SPARED：用对抗编辑数据训练基于推理的 AI 生成图像检测器

部署中的检测器要同时给出 real/fake 判决和自然语言理由，并在生成器持续变化时泛化；作者认为现有训练数据会把模型带向三类捷径。

• 场景： 输入可以是真实相机照片、完全生成图或局部编辑图，输出判决以及哪些区域或线索看起来像合成。作者给出三点：审核必须说明标记理由，错标真实照片本身会制造错误信息；生成器在增加，实用价值取决于超出固定伪造分布的泛化；公开检测器会受到 white-box 与 black-box 规避，部署后不能继续变强就会过时。
• 三代不足： 传统信号、频率、像素检测器依赖上采样指纹、频谱痕迹或邻域不规则。作者称分布内可用，痕迹一变泛化受阻；FLUX 与 Stable Diffusion 3.5 进一步拓宽合成流程。第二类在独立采集的真假图上微调大模型，会抓住分辨率、JPEG 或语义内容差。第三类在固定解释语料上做监督微调，作者称容易得到模板化、因果上浅的理由，决策边界也静止。ForeAgent 只改写同一固定数据上的推理，作者称没有外部对手制造新难例。
• 假设： 对抗环里能被捷径满足的通道都会被用掉。作者认为只有三条通道都防捷径，升级才来自能力：解释不能脱离判决得分；不编辑不能靠骗过检测器得分；每张假图必须与自己的真实源图配对。
• 提出的方法： SPARED（Shortcut-Proof Adversarial Reasoning over Edited Data）让扩散编辑器把真实照片改成同源伪造图，推理多模态大模型用自由形式推理加明确判决来指出它们。双方交替，每轮攻击器针对当前检测器盲点重做训练池。解释从不单独奖励；作者称只奖励准确率时，解释质量仍逐轮上升。
• 威胁模型：
  • 目标： 检测器对单张图像给出 real/fake，并说明合成线索。训练环内的攻击器要编辑出能骗过当前冻结检测器的配对伪造图。
  • 知识： 攻击器每轮面对上一检测器的冻结快照，并查询该快照得到欺骗奖励。论文把部署动机写成 white-box 与 black-box 规避，但没有把这两种规避写成实验协议。
  • 能力： 攻击器拿到真实源图和编辑指令，编辑出该图的合成对应物，而不是从零生成。检测器只读图像。二者不共享参数和训练目标，只交换数据与奖励。
  • 被测系统： 被训练并报告的是 Qwen3.5-9B 推理检测器。评测图来自外部基准，含商业编辑器产物、经真实感筛选的生成图，以及十个训练未见生成器家族的完全合成图。

传统痕迹检测

• 频率与像素线索： Frank et al.（2020）、Wang et al.（2020）、Tan et al.（2023）分别从频率、CNN 生成图和上采样操作做检测。作者称它们抓的是特定架构留下的指纹，分布内可用，指纹变化后泛化受阻。
• 跨生成器频谱： Karageorgiou et al.（2025）用频谱学习做任意分辨率的生成图检测。作者引用它来说明频谱痕迹在生成模型之间差异大。
• 新合成流程： 作者把 FLUX 与 Stable Diffusion 3.5 列为这些检测器还要覆盖的近期生成器，没有在正文里把它们当作已跑过的基线。

微调大模型与数据偏差

• 通用假图检测： Ojha, Li, and Lee（2023）等 CLIP 路线，以及在有标签真假数据上微调多模态大模型，用来抓住语义残留，而不只是像素模式。
• 去偏与 sanity check： Guillaro et al.（2025）、Rajan et al.（2025）、Chen et al.（2025）做去偏或对齐数据；Yan et al.（2024）做 sanity check。作者批评的是独立采集而非配对时，检测器会学数据集风格差，在语义对齐的测试集上准确率下降。
• 世界知识线索： Tan et al.（2025）、Kim et al.（2026）被引言用来说明几何、物体计数和常识违规需要世界知识，而不只是像素匹配。

推理式检测与静态自进化

• 解释式检测器： Zhou et al.（2025）、Huang et al.（2025b）、Li et al.（2025）、Ji et al.（2026）、Huang et al.（2025c）把检测写成多模态大模型推理，以继承世界知识并给出解释。作者批评固定解释语料上的监督微调倾向模板化、因果上浅的理由。
• ForeAgent： Wu et al.（2026）在同一固定数据上修改自己的推理轨迹。作者称它没有外部对手制造新难例，因此继承静态语料的上限。
• 评测形态： Kuckreja et al.（2026）的 MLLM-as-a-judge 基准被作者当作 judge-style 检测的例子，而不是被批评的方法。

攻防训练环与统一骨干

• 自博弈与反退化： 语言模型安全与推理中的 SecTOW（Dai et al. 2025）、MAGIC（Wen et al. 2026）、Liu et al.（2025）、R-Zero（Huang et al. 2025a），以及人脸伪造中按当前检测器调整合成的 Chen et al.（2022）、Lin et al.（2024）、Chou et al.（2026）。作者称这类文献也记录了只奖励获胜会滑向退化攻击。
• 同骨干耦合： UniGenDet（Zhang et al. 2026）把生成与检测耦在一个骨干里；GenShield（Xu et al. 2026）把校正与检测耦在一个骨干里。作者用它们对照本文不共享参数的异构设置。MAGIC 被用来支持参数解耦可以避开共享参数自博弈的梯度冲突。

基线方法按基准选取，三个表共同出现的是 UniGenDet 与各 SPARED 阶段。DeepfakeJudge-Detect 对照开源、闭源、推理和专用模型（含 SIDA、Qwen2.5-VL-Gen-Buster++）；AnomReason-Deepfake 另含 AnomReasonor；Holmes-Set 比较中出现 GenShield（论文称无公开版本）。基准为 DeepfakeJudge-Detect、AnomReason-Deepfake、Holmes-Set。

作者把本文定位为视觉伪造检测里的攻防强化学习环：对手是生成式图像编辑器，而不是固定伪造操作上的策略；用编辑真实图得到语义对齐的假图，在训练数据层面关闭数据集偏差捷径，而不是事后对齐。

SPARED 把训练写成两个不共享参数的模型交替：推理防御器 πD 与图像编辑攻击器 πA。作者的原则是，对抗环中能被捷径满足的通道一定会被利用，所以连接双方的三条通道都要防捷径。

问题设定与交替日程

• 角色： πD 把图像映射到判决和解释；πA 把真实照片和编辑指令映射到该照片的合成对应图。第 t 轮用冻结的 πD 快照训练 πA，再生难负例池，下一轮在该池上训练 πD。
• 为何交替： 作者写明攻击器需要一轮强化学习内的裁判保持静止，防御器需要池在一轮内不移动，因此不联合优化。
• 五轮： 从合并进全模型的 LoRA-SFT 出发。Iter1 在基座编辑模型编辑的池上做防御器 GRPO；A1、A2 针对前一检测器的冻结快照训练攻击器；Iter2、Iter3 从前一检测器检查点继续 GRPO，池由新训练的攻击器重生成。作者把 Iter3 作为全文报告的 SPARED。

推理防御器

• 骨干与格式： Qwen3.5-9B。响应含开放的 reasoning 跨度，再接 answer，取值为 real 或 fake。先在 DeepfakeJudge 随发布的 judge-training 语料上做 LoRA（与评测划分不相交），教标签格式和基本痕迹词汇，再合并适配器，继续全参数 GRPO。语料规模、G 的具体值和优化超参数在 technical appendix，正文未给出。
• 只奖励判决： 对每张带真值标签的训练图采样一组响应。奖励定义为 r_D(x,y)=1[ŷ=y]，即预测标签等于真值才得分；无法解析或标签错误不得分。GRPO 在组内归一化该奖励，没有格式、长度或推理内容的单独项。
• 设计理由： 作者称，若目标是复述固定解释文本，模型可以靠模仿措辞得分，而不必找到因果证据。推理只因导向正确判决才被保留。

PaCo 门控的扩散攻击器

• 模型： Qwen-Image-Edit-2511 上的 LoRA，用 DiffusionNFT 在线训练。源图和指令来自 ImgEdit、pico-banana-400k、MagicBrush 混合的单轮编辑语料。每张编辑图与自己的源图组成 (源图, real) 与 (编辑图, fake)。
• 两个冻结裁判： 指令跟随分 r_PaCo 取值在 0 到 1；当前检测器快照对成对图像给出反向检测奖励 r_det。检测器把整对都判对时攻击器不得分；源图被判错也算攻击成功。作者写明这样会把再生池同时推向检测器的 real 侧错误和 fake 侧错误。
• 门控： r_A=r_det（当 r_PaCo≥ 0.7），否则 r_A=0。作者的理由是：只奖励骗过检测器时，几乎不编辑或推离合理照片流形都能得分，却产生不了有意义的难负例。检测器每轮更新后，同时满足忠实编辑和对抗当前边界的区域会移动。

数据构建

• 固定源与去泄漏： 源集合从上述语料随机采样一次、去重，并用感知哈希对照后续所有评测基准筛查，使训练源不进入报告结果。每轮用当前攻击器重编辑同一源集合。筛选规则和阈值在 technical appendix。
• 第三条通道： 作者称真假分离若靠采集来源而不是编辑痕迹，这是组池方式的捷径，必须在数据构建时关闭：每张假图都来自也作为该对 real 标签出现的真实图。
• 作者对闭环的说法： 三条通道关闭后，数据变难只可能因为攻击器真的变强，防御器变强只可能因为打败专门用来打败它的数据。

实验设置

• 检测器阶段： Qwen3.5-9B 基座、LoRA-SFT、Iter1、Iter2、Iter3。攻击器为 Qwen-Image-Edit-2511 LoRA，不单独作为检测分数行。
• 基准： DeepfakeJudge-Detect 的假图含文生图和局部编辑，来自 Nano-Banana、SeedDream、Flux-Kontext、Qwen-Edit。AnomReason-Deepfake 使用 Midjourney、SD3.5、FLUX，并经真实感筛选。Holmes-Set 是十个生成器家族的完全合成图。后两个作者称为完全零样本；前者只有 SFT 使用该套件指定训练语料。正文未给样本量。
• 指标与判定： DeepfakeJudge 上 Real/Fake Acc 为各类召回，Overall F1 为 real 与 fake F1 的宏平均；无法解析的答案计为错误。AnomReason 的 Acc 为二分类准确率，CSemAP 分现象、推理和完整匹配。Holmes-Set 报告准确率与 AP。正文未写 CSemAP 的打分模型，也未报告重复次数。
• 对照范围： 各表基线池按基准选取。UniGenDet 与各 SPARED 阶段在三个基准都出现。GenShield 无公开版本，只出现在 Holmes-Set 比较中。训练配置在 technical appendix。
• 消融起点： Table 3 各变体都从同一 Iter1 出发。域内混合为 FakeClue 加 Holmes-Set 训练集。

主结果

据 Table 1（DeepfakeJudge-Detect）。只能列 8 行，故保留 Overall Acc 最低的模型、专用检测器中的极端行、本文阶段和作者点名的大模型。

表格较宽，可左右滑动

模型	Overall Acc	Overall F1	Real Acc	Fake Acc
InternVL3.5-1B-HF	47.8	37.2	47.8	47.8
UniGenDet	50.0	33.3	0.0	99.9
Qwen3.5-9B	65.4	70.4	65.7	65.0
Qwen3.5-9B-LoRA-SFT	69.6	69.2	57.1	82.0
Qwen3.5-9B-Iter3	79.5	79.3	70.2	88.8
Qwen3-VL-235B	74.5	73.5	93.5	55.4
Qwen3-VL-30B-Thinking	77.5	69.5	67.4	87.6
Qwen3-VL-235B-Thinking	82.7	78.2	75.0	90.3

省略 Table 1 其余行，包括 Overall Acc 同为 47.8 的 SIDA-13B-Description，以及 Iter1（72.1/71.8）、Iter2（76.0/75.8）。

• 作者称从 SFT 到 Iter3，Overall Acc 为 69.6、72.1、76.0、79.5，Real Acc 从 57.1 到 70.2，Fake Acc 从 82.0 到 88.8，两侧一起上升。表中 Overall Acc 高于 Iter3 的只有 Qwen3-VL-235B-Thinking；作者称其参数规模为 9B 的 26 倍。据 Table 1，两侧召回都高于 70 的也只有这两行。
• 作者称 Gemini-2.5-Flash 与 ChatGPT-4o-mini 几乎无条件答 real（Real Acc 96.6 与 95.8，Fake Acc 34.5 与 22.7）；UniGenDet 几乎总答 fake。作者称同一分类头在 Holmes-Set 补充材料中达到 99.2，因此这里的 0.0/99.9 衡量的是分布偏移。
• 作者称文生图子集对基座已近饱和（95.3，训练后 98.3）；收益集中在局部编辑子集，准确率从 44.8 升至 82.5（Figure 3c）。正文未写明 44.8 与 82.5 各对应哪一阶段。图注称 SFT 用准确率换推理格式；Table 1 上 Overall Acc 从基座 65.4 升到 SFT 的 69.6，但 Real Acc 从 65.7 降到 57.1，Overall F1 从 70.4 降到 69.2。

解释质量（Table 2）

• 测了什么： AnomReason-Deepfake 上的零样本二分类和 CSemAP。Iter3 的 Acc 为 92.18，CSemAP-Full 为 0.5207。同表 GPT-4o 的 Acc 为 87.76，UniGenDet 为 88.59 / 0.4234，在该基准训练数据上微调的 AnomReasonor-7B 为 82.61 / 0.3613。作者称 CSemAP-Full 相对最强基线 0.4234 提高 23%，并称 Acc 高出 UniGenDet 3.6 个点、高出 AnomReasonor 9.6 个点。
• SFT 与后续轮： Acc 从基座 84.05 降到 SFT 的 77.83，CSemAP-Full 从 0.3063 升到 0.4792。此后奖励不给解释打分，两项同时上升：Iter1 为 85.72 / 0.4927，Iter2 为 87.58 / 0.5103，Iter3 为 92.18 / 0.5207。作者认为这符合“解释只能经由判决被强化”的预测。

未见生成器与回落

• Holmes-Set： 训练只用局部编辑照片。平均准确率从基座 53.0、SFT 65.7、Iter1 84.5 到 Iter3 的 92.8，无该域数据。作者称距 AIGI-Holmes 的 95.6 为 2.8 个点。图注称每一对抗轮扩大准确率多边形，最终一轮每个家族的 AP 高于 92。除下文 Janus 与均值外，分家族数字在补充材料，正文未列出。
• 域内数据： Iter3 加上 FakeClue 与该基准训练集后，平均准确率 97.2、平均 AP 99.9。作者称 99.9 是该表最高平均 AP，并称这缩短了与 GenShield（98.8）和 UniGenDet（99.2）的距离。同一混合只给 SFT 时为 89.5，低于零样本 Iter3。作者称域内数据与对抗轮是叠加，不是替代。作者还称该任务接近饱和，五个检测器高于 95。
• Janus： 准确率从 Iter2 的 86.5 降到 Iter3 的 73.1；作者称其余家族准确率上升，均值从 90.2 升到 92.8。加入域内数据后 Janus 回到 84.3。作者的解释是硬 0/1 欺骗奖励没有分家族难度控制。

消融（Table 3）

均从 Iter1（DeepfakeJudge Acc/F1 72.1/71.8，AnomReason Acc/CSemAP 85.72/0.4927）出发。

• 静态池与新源： 在冻结的第一轮池上继续 GRPO（4.7× 预算）为 74.3/74.3 与 88.00/0.4998。作者称这只拿到对抗支路在主基准上所增 7.4 点中的 2.2 点；静态轨迹先升后降，real 召回从 60 多降到 40 多。用冻结基座编辑器重采新源（7.1×）峰值为 73.7/73.6 与 86.84/0.4990，之后在主基准上低于该峰值振荡。
• 去掉 PaCo 门： 一轮后为 66.7/63.8 与 81.12/0.4991，低于起点 72.1 与 85.72。作者称指令忠实检查少通过 9.6 个点，编辑幅度中位数缩小 27%，却略多骗过冻结检测器；该池训出的防御器 real 召回 38.2、fake 召回 95.1。
• 拆开配对： 假图不变、real 换成分离来源，得到 73.2/73.0 与 85.18/0.5005。作者称主基准上该轮增加 1.1 点，配对的 Iter2 增加 3.9 点；AnomReason 的 85.18 低于 Iter1 的 85.72，而 Iter2 为 87.58。完整日程到 Iter3 为 79.5/79.3 与 92.18/0.5207。

其他消融与分析

• 定性： Figure 4 给出三张基座判为 real 的生成图；作者称 SPARED 分别指出机械间隙、时代错置物品和科学示意图箭头方向。无数值指标。
• 静态解释分： 作者称静态运行的 CSemAP-Full 从未超过 0.5120，没有静态检查点在检测和解释上同时接近 Iter3。
• 分家族表： 除正文已给的均值、Janus 和“AP 高于 92”外，Holmes-Set 逐家族数字在补充材料。

作者指出的局限与后续方向

• 硬 0/1 奖励： Conclusion 写明主要局限是该欺骗奖励没有分家族难度控制，均值上升时仍会留下孤立的分生成器回落。作者称分级难度信号是自然的下一步。
• 正文没有另列 Limitations 节。Experiments 中对 Janus 回落的解释与上述机制相同，不另算一条新的局限声明。

实验覆盖范围

• 外部评测为 DeepfakeJudge-Detect、AnomReason-Deepfake、Holmes-Set。后两者作者称为完全零样本；前者只有 SFT 使用该套件指定训练语料（Experiments）。
• Holmes-Set 覆盖十个训练未见的生成器家族，图像为完全合成；训练池来自对真实照片的局部编辑，语料为 ImgEdit、pico-banana-400k、MagicBrush（Method、Experiments）。
• 检测器骨干为 Qwen3.5-9B，攻击器为 Qwen-Image-Edit-2511 的 LoRA；日程为 SFT 之后的 Iter1、A1、Iter2、A2、Iter3（Method）。
• Table 3 包含静态池 GRPO、冻结攻击器的新源池、去掉 PaCo 门、拆开配对，以及 Iter2 到 Iter3。另有 Iter3+Holmes 与 SFT+Holmes，混合为 FakeClue 加该基准训练集（Experiments）。
• 正文未报告各基准样本量、重复次数、GRPO 的 G、训练池规模和感知哈希阈值（写明见 technical appendix）；也未说明 CSemAP 的打分模型。分家族 Holmes 数字除 Janus 与均值外在补充材料。论文提到部署时的 white-box 与 black-box 规避，但实验协议是训练环内的编辑对抗，不是对已训检测器的规避评测。

SPARED 是一套用于可解释 AI 生成图像检测的攻防强化学习流程，报告模型是 Qwen3.5-9B 上的第三轮防御器。

• 问题： 检测器要给出 real/fake 和自由形式理由，还要跟上仍在变化的生成器。作者认为独立采集的真假图、监督解释语料和静态伪造语料会分别造成溯源捷径、模板化理由和静止决策边界。
• 做法： 扩散编辑器与推理检测器交替、且不共享参数。编辑器只在 PaCo 确认指令被执行（阈值 0.7）且结果骗过冻结检测器时得分；检测器只在判决正确时得分。假图由固定真实源图编辑而来，并用感知哈希避免泄漏进评测集。
• DeepfakeJudge-Detect： Overall Acc 从 SFT 的 69.6 到 Iter1 72.1、Iter2 76.0、Iter3 79.5（Table 1）。表中更高的是 Qwen3-VL-235B-Thinking 的 82.7。作者称局部编辑子集从 44.8 升至 82.5（Figure 3c），未标明两端阶段。
• 另两个基准： AnomReason-Deepfake 上 Iter3 零样本 Acc 为 92.18，CSemAP-Full 为 0.5207（Table 2）；SFT 阶段 Acc 降到 77.83，CSemAP-Full 升到 0.4792。Holmes-Set 零样本平均准确率到 Iter3 为 92.8；Janus 从 86.5 降到 73.1，加域内数据后回到 84.3。
• 对照： Table 3 中去掉门控后 DeepfakeJudge Acc 为 66.7，低于 Iter1 的 72.1；拆开配对后 AnomReason Acc 为 85.18，低于 Iter1 的 85.72。作者称更长的静态训练、更新的源图或域内数据都不能代替仍在学习欺骗当前检测器的攻击器。
• 作者的结论： 通道都防捷径之后，对抗压力才会变成检测能力；解释不单独计分，仍随判决准确率一起变化。下一步是给 0/1 欺骗奖励加上分级难度，以处理个别生成器在均值上升时的回落。