AdvWave-P音频越狱在Qwen2-Audio上的频率深度审计

该论文针对Additive Audio Jailbreak（AdvWave-P）在Qwen2-Audio模型上的攻击机制进行了受控的频率与解码器深度审计。研究通过短时傅里叶变换（STFT）域掩蔽扰动频率分量，在520个AdvBench提示词上测得初始越狱成功率为76.7%，经Rogan-Gladen修正后的敏感度估计为0.87。实验发现，虽然能量占比能预测标准八频段排名，但在16频段等能量分辨率下，掩蔽7520-7960 Hz的窄带会导致攻击成功率（ASR）骤降至0.10，且该结果缺乏匹配对照无法完全确认因果。 进一步分析表明，连续移除低频段比分散移除更具破坏性，而两种形式在高频段均接近底限。重优化试点显示，单频段或双频段支持可将ASR降至0.00至0.40，而覆盖约一半STFT bin的随机支持平均ASR仍高达0.86。此外，音频跨度发散与频段必要性相关，系数从投影层输出的+0.63上升至第30层的+0.93，但作者明确指出这种关联并非因果定位，单层修补也无法确立因果层。 事实层面，研究证实了特定高频窄带对AdvWave-P攻击的关键作用，以及不同移除策略对ASR的影响差异；推断层面，这暗示现有音频对抗样本可能在特定频点存在未被充分挖掘的防御窗口；猜测层面，由于缺乏匹配对照和因果证明，该高频弱点是否具备通用性仍需更多验证。结论强调需采用分块感知的审计方法来评估频率声明，而非依赖单一的全局指标。

摘自 arXiv cs.CR

还没有足够的连续观测数据，暂不绘制趋势。