arXiv cs.AI· Boyuan Chen, Minseok Kim, Sohaila Abdulsattar, Minghao Shao, Siddharth Garg, Ramesh Karri, Muhammad Shafique·· 10 天前AI 评分19
AdvWave-P 音频越狱在 Qwen2-Audio 上的频率与解码深度审计
Where Does the Audio Jailbreak Live? A Controlled Frequency-Depth Audit of AdvWave-P on Qwen2-Audio
AI 导读
研究对 Qwen2-Audio 上的加性音频越狱方法 AdvWave-P 的频率与解码深度主张进行审计，在 520 条 AdvBench 提示上主评判器将 76.7% 的对抗输入标记为越狱。
正文 · AI 翻译
摘要：我们审计了 AdvWave-P（一种针对 Qwen2-Audio 的加性音频越狱）的频率与解码器深度相关主张。该协议在短时傅里叶变换（STFT）域中掩蔽扰动的频率分量，并测量攻击成功率和音频跨度表示。在 520 条 AdvBench 提示上，主评判器将 76.7% 的对抗输入标记为越狱。一项条件盲、单标注者验证对该条件给出 Rogan-Gladen 灵敏度估计为 0.87（考虑验证率不确定性约为 0.83-0.95）；该校正未应用于掩蔽条件。表观频率排序取决于划分方式：仅能量占比即可预测标准八频段排序（Spearman's rho = 0.95），而等 Hz 和等能量划分表明，掩蔽任何受测频段都可能大幅降低攻击成功率。然而，在更细的 16 频段等能量分辨率下，掩蔽狭窄的 7520-7960 Hz 频段使 ASR 保持在 0.10，若无匹配对照，该结果仍无法解释。匹配能量的分散移除测试表明，连续移除在较低频段更具破坏性，而两种形式在上部频段均接近下限。全局重缩放使 ASR 接近基线，但测试的是幅度敏感性而非频率位置。在一项重新优化试点（n = 20）中，受测的单频段和双频段支撑分别达到 ASR 0.00、0.25 和 0.40，而覆盖约一半 STFT 频点的随机支撑达到均值 0.86。在经提示和能量调整的模型中，音频跨度散度与频段必要性相关，系数从投影器输出处的 +0.63 升至第 30 层的 +0.93（对比 +0.293，95% CI [0.11, 0.51]）。这种关联并非因果定位，且单层修补不能确立因果层。这些结果支持对频率主张进行划分感知的审计，同时将细分辨率顶频段结果和更广泛的普适性留待解决。
| 主题： | 声音 (cs.SD)；人工智能 (cs.AI)；密码学与安全 (cs.CR)；机器学习 (cs.LG) |
| 引用为： | arXiv:2610.07005 [cs.SD] |
| （或 arXiv:2610.07005v1 [cs.SD] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2610.07005 arXiv 颁发的 DOI 通过 DataCite（待注册） |
提交历史
来自：Boyuan Chen [查看电子邮件]
[v1]
2026 年 10 月 4 日星期日 11:28:03 UTC（754 KB）
来源：arXiv cs.AI · arxiv.org