沙丘社区
论文

AdvWave-P：Qwen2-Audio 越狱的频率与深度受控审计

Where Does the Audio Jailbreak Live? A Controlled Frequency-Depth Audit of AdvWave-P on Qwen2-Audio

Boyuan Chen, Minseok Kim, Sohaila Abdulsattar, Minghao Shao, Siddharth Garg, Ramesh Karri, Muhammad Shafique
模型评测安全与风险评测

摘要

我们审核了 Qwen2-Audio 上的附加音频越狱 AdvWave-P 的频率和解码器深度声明。该协议屏蔽短时傅立叶变换 (STFT) 域中扰动的频率分量，并测量攻击成功和音频跨度表示。在 520 AdvBench 提示上，主法官将 76.7% 的对抗性输入标记为越狱。对于这种情况，条件盲、单标注员验证产生的 Rogan-Gladen 灵敏度估计为 0.87（验证率不确定时约为 0.83-0.95）；此修正不适用于屏蔽条件。表观频率排名取决于分区：能量份额单独预测标准八频带排名（Spearman's rho = 0.95），而等赫兹和等能量分区表明屏蔽任何测试频带会急剧降低攻击成功率。然而，在更精细的 16 频带等能量分辨率下，屏蔽窄 7520-7960 Hz 频带会使 ASR 为 0.10，如果没有匹配的控制，该问题仍然无法解决。匹配能量分散去除测试表明，连续去除在较低频带中更具破坏性，而两种形式在较高频带中均接近底部。全局重新缩放使 ASR 接近基线，但测试幅度灵敏度而不是频率位置。在重新优化试点 (n = 20) 中，测试的单频段和双频段支持达到 ASR 0.00、0.25 和 0.40，而覆盖约一半 STFT 箱的随机支持达到平均值 0.86。在提示和能量调整模型中，音频跨度发散与频带必要性相关，系数从投影仪输出处的 +0.63 上升到第 30 层的 +0.93（对比度 +0.293，95% CI [0.11，0.51]）。这种关联不是因果定位，并且单层修补不会建立因果层。结果支持对频率声明进行分区感知审计，从而保留精细分辨率的顶带结果和更广泛的通用性。

AdvWave-P：Qwen2-Audio 越狱的频率与深度受控审计：论文原图
图 3：线性 CKA（$\ell{=}30$、$n{=}520$ 处的 Qwen2-Audio；$\ell{=}14$、$n{=}50$ 处的 LLaMA-Omni 配对，缺少 $\ell{=}14$ 处的 $n{=}520$ 采样点）。左：Qwen2-Audio ($10{\times}10$)。右：LLaMA-Omni ($15{\times}15$)。单元是音频跨度池残余状态之间的线性 CKA (Kornblith et al., 2019)。带去除条件形成了广泛的高相似性块，因此图 7 中的行为相关差异存在于高维距离中，而不是 CKA 可检测的几何结构中。