В январе 2024 года десятки тысяч избирателей в Нью-Гэмпшире получили робозвонок якобы от Джо Байдена с призывом не голосовать на праймериз. Голос синтезировал сервис ElevenLabs, где мгновенное клонирование стоит от 5 долларов в месяц. Осенью 2026 года Scientific American напомнил о деле, где человек с клонированным голосом выдал себя за юриста и убедил крупный итальянский банк перевести около 95 миллионов евро. Вопрос «настоящий ли это голос» перестал быть технической диковинкой.

Что об этом известно из проверяемых работ, а что держится на одном авторском наблюдении и осторожных оговорках?

Эксперимент с 604 слушателями

Главная доказательная база по человеческому восприятию — рецензированное исследование Sarah Barrington, Emily A. Cooper и Hany Farid из Калифорнийского университета в Беркли (Scientific Reports, 31 марта 2025, открытый доступ). Авторы взяли записи 220 носителей английского языка из набора DeepSpeak, жителей США от 18 до 75 лет. Для каждого говорящего они создали клон через ElevenLabs Instant Voice Cloning, подав на вход всего две записи. Средняя длина фрагмента — 5,37 секунды, разброс от 0,88 до 52,57 секунды.

Слушателей было 604, задачи разные. В первой 304 человека слушали пару записей и отвечали, говорит ли один и тот же человек. Две настоящие записи одного говорящего почти всегда получали ответ «тот же человек» (медиана 100%). Пару «настоящая запись плюс клон» тоже считали одним голосом в большинстве случаев: медиана 83,3%. При этом два разных, но похожих голоса редко путали (медиана 11,1%). То есть участники не соглашались со всем подряд — клон действительно звучал как оригинал.

Во второй задаче 300 человек слушали записи по одной и классифицировали каждую как настоящую или сгенерированную. Средняя точность — 67,4% на настоящих записях и 60,8% на клонах. Для 21,0% участников результат на клонах оказался на уровне случайного угадывания или хуже. Авторы пишут, что люди часто принимают клон за голос того же человека и не могут надёжно определить, когда услышанный голос создан ИИ.

Оговорка из самой статьи: в эксперименте всё внимание участника было направлено на голос. В реальном разговоре человек занят содержанием, и его, вероятно, обмануть ещё проще.

Разговор подлиннее: предварительные данные

В основных экспериментах более длинные фрагменты и фрагменты без зачитывания текста давали более точные оценки. В дополнительном исследовании с 30 новыми слушателями медианная точность составила 83,3% для комбинированных записей, 76,7% для свободного рассказа и 56,7% для чтения заранее заданного текста. Отсюда авторы предлагают возможную тактику: втянуть собеседника в долгий разговор с открытыми вопросами.

Доказательство при этом предварительное. Связь длительности с точностью слабая или умеренная (коэффициент Спирмена rs = 0,245). В объединённой регрессионной модели эффекты длительности и формата записи не достигли статистической значимости, по-видимому, из-за корреляции между ними. Авторы прямо пишут, что нужен больший набор данных. «Задавайте открытые вопросы и говорите дольше» — разумная эвристика, а не проверенный тест с порогом.

Джиттер, шиммер и миф о «слишком чистом» голосе

Раньше подделку выдавала излишняя отполированность: в синтезе не было дыхания, пауз, «ээ» и «мм». Теперь эти элементы добавляют намеренно. Взгляд сместился на микроструктуру самой волны. Если сильно увеличить масштаб записи, каждое колебание голосовых складок видно как повторяющийся пик сигнала. Джиттер — вариации длительности этих циклов, шиммер — вариации высоты пиков. Детектирующие модели могут взвешивать такие параметры вместе с множеством других.

Здесь важно не переоценить источник. Сведения о джиттере и шиммере взяты не из рецензированного эксперимента, а из авторского теста в Scientific American. Журналист Shafik Quoraishee, имеющий опыт акустического анализа, сравнил около двух десятков предложений, произнесённых им самим и его клоном. При работающем обогревателе на фоне джиттер клона статистически не отличался от его собственного, а шиммер был ровнее. В тихой комнате клон оказался заметно «чище», с меньшим шумом под тоном во всех 12 предложениях, даже после имитации телефонного разговора.

Это наблюдение на одном голосе, без независимой проверки. Превращать его в правило «проверь шиммер — и узнаешь подделку» нельзя. Само исследование Barrington и коллег показывает, почему бытовые признаки ненадёжны: участники упоминали фоновый шум 79 раз, но статистического эффекта шума на точность не нашли. Авторы советуют шум как признак игнорировать и слушать сам голос.

Почему одного показателя мало

Спектральный анализ, то есть карта изменения частот во времени, может выдать характерные особенности конкретного инструмента клонирования. Но, по словам Barrington, «не существует единой меры, которая работала бы для всех сервисов». Детекторы, обученные на сигнатурах одного провайдера, «часто плохо переносятся на других». Телефонный канал сжимает и искажает звук, стирая значительную часть криминалистических деталей. Отсюда вывод Scientific American: нужен набор инструментов, а не одна акустическая метрика.

Криминалистические методы в целом превосходят человека по отдельным характеристикам, но работают асинхронно, после записи, а не в реальном времени во время звонка. Синхронная проверка на стороне оператора связи подняла бы вопросы приватности, и ей потребовалась бы очень высокая точность, чтобы не давать ложных тревог и ложного чувства защищённости.

Экономика тоже против детектора. Farid в интервью Scientific American в 2024 году говорил, что обнаружение сложнее генерации из-за тонких признаков и растущего качества подделок, а среди общедоступных инструментов не назвал ни одного достаточно надёжного.

Водяные знаки: замок, а не сейф

Наиболее перспективный на сегодня механизм — встроенная метка происхождения. Некоторые производители, например Google, прячут в сгенерированном звуке неслышимый водяной знак: малозаметные изменения по всему сигналу, которые сохраняются в файле и считываются детектором позже. Но метка не гарантирует безопасность: запись можно изменить так, что знак исчезнет, а в части открытых программ он необязателен. Авторы Scientific Reports добавляют: если не все генераторы ставят метки, мошенники уйдут к тем, кто их не ставит. Barrington сравнивает хороший водяной знак с запертой дверью, которая «отсекает 99 процентов плохих случаев».

Механика меток в звуке родственна маркировке сгенерированных изображений, но у изображений свои слабые места: в материале о том, сохраняются ли водяные знаки ИИ-изображений при обучении новых моделей, разобрано, как метка переживает последующую обработку.

Что делать практически

Слух — плохой детектор. Признак «слишком чистый голос» устарел, фоновый шум неинформативен, а джиттер и шиммер имеют смысл только как часть комплексной акустической экспертизы, не как домашний тест. При подозрительном звонке разумно выйти за пределы канала: перезвонить по известному номеру, задать вопрос, ответ на который знает только настоящий собеседник. Долгий разговор с открытыми вопросами даёт какой-то шанс, но подтверждён он пока предварительными данными.

Системное решение лежит не в ушах слушателя, а в сочетании водяных знаков у генераторов и набора криминалистических инструментов у приёмника. Открытый научный вопрос — проверенные признаки для обнаружения клона в реальном времени по телефонному каналу: надёжного набора сегодня нет.

Источники

Материал подготовлен как научно-популярный обзор иностранных публикаций; он не является собственным исследованием редакции или рецензируемой статьёй.

Схема показывает путь от двух исходных записей к клону, низкую точность человеческого распознавания и комплексные способы проверки

Фото: Vitaly Gariev / Pexels