该论文提出了一种针对生成式语音模型的鲁棒音频水印框架 CRAW（Codec Robust Audio Watermarking）。研究背景是：近年来生成式语音模型（如语音克隆、语音合成）的进步使得真实与合成语音难以区分，增加了欺诈和虚假信息的风险。音频水印通过在生成语音中嵌入人耳难以感知的信号，并在后续检测中验证音频来源，是一种有前景的防御手段。然而，现有的事后（post-hoc）水印方法在面临神经编解码器（neural codecs）、降噪器（denoisers）和声码器（vocoders）等实际存储、传输与处理中常见的变换时，鲁棒性严重不足，导致实际应用受限。CRAW 作为端到端框架，联合优化了对神经再合成（neural re-synthesis）的鲁棒性，同时保持较高的感知质量。其核心方法包含三个技术组件：1）失真感知训练（distortion-aware training），使模型在训练阶段就接触各种编解码失真；2）注意力机制池化（attention-based pooling mechanism），用于提升水印嵌入的鲁棒性；3）推理时的感知掩码（inference-time perceptual masking）和纠错码（error-correcting code），用于恢复鲁棒训练中损失的水印保真度。实验表明，CRAW 在神经编解码器、降噪器和声码器下达到了当前最优的鲁棒性，同时感知质量与现有事后水印方法相当。代码已开源在 GitHub 上。该研究对音频取证、AI 内容溯源和反欺诈领域具有直接价值，适合音频安全研究者、生成式 AI 平台运维者以及内容完整性验证系统设计者阅读。由于本分析仅基于论文摘要，相关结论需进一步结合全文和技术实现验证。

本文提出了一种针对音频水印的自适应攻击方法（AWM），旨在绕过现有的水印检测防御策略。研究发现，水印解码器的消息概率遵循正态分布，这一特性被现有防御方法利用来检测攻击行为。AWM 采用两阶段优化：第一阶段确保攻击成功，第二阶段提升音频质量。为了规避检测，该方法从目标音频的有限样本中估计正态分布参数，然后自适应地将解码概率调整回估计的正常范围内。在三个语音数据集上对两种水印方法进行测试，AWM 在实现高攻击成功率的同时，能够绕过最先进的检测器：替换和创建攻击的检测率低于10%，移除攻击的检测率为0%。

本文提出一种特征对齐的语音水印方法，旨在提高水印对语音重建模型（如现有或未知的编解码器）的鲁棒性。传统音频水印在保真度与鲁棒性之间存在权衡：增加水印能量可提升鲁棒性，但会降低不可感知性。作者利用预训练语音编解码器生成伪语音水印，使其分布与原始语音特征对齐，从而允许嵌入更高能量的水印而不影响感知质量。具体地，将伪水印融合到输入音频的语谱图中，并通过VAD损失和感知损失引导水印仅嵌入在有声区域。实验表明，该方法在保持与现有技术相当不可感知性的同时，在已知和未知语音重建模型下均显著提升了鲁棒性。该研究适用于对抗深度伪造语音溯源、版权保护等场景。

随着AI生成音频的普及，水印技术被广泛用于检测滥用和保护知识产权。然而，攻击者可能试图移除这些水印，因此评估水印方案对移除攻击的鲁棒性至关重要。现有攻击方法往往不切实际：要么明显降低感知质量，要么需要访问水印方案的具体细节。本文提出DiffErase，一种黑盒水印移除攻击方法，它假设攻击者不了解目标水印方案，同时保持感知质量。DiffErase将带水印的音频扰动到中间扩散噪声水平，然后使用预训练的降噪模型重新生成，从而有效抑制水印信号。理论分析和大量实验表明，不可听的音频水印非常脆弱：在多个音频域中，DiffErase在保持感知质量的同时持续移除水印。这些发现突显了未来音频水印设计需要考虑基于扩散模型的威胁。代码和演示可在 https://differase.github.io/DiffErase/ 获取。