音频越狱藏在哪里？对 Qwen2-Audio 上 AdvWave-P 的受控频率—深度审计

arXiv:2610.07005v1 公告类型：cross 摘要：我们针对 Qwen2-Audio 上的加性音频越狱 AdvWave-P，审计其关于频率和解码器深度的相关论断。该协议在短时傅里叶变换（STFT）域中屏蔽扰动的频率分量，并测量攻击成功率和 audio-span 表征。在 520 条 AdvBench 提示词上，主要评审者将 76.7% 的对抗输入标记为越狱。对条件不知情的单一标注者进行验证后，针对该条件得到的 Rogan-Gladen 敏感度估计为 0.87（考虑验证率不确定性时约为 0.83–0.95）；这一校正未应用于屏蔽条件。表面上的频率排名取决于划分方式：仅能量占比就足以预测标准的八频带排名（Spearman rho = 0.95），而等 Hz 和等能量划分表明，屏蔽任何一个受测频带都可能使攻击成功率大幅下降。然而，在更精细的 16 频带等能量分辨率下，屏蔽 7520–7960 Hz 的窄频带后，ASR 仍为 0.10；在缺乏匹配对照的情况下，这一结果仍无法得到解释。匹配能量的分散移除测试表明，在较低频带中，连续移除的破坏性更大；而在较高频带中，两种移除方式都趋近于下限。全局重缩放使 ASR 保持在接近基线的水平，但它检验的是振幅敏感性，而非频率位置。在一次重新优化试验中（n = 20），受测的单频带和双频带支持集的 ASR 分别达到 0.00、0.25 和 0.40，而覆盖约一半 STFT 频点的随机支持集平均达到 0.86。在一个对提示词和能量进行调整的模型中，audio-span 散度与频带必要性相关，其系数从投影器输出处的 +0.63 上升至第 30 层的 +0.93（差值 +0.293，95% CI [0.11, 0.51]）。这种相关性并非因果定位，单层修补也无法确立某一因果层。结果支持对频率论断进行感知划分方式的审计，但更高分辨率下高频顶部频带的结果及其更广泛的普适性仍有待确定。