同时骗过说话人与伪造检测：AGENT 如何拆解 SASV 的联合防线

英文题目：AGENT: A Black-box Adversarial Attack Exposing the Achilles’ Heel of SASV Systems

会议身份：conference:interspeech:2026:conference-paper-id:lee26x_interspeech

来源为官方会议 PDF；图片依据原页像素，表格数字依据原文引用。PDF 文字层不视为原始 TeX，未可靠恢复的结构不作推断。

会议来源：官方记录 · 官方 PDF

标签：#模型融合 #对抗鲁棒性 #说话人验证 #语音伪造检测

评分：7.0/10 | 创新 1.2/2 | 技术严谨 1.0/1.5 | 实验充分 1.0/1.5 | 清晰度 0.7/1 | 影响力 1.0/1.5 | 开源 1.2/1.5 | 可复现 0.3/0.5 | 工程/实践 0.6/1.5

排名：前50% | 文档类型：方法研究

👥 作者与机构

• Yowon Lee：机构信息未能从会议 PDF 纯文本可靠映射
• Seongkyu Han：机构信息未能从会议 PDF 纯文本可靠映射
• Thien-Phuc Doan：机构信息未能从会议 PDF 纯文本可靠映射
• Souhwan Jung：机构信息未能从会议 PDF 纯文本可靠映射

📌 核心摘要

欺骗感知说话人验证（Spoofing-Aware Speaker Verification，SASV）以自动说话人验证（Automatic Speaker Verification，ASV）相似度与伪造对策（Countermeasure，CM）得分为联合输入，以接受或拒绝为输出，难点在于两条分支的决策边界不一致且黑盒下不可见。本文方法链由三步构成，先由替代ASV与替代CM分别计算相似度与伪造检测分数，再将ASV分数最大化与CM过阈目标转化为输入梯度并做归一化与冲突检测，最后对冲突分量做选择性投影后融合以迭代更新对抗样本。与仅优化ASV的迁移攻击不同，该方法不再满足于刚过阈值，而是把样本推入接受域深处并显式消除两路梯度反向干扰。在ASVspoof 2019 LA评估集4000条非目标试次上，替代为NeXt-TDNN加AASIST-SSL、受害为ResNet34v2加ResNet-OC、扰动预算0.016条件下，级联结构攻击成功率（Attack Success Rate，ASR）达到99.62%，分数融合结构达到81.58%，显著高于同预算下对比方法。该结论目前仅适用于数字域加性扰动与已测试的模型族组合，对物理播放、编解码与自适应防御尚未验证。原文未披露训练、推理或部署成本。

🔗 开源与复现资源

• 代码相关资源：https://github.com/2oil/AGENT.git → https://github.com/2oil/AGENT — 链接可访问（HTTP 200） 可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。

🧭 深度解读

输入是什么，要解决什么问题？

这篇解读的输入是论文正文与两张官方原图，目标是让刚进入语音与音频方向的研究生能复述 AGENT 的攻击流程、实验条件与关键数字。必须保留的信息包括任务定义、两种 SASV 结构、替代与受害者划分、分数最大化与方向选择性融合的计算安排、数据集与模型配置、攻击成功率与信噪比的对应关系，以及代码可用状态。输出是 1 篇按学习依赖展开的技术解读，不做营销式判断。

语音门禁的输入是一段测试语音加一段或多段注册语音，目标是只让目标说话人的真人语音通过。自动说话人验证，英文为 Automatic Speaker Verification，简称 ASV，负责算测试语音与注册语音的相似度。伪造对策模块，英文为 Countermeasure，简称 CM，负责判断测试语音是真人还是合成、转换或重放伪造。单独用 ASV 时，合成语音模仿目标音色就可能混过相似度门限；单独用 CM 时，又回答不了是不是本人。因此论文研究的防伪造说话人验证，英文为 Spoofing-Aware Speaker Verification，简称 SASV，把两个模块做成联合判决。

攻击者的输入是一段任意语音，目标是在人耳不易察觉的扰动预算内，让 SASV 把这段语音误判为目标说话人的真人语音。黑盒意味着攻击时看不到受害者模型的结构与参数，只能在自己手里的替代模型上算梯度，再把生成的对抗样本拿去迁移攻击。论文要回答的是只攻 ASV 的旧方法为何在 SASV 上失效，以及如何同时满足 ASV 与 CM 两条约束并保持跨结构迁移。

举一个教学例子：假设门卫先听口音像不像本人，再看身份证是不是伪造的。只模仿口音可能在第二关被拦下，只做假证又过不了第一关。AGENT 相当于同时准备口音模仿与证件做旧，并且把口音练到远超及格线，留出换一个门卫也能通过的余量。这个例子只是帮助理解双约束，效果数字仍以论文实验为准。

已有路线为什么不够用？

同输入同目标的已有路线主要分三支。第一支是针对独立 ASV 的对抗攻击，例如 FAKEBOB、基于通用扰动的方法和基于向量模型的攻击研究，它们只优化说话人相似度，不考虑 CM 分数。第二支是针对 SASV 的初步尝试，论文点名了两项工作，一项是 Double-deceiver，另一项是基于对抗变换的工作，但前者评估集中在级联结构且迁移有限，后者依赖辅助网络或语音合成模型，增加了攻击复杂度。第三支是 SASV 本身的防御研究，指出加入 CM 后独立 ASV 攻击的迁移成功率会大幅下降，论文引用了一个数据点，即 FAKEBOB 在级联 SASV 上只有约 38% 的样本能绕过 CM。

按同监督与同运行阶段对照，FAKEBOB 与 AGENT 都是在替代模型上有梯度监督、在受害者模型上黑盒迁移，但监督来源不同：FAKEBOB 只有 ASV 梯度，AGENT 同时有 ASV 与 CM 梯度。Double-deceiver 与 AGENT 同为 SASV 攻击，但 Double-deceiver 被论文报告在跨模型组合时迁移较弱，而 AGENT 通过更强的分数推高与冲突处理来改善迁移。类别差异不能直接当胜负，关键是后文在相同替代与受害者组合、相同扰动预算与相同数据集划分下比较成功率与信噪比。

初学者容易误以为攻下 ASV 就等于攻下 SASV。论文的反证是消融中只攻 ASV 再转到 SASV 的成功率很低，说明 CM 是一道独立约束。另一个误解是把两个梯度直接相加就叫联合优化，论文显示朴素相加提升有限，因为两个目标的方向可能相反，需要显式处理冲突。这正是新方法要补的位置。

两种 SASV 结构把判决边界画在哪里？

要复述方法，先把两种结构的判决规则讲清。记 ASV 相似度为 sASV，CM 检测分数为 sCM，对应门限为 τASV、τCM，融合分数门限为 τSASV。级联结构要求同时满足 sASV 达到门限且 sCM 达到门限，任一不满足就拒绝。分数融合结构先把 sASV 与经过函数变换的 sCM 相加得到 sSASV，再与统一门限比较，允许一个分数高一些去弥补另一个分数的不足。前者是两个独立门，后者是一道总分门。

下图把两种结构的输入输出画了出来，左边是级联，右边是分数融合，值得对照着看清拒绝分支与加法节点的位置。

看图路径： 1. 先看左图级联结构中测试语音先过红色伪造检测再到蓝色说话人验证的两级拒绝箭头；2. 再看右图分数融合结构中 sASV 与变换后 sCM 在加号节点汇合后统一判决接受或拒绝；3. 对比两图注册语音与测试语音分别从哪里进入说话人验证模块

论文图 2。原论文 Figure 2：“Two common SASV architectures. (a) Cascaded struc- ture (b) Score fusion structure”。

从像素看，左图下方是测试语音波形图标，向上进入红色 CM 框，若不通过则向右引出拒绝箭头，若通过则向上进入蓝色 ASV 框，再分别向上引出接受箭头与向右的拒绝箭头，注册语音从左侧进入 ASV 框。右图下方左右分别是注册语音与测试语音，测试语音同时进入 ASV 与 CM，ASV 输出 sASV，CM 输出变换后分数，二者在顶部圆圈加号处相加，再分出接受与拒绝两条判决线。这种画法直接对应公式 4 与公式 5 的两种接受条件，也解释了为何分数融合需要联合抬高总分而非各自过线。

自动说话人验证 × 伪造对策模块： 自动说话人验证负责判断测试语音与注册说话人是否相似，给出相似度分数 sASV；伪造对策模块负责判断输入是真人还是合成转换伪造，给出检测分数 sCM。二者搭配的原因是单独验证挡不住语音合成和声音转换冒充，单独检测又不管说话人是谁，组合后形成联合判决才更接近门禁场景，AGENT 正是同时抬高这两个分数来让联合判决误接受。

级联结构 × 分数融合结构： 级联结构要求 sASV 和 sCM 各自超过各自门限才接受，任一不达标就拒绝，分工清晰但边界是矩形；分数融合结构把 sASV 与变换后的 sCM 相加得到 sSASV 再与统一门限比较，允许一个分数补另一个分数。搭配比较的意义是同一扰动在这两种联合约束下迁移难度不同，论文报告分数融合更难攻，这解释了后文两类结构成功率的差异。

黑盒设定的关键是替代与受害者不一致。论文在图注中明确，CM 与 ASV 表示替代模块，带星号的 CM 星与 ASV 星表示受害者模块，黑盒下二者至少其一不同。攻击者能对替代求梯度，但不能看受害者内部，也不用辅助网络。因此所有设计都要在替代上完成，再靠迁移生效。

AGENT 让一个样本走完哪条流水线？

先沿一个样本走完全程。输入是一段任意语音与一个目标说话人编号。第一步把当前语音同时送入替代 ASV 得到 sASV，送入替代 CM 得到 sCM。第二步对两个目标分别求关于输入波形的梯度，得到 gASV 与 gCM。第三步用方向选择性融合把两个梯度合成一个融合梯度 gfused。

第四步用符号梯度步更新波形并投影回以原始语音为中心、半径为扰动预算的球内。重复多轮后输出对抗样本，再送入受害者 SASV 系统尝试误接受。

下图是论文给出的整体框架，编号标出了从打分到融合再到迭代与迁移的顺序，建议按编号顺序读箭头。

看图路径： 1. 先从左侧任意语音找到同时指向蓝色替代说话人验证与红色替代伪造检测的两条分支；2. 再看中间 gASV 与 gCM 汇合成 gfused 并向下进入基于梯度的攻击方法框；3. 接着沿左下角对抗扰动经循环箭头与原语音叠加形成右上对抗样本的路径；4. 最后确认对抗样本经编号 6 箭头被送入右侧受害者 SASV 系统框

论文图 1。原论文 Figure 1：“Overview of the proposed AGENT attack framework.”。

从像素看，左侧是任意语音波形图标，分两路进入蓝色 ASV 框与红色 CM 框，分别引出 gASV 与 gCM，在中间编号 2 处汇成 gfused，向下经编号 3 的基于梯度的攻击方法框指向左下角对抗扰动框，扰动经编号 4 循环箭头与原语音叠加，沿顶部编号 5 箭头形成右上角带感叹号的对抗样本，再经编号 6 箭头进入右侧包含 ASV 星与 CM 星的 SASV 系统框。顶部小字说明了替代与受害者的星号区分。这个闭环把迭代优化与最终迁移画在同一张图里，是后文算法 1 的图形版本。

替代模型 × 受害者模型： 替代模型是攻击者手里能求梯度的说话人验证与伪造检测模型，用于计算扰动方向；受害者模型是实际被攻击的另一套模型，结构和参数未知且不允许查询内部。搭配理由是黑盒威胁模型下只能在替代上优化、靠迁移到受害者上生效，论文用不同网络组合验证这种跨结构迁移，组合意义在于检验扰动是否学到通用可迁移方向而非过拟合某一替代。

这条流水线的两个关键选择是目标函数与融合方式。目标函数决定往哪里走，融合方式决定 2 个方向打架时听谁的。下一节分别拆开讲它们的输入、计算与原文给出的理由。

分数推多高，梯度打架时怎么融合？

先讲分数最大化目标，英文为 Score Maximization Objective，简称 SMO。它的输入是当前迭代语音在替代 ASV 上的相似度 sASV，计算目标是直接最大化这个分数，而不是只推过门限。原文的理由是只过门限的样本常贴着边界，换模型就失效，推到接受域深处才有迁移余量。对 CM 侧则用 sCM 减去门限作为目标，只要求保持在门限之上不被拒绝，不做激进放大。这种非对称安排对应两个模块的不同分工：ASV 需要强迁移，CM 只需不拖后腿。

分数最大化目标 × 阈值跨越目标： 阈值跨越目标只要求把分数推过判决门限，样本常停在边界附近，换一个模型门限一变就失效；分数最大化目标直接把替代说话人验证分数 sASV 往大里推，把样本推到接受域深处。搭配原因是黑盒迁移需要留出余量，最大化提供余量，而伪造对策侧只要求不被拒因而不必同等放大，二者分工不同才有了后文非对称的两个损失。

再讲方向选择性梯度融合。输入是两个梯度 gASV 与 gCM。先各自做二范数归一化得到单位方向，再算内积得到对齐度。若对齐度为负说明方向冲突，则把 CM 梯度中沿 ASV 方向的分量去掉，只保留与 ASV 不冲突的正交部分，再按权重与 ASV 梯度相加得到融合梯度。若对齐度非负则保留合作方向直接加权相加。

原文明确这是为了避免直接相加带来的破坏性干扰，提升优化稳定性与迁移性。算法中还给出了迭代更新式：用融合梯度的符号乘以步长更新，再投影到扰动预算内。

方向选择性梯度融合 × 朴素梯度相加： 朴素梯度相加把说话人验证梯度与伪造检测梯度直接相加，方向冲突时会互相抵消；方向选择性梯度融合先归一化再算内积判断冲突，只在冲突时去掉伪造检测梯度中与验证梯度相反的分量，合作方向则保留。搭配比较的意义是联合优化必须同时满足两个模块，投影操作在保留合作的同时抑制破坏性干扰，从而稳定迭代并提升迁移。

沿样本再走一遍计算：当前波形先得两个分数，再得两个梯度，再归一化并判断冲突，再合成一步方向并更新波形。权重系数在实验中取 1，步长取预算的十分之一，迭代轮数取 30。这些数字属于实验配置，复现时应原样保留，下一节讲它们在无训练设定下的真实含义。

没有训练阶段时，什么在更新？

本研究没有训练神经网络的阶段，也就没有反向传播更新模型权重、没有训练集梯度下降与早停。所有 ASV 与 CM 模型都是既有模型，直接拿来推理与求关于输入的梯度。唯一被更新的是输入波形本身携带的扰动。这一点不能说成确定性求解，因为迭代结果依赖初始化语音、替代模型、随机采样与预算约束，也不能从参数冻结推出输出确定。

真实计算过程是算法 1 描述的迭代攻击构造。每轮固定模型参数，只算损失对输入的梯度。ASV 侧损失就是相似度分数，CM 侧损失是检测分数减门限。归一化、对齐判断与投影融合都是确定性张量运算，更新用的是符号梯度加投影，约束是无穷范数球。超参数按原文交代为迭代 30 轮、步长为预算除以 10、融合权重为 1，预算从 0.001 变到 0.016。阈值标定在 VoxCeleb1 上对 ASV 模型取等错误率工作点，在 ASVspoof 2019 LA 评估集上对 CM 与融合阈值取等错误率工作点。

复现时要区分冻结与更新：模型权重全程冻结，波形每轮更新，门限事先标定好后不再动。梯度路径是替代 ASV 与替代 CM 到输入波形，受害者模型不参与任何梯度计算，只在最后做黑盒评估。若缺失某模型的实现细节，不从模型名字推定预处理或采样率，必须回到代码与原文核对。

数据、模型与指标如何对齐比较？

实验要回答 3 个问题：不同预算下能否同时超过只攻 ASV 与已有 SASV 攻击，消融中 2 个组件各自贡献多少，跨结构迁移与听感代价如何。比较的公平条件是同一替代组合、同一受害者组合、同一数据集划分与同一扰动预算。指标方向是攻击成功率越高越好，信噪比越高说明扰动越不明显，但二者通常此消彼长，需要同预算下一起看。

数据与协议按原文交代。全部实验在 ASVspoof 2019 LA 数据集上进行，从评估集中随机取 4000 个非目标试次。ASV 模型用了 ECAPA-TDNN、NeXt-TDNN 与 ResNet34v23 种，CM 模型用了 AASIST、AASIST-SSL、RawNet2 与 ResNet-OC 4 种。SASV 结构覆盖级联与分数融合两种。门限标定如上一节所述，攻击成功率定义为成功样本数除以总样本数，感知质量用信噪比衡量，即原始信号功率与扰动功率比值的对数度量。

基线是实际可运行的 FAKEBOB 与 Double-deceiver，不是事后最优值。主表固定替代为 NeXt-TDNN 加 AASIST-SSL，受害者为 ResNet34v2 加 ResNet-OC，预算取 0.004、0.008、0.012、0.016 四档。消融固定预算 0.008 对比只攻 ASV、朴素相加、只加选择性融合、只加分数最大化与完整 AGENT。跨结构表还换了多种替代与受害者组合。硬件与训练成本原文未报告，这是缺项，不承诺延迟或成本改善。代码方面，资源状态显示代码链接当前可用，地址为论文给出的开源仓库，可用于核对迭代与评估流程。

主结果在相同预算下赢在哪里？

比较问题是固定替代与受害者组合时，随扰动预算增大，3 种攻击在级联与分数融合上的成功率如何变化。公平条件是同一预算、同一模型组合与同一评估集，指标方向是成功率越高越好，信噪比作为代价一起看。下表整理了原文主表在四档预算下的数字，级联在上半部分，分数融合在下半部分。

表后解释需要同时讲收益与代价。级联上 AGENT 在最小预算 0.004 已达 97.55，在 0.016 达 99.62，明显高于 Double-deceiver 的 70.10 与 FAKEBOB 的 45.30，支持联合优化加分数放大的判断。分数融合上 AGENT 在 0.016 达 81.58，高于 Double-deceiver 的 65.70，但整体低于级联，原文解释是融合结构用联合总分约束，一个模块涨得不够需要另一个补，单点突破更难。未胜出项也要点名：FAKEBOB 在分数融合上四档仅 0.03 到 0.22，说明只优化 ASV 的扰动满足不了联合约束。代价方面，跨配置图的信噪比显示 FAKEBOB 为 18.84 dB，Double-deceiver 为 24.03 dB，AGENT 为 22.08 dB，AGENT 以略低于 Double-deceiver 的信噪比换来大幅成功率提升，扰动没有明显更易察觉，但预算增大到 0.016 时大表信噪比降至 22 dB 左右，仍是可听性代价。

论文还报告跨结构迁移与独立 ASV 表现。独立 ASV 上 Double-deceiver 因联合优化引入冲突反而变差，而 AGENT 保持最好。独立 ASV 表显示 AGENT 在 0.001 已超 90%，随预算接近 100%，说明分数最大化本身对独立验证也有效。分数融合在部分组合上仍是边界，例如原文大表在某些替代与受害者搭配下成功率回落，这是未评测边界之外的已报告弱点，不能推广为所有组合都超 95%。

拿掉哪一块，成功率掉得最多？

消融要回答分数最大化与方向选择性融合各自贡献多少。比较条件固定为替代 NeXt-TDNN 加 AASIST-SSL、受害者 ResNet34v2 加 ResNet-OC、预算 0.008，指标为级联与分数融合成功率加信噪比。下表把 5 个变体放在一起，是否使用选择性融合与分数最大化单独成列。

表后解释要区分主因与协同。只攻 ASV 在 SASV 上仅 15.62 与 0.00，证明单模块攻击不够。朴素相加只提到 23.75 与 0.05，提升有限，支持直接相加不能调和冲突的判断。加上选择性融合后到 36.43 与 0.15，有改善但幅度不大。加上分数最大化后跃升到 97.05 与 37.08，是最大单项来源。

完整 AGENT 到 99.10 与 63.92，说明融合在强分数基础上进一步稳定了联合优化，尤其在分数融合上从 37.08 提到 63.92。代价是信噪比从 28.58 逐步降到 27.74，只降约零点几 dB，听感代价较小。未胜出项是朴素相加与只用融合的变体在分数融合上几乎无效，这反证了不解决边界余量问题只调方向是不够的。

需要注意总体趋势不等于每组都成立。大表显示个别组合在预算增大后成功率反而下降，例如某些以 AASIST 为受害者的列在 0.016 低于 0.012，原文未给出因果解释，只能报告为有限观察，不能归因于过拟合或门限漂移，留待验证。

哪些边界本文没有测？

论文直接报告的是数字域上的白盒替代加黑盒迁移结果，支持在所测模型与数据集上 SASV 存在可迁移弱点的判断。但有 3 类边界未验证，需要用可能与待验证来表述。第一是物理与空中播放场景，论文在结论中明确列为未来工作，包括真实房间混响、麦克风与扬声器失真，当前信噪比不能代替人耳听感实验，也不能推出实际延迟与误拒率。

第二是数据与人群覆盖，仅在 ASVspoof 2019 LA 评估集的 4000 个非目标试次上评估，未报告跨语种、跨信道与跨年龄的划分，也未报告统计显著性与多次采样的方差。第三是防御侧，未测量对抗训练、检测器升级或阈值重标定后的成功率变化，相关性不等于因果，不能承诺 AGENT 必然绕过未来防御。

原文内部也有需要标注的冲突与缺项。表格中个别成功率随预算非单调，例如大表中部分列在 0.016 低于 0.012，图注与正文未解释聚合口径是否一致，这里只能标注为原文数字如此，不自行编造划分来圆成单调。训练资源、推理开销与输出帧率原文未报告，不能从迭代 30 轮推出 wall-clock 时间。信噪比只反映能量比，不反映语义可懂度与说话人相似度主观分，不能把自动指标当人评。

对初学者的提醒是不要把最高 99.62% 理解为所有 SASV 都被攻破。该数字对应特定替代与受害者组合、级联结构与 0.016 预算，换到分数融合或另一组模型数字会低很多。复述时必须同时说清数据集、模型对、结构、预算与指标，否则数值相同也可能是不同指标的巧合。

要复现，先跑通哪三步？

复现先做三件事。第一步按原文配置准备数据与模型：下载 ASVspoof 2019 LA 评估集并固定随机抽 4000 个非目标试次的名单，准备 ECAPA-TDNN、NeXt-TDNN、ResNet34v23 类 ASV 与 AASIST、AASIST-SSL、RawNet2、ResNet-OC 4 类 CM 的权重，在 VoxCeleb1 上标定 ASV 门限，在评估集上标定 CM 与融合门限，均取等错误率工作点。第二步跑通攻击循环：实现分数最大化损失与门限差损失、归一化与冲突投影融合、符号梯度加投影更新，参数取迭代 30 轮、步长为预算十分之一、融合权重为 1，预算从 0.001 扫到 0.016。第三步按相同组合评估：先复现主表的替代 NeXt-TDNN 加 AASIST-SSL 对受害者 ResNet34v2 加 ResNet-OC，再扩展到其他组合，同步记录成功率与信噪比。

下表把复现时最易混的超参数与评估口径收拢，数字来自原文连续句，便于逐项核对。

表后补充可运行性判断。代码资源状态为可用，仓库地址为论文给出的开源链接，当前可达，可用于核对算法 1 与评估脚本。但可用不等于权重可下载与环境可一键运行，复现前要先确认模型权重、音频采样率与依赖版本。建议先用小预算 0.004 跑通级联单组合，再扫全预算与分数融合，因为分数融合对超参数更敏感。若结果与原文差几个百分点，优先检查门限标定与试次名单是否一致，而不是先调融合权重。

常见误解是把无训练等同于无随机性。实际上试次抽样、模型初始化差异与浮点实现都会带来波动，复现报告应给出随机种子与名单哈希。若要补验证，至少补 3 次采样的均值方差、另一组替代与受害者组合，以及人耳可懂度的主观抽查，这三项是原文缺项但决定结论稳健性的关键。

何时值得尝试这个方法？

当你的任务也是双约束黑盒迁移时值得尝试：输入是波形，输出要同时满足说话人相似度与伪造检测分数，受害者不可见，只能在替代上求梯度。这时分数最大化的思路可借用，即把主分数推到接受域深处留出迁移余量，次要分数只保不被拒。方向冲突明显时再引入选择性投影，而不是一开始就用朴素相加。若只有单约束或白盒可查梯度，这套组合的收益会打折扣，不必照搬。

复述方法的最小闭环是：任意语音经替代 ASV 与 CM 打分，对两路梯度归一化并判断内积符号，冲突时去掉 CM 梯度中与 ASV 相反的分量再加权融合，用符号步迭代更新并投影回预算球，最终把对抗样本迁移到受害者 SASV。实验条件的最小闭环是：ASVspoof 2019 LA 评估集 4000 非目标试次、所列三加 4 个模型、级联与分数融合两种结构、等错误率门限、预算四档、成功率加信噪比同看。

回到中心矛盾：SASV 用联合判决堵住了单点冒充，却把新的攻击面留在了联合边界的可迁移方向上。AGENT 报告显示级联最高 99.62%，分数融合最高 94.95% 左右，但代价与边界同样明确，信噪比随预算下降，个别组合非单调，物理场景待验证。下一步值得补的是跨数据验证、主观听感与防御后重测，只有这三项补齐，才能把迁移成功率变成对真实门禁风险的完整判断。

⚖️ 评分明细

评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。

• 评分规则：type-aware-v1
• 评分模型：muse-spark-1.3-contributor
• 评分请求协议：openai_responses

← 返回 interspeech-2026 论文汇总