AUTEUR: оценка безопасности генерации звука по акустическому результату, а не только по тексту

Текстовый фильтр генератора звука проверяет описание, но пользователь слышит результат синтеза. AUTEUR исследует этот разрыв на четырёх системах: принятая текстовая заявка ещё не доказывает безопасность получившейся волны. Работа полезна для проектирования испытаний защиты, поскольку отдельно считает прохождение текстовой проверки и фактическое нежелательное акустическое содержание.

Метод. На высоком уровне система учит генератор структурированных описаний и использует обратную связь от звукового оценщика, проверяя неизменяемые целевые системы. Для финальной оценки выбранного звука применяется другой аудиоязыковой оценщик, не участвующий в поиске. Успех требует согласия обоих оценщиков о содержании результата; отказ платформы считается неуспехом. Проверяются десятисекундные звуки и несколько тематических классов из TTA-Bench. Здесь ASR означает attack success rate, долю успешных испытаний, а не автоматическое распознавание речи.

Результаты. По авторскому протоколу доля успешных испытаний составляет 71,9% для AudioLDM, 79,4% для TangoFlux, 95,6% для Kling и 73,8% для ElevenLabs. Для двух открытых моделей сводный результат 75,6% против 64,7% у FLIRT. Эти значения описывают специально отобранный тест и заданный бюджет поиска, не частоту нарушений при обычном использовании сервиса. Различие показателей принятого текста и оценённого аудио сохраняется даже у одной модели и одного метода.

Ограничения. Финальный оценщик независим от поискового по роли, но оба остаются обученными моделями со своими ошибками и возможными общими смещениями. Автоматический вердикт нельзя приравнивать к человеческой экспертизе опасности. Закрытые сервисы и фильтры могут изменяться; цифры являются снимком эксперимента, а не стабильным свойством продукта. Некоторые ориентиры перенесены из генерации изображений. Обзор рассматривает устройство проверки безопасности и не воспроизводит инструкции обхода, вредные описания или процедуры их практической оптимизации.

Фишка из статьи. В таблице 1 у AudioLDM FLIRT и AUTEUR имеют одинаковую долю прохождения текстового этапа, но разные результаты по звуку. Поэтому успех текстового фильтра и успешность всей защитной системы не взаимозаменяемы.

Как это читать: для защитного аудита нужно проверять обе границы: что прошло через входной фильтр и что реально синтезировано. Число PSR не является долей безопасных звуков, а ASR не описывает качество речи. Чтобы делать вывод о риске для пользователей, дополнительно нужны человеческая проверка, неопределённость оценок и репрезентативная частота обычных запросов.

Источник. Оригинальное название: AUTEUR: Acoustic Plan Learning for Red-Teaming Text-to-Audio Models. arXiv:2611.09351; полный текст PDF.