综述：深度伪造生成与检测的对抗性演化：范式、评估与治理的系统综述

《Neurocomputing》：Adversarial evolution of deepfake generation and detection: A systematic review of paradigms, evaluation, and governance

　　

摘要
深度生成模型的快速发展推动深度伪造技术达到了听觉和视觉真实性的水平，以至于经典检测范式表现出明显的退化，这对个人隐私、公众信任和内容安全产生了影响。随着生成方法在保真度、可控性和跨模态协调方面持续超越检测方法，深度伪造研究最好被理解为双方之间的对抗性共同演化，而不是两条独立的技术线索。本文从这一视角提供了深度伪造生成和检测的系统性综述，分析了连续的生成范式如何使先前的检测方法失效并触发新的取证方法的出现。证据基础包括覆盖 2014 年 1 月 1 日至 2025 年 12 月 31 日出版物的系统性数据库检索，并辅以截至 2026 年 7 月进行的定向更新检索和引用追踪，以捕捉快速发展的新进展。我们将这些证据组织成三个由主导检测线索家族定义的重叠对抗周期：频率线索时代、融合边界与深度表征时代，以及语义与物理一致性时代。我们将检测性能、生成质量和跨模态一致性整合到一个统一的三轴评估矩阵中，并概述了一个跨越生成时水印、内容来源和生命周期风险管理的 技术 - 法律 - 伦理 治理框架。指出了现有差距和未来研究方向，以支持深度伪造相关技术的负责任发展。

引言
深度生成建模的最新进展使得深度伪造技术——通过深度神经网络合成和操纵视听内容——在保真度、可控性和跨模态协调方面取得了突破。行业分析师报告称，2022 年至 2024 年间全球深度伪造相关欺诈事件急剧上升，主要集中在金融科技和加密货币领域 [1]；虽然此类市场跟踪数据应视为指示性而非决定性的，但同行评审评估独立证实了攻击与防御之间存在巨大差距。最近两个案例说明了这种风险的规模：2022 年伪造的乌克兰总统呼吁投降的视频，曾短暂扰乱军事通信 [2]；以及 2024 年香港涉及 Arup 的深度伪造视频会议欺诈案，据报道使用虚假声音和图像诱导了约 2 亿港元的转账 [3], [4]。由于欺诈案件中的精确损失数据可能在公开报告和调查中有所不同，我们使用此案例作为 AI 赋能身份冒充风险的说明性例子，而不是作为审计后的损失估计。因此，风险已从个人隐私侵犯升级为国家安全和社会金融稳定方面的担忧。

这一差距源于深度伪造生成的快速发展与检测方法有限的泛化能力之间的结构性失衡。Deepfake-Eval-2024 基准 [5] 为这种失衡提供了系统性证据：当在早期基准如 FaceForensics++ [6]、Celeb-DF [7] 和 DFDC [8] 上训练的现成检测器在 2024 年从社交媒体平台收集的野生样本上进行评估时，AUC 分别下降约 [数值缺失] 用于视频、[数值缺失] 用于音频以及 [数值缺失] 用于图像检测器。该基准未应用目标领域数据的微调，将跨域泛化隔离为主要失败模式，而不是底层架构的能力限制。这种不断扩大的攻击 - 防御差距对个人隐私、社会信任和内容安全治理提出了新的挑战。

从技术角度来看，深度伪造的发展最好被描述为对抗性共同演化：每一次检测突破都会被下一代生成器迅速吸收，进而迫使检测方法迁移到新的特征空间和模态。几篇综述已经调查了这一轨迹的部分内容。Mirsky 和 Lee [9] 提供了生成算法和检测线索的线性分类法；Verdoliva [10] 从数字取证的角度切入，集中关注篡改的物理痕迹；Seow 等人 [11] 在本期刊中提供了涵盖生成、检测、数据集和开放研究机会的广泛概述。这些工作确立了领域的基本词汇，但仍然存在三个结构性局限。

(1) 双向对抗动态阐述不足。大多数综述沿着平行轨道讨论生成和检测。Mirsky 和 Lee [9] 系统地组织了这两个领域，但线性分类法无法容纳非线性转换，如生成对抗网络（GAN）指纹的消除、扩散模型的破坏性出现以及检测范式的随之重建。Verdoliva [10] 采用取证立场，集中关注篡改痕迹，对生成 - 检测博弈本身如何塑造双方轨迹的关注有限。因此，这两个框架都不太容易支持未来攻击向量的预测或前瞻性防御的设计。

(2) 多模态协作机制剖析不足。随着伪造向视听联合合成发展，跨模态一致性约束——特别是唇语同步、韵律 - 表情耦合和情感连贯性——已成为决定性线索。现有综述对跨模态特征融合、时间依赖建模和语义一致性验证的处理有限。一旦像 Sora [12] 这样的大型视频生成器实质性地缩小了物理连贯性差距，仅靠单模态检测就不太可能保持可靠。

(3) 评估和治理与技术核心松散连接。现有评估严重依赖个别指标，而不是统一的多维标准，防御研究仍然主要是被动和事后的，有限整合了诸如水印来源和基于区块链的证据保存等全生命周期措施。同样重要的是，深度伪造在社交平台上的传播不能仅靠技术手段来遏制。法律工具——如欧盟人工智能法案 [13]、NIST 人工智能风险管理框架 [14] 和中国的生成式人工智能服务管理暂行办法——以及伦理约束如何嵌入技术管道，很少被系统地处理，导致实验室检测器与实际部署之间存在差距。

表 1 将本综述沿九个维度与代表性调查进行对比，包括扩散时代覆盖、多模态伪造、对抗鲁棒性、统一评估指标、治理、以线索为中心的分期和预测框架。现有调查提供了对生成、检测、数据集或可靠性的宝贵覆盖，但没有一个共同开发基于线索漂移的对抗框架、三轴评估矩阵和技术 - 法律 - 伦理治理映射。

为了澄清我们贡献的性质，本综述并不声称引入深度伪造检测的新数学理论。其新颖性在于将分析单位从生成架构或检测器家族转变为主导取证线索的失效、替换和重建。现有综述通常按方法类别组织文献，例如基于 GAN 的生成、基于自编码器的面部替换、扩散合成、手工检测器或深度神经检测器。此类分类法对于覆盖是有益的，但它们对为什么当新的生成流水线出现时检测范式变得过时的解释有限。

与以架构为中心的编年史相比，线索漂移视角更具解释力，因为它关注防御失败的机制。新的生成器不仅仅是因为它属于新的架构家族而使检测器失效；当检测器依赖的残余线索在跨生成器和跨域评估下被衰减、重新分布或变得无区分性时，它会使检测器失效。因此，当三个条件重合时发生线索迁移：(a) 以前的线索在生成内容中变得不那么可观察，(b) 在该线索上训练的检测器在转移到新数据分布时表现出退化，(c) 高阶线索家族比以前更稳定。因此，所提出周期中的过渡点应被解释为经验拐点区域，而不是由单一质量指标（如 FID）确定的阈值。这三个条件在逻辑上不是独立的：条件 (b) 通常是 (a) 的下游后果，因为检测器的转移性能受限于其训练的线索的区分能力。单独列出这些条件是因为从线索衰减到检测器退化的因果链可能被数据增强或架构创新打断，从而部分补偿线索减弱——当自混合训练 [21] 延长融合边界检测器的有效生命周期超过缝可见性降至人类感知阈值之下的点时，就观察到了这种现象。条件 (c) 引入了关于继任线索可用性的独立判断。通过“更稳定”，我们的意思是继任线索家族比衰减线索表现出更高的跨生成器和跨域区分能力，这是通过当训练和测试生成器不同时检测 AUC 的相对下降来衡量的。这种稳定性本身是一个经验主张，必须在每个提出的周期转换上进行验证；它不是由框架保证的。在极少数情况下，范式迁移可能发生而没有满足条件 (c)，例如，当检测社区出于工程方便采用新方法，而不是因为已确定可证明更稳定的线索时。此类情况将作为表 3 中证据强度较低的转换出现。FID 改进可能伴随线索衰减，但它既不是预测线索崩溃的必要条件也不是充分条件，因为检测器可能依赖频率、边界、时间、语义或来源线索，这些线索与感知真实性只有部分相关性。

这种线索漂移视角导致三个结构性贡献。首先，我们提出一个以线索为中心的分期框架，将领域解释为从频率伪影，到融合边界和深度表征线索，然后到语义、物理、跨模态和基于来源一致性的转换序列。其次，我们明确了预测含义：随着能力越来越强的生成器抑制事后视觉和频谱痕迹，下一个防御周期可能会更重视基于来源的验证，包括生成时水印 [22], [23], [24] 和密码学内容凭证 [25]。我们将此主张视为可证伪的实证命题，而不是假设；如果未来的主导检测器继续主要依赖事后取证痕迹而不是来源嵌入的凭证，线索漂移解释将需要修订。第三，我们将对抗周期视图与三轴评估矩阵联系起来，该矩阵联合考虑检测性能、生成质量和跨模态一致性，从而将方法比较与基准设计和面向治理的风险评估联系起来。

该框架旨在作为经验可修订模型，而不是封闭分类法。如果未来的语料库更新不再表现出按主导线索家族的时序聚类，如果新的生成器不衰减以前检测器针对的线索，或者如果下一代高性能检测器继续主要依赖事后视觉或频谱伪影而不是来源嵌入的凭证，则需要修订。

本文的其余部分组织如下。第 2 节描述系统性综述方法论，包括搜索协议、纳入标准和基于系统综述和荟萃分析首选报告项目（PRISMA）的选择过程。第 3 节追溯三个对抗周期中生成技术的演变，从 GAN 和自编码器到扩散模型和多模态伪造代理。第 4 节检查相应的检测方法演变，涵盖物理伪影、深度表征、鲁棒性机制、多模态一致性和主动防御。第 5 节整合代表性数据集和提出的三轴评估矩阵。第 6 节分析开放挑战、实际部署约束和技术 - 法律 - 伦理治理框架。第 7 节得出结论并概述未来方向。该工作旨在为学术界提供统一的分析范式，为从业者提供技术选择指导，为政策制定者提供可操作的治理参考，从而促进生成式 AI 的负责任发展。

章节片段
综述方法论
本综述遵循 PRISMA 2020 [26] 和 PRISMA-S [27] 作为定性系统性综述的报告框架。我们使用这些指南记录搜索来源、数据库特定查询、资格标准、筛选决定、编码规则和综合程序，而不是进行效应量池化或临床荟萃分析。

深度伪造生成技术的代际演变
深度伪造生成是指由显式建模自然数据分布的深度神经网络驱动的视听内容合成和操纵 [9]。与依赖手动操作的传统图像编辑工具不同，现代深度伪造流水线是端到端的，并表现出强大的跨域泛化能力，这使它们从被动工具转变为能够自我迭代的主动攻击范式。生成侧的每一次架构转变都施加了

深度伪造检测技术的演变
深度伪造检测旨在通过识别生成模型在高维特征空间中留下的统计痕迹和语义不一致来验证多媒体内容的真实性 [9]。定义性的挑战是泛化：与传统篡改检测不同，深度伪造取证必须应对移动目标，因为新的生成范式不断重塑伪造内容的残余签名 [116], [146]。基于 3.1.5 中引入的线索漂移分析

数据集与评估方法
基准数据集和评估指标共同锚定深度伪造研究的实证实践：数据集决定可观察哪些伪造分布，指标决定可量化哪些方法之间的差异。

两者都与生成技术共同演进，从以像素级误差评估的低分辨率单人脸替换，发展到通过感知、时间性和跨模态度量评估的多人脸多模态基准。

本节：深度伪造技术中的挑战与社会治理
仅靠技术对策无法弥合深度伪造生成与检测之间的差距。基于对抗周期框架，本节确定了四个部署面临的挑战：跨域泛化、多模态协调、可解释性与可追溯性，以及跨文化适应性。对于每个挑战，我们区分了可用的技术响应与所需的治理机制，以使该响应在实际中可审计、可执行且可用。

结论
本文综述了深度伪造技术的发展，证据来源于覆盖 1 月至 12 月的系统数据库搜索，并辅以截至 7 月的定向更新搜索和引文追踪。从对抗演化的角度来看，该综述追溯了生成范式——生成对抗网络（GANs）、自编码器和扩散模型——以及相应的检测范式如何通过三个重叠周期相互驱动。该综述做出了三项贡献，

CRediT 作者贡献声明
李孟泽：写作 – 初稿，调查，形式分析，概念化。梁刚：写作 – 审查与编辑，监督，资源，概念化。赵葵：写作 – 审查与编辑，监督。陈良银：写作 – 审查与编辑，监督。陈俊仁：写作 – 审查与编辑，监督。刘嘉一：写作 – 审查与编辑，监督。

利益冲突声明
作者声明，他们没有已知的竞争性财务利益或个人关系，这些因素可能被认为影响了本论文中报告的工作。

致谢
这项工作部分得到了国家自然科学基金（批准号：62162057）；四川省科技计划（批准号：2025ZNSFSC0509）的支持。

李孟泽正在中国成都四川大学攻读网络空间安全学士学位。他目前的研究兴趣包括深度伪造检测、多媒体安全、生成内容风险评估和网络空间安全。

李孟泽 | 梁刚 | 赵葵 | 陈良银 | 陈俊仁 | 刘嘉一
四川大学网络空间科学与技术学院，中国四川省成都，611731