本文提出了一种针对音频水印的自适应攻击方法（AWM），旨在绕过现有的水印检测防御策略。研究发现，水印解码器的消息概率遵循正态分布，这一特性被现有防御方法利用来检测攻击行为。AWM 采用两阶段优化：第一阶段确保攻击成功，第二阶段提升音频质量。为了规避检测，该方法从目标音频的有限样本中估计正态分布参数，然后自适应地将解码概率调整回估计的正常范围内。在三个语音数据集上对两种水印方法进行测试，AWM 在实现高攻击成功率的同时，能够绕过最先进的检测器：替换和创建攻击的检测率低于10%，移除攻击的检测率为0%。

本文提出一种特征对齐的语音水印方法，旨在提高水印对语音重建模型（如现有或未知的编解码器）的鲁棒性。传统音频水印在保真度与鲁棒性之间存在权衡：增加水印能量可提升鲁棒性，但会降低不可感知性。作者利用预训练语音编解码器生成伪语音水印，使其分布与原始语音特征对齐，从而允许嵌入更高能量的水印而不影响感知质量。具体地，将伪水印融合到输入音频的语谱图中，并通过VAD损失和感知损失引导水印仅嵌入在有声区域。实验表明，该方法在保持与现有技术相当不可感知性的同时，在已知和未知语音重建模型下均显著提升了鲁棒性。该研究适用于对抗深度伪造语音溯源、版权保护等场景。

随着AI生成音频的普及，水印技术被广泛用于检测滥用和保护知识产权。然而，攻击者可能试图移除这些水印，因此评估水印方案对移除攻击的鲁棒性至关重要。现有攻击方法往往不切实际：要么明显降低感知质量，要么需要访问水印方案的具体细节。本文提出DiffErase，一种黑盒水印移除攻击方法，它假设攻击者不了解目标水印方案，同时保持感知质量。DiffErase将带水印的音频扰动到中间扩散噪声水平，然后使用预训练的降噪模型重新生成，从而有效抑制水印信号。理论分析和大量实验表明，不可听的音频水印非常脆弱：在多个音频域中，DiffErase在保持感知质量的同时持续移除水印。这些发现突显了未来音频水印设计需要考虑基于扩散模型的威胁。代码和演示可在 https://differase.github.io/DiffErase/ 获取。