ScrambleMark: нарушение обнаружения речевых водяных знаков без удаления самой метки

ScrambleMark исследует разрыв между сохранением водяного знака в сигнале и способностью конкретного детектора его обнаружить. Вместо явного удаления метки изучается изменение представления сигнала, нарушающее привычную структуру обнаружения. Для защитника особенно полезно, что высокий процент обхода сам по себе ничего не говорит о пригодности получившегося звука.

Метод. Авторы обучают генеративное преобразование на LJSpeech и проверяют перенос на семь исследовательских схем маркирования и три коммерческие системы. Основной многоязычный набор содержит 2500 фрагментов, по 500 на пяти языках, с независимыми говорящими. Отсутствие запросов означает отсутствие обращений к целевому детектору при применении, а не отсутствие предварительного обучения, сведений о классе меток или вычислительных затрат. Для коммерческих систем автоматическая проверка ограничена 42 фрагментами на каждую, отдельная слушательская проверка использует новые записи.

Результаты. В исследовательской проверке средняя доля успешного нарушения обнаружения около 97%, STOI около 0,91. В малой автоматической коммерческой проверке средний успех около 98% при сопоставимом STOI. В слушательской проверке ScrambleMark получает средний MOS 4,17 и 96,7% успеха. Это не показатели распознавания речи: обозначение ASR в таблицах статьи означает attack success rate. Статья также показывает слабость ограниченного восстановления известного класса обратных преобразований; такое восстановление не равно произвольной адаптивной защите.

Ограничения. Коммерческие опыты малы: шесть говорящих и конкретный снимок доступных систем, без основания считать будущие версии такими же. Слушательская часть включает 24 студентов в трёх группах по восемь, сравнивающих звук с исходным образцом. Проверены фиксированные пороги и определённые семейства защиты. Перенос на иной язык, длину, музыку или неизвестный детектор не гарантирован. MOS является порядковой субъективной шкалой: деление 4,17 на 1,72 не доказывает «качество в 2,4 раза выше».

Фишка из статьи. Таблица 7 сопоставляет успех и качество на отдельной слушательской выборке: 90 новых фраз, по 30 на коммерческую платформу. Этот опыт нельзя смешивать с автоматической проверкой по 42 записям.

Как это читать: по одному лишь успеху HSJA выглядит сильнее ScrambleMark, но слушатели оценивают его звук намного хуже. Отсюда практическое требование к защитной проверке: одновременно учитывать обнаружение, разборчивость, субъективную естественность и восстановимость метки. Низкий ответ одного детектора не устанавливает физического уничтожения встроенных данных или невозможности другого способа проверки.

Источник. Оригинальное название: ScrambleMark: Zero-Query Watermark-Agnostic Black-Box Evasion of Modern Speech Watermarking. arXiv:2611.04122; полный текст PDF.