生成式扩散模型守护无人机隐蔽跟踪

论文元信息

标题：面向安全无人机通感一体与实时目标跟踪的生成扩散模型。

作者：Homa Nikbakht、Yonina C. Eldar、H. Vincent Poor。

来源：arXiv:2610.28309，提交于 2026 年 10 月 20 日，主分类为信息论。全文见 https://arxiv.org/abs/2610.28309 。

代码状态：截至 2026 年 10 月 28 日，按论文标题、核心术语和作者姓名检索，没有找到作者公开的实现仓库。本文关于训练与部署的描述只能作为方法说明，不能等同于已经核验过的代码。

一句话总结

论文指出了一个比“消息泄露”更隐蔽的安全问题：即使窃听者不解读通信内容，只要看到周期性数据流上是否多出一段触发消息，也能判断无人机是否发现了进入保护区的目标。作者用条件去噪扩散隐式模型，在每个时隙生成与真实消息无关的守护波形，使“触发”和“未触发”两种流量在窃听端的分布尽量相同，同时用扩展卡尔曼滤波、后验克拉美罗界和波束功率分配维持跟踪、通信与隐蔽性之间的平衡。

图 1：双功能无人机一边照射并跟踪移动目标，一边向合法用户发送持续存在的周期流和事件触发的非周期消息；窃听者只观察下行流量，也能尝试推断触发状态（论文图 1）。

研究背景与动机

无人机通感一体系统试图让同一套阵列、同一段频谱和同一份功率预算同时完成雷达感知与无线通信。对于巡检、警戒和应急任务，无人机需要持续估计移动目标的位置，并在目标进入某个受保护区域时向地面站发出告警。这个流程看似是“感知负责判断、通信负责传话”，实际上两条链路共享发射资源，感知结果还会直接改变下行流量的时间结构，因此安全问题不能只检查消息是否被解开。

传统物理层安全通常保护消息内容，或者隐藏某一段传输是否发生。人工噪声、波束零陷和保密编码可以降低窃听端的信噪比；隐蔽通信则让单次传输在统计上接近“根本没有发送”。但本文的场景一直存在周期流，发射机本来就在工作。触发事件并没有制造一次从无到有的传输，而是在原有周期流之上叠加一条非周期消息。内容加密和开关式隐蔽在这里都没有覆盖真正泄露的量：流量组成随时间发生了什么变化。

这一泄露与消息语义无关。窃听者可以完全不解码，只比较当前时隙的接收波形与历史周期流是否吻合。若触发时出现额外的固定码字，接收功率、相关峰或子空间结构就会发生变化。论文把这种威胁称为“流量组成隐蔽性”，它要求的是触发时隙与非触发时隙的观测分布不可区分，而不是要求某条消息看不懂。

只靠 dummy 消息也不够。无人机可以在未触发时发送公开的假消息，让每个时隙都有非周期流，从而隐藏简单的“开”和“关”。然而消息码字与假消息码字仍是公共码本中的固定点。中高信噪比下，窃听者可以对所有码字逐一相关，先恢复当前索引，再检查它属于真实消息集合还是 dummy 集合。能量相等只能隐藏码字功率，不能隐藏码字在信号空间中的几何位置。

因此，作者需要一种不依赖共享密钥的随机化机制。若发送方和合法用户事先共享随机种子，接收方可以重建并抵消人工噪声；但无人机可能被捕获，密钥分发和保护本身也有风险。本文的设计让守护波形的分布公开、每次实现随机，合法用户只知道生成器、公开标签和训练好的分布，却不知道当前时隙抽到了哪一份波形。这样，随机性无法被直接抵消，只能通过消息分布或学习到的去噪器来利用。代价是隐蔽性、通信可靠性和感知精度必须在同一个功率预算里竞争。

系统模型与威胁定义

无人机悬停在高度 $H$ 处，使用 $N$ 阵元均匀线阵。目标在二维地面上以近匀速运动，合法用户 Bob 位于坐标 $\mathbf{p}_b$，保护区域 $\mathcal{R}$ 是以 Bob 为圆心、半径 $R_0=40$ 米的圆盘。系统把飞行划分为 $L$ 个时隙。每个时隙都发送新的周期消息 $m_{p,\ell}$，其公开短码把消息映射到能量恒定的码字。只有感知层判断目标进入保护区时，才在周期流上叠加一条非周期告警消息。

下行任意地面方向的观测都由发射方向与阵列导向矢量的内积决定。若某个波束跟随目标估计值，波束增益会随跟踪结果变化，而增益本身又会被窃听者观察，于是形成另一条侧信道。论文因此要求所有发射方向与感知测量独立：不把窄波束指向当前目标，而是用固定区域波束照亮整个保护区。目标在固定波束内移动时，回波信噪比会变化，但发射波束不会把“我现在认为目标在哪”直接告诉外部观察者。

方向余弦是连接三维无人机位置与地面阵列几何的变量：

$$u(\mathbf{p}):=\frac{x_p}{\sqrt{H^2+\|\mathbf{p}\|^2}}.\tag{1}$$

它把地面点的横向坐标转换成均匀线阵看到的到达方向。由于无人机悬停、Bob 与保护区位置固定，区域波束和零陷方向可以在部署前计算；目标运动只改变回波测量，不改变三个固定发射方向。

设触发状态为 $a[\ell]\in\{0,1\}$。非周期流每个时隙都发送，但在未触发时从公开 dummy 集合中随机选择索引，在触发时选择真实消息索引：

$$\tilde m_{a,\ell}=\begin{cases}m_{a,\ell},&a[\ell]=1,\\d_\ell,&a[\ell]=0,\end{cases}\qquad \mathbf X_{a,\ell}:=\mathbf X_a(\tilde m_{a,\ell}).\tag{2}$$

所有非周期码字都被投影到同一功率壳面，因此仅比较码字能量无法区分真实消息与 dummy。真正需要训练的是码字几何和守护波形分布，使两类索引经过随机波形叠加后，在 Eve 端尽量服从同一观测分布。

跟踪、PCRB 与触发规则

目标状态由位置和速度组成，即 $\mathbf{x}[\ell]=[x_t,\dot{x}_t,y_t,\dot{y}_t]^T$。相邻时隙很短，论文采用近匀速模型，并用过程噪声吸收刹车、加速或转向。毫米波式回波测量包含距离、径向速度和方位角，观测映射是非线性的，因此系统用扩展卡尔曼滤波进行预测与更新。滤波器的协方差很直观，但它依赖线性化，论文没有把 EKF 的自信程度直接当作触发置信度。

感知质量由后验克拉美罗界衡量。对状态 $\mathbf{x}[\ell]$ 和截至当前时隙的观测，任意估计器的误差协方差都受贝叶斯费舍尔信息矩阵约束。线性高斯动力学下，信息矩阵递推为：

$$\mathbf{J}[\ell|\ell-1]=\left(\mathbf{Q}_n+\boldsymbol{\Phi}\mathbf{J}[\ell-1]^{-1}\boldsymbol{\Phi}^{T}\right)^{-1},\qquad \mathbf{J}[\ell]=\mathbf{J}[\ell|\ell-1]+\mathbb{E}\left[\mathbf{H}^{T}\mathbf{R}_s^{-1}\mathbf{H}\right].\tag{3}$$

预测步传播已有信息，更新步加入当前回波信息。$\mathbf{H}$ 是观测映射的雅可比矩阵，$\mathbf{R}_s$ 是距离、径向速度和角度估计误差的协方差。位置 PCRB 取逆信息矩阵中两个位置分量的对角和，数值越小代表理论上可达到的位置误差越低。

发射设计通过波束图影响目标方向收到的平均功率，再影响回波信噪比和观测协方差。对目标方向 $u_t$，简化的回波关系可以写成：

$$\mathrm{SNR}_s[\ell]=\varsigma B(u_t[\ell])\left(\frac{d_{\mathrm{ref}}}{d_{ut}[\ell]}\right)^4.\tag{4}$$

其中 $\varsigma$ 是参考距离 $d_{\mathrm{ref}}$ 和全向照明下的基准信噪比，$B(u_t)$ 是归一化波束增益，四次方项反映双程传播损耗。增加守护波形中用于照亮保护区的比例，会提高回波质量和感知精度，但也会减少真正朝向 Eve 的遮蔽功率。

触发时，系统把预测位置视为高斯信念，计算该信念落在保护圆盘内的概率，再与阈值比较：

$$p_{\mathrm{trigger}}[\ell]=\Pr_{\mathbf{p}\sim\mathcal{N}(\boldsymbol{\mu}_\ell,\boldsymbol{\Sigma}_\ell)}(\mathbf{p}\in\mathcal{R}),\qquad a[\ell]=\mathbf{1}\{p_{\mathrm{trigger}}[\ell]\ge\rho\}.\tag{5}$$

这里 $\boldsymbol{\Sigma}_\ell$ 使用预测 PCRB 的位置子矩阵，而不是 EKF 自己报告的协方差。高斯椭圆与圆盘的交叠概率本没有闭式解，论文先用 Cholesky 分解白化，再把二维高斯写成极坐标；角度保持均匀，半径积分可以解析完成，最终只剩一维角积分，并用数百个梯形节点计算。这个设计避免蒙特卡洛触发带来的随机抖动，也让触发概率在边界附近更稳定。

生成式守护波形

系统叠加三条固定方向的波形：一条区域照明流承载周期消息，一条指向 Bob 的流承载真实或 dummy 码字，一条守护波形在“照亮保护区”和“遮蔽 Eve”之间分配功率。守护方向不能直接指向 Eve，否则会暴露已知位置；它也不能破坏 Bob 方向上的零陷。作者先在 Bob 的零空间内找到两个候选方向，一个最接近区域波束，一个最接近 Eve 导向矢量，再用 $\omega$ 组合。

组合与归一化写成：

$$\mathbf{v}(\omega)=\frac{\sqrt{\omega}\tilde{\mathbf{v}}_r+\sqrt{1-\omega}\tilde{\mathbf{v}}_e}{\left\|\sqrt{\omega}\tilde{\mathbf{v}}_r+\sqrt{1-\omega}\tilde{\mathbf{v}}_e\right\|}.\tag{6}$$

两个分量都位于 Bob 方向的零空间，因此无论 $\omega$ 取何值，合法用户方向上的守护波形成分为零。$\omega=1$ 时全部守护功率用于区域照明，感知更好但 Eve 处遮蔽更弱；$\omega=0$ 时更多功率朝 Eve 方向泄漏，隐蔽性更好但目标回波更弱。这种矛盾正是论文要画的“隐蔽性—感知”工作曲线。

完整发射矩阵把周期流、非周期码字与守护波形叠加：

$$\mathbf U_\ell=\sqrt{\lambda\mathsf P}\mathbf w_R\mathbf X_{p,\ell}+\sqrt{(1-\lambda)\gamma\mathsf P}\frac{\mathbf a(u_b)}{\sqrt N}\mathbf X_{a,\ell}+\sqrt{(1-\lambda)(1-\gamma)\mathsf P}\mathbf v(\omega)\mathbf W_{\theta,\ell}.\tag{7}$$

$\lambda$ 是周期流与非周期流的功率分界，$\gamma$ 决定非周期功率中码字与守护波形各占多少，$\mathsf P$ 是总功率。这个表达式说明安全并不是附加模块：守护波形直接占据通信和感知共享的发射预算，任何提高隐蔽性的选择都会改变回波质量和 Bob 的误块率。

守护波形由条件 DDIM 生成。前向扩散把干净波形 $\mathbf{w}_0$ 逐渐变成高斯噪声，反向过程从随机初值开始，在公开标签 $\psi_\ell$ 条件下预测每一步所含噪声。实际部署只走 $K$ 个反向步，而不是完整扩散链。DDIM 更新可写为：

$$\mathbf w_{t-1}=\sqrt{\alpha_{t-1}}\hat{\mathbf w}_0+\sqrt{1-\alpha_{t-1}-\sigma_t^2}\,\boldsymbol\varepsilon_\theta(\mathbf w_t,t\mid\psi)+\sigma_t\boldsymbol\xi_t.\tag{8}$$

其中 $\hat{\mathbf w}_0$ 是网络由当前状态和噪声估计还原出的干净波形，$\sigma_t$ 由随机性参数 $\eta$ 控制。每个时隙重新抽取高斯初值，生成结果与真实消息索引独立，因此即使 Eve 知道生成器权重，也不知道该时隙具体抽到了哪一条实现。公开可知道分布并不破坏隐蔽性，秘密的是随机抽样结果，而非模型本身。

Bob 不共享种子，不能直接重建 $\mathbf{W}_{\theta,\ell}$。论文给出两条无密钥接收规则。第一条把守护波形近似成同功率白噪声，再对每个候选做最小距离判决：

$$\hat m=\arg\min_m\left\|\mathbf r_m-\hat{\mathbf W}_m\right\|^2.\tag{9}$$

第二条更符合生成分布：Bob 先用公开生成器离线采样大量守护波形，训练一个去噪网络，再用 Tweedie 公式从候选残差中估计守护实现。若候选正确，残差减去估计后更接近同一生成分布；若候选错误，候选码字会留下结构性偏差。最终仍按重构误差最小者解码。多天线场景中守护波形在 Bob 方向被零陷，第一条规则已经接近最优；单天线或零陷不完美时，训练去噪器的优势更明显。

训练目标与隐蔽性度量

论文把总变化距离作为衡量两个条件分布差异的严格指标。触发与未触发分布分别为 $P_\psi^{(1)}$ 和 $P_\psi^{(0)}$，若 Eve 的最优检测准确率接近 $0.5$，说明她只能盲猜。检测准确率与总变化距离满足：

$$P_e=\frac{1}{2}\left(1-d_{\mathrm{TV}}\left(P_\psi^{(0)},P_\psi^{(1)}\right)\right).\tag{10}$$

直接在训练中最小化总变化距离很困难，因为生成器只提供样本，不提供显式密度，而且总变化距离内部含有对所有检测事件取上确界。作者采用两个互补的可微代理：一是最小化两类观测之间的最大均值差异，二是让一个对抗分类器无法从观测判断触发状态。

最大均值差异在核函数 $k$ 下写成：

$$\mathrm{MMD}_k^2(P,Q)=\mathbb E[k(y,y')]+\mathbb E[k(w,w')]-2\mathbb E[k(y,w)].\tag{11}$$

它只依赖样本，可以从每个训练批次估计，并对扩散采样链反向传播。对抗项则最大化分类器判断准确率，同时最小化生成器让分类器看到的后验与均匀分布之差。一个分类器看不出并不构成安全证明，因此论文还训练独立的后验检测器做最终评估，并报告知道模型、码本、波束增益和信道的最强模型感知 Eve。

通信可靠性用非周期消息的误块率约束。由于误块率是离散事件，训练时用联合训练解码网络的交叉熵代替。训练还会惩罚守护样本均值中的共同能量，并奖励近邻样本的分散程度，防止生成器退化为同一条固定波形。码本在每次更新后重新投影到功率壳面，生成器的反向梯度需要穿过全部 DDIM 步，因此计算成本明显高于普通人工噪声训练。

联合设计可概括为：

$$\max_{\theta,\mathbf X_a,\lambda,\gamma,\omega}\ R_a\quad\text{s.t.}\quad d_{\mathrm{TV}}\le\epsilon_E,\quad \epsilon_a\le\bar\epsilon_a,\quad \overline{\mathrm{PCRB}}_{\mathrm{pos}}\le\epsilon_s.\tag{12}$$

给定有限的非周期码本大小 $M_a$，单时隙速率为 $R_a=(\log_2M_a)/n$。四个离散或低维设计变量先做网格扫描，神经网络参数和码本则用带惩罚的端到端训练求驻点。最终报告的不是训练损失，而是在新检测器下测到的隐蔽性、Bob 的实际误块率和 PCRB 递推结果。

flowchart TD
    S["UAV echo measurements"] --> EKF["EKF predict and update"]
    EKF --> PCRB["PCRB confidence"]
    PCRB --> T["Disc-integral trigger probability"]
    T --> A{"Trigger state"}
    A -->|inside region| M["Real aperiodic index"]
    A -->|outside region| D["Public dummy index"]
    N["Per-slot Gaussian draw"] --> DDIM["Conditional DDIM safeguard"]
    M --> C["Public equal-power codebook"]
    D --> C
    C --> X["Superpose periodic, aperiodic, safeguard"]
    DDIM --> X
    X --> B["Bob null-space reception and decoding"]
    X --> V["Eve traffic detector"]
    R["Region-illumination beam"] --> EKF
    R --> X

实验设置与跟踪结果

仿真中无人机高度 $H=100$ 米、阵元数默认 $N=8$，飞行包含 $L=200$ 个时隙，每时隙持续 $0.1$ 秒、承载 $n=64$ 个符号。目标从 $(100,20)$ 米以 $(-5,-3.5)$ 米每秒初速度运动，穿过半径 40 米的保护区。默认 Bob 信噪比 10 dB、Eve 信噪比 5 dB，功率份额 $\lambda=0.6$、$\gamma=0.5$、$\omega=0.5$，非周期消息大小 $M_a=4$。

生成器是三层一维卷积网络，用特征级线性调制注入公开标签，采样 6 个 DDIM 步。Eve 的“学习型检测器”用 12000 个训练时隙和 8000 个测试时隙；模型感知检测器则知道码本、功率、信道和公开生成器，用 40000 个公开守护样本估计似然，再在 4000 个测试时隙上判决。前者代表黑盒攻击，后者更接近最强的知情攻击，因此论文主要用后者的数字判断安全边界。

图 2：区域照明扇区与两个 Eve 位置。Eve 1 位于 Bob 主瓣内并靠近保护区，Eve 2 位于主瓣外；同一个守护波束分配对两者的泄漏强度完全不同（论文图 3(a)）。

单次飞行中，EKF 的位置均方根误差为 0.69 米。目标真实位于保护区内的时隙有 123 个，基于 PCRB 信念的触发在其中 120 个时隙有效，没有在区外产生误触发。漏掉的 3 个时隙集中在两次边界穿越附近：进入后延迟两个时隙启动，离开前提前一个时隙关闭。原因不是滤波器发散，而是目标的位置信念跨在圆盘边界上，阈值 0.9 使系统等待后验概率足够高才发告警。

指标	结果	含义
EKF 全程位置 RMSE	0.69 米	固定区域波束下仍能维持亚米级跟踪
真实位于保护区	123 个时隙	以真实轨迹作为触发标签的基数
正确触发	120 个时隙	区内命中率 97.6%
区内漏触发	3 个时隙	全部发生在边界信念不确定时
区外误触发	0 个时隙	保守触发避免把正常飞行判成入侵

表 1：跟踪与触发结果。触发误差与时序边界有关，而不是单纯的定位误差。

图 3：保护区占用与触发概率。灰色区间是真实在区内的时隙，三处红色边界差异体现了保守阈值带来的进入延迟和离开提前（论文图 2(b)）。

隐蔽性与感知权衡

图 4 扫描守护波束分配 $\omega$，每换一个工作点都重新训练生成器，并把 Bob 的误块率固定在 $10^{-3}$。当 Eve 1 位于 Bob 主瓣内、其信噪比为 5 dB 时，学习型检测器始终接近 0.53，看起来几乎只能盲猜；但模型感知 Eve 的准确率达到 0.71 至 0.73。这个差距说明黑盒神经检测器低估了泄漏，不能把 0.53 当作安全已经充分的证据。

把 Eve 信噪比提高到 20 dB 后，学习型 Eve 升到 0.66 至 0.75，模型感知 Eve 则升到 0.84 至 0.92。Eve 的优势来自更低的观测噪声，而不是偷到密钥；守护波形虽然让当前实现不可预测，却无法消除公开分布与有限码字几何留下的统计差异。对主瓣内 Eve 而言，增大 $\omega$ 会把守护能量从 Eve 移向区域照明，模型感知准确率随之上升，因此“更多照明”同时意味着更好感知和更差隐蔽性。

同一扫描中，平均位置 PCRB 只从 0.59 平方米变化到 0.70 平方米。这个跨度看似不大，却足以让设计者在安全与感知之间选工作点。对位于主瓣外的 Eve 2，学习型检测器距离 0.5 不超过 0.02，模型感知 Eve 在 5 dB 时为 0.53 至 0.55，在 20 dB 时为 0.60 至 0.64。把守护功率浪费在泄漏本来就弱的 Eve 2 上只会牺牲感知，所以波束分配应依据可观测的泄漏几何，而不是对所有方向平均用力。

图 4：Eve 检测准确率随守护波束分配变化。主瓣内 Eve 随信噪比和区域照明比例增强而更容易识别触发，黑盒学习器与模型感知检测器之间存在明显安全评估差距（论文图 3(b)）。

场景	Eve 检测器	Eve 信噪比 5 dB	Eve 信噪比 20 dB	解释
Bob 主瓣内 Eve 1	学习型	约 0.53	0.66 至 0.75	接近盲猜但随噪声降低而失效
Bob 主瓣内 Eve 1	模型感知	0.71 至 0.73	0.84 至 0.92	知情检测器揭示真实泄漏
主瓣外 Eve 2	学习型	0.50 附近	0.50 附近	与盲猜相差不超过 0.02
主瓣外 Eve 2	模型感知	0.53 至 0.55	0.60 至 0.64	方向几何提供额外隔离
平均位置 PCRB	不适用	0.59 至 0.70 平方米		感知代价随 $\omega$ 变化

表 2：隐蔽性与感知的主要数字。模型感知检测器比学习型检测器更接近真实泄漏上界。

隐蔽性与通信可靠性

多天线系统可以在 Bob 方向形成零陷，因此守护波形主要干扰 Eve，而不直接进入合法接收机。单天线系统没有空间零陷，Eve 与 Bob 观察同一路信号，守护波形也进入 Bob 的接收端。论文用这个更苛刻的设置画出隐蔽性与可靠性的前沿，并扫描对抗损失权重 $\lambda_{\mathrm{adv}}$。权重从 0.05 增至 5 时，学习型 Eve 从 0.96 降到 0.53，模型感知 Eve 从 0.98 降到 0.66，隐蔽性显著提高，但 Bob 的误块率也随之上升。

论文还比较了把 DDIM 替换成同功率高斯守护波形的结果。当 Bob 误块率接近时，所提方案与重训练高斯在 $\lambda_{\mathrm{adv}}=5$ 处分别约为 $1.1\times10^{-2}$ 和 $1.2\times10^{-2}$，但模型感知 Eve 是 0.66 对 0.80，学习型 Eve 是 0.53 对 0.74。差异说明收益来自可训练的分布形状，而不只是“加入随机噪声”。高斯噪声把能量均匀铺开，无法专门填补真实码字与 dummy 码字之间的几何缝隙。

解码器的设计也直接影响可靠性。单天线、$M_a=64$、固定工作点时，各向同性最大似然接收机把守护波形当作白噪声，误块率停留在 $3.0\times10^{-3}$ 至 $5.9\times10^{-3}$；训练去噪器则从候选残差中估计守护实现并扣除，误块率降到 $3.3\times10^{-4}$。码本越大，真实码字与 dummy 越密集，盲目把守护波形当噪声的损失越明显，而利用公开生成分布的价值越高。

图 5：隐蔽性与可靠性前沿。对抗权重提高后 Eve 更难识别触发，但 Bob 的误块率上升；可训练守护分布在相近可靠性下优于匹配功率高斯（论文图 4(a)）。

Eve 信噪比从 0 dB 增到 12 dB 时，无守护波形方案的学习型 Eve 从 0.69 升到 0.80，模型感知 Eve 从 0.76 升到 0.87。有守护波形时，学习型 Eve 维持在 0.54 至 0.55，模型感知 Eve 仅从 0.66 升到 0.74。代价是 Bob 的误块率从 $4.4\times10^{-4}$ 升到 $5.2\times10^{-3}$。这个结果给出安全边界：无密钥方案不能让 Eve 的优势消失，只能把“容易解码”的随机性做成公开但当前实现未知，因而噪声差仍会转化为检测优势。

比较项	低对抗强度或低 Eve 信噪比	高对抗强度或高 Eve 信噪比	结论
学习型 Eve	0.96（对抗权重 0.05）	0.53（对抗权重 5）	黑盒检测能力随训练明显下降
模型感知 Eve	0.98	0.66	知情攻击仍保留可观准确率
Bob 误块率	接近底部	$1.1\times10^{-2}$	隐蔽性不是免费的
匹配功率高斯，模型感知 Eve	—	0.80	明显弱于生成式守护
无守护，学习型 Eve，Eve 0 至 12 dB	0.69	0.80	固定码字几何持续泄露
有守护，学习型 Eve，Eve 0 至 12 dB	0.54	0.55	黑盒检测器接近饱和
有守护，Bob 误块率，Eve 0 至 12 dB	$4.4\times10^{-4}$	$5.2\times10^{-3}$	强 Eve 迫使码字更难分

表 3：对抗强度与 Eve 信噪比的综合结果。数据来自论文图 4 和图 5。

图 6：Eve 信噪比从 0 dB 增至 12 dB。守护波形显著压低学习型检测器，但模型感知检测器仍随 Eve 接收质量上升（论文图 5(a)）。

接收机、码本与方向误差

在 Bob 信噪比从 4 dB 到 14 dB 的扫描中，去噪器接收机从 0.17 的误块率降到低于 $10^{-4}$，各向同性最大似然在 10 dB 时仍为 $1.1\times10^{-2}$，在 14 dB 时为 $1.1\times10^{-3}$。两者在 $M_a\le8$ 时几乎重合，因为码字间隔较大，守护波形是否被结构化扣除并不重要；码本增大后，去噪器能利用生成分布恢复间隔，而白噪声近似把可恢复的随机性误当成不可恢复噪声。

图 7：两种无密钥接收规则。去噪器在训练信噪比附近及更高信噪比下明显优于把守护波形视为白噪声的接收机（论文图 6(a)）。

最后一组实验检查 Eve 方向不确定性。名义训练假设 Eve 在估计方向，测试则把真实方向误差放在 $[-0.1,0.1]$ 内。误差为零时模型感知准确率约 0.69；误差把 Eve 推向更接近 Bob 的方向时，准确率升到 0.81；方向远离时降到 0.53。靠近 Bob 后，信息流在 Eve 处的幅度增强，守护波形在 Bob 零陷附近的幅度减弱，空间隔离几乎失效。鲁棒训练在误差区间内随机采样方向，与名义训练在各测试点的差异不超过 0.01，说明平均约束能改善稳健性，但不能改变最坏点的物理泄漏。

图 8：Eve 方向误差敏感度。当 Eve 接近 Bob 方向时，信息泄露增强而守护零陷减弱，模型感知准确率从 0.69 升到约 0.81（论文图 8(a)）。

实验维度	设置	关键结果	解释
Bob 信噪比	4 至 14 dB	去噪器误块率 0.17 降至低于 $10^{-4}$	生成分布恢复随接收质量改善
各向同性最大似然	10 dB / 14 dB	$1.1\times10^{-2}$ / $1.1\times10^{-3}$	忽略守护结构会损失可靠性
码本大小	$M_a=32$	去噪器 $7.9\times10^{-4}$	码字变密后结构恢复更关键
码本大小	$M_a=64$	去噪器 $3.3\times10^{-4}$	仍显著优于白噪声近似
Eve 方向误差	$-0.1$ / $0$ / $0.1$	0.81 / 0.69 / 0.53	靠近 Bob 是最危险的方向

表 4：接收机与方向敏感性。这里的准确率均指模型感知 Eve 的触发检测能力。

局限与适用边界

作者明确把分析限制在单个被动、单天线 Eve、单目标和悬停无人机上。真实警戒任务可能同时面对多个协作窃听者，它们还可以把跨多个时隙的观测联合起来检测。本文的安全约束主要逐时隙定义，虽然训练会覆盖随机标签和信道，但没有解决“连续 200 个时隙里只出现几次微弱偏差”这类累积检测问题。

作者也把多目标、多用户、无人机轨迹优化和生成式随机编码器的信息论可达速率分析列为未来工作。无人机若必须移动，固定区域波束、目标方向余弦和 Eve 零陷都会随时间变化，当前“所有发射方向与测量独立且整段飞行固定”的前提需要重新设计。实际阵列还存在校准误差、互耦、载频偏移和信道估计误差，论文的理想导向矢量不会自动覆盖这些影响。

独立来看，最需要警惕的是模型感知 Eve 的数字。即使在 5 dB、Bob 主瓣内，模型感知准确率仍有 0.71 至 0.73，并不是严格的 0.5 盲猜；在 20 dB 时达到 0.84 至 0.92。学习型检测器的 0.53 更像一次黑盒攻击失败，而不是可证明的隐蔽性。论文自己也承认，检测器能够暴露泄漏，但不能证明泄漏不存在；反过来，一次训练不够强的检测器给出 0.5，也不能证明系统安全。

其次是方向误差。名义训练在 Eve 靠近 Bob 时准确率升至 0.81，说明空间零陷是保护成立的关键条件之一。鲁棒训练只在平均误差上约束，不能保证最坏点同样安全。真实部署若只能粗略知道 Eve 方位，或者 Eve 就在合法用户附近，多天线优势会迅速退化到接近单天线问题。

最后，所有结果都来自数值仿真。论文没有给出真实无人机、射频前端、移动目标反射或现场窃听测量，也没有公开代码和训练检查点。0.69 米跟踪误差、0.59 至 0.70 平方米 PCRB 和各级误块率都依赖特定的 100 米高度、8 阵元、0.1 秒时隙和传播模型。它们足以证明方法在假设模型内可行，但还不能直接外推到复杂城市环境。

结论与启示

这项工作最重要的贡献不是把扩散模型塞进通信系统，而是重新界定了泄露对象。过去的安全设计常问“消息能否被解开”或“发射是否存在”，本文指出只要事件驱动的额外流量改变了可观察的时间组成，感知结果就会以元数据形式泄露。要把这类泄露压下去，随机性必须持续存在、与消息无关、对合法端可学习利用，同时不能破坏感知照明和通信解码。

DDIM 在这里承担的是可训练随机编码器。公开模型和公开标签负责让 Bob 知道随机性的分布，逐时隙新抽的初值负责让 Eve 不知道当前实现。联合训练同时塑造码字几何、守护波形分布和功率分配，使守护波形不只是覆盖整段频谱的噪声，而是主动填补真实消息与 dummy 之间的统计缝隙。对机器人网络而言，这提示安全设计必须把感知触发、通信协议和物理层波形放在同一张系统图上。

这篇论文仍是一份边界清晰的可行性研究，而不是已经可部署的无人机安全方案。它证明了扩散生成分布可以在仿真中显著改善流量组成隐蔽性，也诚实地暴露了模型感知攻击、方向误差、单目标假设和缺少真实测量的限制。后续工作若要把结论推进到现场，至少需要多时隙联合攻击、校准误差、移动平台、多目标和真实射频实验共同加入评估。

金句

感知结果不只藏在消息里，也藏在流量何时改变形状。

守护波形不是噪声越大越好，而是要成为可训练、不可预知、合法端仍能利用的随机分布。

参考链接

论文摘要与全文：https://arxiv.org/abs/2610.28309
公开代码：未检索到作者实现。