跳到正文
原文
Hugging Face Daily Papers· arXiv:2610.05870·本站收录· 原文发表精选关注度53

MBZUAI 提出可校准的真实图像认证方法，20 个深伪检测器在对抗扰动下全部跌破 2% 准确率

Certification of Real Images through Calibrated Content Authentication

论文速读

防御

据论文 PDF 整理（Gemini 生成），以原文为准

研究者提出基于生成器反演保真度与阈值校准的真实图像认证方法，在1% FPR下能防御 ϵ=8/255 的PGD扰动。

威胁模型攻击者知晓检测方法、生成器集合与校准阈值，从生成器采样有限候选（如100个）并施加 ℓ∞ 范数下 ϵ=8/255 的对抗扰动；防御者掌握开源生成器与反演方法，在未知攻击样本与提示词下，通过在生成样本及攻击样本上校准阈值控制 FPR ≤ 1%。

问题
深度伪造检测器随生成器演化准确率下降且在对抗扰动下易发生分类翻转。更关键的是，生成模型重现真实内容的能力导致内容本身存在来源二义性，错误判断会加剧“说谎者的红利”。
方法
作者提出基于反演保真度的健全认证框架：使用已知生成器反演样本并计算A-index，若能被任一生成器重现则弃权并提供重构证据，仅在所有生成器均无法重现且超过校准阈值时认证为真实。
实验与结果
在20个基线检测器受 ϵ=8/255 扰动准确率均跌破2%时，校准的安全与防御阈值在1% FPR下保持有效；但随生成器能力提升，3000张Reddit图片中可认证比例从37.2%降至至多2.63%。
局限与可以继续做的
单图单生成器认证耗时11.67秒，不适用于实时筛选；仅能覆盖白盒开源模型，无法覆盖黑盒或私有微调；防御阈值仅限已知攻击类别，无法覆盖不可枚举的组合编辑；视频实验未建模时序动态。
实验设置De-Factify 4、Reddit 等 · Accuracy、TPR 等
基准
De-Factify 4RedditDeepfake-Eval-2024
指标
AccuracyTPRFPRAttack success rateA-indexAUCOverlap
AI 导读和推荐理由MBZUAI 团队提出一种基于重建保真度的可校准认证方法，只在没有任何已知生成器能忠实重建样本时才将其认证为真实，否则弃权并给出重建证据。研究评估了 20 个深伪检测器对 10 个生成器的表现，最佳准确率从 2022 年生成器上的 99.5% 降至 2026 年生成器上的 76%；在 ϵ=8/255 的 ℓ∞ 有界扰动下，20 个检测器全部跌破 2% 准确率，最强的 D3 也只剩 1.75%。该方法在 1% 误报率下校准安全阈值与更严格的安全（security）阈值，SD3 Medium 的阈值从 0.0365 提升到 0.038 后仍保持该上界；best-of-100 攻击加 PGD 只把候选分数从 0.0148 提到 0.0154，24 种语义变换中 23 种低于安全阈值。

MBZUAI 团队提出一种基于重建保真度的可校准认证方法，只在没有任何已知生成器能忠实重建样本时才将其认证为真实，否则弃权并给出重建证据。研究评估了 20 个深伪检测器对 10 个生成器的表现，最佳准确率从 2022 年生成器上的 99.5% 降至 2026 年生成器上的 76%；在 ϵ=8/255 的 ℓ∞ 有界扰动下，20 个检测器全部跌破 2% 准确率，最强的 D3 也只剩 1.75%。该方法在 1% 误报率下校准安全阈值与更严格的安全（security）阈值，SD3 Medium 的阈值从 0.0365 提升到 0.038 后仍保持该上界；best-of-100 攻击加 PGD 只把候选分数从 0.0148 提到 0.0154，24 种语义变换中 23 种低于安全阈值。

推荐理由论文给出可复现的校准流程与开源代码，并量化了生成器迭代对事后可验证内容的侵蚀速度。

深度解读

6个问题，点开问题读完整回答

  1. 这篇论文试图解决什么问题？

    针对生成器演进导致检测准确率下降及对抗脆弱性，论文提出通过反演保真度与阈值校准对真实内容进行健全认证。

    深度伪造检测器在生成模型演进下准确率持续衰减且在对抗微扰下普遍失效，同时生成模型重现真实内容的能力导致内容本身存在来源二义性，难以做出不偏向假阳性的真伪判别。

    • 检测环境与误差不对称性：生成模型被用于在社交平台扩散伪造多媒体，而事后验证面临不对称误差成本。作者认为给出不可信的预测比选择弃权后果更严重，误判真实内容会强化“说谎者的红利”（liar's dividend）。
    • 现有被动检测的局限：作者评估过去四年发布的 20 个检测器，在 10 个生成器上的最佳准确率从 99.5% 下降到 76%（Figure 1）。在 ℓ∞ 扰动（ϵ = 8/255）下全部 20 个检测器准确率均低于 2%（Table I），且在 1% FPR 部署约束下基线对真实图像的召回率接近于零。
    • 核心观察与认证视角：作者指出生成模型因记忆等特性能够重现真实内容，因此单凭内容无法判定真实来源。但生成模型对其自身生成内容的重构保真度通常高于真实图像（Figure 4），若已知生成器能保真重构样本，其真实性便具备合理可抵赖性（plausible deniability）。
    • 论文提出的解决方案：作者提出基于重合成的健全检测框架（sound detection via resynthesis），不再输出二分类标签，而是在所有已知生成器均无法保真重现样本时出具真实性证书；若任一生成器能重现则选择弃权并附带重构证据。
    • 威胁模型：
      • 攻击者目标：促使系统将其生成的虚假内容判定并认证为真实内容，从而提高防御系统的假阳性率（FPR）。
      • 攻击者知识与能力：知晓检测机制、生成器集合与校准阈值（自适应白盒设定）；受限于计算资源无法微调生成器，但能采样有限数量候选（如 100 张）并施加 ℓ∞ 范数下 ϵ = 8/255 的不可感知扰动。
      • 防御者能力：掌握开源生成器集合及其反演算法，拥有生成器白盒访问权；在未知晓攻击样本与提示词的前提下，于部署前在生成样本与被攻击样本上离线校准决策阈值以控制 FPR ≤ 1%。
      • 受害系统：需要对高传播量或被举报多媒体进行真伪核查的内容平台、新闻机构或司法证据采信方。

  2. 有哪些相关研究？

    论文讨论了主动水印与元数据、被动特征与重构检测器、视频时序检测以及扩散反演技术，并明确了本文与基线的区别。
    • 主动内容溯源（Active Content Provenance）：
      • 水印与元数据机制：包括在隐空间解码器或初始噪声中嵌入水印（如 SynthID、Tree-ring、Gaussian shading）以及基于 C2PA 的数字签名元数据。作者指出此类方法需平台主动配合，且水印容易通过开源模型微调被剥离，元数据易被常规传播操作清除，无法防御开源或不配合的生成器。
    • 被动深度伪造检测（Passive Deepfake Detection）：
      • 伪影与特征分类方法：包括基于频域或局部像素伪影的检测器（如 FreqNet、NPR、FerretNet），以及在视觉基础模型上训练分类头的检测器（如 UFD、FatFormer、C2PClip、OmniAID、SICA、D3）。作者指出这些二分类检测器输出未校准的分数，面对未见生成器时分布重叠，且在对抗微扰下准确率大幅跌落。
      • 基于重构误差的检测方法：包括 AEROBLADE、DIRE、FIRE 等利用自编码器或扩散模型重构误差的方法。作者指出这些方法将重构误差硬性划分为真伪二分类，而本文将反演保真度校准为具备错误率界限的单边认证证书，无法确信时选择弃权。
    • 视频深度伪造检测（Video Deepfake Detection）：
      • 时序特征建模方法：如 FTCN 剥离空间信息专注时序不一致性、GenConViT 融合卷积与 Transformer 特征、StyleFlow 追踪面部隐变量变化。作者指出此类模型在野外视频基准 Deepfake-Eval-2024 上泛化表现受限，AUC 均未超过 0.615。
    • 对比基线与数据集：
      • 基线方法：图像检测器涵盖 UFD、FreqNet、NPR、FatFormer、AEROBLADE、C2PClip、D3、FIRE、DDA、FerretNet、WaRPAD、APM、OmniAID、PGC、PROBE、DEAR、DGS-Net、SICA、IAPL、ForensicConcept 共 20 个；视频检测器包含 GenConViT、FTCN、StyleFlow。
      • 评测数据集：De-Factify 4、抓取的 Reddit 图像集以及 Deepfake-Eval-2024。
    • 本文与既有工作的定位区别：作者强调现有检测器尝试对所有输入强制划分真伪但在新型生成器与对抗攻击下失效；本文转向健全认证（sound certification），仅在所有已知生成器均无法保真重构时出具证书并控制 1% FPR，引入新生成器时仅需重新校准而无需重新训练。

  3. 论文如何解决这个问题？

    论文通过整流流动反演计算四维融合真实性指数，并依据生成样本及攻击样本离线校准安全与防御双阈值进行认证或弃权。

    作者提出了基于校准重合成的健全认证方法（Calibrated Resynthesis），通过反演检验已知生成模型是否能保真重现查询样本，据此判定真实性是否具备合理可抵赖性。

    决策规则与认证流程

    • 反演与重构比对：对输入样本 x，利用已知生成器集合 G 中的各生成器 G 执行反演并重构得到 x̃G，使用图像的文本描述（实验中使用 COCO 标注，部署时可采用 BLIP-2 生成）作为条件提示词。
    • 多生成器联合判定：计算样本在每个生成器下的真实性指数 a_G(x)；若存在任一生成器使得 a_G(x) < \tau_G，检测器选择弃权并返回该生成器的重构图像作为证据；当且仅当所有生成器的得分均满足 a_G(x) \geq \tau_G 时，认证 x 相对测试生成器集合为真实。
    • 证书元数据：出具的证书明确标注测试的生成器集合、判决阈值与校准日期，以标明证书的适用范围。

    真实性指数构建

    • 多层次保真度度量：考虑像素、结构、感知与语义四个维度，分别计算 PSNR、SSIM、1-LPIPS 与 CLIP 余弦相似度，形成加权综合相似度得分：

    s(x, x̃) = α1 · PSNR(x, x̃) + α2 · SSIM(x, x̃) + α3 · (1 − LPIPS(x, x̃)) + α4 · CLIP(x, x̃) 该公式将四个互补层面的重构保真度指标进行加权线性组合。

    • 指数归一化：通过尺度参数为 σ 的 Logistic 函数将综合相似度归一化为 [0, 1] 区间内的真实性指数 A-index：

    a(x, x̃) = (exp(−σ · s(x, x̃)))/(1 + exp(−σ · s(x, x̃))) 该公式使得重构越保真的样本获得越低的真实性得分，对应反演失败的样本获得高分。

    • 权重拟合设置：在保留数据集 Dfit 上采用差分进化算法（种群大小 20，变异因子 0.6，交叉概率 0.7，最大迭代 300 次）最小化真实与生成样本分布重叠度，确定参数为 α1 = −0.0181、α2 = 1.380、α3 = −4.058、α4 = 8.066，尺度参数 σ = 0.9。作者指出 1-LPIPS 权重为负反映了生成图像在感知重构上的特殊保真性。

    离线双阈值校准与攻击防御

    • 安全阈值校准：防御者从每个生成器 G 采样生成校准样本，计算 A-index 并取其第 (1−α) 分位数（α = 1%）作为安全阈值 τsafetyG，保证对未受攻击生成样本的错误认证率不超过 1%。
    • 防御阈值校准：为应对知晓算法的自适应攻击者，防御者通过可微反演近似对生成校准样本实施 PGD 梯度上升（ϵ = 8/255），求解最大化得分的最坏情况，并取其第 (1−α) 分位数作为防御阈值 τsecurityG。
    • 免重训适应新模型：新生成器发布时，防御者仅需下载权重并对其生成样本及攻击样本执行单次离线校准，计算复杂度与生成器数量和校准样本量呈线性关系。

  4. 论文做了哪些实验？

    实验显示基线检测器在PGD攻击下准确率跌破2%，而校准阈值保持1% FPR；Reddit图像可认证比例随生成器演进下降超14倍。

    实验设置

    • 被测模型：
      • 基线检测器包括 20 个图像检测器（UFD、FreqNet、NPR、FatFormer、AEROBLADE、C2PClip、D3、FIRE、DDA、FerretNet、WaRPAD、APM、OmniAID、PGC、PROBE、DEAR、DGS-Net、SICA、IAPL、ForensicConcept）与 3 个视频检测器（GenConViT、FTCN、StyleFlow）。
      • 生成模型包括 SD2.1、SD3 Medium、SD3.5 Medium、FLUX.1 Dev、FLUX.1 Dev 结合 Realism LoRA、Boreal FLUX.1、FLUX.2、Boreal FLUX.2、HiDream-O1、GPT Image-2 共 10 个生成器。
    • 数据集与样本量：
      • 阈值校准与零样本测试使用 De-Factify 4 数据集（各 1,000 张真实与生成图像，生成图像涵盖 SD2.1、SDXL、SD3、DALL-E 3、Midjourney 6）；
      • 检测器基准评测针对每个检测器-生成器对使用 100 张真实与 100 张生成图像（种子 42，分辨率 512×512）；
      • 社交媒体真实语料采用从 Reddit 抓取的 3,000 张图像（覆盖 9 类关键词）；
      • 视频基准采用 Deepfake-Eval-2024 中 100 个野外视频（50 真实与 50 伪造）。
    • 硬件与运行时间：硬件环境为单张 NVIDIA RTX 5000 Ada，单个生成器下单张图像的反演与评分耗时 11.67 秒。
    • 评测指标：平衡准确率（Balanced Accuracy）、真阳性率（TPR）、假阳性率（FPR）、攻击成功率（Attack success rate）、有效 AUC、分布重叠度（Overlap）、Cohen's d。
    • 评审与决策协议：基线评测采用原生阈值与 1% FPR 重校准阈值；认证方法要求待测样本在所有受测生成器下的 A-index 均达到或超过对应阈值。

    主结果

    表格较宽，可左右滑动

    模型攻击前准确率(%)攻击后准确率(%)伪造样本攻击成功率(%)真实样本攻击成功率(%)
    OmniAID [63]93.250.00100.0100.0
    D3 [14]83.901.7596.798.8
    SICA [25]82.000.00100.0100.0
    AEROBLADE [31]77.801.50100.096.1
    PROBE [24]76.450.05100.099.9
    UFD [13]48.750.00100.0100.0
    NPR [41]36.950.00100.0100.0

    注：据 Table I。受表格行数限制，表中列出攻击前准确率最高、最低及代表性模型，省略了其余 13 个基线模型（FreqNet、FatFormer、C2PClip、FIRE、DDA、FerretNet、WaRPAD、APM、PGC、DEAR、DGS-Net、IAPL、ForensicConcept，其攻击后准确率均在 0.00% 至 0.75% 之间）。

    • 二分类检测器在对抗微扰下的表现：作者称固定阈值的二分类检测器在微小扰动下普遍发生分类翻转，无法维持决策边界。
    • 不同类别样本的翻转情况：作者报告多数基线在受攻击后将真实与生成样本几乎全部判定为另一类别，导致后验准确率逼近零。
    • 与本文校准阈值的对比：作者称本文基于反演保真度构建的防御阈值在相同扰动预算下保留了对生成样本的拒判能力，未发生分类崩溃。

    中等算力自适应攻击评测

    • 测试设置：评估具备中等算力的自适应攻击者结合候选采样与梯度上升能否逃避检测。攻击者从单一提示词在 SD3 Medium 下采样 100 张候选图像，通过反演选取 A-index 最高的一张，再在 ℓ∞ 范数 ϵ = 8/255 约束下执行 PGD 优化。
    • 测试结果：100 个生成候选中初始最高 A-index 为 0.0148（中位数为 0.013181，Figure 8），经 PGD 优化后为 0.0154，仍处于 SD3 Medium 的安全阈值 0.0365 与防御阈值 0.038 之下；单图反演耗时 11.67 秒，串行评估 100 个候选耗时约 19.5 分钟（第 V-B 节）。
    • 作者解读：作者称该攻击仅弥合了候选样本距安全阈值剩余差距的不到 3%，作者称该结果表明在受限搜索与单提示词下难以逾越校准边界。

    社交媒体语料可认证性侵蚀研究

    • 测试设置：从 Reddit 收集 3,000 张跨 9 类主题的公开网络图像（涵盖摄影、截图、迷因和数字艺术），使用 BLIP-2 生成提示词并在 SD3 Medium 下计算单组反演得分分布，对比 5 个生成器配置所校准安全阈值下的保留样本量（Figure 9、附录 I）。
    • 测试结果：在 SD2.1 阈值（0.015）下有 1,116 张图像（37.2%）高于阈值；而在 2024 年生成器阈值下，FLUX.1 Dev 保留 79 张，SD3.5 Medium 保留 64 张，SD3 Medium 保留 61 张，FLUX.1 Dev 结合 Realism LoRA（阈值 0.038）仅保留 55 张（1.83%），可认证图像数量下降超过 14 倍（Figure 9、第 V-C 节）。
    • 作者解读：作者称随着生成器能力提升，真实图像被重构的难度下降，导致可认证内容的集合持续萎缩，作者称这反映了事后可验证性的侵蚀趋势。

    语义变换与视频模态扩展

    • 测试设置：在 SD3 Medium 上测试 24 种常见图像处理与语义变换对生成样本 A-index 的影响（Table XII）；并在 Deepfake-Eval-2024 的 100 个真实与生成视频上评估 8 帧采样平均得分与 3 个视频基线（Table II、附录 K）。
    • 测试结果：24 种语义变换中有 23 种生成图像得分均低于安全阈值 0.0365，几何变换（如水平翻转 0.0045、20%裁剪 0.0067）因破坏对齐导致得分进一步降低；仅高斯噪声（σ = 25，得分 0.0366）略高于安全阈值但仍低于防御阈值 0.038 且使 SSIM 降至 0.33。视频基线在 100 个视频上 AUC 最高为 GenConViT 的 0.615（FTCN 为 0.483，StyleFlow 为 0.509）。
    • 作者解读：作者称语义变换未能帮助虚假样本越界，强噪声虽推高得分但以画质损毁为代价；视频抽帧平均保留了真实视频得分高于生成视频的排序，但两类分布仍存在重叠。

    其他消融与分析

    • 相似度指标留一消融中，移除 CLIP 使真实与生成得分重叠度从 0.3436 升至 0.5284，移除 SSIM 升至 0.3936，移除 1-LPIPS 升至 0.4035，移除 PSNR 仅升至 0.3476（Table VII）。
    • 单指标独立判别中，CLIP 的有效 AUC 为 0.8546、重叠度为 0.4401；PSNR 的有效 AUC 为 0.6515、重叠度为 0.6942（Table VI）。
    • 学得权重扰动分析中，施加 30% 乘性高斯扰动后分布重叠度从 0.3436 变为 0.3917，有效 AUC 保持在 0.8772（Table X）。
    • 聚合方式对比中，4 参数线性结合 Sigmoid 的有效 AUC 为 0.8852、重叠度为 0.3436；RBF 核 SVM 的 5 折交叉验证有效 AUC 为 0.9125，逻辑回归为 0.8848（Table XI）。
    • 零样本跨生成器测试中，7 个基线在默认阈值下虽识别出 96.2%–99.5% 的真实图像，但对未见生成器样本的识别率仅为 0.1%–5.5%（第 V-A 节）。

  5. 有什么可以进一步探索的点？

    作者指出反演计算开销高、无法覆盖黑盒模型与私有微调、防御阈值仅限已知攻击类别，以及视频未建模时序动态等局限。

    作者指出的局限与后续方向

    • 反演计算延迟较高：在单张 NVIDIA RTX 5000 Ada 上，单个生成器单张图像的反演与评分需耗时 11.67 秒，计算成本随待测生成器数量线性增加，适合事后司法鉴真而非信息流规模的实时筛查（第 VI 节 Limitations、附录 K）。
    • 防御阈值难以覆盖未知攻击类别：防御阈值仅能在校准过的特定攻击类别（如 ℓ∞ 范数扰动）下提供理论界限，若攻击者采用未参与校准的更强优化器或全新攻击范式，可能会超出该阈值，需要防御者重新校准（第 VI 节 Limitations）。
    • 复合与开环编辑的组合爆炸：局部拼接、文字水印、图像重采样及图生图编辑等开环处理方式难以穷举枚举，其组合在参数空间呈组合爆炸，可能引入生成器无法重构的结构并抬高得分，且图像级 A-index 无法对局部篡改区域进行定位（第 VI 节 Limitations）。
    • 无法覆盖不可反演的闭源生成器：该方法依赖于生成器的白盒访问权限以构建反演管道，面对完全闭源、黑盒接口或私有微调的生成模型时无法执行反演，留下了不可避免的覆盖缺口（第 VI 节、附录 L）。
    • 各生成器独立校准的实际开销：阈值与生成器模型绑定，每引入一个新生成器均需重新使用真实与生成数据实施采样与对抗校准，自动化或泛化校准流程仍是开放课题（附录 L）。
    • 视频扩展未建模时序动态：目前的视频扩展仅独立抽样 8 帧并计算算术平均，未分析帧间一致性、光流、运动轨迹或音视频同步，且尚未在生成视频上校准专属视频阈值（第 VI 节 Limitations、附录 K、附录 L）。

    实验覆盖范围

    • 被测模型数量与生成器覆盖：实验测试了 20 个被动图像检测器与 3 个视频检测器；生成器基准覆盖了 2022 年至 2026 年间发布的 10 个模型，反演认证实验测试了 SD2.1、SD3 Medium、SD3.5 Medium、FLUX.1 Dev 以及 FLUX.1 Dev 结合 Realism LoRA 共 5 种整流流动配置（第 V 节、附录 C）。
    • 对抗与变换评估空间：对抗评估采用 ℓ∞ 范数且 ϵ = 8/255 的 PGD 扰动；非对抗鲁棒性测试覆盖了光度、几何、噪声及压缩等 24 种特定变换操作（第 V 节、Table I、Table XII）。
    • 基准数据集规模与类别：阈值校准使用 De-Factify 4 中的 2,000 张图像（1,000 真实与 1,000 生成）；社交网络实证基于 Reddit 的 3,000 张图像（覆盖 9 类关键词）；视频测试基于 Deepfake-Eval-2024 的 100 个视频（50 真实与 50 生成）（第 V 节、附录 I、附录 K）。
    • 反演配置与提示词依赖：反演算法统一采用 RF-Inversion 并固定为 28 步推理步数与 3.5 引导尺度；反演所需的文本提示词采用 COCO 标注或 BLIP-2 自动生成，论文未报告其他提示词生成工具对反演保真度的影响（第 V 节、附录 B）。
    • 音频与跨模态信息排除：视频评测仅使用了画面视觉信息，明确排除了音频信号，未对多模态综合认证进行测试（第 V-D 节、附录 K）。

  6. 总结一下论文的主要内容

    论文提出基于反演保真度与阈值校准的健全认证框架，在对抗扰动下维持错误率界限，并指出真实内容可认证性随生成器演进而萎缩。
    • 研究定位：论文提出了基于生成模型反演保真度与阈值校准的健全内容认证框架（Calibrated Resynthesis），将传统的真伪二分类检测转变为具备量化错误率保证的真实性单边认证与证据化弃权机制。
    • 核心问题：随着生成模型能力增强，传统二分类检测器的准确率随时间推移从 99.5% 衰减至 76% 且极易被对抗微扰攻破；同时生成模型的记忆与重现能力导致内容本身出现来源二义性，难以做出不偏向假阳性的真伪判别。
    • 方法要点：通过已知生成器对输入样本进行反演，融合像素、结构、感知与语义四个维度计算真实性指数 A-index；若任一生成器能保真重构则选择弃权并返回重构图像作为证据，仅在所有已知生成器均重构失败且超过校准阈值时出具真实性证书；同时离线校准面向普通用户的安全阈值与面向 PGD 扰动的防御阈值（均控制 1% FPR）。
    • 核心实验结果：在 ϵ = 8/255 的 PGD 对抗攻击下，20 个基线检测器准确率全部跌破 2%（其中 12 个归零），而校准阈值保持 1% FPR 边界（Table I）；中等算力攻击者进行 100 次候选搜索结合 PGD 优化后的最高得分仅为 0.0154，仍处于安全阈值 0.0365 之下（Figure 8）；在 24 种常见图像变换中有 23 种生成样本得分低于安全阈值（Table XII）。
    • 真实性空间侵蚀发现：在 3,000 张 Reddit 网络图像测试中，2022 年生成器阈值下有 1,116 张图像可被认证，而 2024 年生成器阈值下仅能认证 55 至 79 张，可认证内容集合缩减超过 14 倍（Figure 9）。
    • 作者结论与启示：作者认为依赖内容本身的二分类判别无法解决生成器重现带来的二义性，检测评估应以固定 FPR 下的召回率为准；随着生成模型日益强大，人类事后能够认证为真实的内容空间正在不可逆地缩小，而重合成校准提供了一种追踪此演进过程的度量工具。
阅读原文huggingface.co