值方差，每次运行随数据而变，不是一个全局常数，这点必须在代码中动态计算。

在什么数据和水印上测：数据集水印与基线条件

实验用 3 个公开语音数据集与两种水印方法，消息长度固定。数据集覆盖有声书、众包语音与播客等多域，基线攻击为鲁棒性基准及其加 5 种无盒扰动的变体，比较时保持水印方法与数据集一致。指标分检测与音质两类：检测成功率越高说明越能抓住攻击，误接受率衡量误伤干净音频，攻击成功率在比特级衡量是否改对目标；音质用信噪比与语音质量模型，以干净音频为基线，数值越高一般表示越接近原音。

下表把核心配置收拢为可核对的一览，阅读时先确认数据集、样本规模与消息长度是否一致。

表中第三行条数原文未逐字给出，只能写总时长，避免编造条数。消息长度与显著性水平是全文复现锚点，改动任一都会改变攻击难度与报警率。5 种无盒扰动包括 5000 赫兹低通、0.9 幅度缩放、40 分贝高斯噪声、32 kbps 压缩，以及特定高通条件，这些是后文鲁棒性测试的固定条件，复现时应保持参数一致。

主结果：基线易被抓住，自适应把检测率压到多低

主结果回答检测器能否抓住攻击。论文报告所提检测对基线及 5 种扰动变体的检测成功率大多很高，而自适应攻击显著更隐蔽。摘要级结论是替换与伪造的检测率低于 10%，去除为 0%。优化变体因更追求音质，检测率略高于未优化版本，说明保真与隐蔽之间存在代价。去除最易隐蔽，替换最具挑战，伪造居中。

下图先看形状证据，再看数字表，避免只记数字而不理解躲避机制的具体过程。

看图路径： 1. 先看左列基线分布形态：概率堆在阈值附近呈宽而弥散的单峰或双峰粘连状；2. 再看右列本方法分布形态：概率回到远离阈值的两侧窄峰并与良性形状相近；3. 上下对比音频水印与时域水印两行面板，确认自适应方法在两种水印上都恢复分离

论文图 7。原论文 Figure 8：“Message probabilities distribution comparisons be- tween AudioMarkBench and AWM for the watermark creation.”。

该图上行是音频水印伪造场景，下行是时域水印伪造场景；左列基线概率挤在阈值附近呈弥散分布，右列本方法概率回到两侧窄峰，与良性分布形状相近。这解释了为何基于形状的检测能抓住基线却抓不住自适应：前者偏离正常区间，后者主动回到正常区间。像素可辨的是峰的位置与分离程度，不宜硬读具体计数，重点看单峰弥散与双峰分离的对比。

表前提出比较问题与公平条件：问题是同数据集同水印下谁更能躲开同一种分布检测；公平条件是防御显著性水平固定，误接受率维持在可接受范围；指标方向是检测成功率越低说明攻击越隐蔽，攻击成功率越高说明改比特越有效。

表后解释主要收益与具体代价：本方法的主要收益是把形状拉回正常区从而躲开检测，代价是需要白盒概率与梯度以及少量可编码样本，且音质优化版会因放宽区间而小幅抬高检测率。未胜出项是带优化版本在替换与伪造上的检测率高于不带优化版本，这与直觉一致，因为更贴近原音的扰动自由度更大。原文大表还显示误接受率多在 5% 附近，说明检测阈值并非靠滥报换低漏报。

显著性水平与无盒扰动：换阈值和后处理能否翻盘

显著性水平扫描回答换阈值能否抓住自适应。论文在众包语音数据替换攻击上改变显著性水平，观察到自适应攻击的检测率始终接近真值带水印音频的误接受水平，优化版略高于未优化版。含义是防御者调大水平会同时抬高误伤，调小水平会漏掉更多攻击，靠单阈值难以区分自适应与正常。这支持分布检测对旧攻击有效但对自适应脆弱的判断，复现时应同时记录检测率与误接受率。

鲁棒性测试回答伪造的水印能否经受常见后处理。做法是对扰动后音频再加低通、幅度缩放、高斯噪声、压缩、高通 5 种无盒扰动，看伪造水印是否仍可被检出。论文报告自适应伪造大多接近或达到 100% 攻击成功率，显示其嵌入的目标特征比基线更稳。对比中不带优化版本略更鲁棒，因为更激进的改动留下了更强的目标特征，而保音质版本特征较弱，更易被后处理抹掉。

分布与频谱的定性证据进一步支撑机制。良性带水印为双峰，基线攻击后变为阈值附近单峰，自适应攻击后恢复双峰；频谱图上基线与未优化自适应在低频带可见横线噪声，优化版噪声减弱并更接近基线外观。这说明第二阶段确实改善感知，但也解释了鲁棒性小幅下降的原因。复现时应同时记录攻击成功率与检测成功率，只记其一会误判优劣，不能把音质改善当成全面胜利。

哪些条件没测：哪些结论不能随意推广

论文直接报告的局限首先是知识条件。自适应依赖白盒解码概率与梯度，以及可调用编码模型生成少量带水印样本的能力，不适用于完全无查询的纯无盒场景。估计依赖相似特征带来相似分布的假设，若目标音频域外差异大，少量样本估计可能偏离防御真值，导致躲避失败，跨域时需重新验证。

其次是评估边界。实验限于 16 比特消息、两种水印与 3 个语音数据集，未验证更长消息、音乐或强混响重录等条件。音质用信噪比与客观质量模型衡量，未测量主观听感误判率、实时延迟与计算开销，不能承诺这些量得到改善。总体趋势不等于每组每步成立，例如优化版在部分替换伪造上检测率更高，去除与伪造的难易也不同。

相关性不等于因果。双峰恢复与低检测率同时出现，支持形状约束是有效的，但不能证明所有检测都只看形状。缺失证据不是技术错误，例如损失权重、学习率、迭代步数与小样本量未逐字报告，复现需补做超参数扫描并明确记录聚合口径。百分点与相对百分比含义不同，跨指标差值不应放在同一模型列下比较，也不能把自动指标当成人评。

要复现先做什么：按原文可执行的最小步骤

先准备数据与模型。按上表取有声书小子集、众包语音的 20000 条 5 秒音频、混合语音共 10 小时，部署两种水印的解码器，固定消息长度 16 比特与防御显著性 0.003。保留编码器可调用权限以生成少量带水印样本，但注意每日限额，不能无限查询，这是威胁模型规定的查询边界。

再实现防御。收集真值干净与带水印音频的解码概率，用极大似然估计 3 组正态参数，对待测音频逐比特算标准分数与双尾值，任一比特小于阈值即判被攻击。同时统计误接受率以校准阈值，避免只看检测率。分组上干净用单峰，带水印按 0 与 1 分两组，这是最易写错的地方。

然后实现攻击。替换与伪造按目标概率与差异表逐比特优化，约束在估计均值加减 1 倍标准差内，要求比特准确率为 1；去除按干净分布单峰估计，准确率阈值取 0.5 附近。得到扰动后做第二阶段优化，放宽到 2 倍标准差并固定轮数，改用信号损失加归一化频谱损失。最后在同条件下与基线比较检测成功率、攻击成功率、信噪比与质量分，并加 5 种固定参数的无盒扰动测鲁棒性。资源方面，本次无可用代码与权重绑定，应按文字重写，不声称已公开。

何时值得尝试这种思路：还需补哪项验证

当防御依赖解码置信度的统计形状，且攻击者能拿到概率与梯度时，值得尝试先估计正常区间再约束优化的思路。它把攻击从只改判决推进到同时修形状，适用于替换与伪造这类目标攻击，也适用于去除这类非目标攻击，只是阈值与分组不同。当只能做无盒处理或无法获得概率时，该思路不适用，应回到压缩、变声等通用扰动路线，选择前先核对信息条件。

复现优先级是先复现分布现象，再复现检测，最后复现自适应。第一步画出干净单峰与带水印双峰，第二步验证基线攻击后形状弥散且可被检出，第三步验证自适应恢复双峰且检测率下降。若第二步不成立，应先检查阈值与分组是否与水印方法匹配，而非直接调攻击强度，这能节省大量调试时间。

还需补的验证包括更长消息、跨域语音与音乐、主观听感测试，以及攻击计算开销与查询次数统计。论文的发现提醒水印鲁棒不能只看比特准确率，还要看概率形状是否可被模仿，未来防御需要考虑自适应对手会主动拟合分布，而非假设攻击必然留下形状异常，这也是攻防下一步的起点。

⚖️ 评分明细

评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。

• 评分规则：type-aware-v1
• 评分模型：muse-spark-1.3-contributor
• 评分请求协议：openai_responses

← 返回 interspeech-2026 论文汇总