音频安全

该文把语音伪造检测器作为可微反馈冻结后接入声码器微调，用合成保真损失加权检测损失直接生成易被判为真人的语音，并在白盒、黑盒和主客观质量上验证了效果与代价。

GDBack 用同一组二阶全通滤波对投毒语音做相位变换，在两数据集三模型上以 5% 投毒取得 94% 以上攻击成功率，同时保持正常识别与语音质量，其激活依赖中心频率等滤波参数且在强混响与部分防御下仍有局限。

针对藏在图像音频视频中的间接注入，ERASE 用抹掉注入区域后的视图做教师进行在轨自蒸馏，在评测基准上把攻击成功压到接近零，同时把被攻击输入的任务准确率拉回到接近无防御干净输入的水平，但结论只在非自适应注入和区域可分离的条件下成立。

论文研究攻击者在微调阶段植入以目标说话人自然声音为触发的后门，用两阶段微调先增强说话人可分性再绑定恶意负载，在保留他人正常转写的同时对目标实现高成功率但需干净微调前部署才成立。

论文把向后兼容写成对旧嵌入器链的高检出与对链外嵌入器的高拒绝，用加权采样保链内检出、用角度多样性损失保版本边界，八个版本上把链外拒绝从约一成恢复到近百分之百且听感质量不变。

本文针对边缘部署的音频大模型智能体提出声学感知到动作的系统模型，沿六个阶段整合攻击、防御与评测证据，指出单点防护不能保证端到端安全，结论成立依赖于最终部署形态、权限绑定与跨阶段传播是否被完整评测。

论文研究在不知道下游任务和预训练数据时如何给语音基础模型植入后门，用固定无关表示拉偏触发样本、用自造聚类维持干净样本表示，在九个任务上保持干净性能并在触发时大幅降级，但彻底清洗需要大量标注和端到端微调。

共收录 1354 篇 interspeech-2026 会议论文的 Reader 深度解读

针对只改一两个词的部分语音伪造，论文用神经编解码器压缩原声并以时间重复最低有效位方式预先藏回自身，再比较接收信号与自重建的动态时间规整差异做检测，在单双词替换下把等错误率降到约 9% 和约 5%，代价是发布前必须嵌入且极短篡改仍难检。

本文追问现行人工智能透明度义务为何只盯合成语音输出而漏掉可携带的说话人嵌入模型与多分支合成工作流，并以文本转语音、声音转换、说话人验证与语音识别的趋同证据说明监管语言需要补上模型全生命周期与工作流环节，代价是需要处理助残与身份认同等特殊用途的例外设计。

针对未授权语音克隆问题，FreqGuard 用可学习的频域特征先验生成不可感知扰动，在黑盒 TTS 上把攻击成功率压低，同时以多损失联合优化保留语音质量，代价是强净化与部分大模型上仍有残余攻击成功率。

针对语音增强被动处理与主动投毒假设的矛盾，论文用训练集内高信噪比干净语音作触发器并配对静默目标，仅做数据投毒就在四种模型和两个数据集上实现近 100% 静默攻击成功率，而正常增强的 PESQ 下降多在 2% 以内。

该研究针对语音语言模型同时接收文本与音频时的越狱鲁棒性问题，提出同时优化文本后缀与音频扰动的联合攻击 JAMA 与分步近似 SAMA，在四个模型上报告联合攻击比单模态高 1.5 至 20 倍而分步版本快 4 至 6 倍，但长音频候选评估与可微特征提取等条件限制了其适用范围。

DsNA 针对合成语音难溯源问题，在文本转语音输出之后把音频切成 2 块、把音频与元数据派生的密码签名切成 3 个碎片再交错拼接，报告在 250 条样本上原始与指纹音频信噪比同为 45.2 dB 且平均意见分、字错率基本不变，代价是未验证压缩噪声与对抗篡改下的鲁棒性。

论文提出合成心音检测任务 SHAC 并构建 CARDIOFAKE 基准，用 MFCC 与 WavLM 的 Gram 最优传输融合 GROOT 在可见编解码器上达到 93.20% 准确率与 5.86% 等错误率，但跨编解码器泛化仍下降约 7 个百分点且推理开销未报告。

论文以音频脏标签投毒追踪后门如何穿过编码器、连接器与语言模型，证明全管线攻击在四类任务上均有效，而单个组件的暴露或冻结决定后门存留，且多任务嵌入让中毒样本不再直接可分，代价是防御常用的二分聚类假设失效。

论文追问音频越狱成功是认不出有害意图还是认出后未触发拒绝，用逐层探测定位到后者并提出中层风险门控加后层安全适配的先检测后干预方法，在六个大音频语言模型和三类异构音频越狱上把平均不安全率从 17.9% 降到 0.4%，代价是良性过拒绝平均上升 6.3 个百分点。

该文用 37 把键盘 37440 次敲击构成的 KEYAC 检验冻结语音预训练表示加轻量下游头的按键识别泛化，发现 VoIP 编解码导致显著下降，而单隐层 KAN 适配头在各条件下一致提升并以 WavLM 最强，但仍需标准录音训练且无可验证的公开代码与数据。

KeyBound 把 16 比特载荷先用密钥掩码再经宿主频谱调制嵌入，以存在检测与密钥解码分离的验证规则做归属，在谱去噪下保持检测 1.00 与比特精度 0.98，代价是宽带感知质量降到 3.03 且自适应重构移除仍能抹掉水印。

共收录 147 篇 aaai-2026 会议论文的 Reader 深度解读