音频安全

本文针对边缘部署的音频大模型智能体提出声学感知到动作的系统模型，沿六个阶段整合攻击、防御与评测证据，指出单点防护不能保证端到端安全，结论成立依赖于最终部署形态、权限绑定与跨阶段传播是否被完整评测。

论文研究在不知道下游任务和预训练数据时如何给语音基础模型植入后门，用固定无关表示拉偏触发样本、用自造聚类维持干净样本表示，在九个任务上保持干净性能并在触发时大幅降级，但彻底清洗需要大量标注和端到端微调。

共收录 1354 篇 interspeech-2026 会议论文的 Reader 深度解读

针对只改一两个词的部分语音伪造，论文用神经编解码器压缩原声并以时间重复最低有效位方式预先藏回自身，再比较接收信号与自重建的动态时间规整差异做检测，在单双词替换下把等错误率降到约 9% 和约 5%，代价是发布前必须嵌入且极短篡改仍难检。

本文追问现行人工智能透明度义务为何只盯合成语音输出而漏掉可携带的说话人嵌入模型与多分支合成工作流，并以文本转语音、声音转换、说话人验证与语音识别的趋同证据说明监管语言需要补上模型全生命周期与工作流环节，代价是需要处理助残与身份认同等特殊用途的例外设计。

针对未授权语音克隆问题，FreqGuard 用可学习的频域特征先验生成不可感知扰动，在黑盒 TTS 上把攻击成功率压低，同时以多损失联合优化保留语音质量，代价是强净化与部分大模型上仍有残余攻击成功率。

针对语音增强被动处理与主动投毒假设的矛盾，论文用训练集内高信噪比干净语音作触发器并配对静默目标，仅做数据投毒就在四种模型和两个数据集上实现近 100% 静默攻击成功率，而正常增强的 PESQ 下降多在 2% 以内。

该研究针对语音语言模型同时接收文本与音频时的越狱鲁棒性问题，提出同时优化文本后缀与音频扰动的联合攻击 JAMA 与分步近似 SAMA，在四个模型上报告联合攻击比单模态高 1.5 至 20 倍而分步版本快 4 至 6 倍，但长音频候选评估与可微特征提取等条件限制了其适用范围。

DsNA 针对合成语音难溯源问题，在文本转语音输出之后把音频切成 2 块、把音频与元数据派生的密码签名切成 3 个碎片再交错拼接，报告在 250 条样本上原始与指纹音频信噪比同为 45.2 dB 且平均意见分、字错率基本不变，代价是未验证压缩噪声与对抗篡改下的鲁棒性。

论文提出合成心音检测任务 SHAC 并构建 CARDIOFAKE 基准，用 MFCC 与 WavLM 的 Gram 最优传输融合 GROOT 在可见编解码器上达到 93.20% 准确率与 5.86% 等错误率，但跨编解码器泛化仍下降约 7 个百分点且推理开销未报告。

论文以音频脏标签投毒追踪后门如何穿过编码器、连接器与语言模型，证明全管线攻击在四类任务上均有效，而单个组件的暴露或冻结决定后门存留，且多任务嵌入让中毒样本不再直接可分，代价是防御常用的二分聚类假设失效。

论文追问音频越狱成功是认不出有害意图还是认出后未触发拒绝，用逐层探测定位到后者并提出中层风险门控加后层安全适配的先检测后干预方法，在六个大音频语言模型和三类异构音频越狱上把平均不安全率从 17.9% 降到 0.4%，代价是良性过拒绝平均上升 6.3 个百分点。

该文用 37 把键盘 37440 次敲击构成的 KEYAC 检验冻结语音预训练表示加轻量下游头的按键识别泛化，发现 VoIP 编解码导致显著下降，而单隐层 KAN 适配头在各条件下一致提升并以 WavLM 最强，但仍需标准录音训练且无可验证的公开代码与数据。

KeyBound 把 16 比特载荷先用密钥掩码再经宿主频谱调制嵌入，以存在检测与密钥解码分离的验证规则做归属，在谱去噪下保持检测 1.00 与比特精度 0.98，代价是宽带感知质量降到 3.03 且自适应重构移除仍能抹掉水印。

共收录 147 篇 aaai-2026 会议论文的 Reader 深度解读

共收录 199 篇 acl-2026 会议论文的 Reader 深度解读

针对文本到音乐模型的黑盒提示词窃取问题，AudioStealer 用相似度引导的启发式搜索定方向、再用沙普利值量化各语义单元贡献做精修，在 InspireMusic 上以语义 59.4%、音乐 70.1% 的可复现流程实现最强证据，代价是依赖本地影子模型的多次查询与精修计算。

论文以白盒 Qwen2-Audio 为对象，用梯度优化构造定向唤醒与有害指令噪声和非定向降质噪声，并用平移、加噪与 SpecAugment 增强实现经 Chromebook 播放、iPhone 录音的空中攻击，最强证据是数字定向 12 组条件 100% 成功与真实录制定向 100% 成功，代价是对采样率扰动敏感且可被 EnCodec 压缩大幅抑制。

论文针对边听边说的全双工语音模型，用固定无关语音研究有害请求后的打断能否抬高整轮有害率，以固定延迟与拒答触发两种可执行时机在四个开源模型和 720 条请求上验证，PersonaPlex 系最高上升约 39 个百分点，但效果随模型、措辞和时机剧烈变化且 BayLing 出现下降。

共收录 36 篇 eacl-2026 会议论文的 Reader 深度解读