《Information》：A Review of Tools and Technologies to Combat Deepfakes
Dmitry Erokhin and
Nadejda Komendantova
深度伪造（deepfakes）及相邻的合成媒体能力已成为信息完整性、安全性和数字信任的系统性挑战。目前，对抗措施涵盖从内容痕迹推断篡改的被动检测方法、将元数据通过密码学绑定到媒体的主动溯源系统，以及向内容或生成过程嵌入可检测信号的水印方法。本综述对跨模态（图像、视频、音频和选定的多模态设置）对抗深度伪造的工具与技术进行了严谨的综合，主要依据同行评审文献、标准化基准测试和官方技术规格及报告。综述分析了检测方法、溯源与认证技术，重点涵盖密码学清单（cryptographic manifests）和威胁模型、水印与内容溯源（包括扩散模型时代的水印和工业部署）、对抗鲁棒性与攻击者适应、数据集与基准测试、跨任务评估指标，以及部署与可扩展性约束。专门部分讨论了法律、伦理和政策问题，聚焦于新兴的透明度义务和平台治理。综述发现，在现实对抗环境中，没有任何单一措施足够有效。最强的实际方法是分层防御，结合溯源、水印、基于内容的检测和人工监督。本研究总结了当前证据基础的局限性，并提出了优先研究方向以改进泛化、互操作性和可信用户体验。
1. 引言
“深度伪造”（deepfake）一词已从描述换脸视频演变为涵盖AI生成或AI操纵媒体的总称，包括图像、视频、音频语音克隆和多模态复合体。这一定义范围产生了具体的工程后果：针对换脸伪影调整的检测器可能无法应对扩散模型生成的图像；针对电信通道变量优化的音频反欺骗系统可能无法处理高保真录音室级语音克隆；媒体溯源机制必须支持多种文件类型、编辑和分发变换。
从安全和信息完整性的角度来看，深度伪造最好理解为一种不对称能力。攻击者可以低成本生成大量看似真实的虚假媒体，而防御者必须在不确定性下证明真实性或检测篡改，包括对抗性后处理。这种不对称性在线上分发的开放世界环境中进一步加剧，内容经常被缩放、重新压缩、转码、截图或以其他方式变换，从而可能消除脆弱的取证信号并复杂化模型假设。
当代研究和实践共识越来越多地将深度伪造防御视为端到端的社会技术系统问题，而非狭隘的分类问题。在此框架下，基于内容的检测仍然重要，但辅以支持可密码学验证的溯源基础设施，以及支持可扩展标记和后期审计的水印或指纹方法。
本综述的动机在于合成媒体生产速度与规模与实践中可用的碎片化、特定模态且通常脆弱的对抗措施之间的差距不断加大。本研究的目标是综合深度伪造缓解的最新技术，涵盖被动检测、溯源与认证、水印、基准测试、鲁棒性技术和治理框架，并评估这些方法在现实对抗条件下如何相互补充。研究的实际应用包括平台内容审核、新闻编辑室和事实核查工作流、取证和证据筛查、选举和公共信息系统完整性、合成媒体标记，以及透明度和问责制的政策设计。
2. 背景
深度伪造对抗技术源于多媒体取证的更广泛领域，该领域历史上旨在推断相机来源、检测拼接、识别篡改痕迹并评估常见变换下的完整性。综述工作强调，深度伪造加速了传统取证与反取证的动态，将问题从检测相对受控的编辑转移到检测能合成或重写具有语义连贯细节内容的高容量生成过程。
包括国防高级研究计划局（Defense Advanced Research Projects Agency）在内的机构计划，如MediFor和SemaFor，将部分问题形式化为构建自动化图像和视频完整性评估，以及开发语义取证能力以在高级操纵下分析真实性。与此同时，美国国家标准与技术研究院（National Institute of Standards and Technology）支持公开评估工作（如OpenMFC），旨在减少自评偏差并为操纵和深度伪造检测构建定期、基于任务的基准测试。
一个关键的概念转变是认识到真实性并非纯粹可从像素或波形推断的属性，它通常是过程和溯源的属性。例如，内容溯源与真实性联盟（Coalition for Content Provenance and Authenticity）技术规范定义了一种由声明、主张和主张签名组成的签名清单结构，通过密码学哈希（硬绑定）或其他标识符（软绑定，包括指纹或不可见水印）绑定到媒体。该架构将信任重新构建为一个以签名者身份、凭证有效性和防篡改绑定（而非仅仅统计检测）为基础的验证问题。
3. 方法论
本综述遵循叙述性文献综述方法，采用以证据为导向的方法论，同时承认快速演变的工业部署和安全与机器学习领域混合出版文化固有的约束。
文献和技术文档通过结构化搜索Google Scholar、arXiv、IEEE Xplore、ACM数字图书馆、CVF开放获取、OpenReview以及标准机构和公共机构的官方仓库和门户（如NIST数据和出版物、欧盟数字战略页面、EUR-Lex）确定。搜索未设严格起始日期限制，重点为2018-2026年，因为现代深度伪造及其对抗措施的出现和规模化。
代表性术语包括“深度伪造检测”（deepfake detection）、“合成媒体检测”（synthetic media detection）、“人脸伪造检测”（face forgery detection）、“音频深度伪造检测”（audio deepfake detection）、“ASVspoof”、“内容溯源”（content provenance）、“内容凭证”（content credentials）、“扩散模型水印”（watermarking diffusion models）、“鲁棒水印”（robust watermark）和“对抗攻击深度伪造检测器”（adversarial attack deepfake detector）的组合。
如果来源满足以下至少一项则被纳入：同行评审出版物或广泛采用的基准论文，具有透明实验方法；官方技术标准/规范或安全/威胁模型文档；提供基于技术证据的综合或指导的官方机构报告；支持可重复评估的数据集论文/文档；或实施标准化或高引用研究方法的开源工具文档。如果来源主要是推测性的、仅营销而无技术细节、重复更高质量的主要参考文献，或提供不可验证的性能声明，则被排除。新闻报道仅在捕获其他未记录的运营事实时谨慎使用。
4. 深度伪造检测方法
深度伪造检测方法通常分为被动（基于内容）检测和主动（元数据/溯源/水印辅助）检测，混合系统在部署中越来越常见。官方指南强调溯源和水印可提供起源的肯定信号，但它们的缺失并非操纵的证明。因此，基于内容的检测在许多环境中仍然是必要的。
早期且广泛部署的视觉检测器依赖于对人脸裁剪或完整帧的判别学习，使用卷积神经网络（Convolutional Neural Networks）和来自换脸和重演管道的训练数据。像MesoNet这样的紧凑架构旨在捕获介观属性，并在当时常见的深度伪造风格上报告了高检测率，展示了轻量级推理在压缩约束下用于视频篡改检测的可行性。随着检测器成熟，研究越来越多地将方法分为简单端到端分类器与显式建模伪造伪影（如混合边界、扭曲或不一致人脸边界）的方法。
多条工作线利用生成和操纵管道可能在频域引入非典型痕迹的观察，激励检测器纳入离散余弦变换（Discrete Cosine Transform）或其他频谱表示。F3-Net（人脸伪造网络中的频率）通过挖掘频率感知线索体现了这一家族，并作为代表性频率检测器纳入标准化基准测试。基于频率的检测器可以提高对某些压缩机制的弹性，但也容易受到针对频率线索的自适应攻击。在自适应设置中，攻击者可以通过在DCT或相关频谱带中进行定向扰动或应用混合空间频率后处理来有意操纵高频统计数据，从而抑制F3-Net等检测器训练所利用的伪影。这些扰动在视觉上可能保持微妙，但仍然会降低检测器性能，包括在针对多个检测器家族的迁移设置中。这意味着频率线索有用但并非操纵的稳定不变量。实践中，它们应被视为众多信号之一，并通过增强、检测器多样性、校准和针对自适应攻击的持续重新评估来强化。
视频深度伪造可能通过时间不一致性（如运动、光流）或不可靠合成的生理线索来检测。一个突出的生理方法是远程光电容积描记术（remote photoplethysmography），它从面部像素估计微妙的血流信号。FakeCatcher将该想法操作化，在多个人脸伪造数据集上报告了高准确性，并展示了在受限肖像视频环境中实现实时或近实时检测的途径。这种方法的优势在于可解释性与人类生理学一致。局限性在于许多现实世界条件（照明、化妆、后处理、低帧率）会降低rPPG估计，且未来的生成器可能部分学习或模拟此类信号。
音频深度伪造，包括文本到语音（Text-to-Speech）和语音转换（Voice Conversion），与自动说话人验证（Automatic Speaker Verification）中长期存在的欺骗问题密切相关。ASVspoof挑战系列形式化了逻辑访问（Logical Access）、物理访问（Physical Access）和专用深度伪造语音任务的评估任务。ASVspoof 2021评估计划指出LA和PA使用修订的串联检测成本函数（tandem detection cost function），而DF条件使用等错误率（Equal Error Rate），反映不同的操作上下文（ASV约束与通用假音频检测）。
现实中的模仿通常结合同步音频和视频，激励检测器联合评估跨模态一致性（如唇音同步与语音）和共享身份线索。FakeAVCeleb提供了一个明确针对多模态深度伪造检测开发和评估的音频-视频数据集，认为单模态数据集对于现实威胁场景可能不足。多模态基准测试工作仍不如仅视觉基准测试成熟，但趋势是朝向统一协议和更大规模的多模态语料库。
除了时间同步，近期多模态深度伪造检测研究已开始利用面部、语音和运动之间更丰富的行为和生物识别对应关系。Watch Those Words对单词条件的面部动作单元和头部运动建模，表明通过语音内容与个体特定面部动态之间的不一致可以揭露伪造。POI-Forensics将检测重新定义为视听身份验证，询问观察到的面部和语音是否属于同一主体。AVFF和相关基于注意力的方法更一般地学习跨模态对应关系，而ART-AVDF引入发音表示学习以测试唇部运动和语音在生理上是否兼容。细粒度多模态图方法进一步表明，任务可以超越二元真实/虚假决策，以识别伪造是存在于音频流、视频流还是两者中。
直接以步态为中心的多模态深度伪造检测文献仍然有限。更强的近期工作线专注于面部运动、头部运动、发音动态、手势习惯和语音作为承载身份的行为信号，而非仅依赖像素伪影。近期关于面部生物识别异常的工作同样表明，现代说话头部生成器在复杂表情和运动模式上仍然挣扎。
另一个有希望的方向是基于现实世界物理定律的检测。与特定伪影检测器不同，基于物理的检测器将测试轨迹、加速度、碰撞、重力驱动运动、物体持久性或人体运动学是否与第一性原理约束兼容。直观地说，移动的汽车应遵守牛顿运动，弹跳物体应显示合理的碰撞动态，语音驱动的面部运动应保持生物力学连贯性。近期对视频生成模型的评估工作显示在牛顿定律和守恒定律上的持续失败，表明物理定律违规可能比许多像素空间伪影提供更少依赖生成器的线索。尽管该文献目前更多地被构建为生成器模型的评估而非现成的取证检测，但它强烈激励了未来结合多媒体取证和基于物理/运动学一致性检查的深度伪造检测器。
跨综述、基准测试和机构指南的一个反复出现的结果是，检测器性能在跨数据集或野外条件下通常显著下降，特别是在数据集偏移、新生成器或后处理下。DeepfakeBench被明确提出以解决文献中不一致的预处理和评估设置，并在FaceForensics++ c23上提供标准化的域内和跨域ROC-AUC比较。
即使在统一基准中，这些结果也不能完全解决现实部署不确定性，因为操作条件可能涉及未见过的生成器、多步编辑管道、流式伪影和故意的对抗适应。尽管如此，标准化报告暴露了支配实际风险的泛化差距幅度。
此外，报告的基准准确性不足以用于部署决策，因为计算复杂度、内存占用和推理延迟强烈影响操作可行性。轻量级基于CNN的检测器如MesoNet由于相对高效，对边缘设备和首次上传筛查仍有吸引力，但它们以准确性和泛化为代价。中档CNN主干如Xception或EfficientNet通常在批处理审核和离线分流中提供更实用的性能与成本平衡。相比之下，基于胶囊、基于Transformer、多模态和集成系统可以提高准确性或鲁棒性，但通常施加更高的延迟和硬件需求，使其不太适合作为直播监控的始终在线前线过滤器，无需级联或选择性触发。频率感知方法也可能因额外预处理开销而增加，因为除了特征提取外还必须计算频谱变换。对于现实应用，研究应不仅报告AUC、EER或准确性，还应报告吞吐量、内存使用、模型大小和硬件假设。
表2总结了更多在异构数据集和协议上评估的近期多模态检测器、其部署相关性和局限性。
5. 溯源与认证
内容溯源系统旨在提供关于资产如何被捕获、生成、编辑和分发的可验证信息。C2PA规范通过签名清单模型形式化了这一点。声明和主张被绑定到C2PA清单（C2PA Manifest）中，带有主张签名，并收集到可能嵌入或外部的清单存储中。信任决策基于签名验证、签名者身份，以及在存在时受信任的时间戳和吊销检查。
在实际工作流中，溯源旨在贯穿内容生命周期：捕获→编辑→发布→消费/验证。内容真实性倡议（Content Authenticity Initiative）将内容凭证（Content Credentials）定位为跨行业方法，使该生命周期对用户可见并在工具和平台间可互操作，促进类似数字营养标签的溯源接口。实现强调创作者识别和关于捕获、AI生成和编辑步骤的透明度。
然而，溯源系统并非万能药。溯源系统存在类似的适应性威胁，如清单剥离和溯源转移。攻击者可能从原本有凭证的资产中移除嵌入的清单，并在没有凭证的情况下重新发布文件，或尝试在不相关的资产之间复制有效的溯源数据。C2PA安全考虑文档明确建模了攻击者目标，并强调安全分析是一个演变的过程，上下文对风险和可能性很重要。补充安全威胁，C2PA危害建模突出隐私风险、过度依赖的可能性，以及需要避免将清单的存在视为内容真实性的决定性指示，因为内容可以被签名但具有误导性。
操作上，溯源的采用取决于工具。CAI开源生态系统包括库和工具如c2pa-rs和c2patool，支持为支持的媒体格式创建、签名、嵌入和验证C2PA清单。此类工具对于以可审计和可互操作的方式将溯源大规模集成到相机、编辑套件、内容管理系统和验证服务中至关重要。
6. 水印与内容溯源
水印指将信号嵌入内容以便后续检测（零比特水印）或多比特解码。对于深度伪造缓解，水印用于起源透明度（标记AI生成的内容）、可追溯性和审计，以及在某些设计中通过软绑定链接到溯源记录。
Google DeepMind描述SynthID作为一种水印技术，将水印嵌入AI生成的内容（包括图像、音频、文本和视频），并支持通过专用工具检测。一份关于SynthID-Image的技术报告强调了互联网规模上的部署约束，包括鲁棒性、保真度和安全考虑，并报告了跨服务超过十亿图像和视频帧的水印，说明了溯源邻近信号可能被操作化的规模。
树环水印（Tree-Ring Watermarking）提出在扩散采样的初始噪声向量中嵌入水印，在傅里叶空间中结构化以对一系列变换具有鲁棒性，通过反转扩散过程恢复噪声信号进行检测。后续工作如RingID重新审视了该机制并分析了鲁棒性来源，而安全研究也调查了水印移除和攻击面，强调水印是一场军备竞赛而非一次性修复。
NIST指南强调水印方案可能通过移除、改述（对于文本）或定向失真被攻击。它进一步讨论了欺骗攻击，可能导致检测器将未加水印的内容误分类为已加水印，从而可能破坏信任。重要的是，NIST强调了规模考虑。如果每个模型开发者部署私有的、特定方法的、需要独特检测器的水印，用户面临碎片化的生态系统和高负担。公共水印方案可能更容易扩展，但可以通过重复探测实现欺骗和规避。这些观察激励了可互操作水印标准、多检测器服务和减少碎片化激励的治理制度的研究。
7. 对抗性与鲁棒性技术
深度伪造防御在主动对抗者下运行。两类对抗者尤为重要。
攻击者可以利用检测器的脆弱性，通过压缩、缩放、滤波、重新编码或故意扰动，通常不显著降低感知真实性。关于频率对抗攻击的工作明确针对人脸伪造检测器使用的频域线索，表明攻击者适应可以是特定领域的，依赖于狭窄线索集的检测器可能被系统性规避。标准化评估强化了即使没有明确对抗优化，跨操纵泛化也可能很差。当同一数据集内仅操纵算法改变时，许多检测器的AUC降级可能显著。
溯源系统可能通过剥离元数据、将元数据转移到不相关资产或操纵用户对信任信号的感知而被攻击。C2PA的威胁模型明确包括剥离C2PA清单和跨资产复制元数据，并讨论了清单仓库等缓解措施，同时指出此类缓解措施引入额外的安全和隐私权衡。水印可能通过移除或欺骗被攻击。NIST报告经验证据表明各种水印类型已被实证欺骗，并警告欺骗会破坏信任，即使目标仅为合成与非合成。
跨文献，鲁棒性通过与预期失真一致的强且多样化的数据增强、域泛化和跨数据集训练、自监督或基础模型特征重用以减少对生成器特定伪影的过拟合、带有校准和不确定性估计的检测器集成用于分流，以及持续监控和重训练管道（将检测器衰减视为在目标漂移下不可避免）来追求。DeepfakeBench直接分析了增强、主干选择和预训练等因素如何影响性能，说明了一些简单基线在一致、良好设计的协议下训练时变得有竞争力，但仍面临跨域限制。
8. 数据集与基准测试格局
深度伪造防御的进步与基准质量密切相关。数据集在操纵类型（换脸、重演、合成）、数据来源（工作室与互联网）、同意与伦理、压缩机制和标注丰富性方面各不相同。
FaceForensics++引入了一个广泛使用的面部操纵检测基准，提供了跨多种操纵方法和压缩级别的标准化评估设置。DFDC数据集将数据收集扩展到超过100,000个来自付费演员的剪辑，具有明确同意，提供了大型训练和评估基础，并报告了从大型公共挑战中的泛化考虑。Celeb-DF旨在通过生产与互联网传播内容特征一致的更高质量深度伪造来增加真实性和难度。DeeperForensics-1.0强调规模和现实世界扰动，通过大量视频和多样化退化支持鲁棒性评估。ForgeryNet进一步推进了规模，报告了数百万图像和数十万视频跨多种任务和操纵类型。WildDeepfake从互联网收集深度伪造视频，强调在受控数据集上训练的检测器可能在现实世界分布下失败，性能可能急剧下降。
扩散模型时代的图像生成激励了基准测试如GenImage，提供百万级数据集并提出跨生成器和退化图像分类任务，以在生成器多样性和失真下测试现实世界适用性。补充研究主张通用假图像检测器，使用未明确训练用于真实/虚假判别的特征空间，跨生成器家族泛化。
ASVspoof数据集为跨通道变量和压缩的欺骗和深度伪造语音提供结构化评估，具有明确的指标和规则，支持可比较的进展跟踪。FakeAVCeleb通过将深度伪造视频与合成和唇音同步的假音频配对，以多模态威胁模型为目标，支持联合音频-视频检测器开发。
近期基准测试发展已转向更大、更异构和更现实的多模态设置。AV-Deepfake1M及其后续挑战基础设施针对大规模音频-视觉检测和定位，DeepSpeak强调同意和身份匹配的网络摄像头深度伪造，使用现代语音和视频引擎生成，Deepfake-Eval-2024突出检测器在当前野外内容上的性能急剧下降。这些数据集表明多模态评估正从精心策划的名人换脸转向更操作现实的说话视频和跨平台场景。
9. 评估指标
评估选择编码隐含的威胁模型。深度伪造文献中的一个常见失败模式是在单一数据集分割上报告准确性，而未在压缩、分布偏移、对抗后处理和与真实部署相关的误报约束下进行压力测试。DeepfakeBench明确指出不一致的管道和异构的指标使用（帧级与视频级）阻碍了可比性，激励跨多个指标（AUC、平均精度（Average Precision）、准确率（Accuracy）和EER）的统一报告。
公开评估程序强调操作指标。OpenMFC描述通过接收者操作特征（Receiver Operating Characteristic）、曲线下面积（Area Under the Curve）和在指定误报率下的正确检测来评分检测任务，例如CD@FAR = 0.05，使评估与阈值决策一致。音频深度伪造评估同样使用领域特定度量。ASVspoof 2021指定ASV约束任务（LA/PA）的最小t-DCF和深度伪造语音任务（DF）的EER，明确指出不同操作设置需要不同的目标函数。
由于深度伪造防御经常作为分流机制服务于人工审查，校准（将分数映射到可解释概率）、成本敏感评估和不确定性估计变得至关重要，特别是当误报可能导致声誉损害或审查时。NIST指南明确将检测和标记定位为更广泛风险降低系统的部分，而非独立的技术胜利。
10. 部署与可扩展性
部署深度伪造防御需要平衡延迟、成本、隐私和用户体验。图2总结了深度伪造检测的提议多层操作工作流程。该过程始于媒体摄入，首先检查传入资产是否具有签名溯源。此分支优先，因为有效溯源可以提供关于媒体起源、捕获、生成和编辑历史的肯定、可密码学验证的信息。如果存在签名溯源，系统验证签名、证书状态以及清单与资产之间的绑定。当该验证受信任时，结果可以通过溯源指标或内容凭证在用户界面中显示，并服从适用的平台或组织策略检查。如果溯源存在但验证不受信任，资产被标记为呈现可能的篡改或信任链风险，默认不被接受为真实。
如果没有可用的签名溯源，工作流程接下来检查是否可检测到水印。可检测到的水印本身并不解决真实性问题。相反，它触发水印验证和鲁棒性阶段。该阶段测试水印是否真实、是否在常见变换（如缩放、压缩或重新编码）下存活，以及信号是否可能被欺骗。如果未检测到水印，或溯源缺失或不受信任，资产进入基于内容的检测集成。该集成代表了本综述中讨论的互补检测器的组合，包括空间和频域图像或视频检测器、时间和生理视频方法、音频反欺骗系统和多模态一致性检查。
集成产生风险分数和不确定性估计。这很重要，因为操作决策不应仅依赖原始分类分数，还应依赖置信度和校准。在最后阶段，高风险或高不确定性案件被路由到人工审查或升级，而低风险案件在日志记录和后期审计下被允许通过。图的整体逻辑是溯源在可用时提供最强的积极证据，水印添加可扩展的透明度信号，基于内容的检测仍然是可疑或无凭证媒体的后备。
SynthID-Image报告的规模说明水印可以作为平台基础设施的一部分部署，但NIST警告当检测器访问在私有方案间碎片化时扩展更难，公共方案引入欺骗和探测风险。
OpenMFC明确主张需要中立的基准评估，因为系统性能对数据/任务变化敏感，自评可能无法反映现场性能。它进一步将定期评估构建为必要，因为操纵技术不断演变。
内容溯源需要开发者级库和命令行工具来嵌入和验证清单。C2patool和c2pa-rs说明标准如何被操作化到桌面、移动和嵌入式集成的软件组件中。表4审查了实施或操作化深度伪造对抗措施的工具和标准。
11. 法律、伦理与政策考虑
技术对抗措施在治理框架内运行，该框架决定了采用激励、披露义务以及标记和执行的机构责任。
《欧盟人工智能法》（Regulation (EU) 2024/1689）建立了AI的统一规则，并包括对AI生成或操纵内容的透明度义务。欧盟委员会将第50条义务构建为确保AI生成或操纵内容（如深度伪造）的透明度，并正在制定行为准则以支持符合标记和标签要求，包括机器可读标记和在公共利益背景下专业标签深度伪造。该政策方向与强调互操作性和用户理解的技术指南一致。跨平台剥离或不一致显示的标签未能满足预期的透明度目标。
《数字服务法》（Digital Services Act）和相关工具通过平台问责机制和行为准则处理虚假信息和操纵风险。委员会的材料强调透明度结构（如DSA透明度数据库流程）和风险缓解期望，而《虚假信息行为准则》明确将恶意深度伪造作为签署者应处理的操纵行为。
溯源和水印如果元数据泄露敏感信息或系统启用跟踪或强制识别，可能引入隐私风险。NIST指南讨论了水印的隐私考虑，特别是对于可以携带数据的非零比特水印，并指出隐蔽水印是持久的，可能使隐私控制复杂化。C2PA危害建模同样强调对弱势群体的风险、在不利法律/政治背景下的潜在误用，以及需要避免过度依赖，明确指出有效清单的存在不等同于内容的真实性。
在法律和新闻背景下，溯源可以通过提供密码学保证（即录制的主张和绑定未被篡改）来支持监管链论证，但标准文档也警告攻击者可以剥离清单或破坏可用性。当溯源缺失时，事后解释仍然困难。这些张力暗示政策不仅必须解决标签要求，还必须解决平台和工具生态系统在分发变换中保持溯源完整的保存激励。
12. 讨论
本综述产生四个主要发现。首先，基于内容的深度伪造检测器可以在域内实现强大性能，但其可靠性在跨数据集偏移、未见生成器、压缩和对抗后处理下下降。其次，溯源和认证系统在签名、绑定和信任链正确验证时提供最强的起源肯定证据，但其有效性取决于生态系统采用和跨平台和编辑的元数据保存。第三，水印可以为AI生成的内容支持可扩展的透明度和审计，但仍然容易受到移除、欺骗和专有方案碎片化的影响。第四，最鲁棒的实际策略不是单一检测器，而是结合溯源验证、水印检查、基于内容的分析、不确定性估计、日志记录和人工升级的分层架构。
跨基准测试、标准和指南出现的核心技术洞察是，深度伪造防御不是单一模型赢家通吃问题。基于内容的检测器可以在域内高度准确，但在域偏移下脆弱，鲁棒性改进通常来自工程规范（统一预处理、增强和评估），而非单一新颖架构。野外数据集和公开评估程序强化了现实部署条件可能与研究数据集显著不同，需要定期评估和持续更新。
近期综述证据进一步支持人工智能作为对抗深度伪造的核心对抗措施的作用，同时表明标题准确性值应谨慎解释。代表性的深度伪造检测模型，其训练、验证和测试准确率从基于RNN的模型的94.2/91.8/90.5%到集成模型的99.1/97.5/97.2%不等。其他例子包括CNN的98.5/96.2/95.8%、基于GAN的模型的96.8/95.3/94.7%、实时EfficientNet配置的92.6%测试准确率，以及迁移学习ResNet50方法的97.3/96.1/95.5%。这些结果证实基于AI的检测器在控制条件下可以实现强大性能，但训练与验证/测试分数之间的差距也表明残留的过拟合和跨异构数据集和协议的有限直接可比性。
准确性还必须与部署速度一起考虑。在估计的标准GPU条件下，以224 × 224分辨率，基于CNN的检测器在约28-30 fps下实现约88-90%的准确性，而基于Transformer、多模态和混合检测器达到约92-95%的准确性，但通常仅在18-22 fps下运行。由于实时视频分析通常需要约24 fps，最准确的模型可能并不总是最适合直播或平台规模筛查，无需级联、压缩、云卸载或感兴趣区域处理。在受约束基准上执行超过90%的模型在更具挑战性的野外数据集上可能降至约60%，强化了深度伪造检测的讨论应超越准确性本身，包括跨数据集鲁棒性和推理效率。
溯源和内容凭证提供了本质上不同的安全价值主张。相反，不是从内容痕迹猜测真实性，而是在端到端采用时能够对录制的主张和编辑进行密码学验证。然而，溯源系统面临采用、可用性和攻击面约束，特别是清单剥离和不一致的平台保存，可能迫使防御者回到基于内容的检测，恰恰在检测最难的环境中。
水印占据中间地带，能够在大规模下运行（如工业部署所示），但容易受到移除、欺骗和跨提供商碎片化的影响。NIST的规模分析和欺骗讨论强调水印需要生态系统级协调和仔细的威胁建模，以避免通过不一致或可伪造的信号破坏信任。
证据支持分层结论。对抗深度伪造缓解的最现实近期路径是组合结合溯源标准、水印和自适应检测，通过要求披露和激励元数据保存的治理框架联系在一起。
本综述面临几个局限性。首先，部分最重要运营生态系统如平台执行、大规模检测器性能和实时部署约束在同行评审场所中记录不足，导致不可避免地依赖官方文档和选定技术报告，而非完全可重复的性能研究。其次，跨论文的性能值由于预处理、人脸检测、采样策略以及帧级与视频级聚合的差异而通常不直接可比。因此，本综述在可能时优先统一基准（如DeepfakeBench），但无法完全消除可比性问题。第三，政策解释本质上具有时效性。虽然本综述引用了主要的欧盟法律文本和委员会材料，但持续的指南发展和国家实施可能超出引用的快照。
13. 未来研究方向
未来研究应优先通过开发超越生成器特定伪影、利用域一般表示并稳健量化不确定性的检测方法来弥合当前证据中的持久差距，包括在分布偏移下弃权。由于现实攻击本质上是多模态的，进展还依赖于更大和更多样化的基准测试，建立在早期工作如FakeAVCeleb的基础上，并具有反映操作条件的标准化评估协议。这些协议应超越标题准确性，报告对自适应攻击的鲁棒性，包括频率定向规避、水印欺骗、溯源剥离和对抗移除，同时捕获延迟、校准和误报约束性能。在此上下文中，评估指标必须通过场景特定报告与应用风险保持一致，如OpenMFC等倡议中的FAR约束度量，或在ASVspoof中使用t-DCF与EER。研究应进一步推进可互操作的溯源和水印恢复机制，这些机制在平台变换下存活，减少用户负担，并限制生态系统碎片化，同时支持在规模下的高效检测。随着威胁模型越来越假设剥离取证痕迹，实际缓解还将依赖于清晰且不过度声明地传达信任信号的平台行为和用户界面。解决这些挑战需要跨机器学习、密码学、可用安全性和平台治理的跨学科协作。另一个有希望的研究方向是物理感知取证检测，其中模型测试合成场景是否服从第一性原理约束，如牛顿运动、碰撞动力学、重力和生物力学一致性，从而超越生成器特定的视觉伪影。
14. 结论
深度伪造防御已成熟为一个多层生态系统，涵盖被动检测、溯源/认证标准、水印和治理机制。跨基准测试的最强经验信号是检测器泛化在现实分布偏移下仍然脆弱，激励分层架构，该架构在可用时使用溯源和水印，并将基于内容的检测保留为自适应后备。标准工作（特别是C2PA/内容凭证）为密码学溯源提供了可信基础，但必须部署明确的威胁模型和危害意识，以避免隐私危害和错置信任。新兴法律框架，特别是在欧盟，正在塑造标记和标签AI生成内容的激励，增加通过现实媒体变换保持溯源的可互操作技术解决方案的重要性。实际上，本综述综合的分层框架可以为审核系统、事实核查和新闻编辑室验证管道、视听取证筛查、公共部门通信保障，以及AI生成内容的面向合规的透明度机制的设计提供信息。
