英文题目：StyleBreak: Revealing Alignment Vulnerabilities in Large Audio-Language Models via Style-Aware Audio Jailbreak
会议身份：
conference:aaai:2026:conference-paper-id:41093
✅ 来源为官方会议 PDF；可重放的表格、公式文本与 Figure 像素已按 PDF 抽取结果绑定，未成功恢复的结构不作推断。
标签：#强化学习 #音频大模型 #对抗鲁棒性 #语音 #音频问答
评分：6.1/10 | 创新 1.3/2 | 技术严谨 1.2/1.5 | 实验充分 1.0/1.5 | 清晰度 0.7/1 | 影响力 1.0/1.5 | 开源 0.0/1.5 | 可复现 0.1/0.5 | 工程/实践 0.8/1.5
排名：前50% | 文档类型：方法研究
👥 作者与机构
- Hongyi Li：机构信息未能从会议 PDF 纯文本可靠映射
- Chengxuan Zhou：机构信息未能从会议 PDF 纯文本可靠映射
- Chu Wang：机构信息未能从会议 PDF 纯文本可靠映射
- Sicheng Liang：机构信息未能从会议 PDF 纯文本可靠映射
- Yanting Chen：机构信息未能从会议 PDF 纯文本可靠映射
- Qinlin Xie：机构信息未能从会议 PDF 纯文本可靠映射
- Jiawei Ye：机构信息未能从会议 PDF 纯文本可靠映射
- Jie Wu：机构信息未能从会议 PDF 纯文本可靠映射
📌 核心摘要
大音频语言模型以音频编码器对接大语言模型实现语音问答，输入为富有表现力的人声查询、输出为应答文本，实际难点是文本对齐的安全边界在语音的语言、副语言与超语言变异下是否依然成立缺乏系统检验。StyleBreak先以情感驱动改写将有害查询改写为保留意图的情感语义变体，再以可控语音合成结合参考音频与风格描述合成携带情感、年龄与性别属性的对抗音频，然后由查询自适应的多头策略网络为每个查询搜索风格组合并送入目标模型诱发有害回复，策略奖励依据评判函数对模型回复的非拒绝倾向最大化学习。与直接转语音或浅层噪声、变调和口音变换相比，该方法同时扰动文本语义与声音风格并按查询选择最脆弱组合，更贴近真实人类表达变异，因而能暴露仅做文本或信号级扰动难以发现的对齐盲区。在AdvBench子集评测设置下，情感语言变体下Qwen-Omni的ASR从原始输入的0%升至9.1%。该结论适用边界限于所测四款开源模型、两款商业模型与CosyVoice2合成分布，真实人声、长对话与多轮防御等场景尚未验证。硬件上原文仅说明开源模型在2×A100 GPU上本地评测，未给出完整训练成本与推理开销的量化分析。
🔗 开源与复现资源
- 第三方资源：https://huggingface.co/fixie-ai/ultravox-v0 — 暂时无法访问 预印本/扩展版链接未在会议页展示；会议版来源见页首官方记录与 PDF。 可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
为什么只测文本拒绝不够，还要测声音风格？
输入是这篇论文的研究对象与目标。研究对象是大音频语言模型，即用音频编码器把原始语音映射为语义表示，再交给大语言模型处理的一类系统，典型用途包括语音问答与情感检测。目标是检验这类模型在音频越狱下的对齐稳健性，也就是用对抗性音频提示绕过安全对齐、诱发有害输出的可能性。必须保留的信息包括黑盒访问假设、人类语音 3 类属性的划分、以及 2 阶段变换加自适应策略的方法结构。输出是 1 篇能复述方法与实验条件的中文解读。
先用白话讲清大音频语言模型。白话是能听懂人说话并用文字回答的模型，英文是 Large Audio-Language Models，缩写为 LAMs。后文统一简称 LAMs。它的风险不只在于听错，而在于听懂有害请求后本应拒绝却给了有害回答。论文指出，已有工作多把文本越狱直接转成语音，或加噪声、变调、换口音等浅层信号扰动，没有系统考察人类表达的丰富变化。
人类语音按论文引用的划分 convey 3 类信息：语言学属性是说了什么语义内容，副语言属性是带什么情感等韵律实现，超语言属性是谁在说即年龄性别等说话人特质。StyleBreak 要做的就是沿这 3 类属性构造可控扰动，再看 LAMs 的拒绝与作答是否稳定。
一个教学例子帮助建立直觉，明确标为例子而非论文数值。例子是同一句有害请求，先用悲伤委婉的措辞重写，再用老年男声低沉缓慢读出，模型可能从直接拒绝变为给出步骤。例子只说明风格可以同时改变文本可检测性与声学实现，不代表任何真实提升幅度。真正的效果必须回到论文的受控实验中核对数据集、模型、指标与查询次数。
已有音频越狱走了哪两条路，各自漏掉了什么？
问题是把已有路线放在相同输入与目标下比较。第一条路是文本转语音，即把对抗文本提示用商用 TTS 直接合成音频，代表工作包括把越狱文本转为语音后攻击 GPT-4o 等。这条路保留了文本语义攻击的设计，但忽略了文本与语音在语义与感知上的差异，难以暴露模态特有的脆弱性。第二条路是波形浅扰动，即加背景噪声、拼读扰动、音调偏移或口音转换，在信号层制造变化。这条路制造了声学差异，但通常缺乏语义意图，也没有刻画情感、年龄、性别等可解释的人类表达维度。
论文把 LAMs 结构概括为音频编码器加 LLM，多数以接口或在线服务提供，用户无模型内部参数，因此聚焦黑盒设置。对齐方面，论文回顾了 RLHF 与 DPO 等让 LLM 拒绝恶意指令的安全训练，但指出把 LLM 扩展为 LAMs 后的音频模态对齐研究明显少于 LLM 安全文献。StyleBreak 的定位不是再提一种文本模板，而是补上表达属性这一攻击面，用 2 阶段变换与自适应策略生成有表达意图的对抗语音。
文本越狱基线 × 音频越狱： 文本越狱基线负责提供语义层攻击起点，如直接转语音或 AutoDAN 与 GCG 优化后的文本，音频越狱负责把这些文本变为带风格的声音并送入音频编码器，二者搭配的原因是要检验同一恶意意图在文本与音频两种输入路径下的对齐差异，组合意义是揭示模态间表示鸿沟，而非只比较文本模板优劣。
需要避免的误解是把类别差异当同条件胜负。直接转语音与加噪的失败不能直接证明风格化更强，除非固定同一查询集、同一 TTS、同一文本指令与同一评测指标。论文后续正是用统一 TTS 与固定指令来做公平比较，这一点在实验条件节会具体展开。
攻击者能做什么，成功的标准是什么？
操作从威胁模型讲起。论文假设对目标 LAM 的黑盒访问，把目标模型记为从音频与文本到文本响应的函数。白话是攻击者只能送音频加文本指令并看文字回答，不能看参数与梯度。给定一组有害文本查询集合，攻击者要生成对抗音频提示，再配一个固定文本指令，例如回答音频中的问题，目标是让模型返回符合对抗意图的肯定回答而非拒绝。
\[function M : A × T →Y,\]上式先解释符号与输入。M 表示目标 LAM，A 表示音频输入空间，T 表示文本指令空间，Y 表示文本响应空间。攻击音频记为 ap，由可控 TTS 系统 C 根据有害查询与声音特征描述生成。文本指令记为 ti，在实验中固定。输出 y 为模型的文字响应。
计算目标是让 y 从拒绝变为有害作答。原文明确的实现是把 ap 与 ti 一起送入 M 得到 y，再用评测函数判断是否越狱。
论文考虑两种互补设置。文本攻击作为基线，检验原始或风格化文本提示能否绕过对齐。音频攻击模拟人类语音属性多样性，考察语言、副语言、超语言变化如何影响对齐稳健性，其中对抗提示经音频交付，可选地与文本模板组合。沿一个样本走完流程就是：取一条有害查询，经情感重写得到风格化文本，再配参考风格实例合成风格化音频，送入目标 LAM 得到响应，最后按拒绝与有害性指标评分。
StyleBreak 的三块拼图如何串成一条主链？
方法是总览先行。StyleBreak 包含管线一的情感驱动提示变换、管线二的风格控制音频生成，以及查询自适应策略网络。主链是原查询先变为情感风格化文本，再与风格参考实例一起合成对抗音频，最后送入目标 LAM 评估，策略网络按查询挑选风格配置以减少穷举。图 1 把这条链画成左右贯通的结构，左侧是风格候选，中间是两条管线，右侧是策略采样与评估回路。
下图为论文图 1 的官方原图，需按导读顺序观察从输入到输出的主路径与分支汇合位置。
看图路径： 1. 先从左侧风格配置表看情感、年龄、性别三列的候选取值；2. 再沿中间上方管线一看情感重写如何把原查询变为多版本文本；3. 再沿中间下方管线二看参考音频与文本指令如何进入可控 TTS；4. 最后看右侧策略与评估回路如何把响应奖励送回风格选择
论文图 1。原论文 Figure 1：“The overall framework of StyleBreak.”。
结合像素解释该图可见内容。左侧虚线框列出情感 7 项、年龄 5 项、性别 2 项，箭头指向中间处理。中间上方管线一展示指令改写原句的示例，悲伤与恐惧版本都保留制 bomb 意图但加入迟疑与修饰语。中间下方管线二展示风格参考集，包含年龄、性别、情感标签、参考音频波形与自然语言描述，例如悲伤年轻女孩的描述文本。中间偏右的 3 路输入即风格化查询、参考音频与文本指令汇入可控 TTS 模型，输出对抗音频查询。
右上策略模块输出多组风格采样并形成 TTS 配置，右下为响应与越狱评估。蓝色回边表示评估结果可指导下一轮风格选择。这张图不支持逐数值读取，只支持结构复述。
两阶段变换分别控制什么，谁提供风格素材？
组件任务是讲清每块的输入、表示与输出。先讲数据与风格空间。论文从 AdvBench 的 520 条有害文本查询中选 200 条有代表性的查询作为原始有害查询集，以兼顾覆盖与可行性。风格配置空间定义为情感、性别、年龄组的笛卡尔积。素材来自 GigaSpeech 数据集，提供带所需属性标注的语音样本，每个唯一配置随机采样 5 个不同参考实例，以保证生成时的覆盖与多样性。每个风格实例包含自然语言描述与对应参考音频片段，例如年轻男声表达愤怒。
\[configuration space S = E × G × Ag,\]上式解释符号。S 表示离散风格配置空间，E 表示情感集合，G 表示性别集合，Ag 表示年龄组集合。原文报告情感数量为 7，年龄组为 5，性别为 2，因此不同变体数为 70。计算目标是为每个查询提供可枚举、可采样的风格候选。
\[where s = (e, g, ag) ∈S\]上式解释单个配置。s 表示一个风格配置三元组，e 为情感，g 为性别，ag 为年龄组。输入是查询与配置，输出是经 TTS 生成的对抗音频。
管线一负责语言学变化。输入是原始有害查询，操作是用 GPT-4 按情感指令改写，注入感叹、情感修饰语等表达线索但保留意图，输出是每查询多版本风格化文本。管线二负责副语言与超语言变化。输入是风格化查询与参考风格实例，操作是用 CosyVoice2-0.5B 作为可控 TTS，以文本与参考音频声学风格为条件合成，输出是带目标情感语调与年龄性别特质的对抗音频。白话是管线一改措辞，管线二改声音，二者都受同一风格配置约束。
语言学属性 × 副语言属性： 语言学属性负责说什么，即文本语义与措辞，副语言属性负责怎么说，即情感语调等声学实现，二者搭配的原因是仅改措辞会漏掉声音通道，仅改声音会保留文本可检测性，组合后才能分别控制文本重写与 TTS 声学条件，新增作用是把同一有害意图映射到语义与声学两个正交扰动轴上。
超语言属性 × 可控 TTS： 超语言属性负责谁在说，即年龄与性别等说话人特质，可控 TTS 负责把这些特质落地为波形，二者搭配的原因是年龄性别无法只靠文本描述生效，必须有参考音频与文本指令共同条件化合成，组合意义是用离散风格配置驱动连续语音生成，从而可复现地测试低音与高音等差异的影响。
需要保留的实现细节是统一 TTS 与重复次数。论文为保证一致性采用 CosyVoice2-0.5B 作为统一 TTS 模型，每项测试重复 5 次以缓解随机性。论文未报告 TTS 内部参数是否冻结或微调的具体训练式更新，因此解读中不推定其梯度路径，只按调用式合成来复述。
没有穷举 70 种风格时，策略网络学什么、靠什么奖励？
本节先明确训练含义。StyleBreak 不训练目标 LAMs，也不训练 TTS 声学模型，它训练的是一个查询自适应策略网络，用于为每个输入查询挑选风格配置。白话是学一个按查询出主意的选择器，英文是 query-adaptive policy network，记为 πθ。后文简称策略网络。真实计算过程是策略输出风格空间上的分类分布，按分布采样配置并合成音频查询目标 LAM，再用评测聚合值作为奖励更新策略权重。
观察动机来自预实验。论文把不同风格配置用于每个查询并测量攻击成功率，图 2 展示 6 条有害查询在 20 种风格配置下在 Qwen2-Audio 上的成功率曲线，峰值位置随查询漂移，说明越狱效果是查询相关的而非对所有查询一致有效。这正是穷举昂贵且受接口限流约束时需要自适应搜索的理由。
下图为论文图 2 的官方原图，重点看峰值是否对齐而非读取精确数值。
看图路径： 1. 先确认横轴为风格配置序号、纵轴为攻击成功率百分比、深度轴为不同查询；2. 再逐条比较 6 条曲线的峰值位置是否对齐在同一风格处
论文图 2。原论文 Figure 2：“Attack success rates of 6 harmful queries under 20 style configurations in Qwen2-Audio.”。
结合像素解释可见内容。横轴为风格配置，纵轴为攻击成功率百分比，深度方向为不同查询，6 条带状曲线高低起伏明显。红色系与蓝色系曲线的最高峰出现在横轴不同位置，有的偏左，有的偏中，有的偏右，说明不存在一组风格对所有查询同时最优。像素不能精确辨别每条曲线的具体风格编号与峰值百分比，因此不硬写数值，只保留查询相关敏感性的判断。
策略形式化为多头策略网络。输入是 harmful 查询，输出是风格配置空间上的分类分布，每个头独立预测一个属性维度的分布。目标是最大化期望奖励，奖励来自评判函数对目标 LAM 响应的加权聚合，奖励越高表示模型越倾向有意义回答而非拒绝。论文称该奖励综合了实验设置节的多个评估指标，但证据中未给出各指标权重与优化器、学习率、更新步数的完整超参数，因此复现时缺项需明确标出，不从模型名推定实现。
风格配置空间 × 查询自适应策略： 风格配置空间负责给出全部候选，即 7 种情感乘 5 个年龄段乘 2 种性别共 70 种组合，查询自适应策略负责为每个查询挑少数高效组合，二者搭配的原因是穷举 70 种乘 200 个查询成本过高且不同查询峰值不同，组合后策略网络输出各属性维度的分类分布并按奖励采样，新增作用是把暴力扫描变为按查询定向搜索。
补充说明效率含义。策略的收益不是单次合成质量更高，而是用更少查询轮次覆盖更有希望的风格，从而在有限轮次内更快命中可越狱组合。论文报告在 3 轮查询内即有明显提升，具体数字留到结果节的表中核对。
用什么数据、模型、基线与指标，才能算公平比较？
实验条件按可复述粒度交代。数据方面，200 查询子集用于分析语音属性影响并训练自适应策略，另取 50 条不重叠查询用于评估 StyleBreak 与其他基线。划分依据是原文明确的非重叠描述，但原文未给出随机种子与具体查询 ID，因此严格复现需补查询列表。采样方面，每个风格配置有 5 个参考实例，测试重复 5 次。TTS 统一为 CosyVoice2-0.5B。
文本指令固定，例如回答音频中的问题。硬件为本地 2 块 A100。
模型方面，主要评估 4 个开源 LAMs：Qwen2-Audio-7B-Instruct、MERaLiON-AudioLLM-Whisper-SEA-LION、Ultravox-v0.4.1-Llama-3.1-8B、Qwen2.5-Omni-7B。前三者按 VoiceBench 较低攻击响应率选入，表示对抗提示下相对更抗拒，Qwen2.5-Omni 作为最新多模态代表。扩展验证用 GPT-4o 与 Gemini-2.5-flash，策略配置直接从 Qwen2-Audio 上训练的策略迁移，不在目标商用模型上微调。资源状态方面，扩展版链接当前可用，第三方 Ultravox 链接本次未能确认可达，复现时应以本地已下载权重与论文版本为准。
基线方面，4 种代表性音频越狱为 Vanilla、AutoDAN 星号、GCG 星号与 SSJ。Vanilla 把原始文本查询直接转语音，AutoDAN 星号与 GCG 星号先在文本语义层操纵提示再合成音频，SSJ 在音频层引入扰动。为保证黑盒公平，对抗样本先在对齐良好的 LLaMA2 上用 AutoDAN 与 GCG 优化，再迁移到目标 LAMs。指标方面，ARR 度量非拒绝比例，用固定拒绝模式如对不起等判定，ARR 越低表示对齐越稳。ASR 用基于 RoBERTa 的二分类器判定是否直接回答有害输入，ASR 越低越稳。
TS 基于 LLaMA3-Guard 的 0 到 9 警觉分，高于 4 记为高风险，PV 表示是否违反预设安全策略。4 个指标方向一致，都是越低表示被测模型越安全，越高表示攻击越有效。
攻击响应率 × 攻击成功率： 攻击响应率负责度量模型是否拒绝，即非拒绝回复占比，攻击成功率负责度量是否真正给出有害答案，即 RoBERTa 分类器判定的直接作答占比，二者搭配的原因是模型可能用复述或空泛肯定来不拒绝但也不作恶，组合意义是区分松动拒绝与真正越狱，避免把高响应误读为高危害。
还需区分百分点与相对百分比。论文表格括号内为相对基线的百分点提升，例如从 10.0 到 30.5 记为 20.5 上箭头，不能读成相对提升 205%。不同指标的差值不能混放，自动分类器结果也不能当成人评。
换措辞、换声音、换说话人，哪类扰动最能松动拒绝？
结果按问题组织。先看单属性影响。语言学情感重写让所有目标 LAMs 的越狱指标显著上升，即使最稳的 Qwen-Omni 平均 ASR 也从 0% 升到 9.1% 量级。MERaLiON 上惊讶变体比次高高 8.57 个百分点，说明不同情感语义对对齐的影响有细微差异。副语言情感控制在保留原文语义、只调声学情感时仍有效，Ultravox 对此最敏感，ASR 比原始输入高 4.6 到 6.8 倍，平均比其语言学对应高 21.6%，论文推测与其情感任务能力较强有关，但该解释为有限解释而非因果证明。
论文还报告副语言控制平均让 ASR 上升 9.1%，虽弱于语言重写，但证明细微声学特征也能破坏对齐。超语言方面，年龄与性别趋势在 4 模型与四指标上内部一致：儿童声音 ASR 最低，老年声音最高，平均高 13.3 个百分点；男声高于女声，平均高 8.3 个百分点。论文据此提出高音调的儿童与女声更稳、低音调的男声与老年更脆弱的观察，该判断为相关性描述，待验证是否为音高因果。 下图为论文图 3 的官方原图，包含 4 个面板的柱状与雷达比较。
看图路径： 1. 先看面板 a 与面板 b 的柱状分组，比较语言情感重写与声学情感控制的提升幅度；2. 再看面板 c 与面板 d 的雷达图，比较儿童与老年、女性与男性的包络大小；3. 最后跨四个模型比较谁的柱体与包络整体更高
论文图 3。原论文 Figure 3：“LAM alignment robustness under variations in different speech attributes.”。
结合像素解释可见内容。面板 a 与 b 分别为语言与副语言情感扰动，横向 4 组为 4 个模型，纵向四行为 ARR、ASR、PV、TS，白色为 Vanilla，其他花色为不同情感，多数彩色柱高于白色柱。面板 c 为年龄雷达，儿童顶点内缩、老年与中年外扩。面板 d 为性别雷达，男声包络在多数模型上略大于女声。跨模型看，Qwen2-Audio 在超语言扰动下相对最稳，Ultravox 整体包络最大。像素不能精确读出每根柱的具体百分比，因此关键数字以正文引用的平均值与表格为准。
再看 StyleBreak 叠加到基线上的主结果。比较问题是同一基线加风格化是否在 3 轮查询内提升，公平条件是统一 TTS、固定指令与不重叠 50 查询，指标方向为越高表示攻击越有效。下表为原文消融与主结果矩阵中可安全选择的宽表部分，保留原表头单位与裸值写法。
| * * | Settings (%) Qwen2-Audio | Qwen-Omni | MERaLiON | Ultravox |
|---|---|---|---|---|
| Origin query | 1.1 | 0.0 | 1.5 | 1.0 |
| +EPT | 8.9 | 4.1 | 12.1 | 9.6 |
| Vanilla | 10.0 | 0.0 | 4.0 | 4.0 |
| ASR(%) +EPT, EAG | 17.2 | 9.6 | 35.1 | 14.8 |
| +EPT | 15.3 | 7.0 | 20.5 | 5.4 |
表后解释主要收益与代价。表中可见从纯文本到加情感重写再到加声学合成与策略，ASR 逐级上升，完整 StyleBreak 在 4 模型上均高于各变体，说明三模块互补。代价是需要情感改写调用、可控合成与多轮查询评估，查询轮次越多覆盖越好但成本越高。未胜出项也需指出：在 MERaLiON 上 AutoDAN 类长音频方法受模型处理长音频能力与语义损失限制，提升有限；在 Ultravox 上多为肯定性回复而非显式有害内容，导致 ARR 高但其他指标增幅温和。这些反例说明高响应不等于高危害，必须四指标一起看。
跨基线与跨模型的总体趋势用第二张数字表概括，表中数字与单位由原文连续句逐字覆盖，条件为 3 轮查询与可运行策略。
| 条件 | 指标 | 基线范围 | 本方法增量 | 比较对象 |
|---|---|---|---|---|
| 3 轮查询叠加风格 | ASR | 基线 | 7.1% 到 22.3% 提升 | 全部基线 |
| 副语言情感控制 | ASR | 原始输入 | 9.1% 平均上升 | 全部模型平均 |
| 老年相对儿童 | ASR | 儿童声音 | 13.3% 平均更高 | 全部目标 LAMs |
| 男声相对女声 | ASR | 女声 | 8.3% 平均更高 | 全部目标 LAMs |
| 迁移到 GPT-4o | ASR | 基线 | 2.1%∼9.5% 提升 | 最稳的 GPT-4o |
表后补充判断与限制。该表支持的判断是风格化在有限轮次内带来可部署的百分点收益，且从开源迁移到商用仍有效。限制是总体趋势不等于每组每步都成立，例如 SSJ 原始 ASR 平均仅 4.5% 但 ARR 平均 57.5%，因模型倾向复述拼读提示而不直接作答，叠加 StyleBreak 后 ASR 提升 4.7 倍才缓解该行为。不同指标差值不可互换，TS 与 PV 的提升幅度需各自核对。
拿掉重写、拿掉合成、拿掉策略，各损失多少？
消融问题是三模块各自贡献与组合必要性。变体设计为加 EPT 表示只做情感改写以改变语义内容，加 EAG 表示再引入副语言与超语言扰动以合成对抗音频，加 QP 表示把随机风格选择换成学习策略做自适应配置。评估在 3 轮查询的 ASR 下进行，分文本攻击与音频攻击两大行。
沿用上一节已展示的宽表可读出：纯文本原始查询 ASR 仅 1% 量级，加 EPT 后升至 4% 到 12% 量级；音频 Vanilla 原始为 0% 到 10%，加 EPT 后升至 5% 到 20% 量级，再加 EAG 后升至 9% 到 35% 量级，完整加 QP 后达 16% 到 37% 量级。完整 StyleBreak 在 4 模型上一致高于所有变体，支持三者互补的判断。另一支持判断是音频攻击明显高于文本对应，说明 LAMs 对音频模态更脆弱。
还需报告效率消融。论文图 4 展示查询轮次 1 到 10 的 ASR 曲线，Vanilla 与 SSJ 仅靠重复查询几乎不涨，但叠加 StyleBreak 后 10 轮内分别提升 30.5 与 40.5 个百分点量级。适当轮次可在可接受成本下获得满意覆盖，但原文未给出每轮延迟与费用，因此不承诺延迟改善。策略分布的进一步分析在附录，证据未给出完整数字时不展开猜测。
哪些结论还只是相关性，哪些边界没有测？
先区分报告、支持与推测。直接报告的是四指标在受控条件下的百分点变化与趋势一致性。有限解释的是 Ultravox 对副语言更敏感可能与其情感任务能力有关，以及 MERaLiON 在多属性复合下更脆弱可能与其多文化泛化有关，这两处用可能与待验证表达，不当因果。未验证推测是低音调导致更脆弱，论文只观察到老年与男声更高，未做基频对照实验，因此不能写成音高因果。
未评测边界包括误判率、延迟、成本、防御后的稳健性，以及除情感年龄性别外的语速、口音、噪声等维度。表示分析用最后一层隐状态加 t-SNE 可视化，显示文本模态下良恶查询有一定可分性，音频模态下多重叠，StyleBreak 带来更大语义扰动，但 t-SNE 为降维可视化，不能当分类器性能证明。Qwen-Omni 未提供嵌入表示因此未纳入该可视化。总体趋势不等于每模型每基线都赢，个别长文本基线与肯定回复现象即为反例。
要复现这套攻击，先准备什么、按什么顺序跑？
复现先做三件事。第一准备数据与素材：取 AdvBench 中 200 条作分析与策略训练，另留 50 条不重叠作评估；从 GigaSpeech 按情感、性别、年龄组取参考音频，每个配置 5 个实例并配自然语言描述。第二固定合成与指令：统一用 CosyVoice2-0.5B 合成，固定文本指令如回答音频中的问题，每项测试重复 5 次，本地 2 卡 A100 为参考预算。第三固定基线与迁移：Vanilla 直接合成，AutoDAN 与 GCG 先在 LLaMA2 上优化再迁移，SSJ 做音频层扰动，商用模型评估直接迁移 Qwen2-Audio 上学到的策略不再微调。
运行顺序是先跑单属性扫描以确认趋势，再跑叠加 StyleBreak 的 3 轮与多轮曲线，最后跑商用迁移。评测按 ARR 看拒绝、ASR 看直接作答、TS 看高风险、PV 看策略违反的顺序记录，保留表头单位与裸值写法，不逐格追加百分号。缺项清单包括具体查询 ID 与种子、策略网络结构与优化超参数、奖励加权系数、附录模板细节，拿到扩展版链接内容后补齐。当前可用性表述为扩展版链接当前可用，第三方 Ultravox 权重链接本次未能确认可达，不写已公开权重。
何时值得尝试是当需要评估音频模态对齐而非只测文本拒绝时，尤其关心情感措辞与说话人特质是否改变拒绝行为时。还需补的验证是基频与语速对照、人工复核有害性、以及防御如音频重写或风格归一化后的残余风险。
这篇论文给音频安全留下了什么可带走的结论？
收束回到中心矛盾。文本对齐做得好的模型，换一种说法、换一种声音后仍可能松动。StyleBreak 用可复现的 2 阶段变换把这种松动变为可测量的百分点提升，用策略搜索把穷举变为按查询定向尝试。最强证据是 3 轮内跨基线 7.1 到 22.3 个百分点的 ASR 提升，以及向 GPT-4o 与 Gemini 迁移后仍有提升。主要代价是依赖外部改写与可控合成，以及多轮查询成本。
可带走的方法是先固定 TTS 与指令再比较风格维度，先看 ARR 与 ASR 是否同向再看 TS 与 PV 是否跟随，避免把复述与肯定误判为越狱。可带走的警示是单属性最稳的模型在复合风格下未必最稳，评估需覆盖组合。后续工作应补足因果对照与防御评估，再谈广泛部署。
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
- 评分规则：type-aware-v1
- 评分模型：muse-spark-1.3-contributor
- 评分请求协议：openai_responses