Почему несколько персонализированных копий аудио нарушают отслеживание водяных знаков
Водяной знак может переживать обычное сжатие и при этом плохо защищать от совместного использования нескольких маркированных копий одной записи. Авторы проверяют именно персональную атрибуцию: может ли получатель смешать свидетельства разных владельцев так, чтобы декодировался чужой идентификатор? Для защиты важен вывод, что наличие читаемой метки ещё не означает надёжного установления источника.
Метод. Проверяются AudioSeal, WavMark, Timbre, VoiceMark и WMCodec с полезной нагрузкой 10 или 16 бит. В наборе 300 десятисекундных записей от ста говорящих, поровну из AISHELL-3 и LibriSpeech. Используются только копии, в которых исходный идентификатор сначала читается правильно. Оцениваются отказы атрибуции и направленные ошибочные назначения, а отдельно защитная проверка уверенности. Речь идёт о нескольких копиях одного содержимого, не о произвольном объединении разных фраз. В статье показана и более сильная угроза при знании персональных идентификаторов.
Результаты. Для двух копий доля неудач отслеживания достигает 87,7–99,7% в зависимости от системы. PESQ находится в пределах 4,20–4,60, STOI 0,983–0,999; эталоном здесь служит первая маркированная копия, а не немаркированный оригинал. У Timbre декодер при восьми участниках полностью соответствует ожидаемому побитовому большинству, но доля отказов атрибуции остаётся 92%. Поэтому устойчивое извлечение битов может воспроизводить саму причину ошибочного назначения.
Ограничения. Неудача точного совпадения с участником не всегда равна обвинению реально существующего непричастного пользователя: это зависит от реестра идентификаторов и обработки неизвестной комбинации. Объективные показатели не заменяют слушательской проверки. Защита по уверенности проверена против фиксированного семейства воздействий, не против адаптивного противника, осведомлённого о новом пороге. Короткие записи и пять реализаций не устанавливают общую невозможность персональных водяных знаков.
Фишка из статьи. Защитный опыт в таблице 4 использует пятикратное разделение по говорящим. Порог выбирают на калибровочной части, сохраняя 95% обычных одиночных копий. Он не восстанавливает потерянный идентификатор, а позволяет отказаться от подозрительного ответа.
| Система | Обычные копии приняты, % | Смешанные копии отклонены, % | Направленное ошибочное назначение: до / после, % |
|---|---|---|---|
| AudioSeal | 94,7 | 100,0 | 43,6 / 2,4 |
| WavMark | 94,7 | 100,0 | 54,4 / 4,4 |
| Timbre | 95,0 | 100,0 | 92,3 / 0,0 |
| VoiceMark | 94,3 | 77,7 | 0,6 / 0,3 |
| WMCodec | 95,0 | 88,0 | 1,3 / 0,7 |
Как это читать: отказ от атрибуции может быть правильным защитным действием, даже если детектор присутствия метки уверен. Но у такого решения есть цена: около 5% обычных копий также не проходят порог. Нужны раздельные показатели обнаружения, целостности полезной нагрузки и ложной персональной атрибуции; одна битовая точность не покрывает модель угроз.
Источник. Оригинальное название: Averaging Collusion Breaks Traceability in Personalized Neural Audio Watermarking. arXiv:2611.04400; полный текст PDF.