英文题目：Audio Jailbreak: An Open Comprehensive Benchmark for Jailbreaking Large Audio-Language Models
会议身份：
conference:acl:2026:conference-paper-id:2026.acl-long.1259
✅ 来源为官方会议 PDF；可重放的表格、公式文本与 Figure 像素已按 PDF 抽取结果绑定，未成功恢复的结构不作推断。
标签：#基准测试 #基准设计 #对抗鲁棒性 #语音 #音频理解
评分：7.2/10 | 创新 1.5/2 | 技术严谨 1.0/1.5 | 实验充分 1.2/1.5 | 清晰度 0.8/1 | 影响力 1.2/1.5 | 开源 0.0/1.5 | 可复现 0.3/0.5 | 工程/实践 1.2/1.5
排名：前50% | 文档类型：数据集与基准
👥 作者与机构
- Zirui Song：机构信息未能从会议 PDF 纯文本可靠映射
- Qian Jiang：机构信息未能从会议 PDF 纯文本可靠映射
- Mingxuan Cui：机构信息未能从会议 PDF 纯文本可靠映射
- Mingzhe Li：机构信息未能从会议 PDF 纯文本可靠映射
- Lang Gao：机构信息未能从会议 PDF 纯文本可靠映射
- Zeyu Zhang：机构信息未能从会议 PDF 纯文本可靠映射
- Zixiang Xu：机构信息未能从会议 PDF 纯文本可靠映射
- Yanbo Wang：机构信息未能从会议 PDF 纯文本可靠映射
- Guangxian Ouyang：机构信息未能从会议 PDF 纯文本可靠映射
- Zhenhao Chen：机构信息未能从会议 PDF 纯文本可靠映射
- Xiuying Chen：机构信息未能从会议 PDF 纯文本可靠映射
📌 核心摘要
该任务输入为语音形式越狱提示，输出为大型音频语言模型的文本回复，难点在于语音的时序演变与声学歧义使文本安全对齐难以直接迁移到音频通道，易被非标准发音绕过拒答机制。本文先构建AJailBench-Base，将可绕过文本过滤的越狱文本按开放政策标注为10类后经文本到语音合成1495条多音色多口音音频提示，再以音频扰动工具包对波形域频域混合域7种变换施加语义一致性约束过滤不可懂变体，其输出的语义有效扰动空间进入树结构Parzen估计的贝叶斯优化搜索低拒答且保留意图的组合参数并叠加多轮扰动形成AJailBench-APT+，最后在5次独立运行下统一评测7个主流模型。与仅做文本转语音的已有音频越狱不同，本文以可组合信号级扰动加语义阈值加优化搜索构成攻击链，更贴近真实声学条件并暴露转写依赖的安全短板。在AJailBench-Base与AJailBench-APT+评测下，GPT4o的ASR指标为0.314，高于Base条件下GPT4o的0.235。该结论适用边界限于英语多口音朗读提示与所定义的10类政策划分，跨语种鲁棒性与针对性防御尚未验证。推理采用纯音频零样本设置且不做额外微调，其硬件为每块48GB显存的GPU推理环境。
🔗 开源与复现资源
本次未形成可展示的已核验资源记录，开放状态尚未核实。 可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
输入是什么，目标是什么，为什么音频越狱值得单独建基准？
这篇论文的输入是语音形式的越狱请求，也就是把原本用文字写的违规诱导指令读出来再交给模型。目标是系统地量出大音频语言模型在这种语音输入下会不会产生有害或违反政策的回答。所谓大音频语言模型，白话说就是能听声音再说话或写字的模型，英文是 Large Audio-Language Models，后文简称 LAMs；所谓越狱攻击，白话说就是想办法让本该拒绝的模型开口说出违规内容，英文是 jailbreak。论文要保留的关键信息是基线集规模、扰动工具种类、语义守恒做法、搜索方法、被测模型数量与五项指标方向，输出是一套可复用的基准与工具加跨模型比较。
只把文字基准用语音合成读一遍是不够的，因为音频有时间伸缩、音高变化、能量起伏和背景混入，这些都会改变编码器看到的表示，而转写文本可能看起来没变。先行工作多停在语义层改写或简单调速调音，没有对信号级扰动做可组合搜索，也没有量化语义是否被破坏。论文因此提出 AJailBench，包含静态基线 AJailBench-Base 与扰动增强的 AJailBench-APT+，以及生成后者的音频扰动工具包 Audio Perturbation Toolkit，后文简称 APT。
大音频语言模型 × 越狱攻击： 大音频语言模型负责把语音波形编码再交给语言主干生成回答，分工是听懂并回应；越狱攻击负责构造仍被听懂但触发拒绝机制失效的输入，分工是探测对齐边界；两者搭配的理由是音频的时变和声学歧义提供了文本之外的表示偏移通道，组合意义是用同一意图的不同声学实现检验安全是否只记住了干净转写。
对刚入门的同学可以这样走一遍：拿一条文本越狱指令，用多种音色合成语音得到干净音频，直接送入 LAMs 看是否拒绝；再对同一条音频做保义的小扰动，例如轻微变速或首尾淡入淡出，再送入同一模型看拒绝是否消失。如果第二步成功而人听起来意思没变，就说明安全机制过度依赖干净转写，漏掉了非标准声学模式。这个例子只是帮助理解流程，不代表论文报告了该单条的效果数值。
同输入同目标的前人做了什么，本文的差别在哪里？
在 LAMs 一侧，论文回顾了从声学或语义 token 生成到以大语言模型为主干加音频编码器的路线，举例包括 SpeechGPT 的跨模态同步、SALMONN 的双编码器处理多样音频、Qwen2-Audio、LLaMA-Omni、Gemini-1.5-pro 与 GPT-4o 等语音对话能力。这些工作输入相同都是音频加文本，目标多是识别、对话与理解，但安全评测不是其重点。
在音频越狱一侧，早期做法是把 AdvBench 等文本基准用 OPENAI TTS-1 等转成语音后手工试探 GPT-4o 音频模态，属于语义级攻击。ADVWAVE 引入面向开源模型的白盒双阶段优化，但适用面窄。论文用一张对比表把三项最相关工作并列：拼写字母音频、部分时域扰动、TTS 编辑如音调语速，这些工作都没有语义保持约束，不支持可组合攻击或只做随机采样，且依赖老旧 AdvBench 覆盖有限。本文差别是做信号级、可组合、有语义阈值约束的基准加工具，并做开源基准加工具发布。需要说明的是原文的开源声明只写了发布 AJailBench 与 Github 字样，本次未获得可验证的可用资源状态，因此不能写代码数据当前已可下载，只能写论文声称将发布。
这种对照的教学意义是不要把类别差异当胜负：文本越狱强不等于音频越狱强，因为声学前端会引入新的失配；白盒优化强也不等于黑盒迁移强，因为真实攻击者往往只能调输入听输出。本文选择黑盒可迁移的保义扰动，正是为了模拟更现实的攻击条件。
要测的困难是什么，什么算一次成功的攻击？
困难来自语音的时间性与语义性纠缠。同一句话读快读慢、声音大一点小一点、开头结尾渐强渐弱，人都觉得是同一请求，但模型的内部表示可能已经漂移。攻击者希望利用这种漂移让模型不触发拒绝，同时让人或转写系统仍认为是原意。评测者则必须排除另一种解释：模型回答变了只是因为话被破坏到听不清了。
论文把 1 次攻击是否成功拆成多维判定。形式上看回答是否含有拒绝关键词表中的短语，例如 Sorry, I can’t 这类，若含有则视为未成功。实质上再看毒性分数、是否违反政策、回答与请求的关联度，以及与标准拒绝的相似度。攻击成功不仅要求绕过关键词，还要求输出仍相关且有害或违规，这样才不是无意义乱码。只有同时守住语义守恒，才能把责任归于模型的音频鲁棒性缺口，而不是音频质量退化。
另一个困难是扰动类型不可比。能量缩放、剪掉 0.1 秒、变调、变速、加自然噪声，它们的参数单位完全不同，无法直接说谁的强度更大。论文用转写后文本相似度作为中间标尺，再用人评定阈值，把所有扰动映射到同一语义轴上，这就是后文语义一致性约束的核心动机。
AJailBench 全景：基线集、扰动工具与增强集如何衔接？
全景分 3 步。第一步构造 AJailBench-Base：收集文本越狱样本，只保留经验证能绕过 ChatGPT-3.5 或 4 安全过滤的样本以保证难度，用 DeepSeek-V3 按 OpenAI 使用政策标注为 10 类，再用 Google Cloud TTS 合成自然语音，配置多种口音与音色以增加多样性。第二步定义 APT 扰动空间：分波形域、频率域与混合 3 类共 7 种方法，每种都有参数化变换与语义约束。第 3 步做 AJailBench-APT+：在语义安全阈值内用贝叶斯优化搜索最能降低拒绝倾向的扰动组合，生成优化后的对抗音频扩展集。
AJailBench-Base × AJailBench-APT+： AJailBench-Base 负责提供干净但语义有害的 1495 条语音基线，分工是测模型在无失真条件下的拒绝能力；AJailBench-APT+ 负责在保义前提下叠加信号级扰动，分工是测更真实的声学鲁棒性；搭配理由是只测干净会低估风险，组合意义是形成从基线到增强攻击的两档难度，便于比较同一模型在两档下的退化幅度。
下图左侧展示了干净与扰动两条路径的对照，右侧展示了扰动分类与 10 类违规分类，读懂这张图就读懂了基准的组织方式。
看图路径： 1. 先看左侧两条路径：干净语音走向安全回答，扰动语音走向有害回答；2. 再看右侧三个扰动盒：时域四种、频域一种、混合两种的具体名称；3. 最后看右侧环形分类：内圈 3 大方面与外圈 10 小类的对应关系
论文图 1。原论文 Figure 1：“(a) Illustration of the audio jailbreak pipeline.”。
这张图的前导说明是：左半部分用同一驾驶话题的例子对比安全回答与有害回答，说明扰动虽小但输出性质突变；右半部分用同心环表示 3 大方面下挂 10 小类，中心是 AJailBench。看完图应理解：评测不是只看一类有害内容，而是覆盖滥用个人社会规范、错误信息操纵、有害危险使用三大方面下的 10 种子违规；攻击不是只改文字，而是从三域扰动中组合选择。论文报告基线集为 1495 条，覆盖 10 类，这是后文所有比较的分母。
扰动工具与语义守恒：每个操作改了什么，如何保证意思没变？
APT 的数学框架是把原始波形记为 x，扰动记为参数化变换 T，得到扰动后波形 x 撇，并要求语义相似度 S 大于等于阈值。满足约束的参数集合构成语义有效的扰动空间。实现上分 3 组。波形域直接在时域波形上做点乘增益、加窗或局部删除，包括能量分布扰动、剪裁、淡入淡出。频率域经短时傅里叶变换改频率成分再逆变换回来，包括音高偏移与时间伸缩，其中时间伸缩只改变快慢不改变感知音高。混合域把原信号与外部信号相加，包括次声或超声单正弦的听觉外启动与雨声哭声喇叭声音乐等自然噪声注入。
能量分布扰动是对整段波形做线性缩放，系数大于 1 放大、小于 1 衰减，不改变时频结构。
\[TEDP(x; θEDP) = θEDP · x(t), θEDP ∈[θEDPmin, θEDPmax],\]上式中 x(t) 是 t 时刻波形值，系数区间由安全阈值实验确定，目标是在不破坏内容结构下改变整体能量。
剪裁是用逆矩形窗删掉从 t0 开始长度为参数的一小段，引入时域不连续以打断上下文，但段外内容不变，且长度上限为 0.1 秒。
\[TTrim(x; t0; θTrim) = x(t)·I(t /∈[t0, t0 +θTrim]), θTrim ≤0.1s.\]上式中指示函数保证只删指定区间，目标是制造局部缺失而不至于整句不可懂。
音高偏移是在频域缩放基频及其谐波同时保持时长，用相位声码器维持时间相干。
\[TPS(X(t, f); θPS) = PV(X(t, f), θPS), θPS ∈[θPSmin, θPSmax].\]上式中 X(t,f) 是时频表示，PV 表示相位声码器操作，目标是只动音高不动语速。
听觉外启动是加一个次声或超声正弦，模拟现实中的低频电流哼声或高频电子啸叫，幅度固定为峰值 0.1。
\[through: TEP(x; θep) = x(t) + A0 sin(2πfθSTAt).\]上式目标是引入人耳不敏感但模型可能敏感的 tonal 干扰。
攻击优化的目标是让模型输出远离标准拒绝，用句子嵌入余弦相似度度量与拒绝短语集的最大相似。
\[S(r) = maxrref∈R cos(emb(r)\]该相似度越低说明越不像拒绝，优化即在归一化 2 维参数空间中找最小值，其中 1 维编码扰动类型组合，另 1 维编码强度。
语义守恒的工作流是：对不同强度生成扰动音频，用自动语音识别转写，再用 GPTScore 算与原文本的相似度，同时用人评定哪些仍可懂，取最小可接受分数映射回参数空间，得到每种方法的最大安全扰动阈值。下图展示了该闭环。
看图路径： 1. 沿左到右看主链：文本到音频再加扰动再转写回文本；2. 看右上参数相似度映射表与右下人工一致性判定表的数值对应；3. 看底部大箭头如何把人工阈值映射回扰动参数选择
论文图 2。原论文 Figure 2：“Workflow of Semantic Consistency Constraint.”。
看完图应理解：上方参数相似度映射表给出不同参数对应的相似度，左下 GPTScore 加人工标注给出是否一致的判定，右侧大箭头把阈值映射回参数选择。论文强调 GPTScore 只是人与参数之间的中间桥梁，避免跨类型不可比。
语义一致性约束 × 贝叶斯优化： 语义一致性约束负责划定扰动不能越过的含义边界，分工是保证攻击成功不是因为把话说糊了；贝叶斯优化负责在该边界内高效搜索扰动类型组合与强度，分工是以很少的试听次数找到最能降低拒绝相似度的参数；搭配理由是扰动空间组合爆炸而评测预算有限，组合意义是只保留又隐蔽又有效的扰动用于建扩展集。
GPTScore × 人工可懂度评分： GPTScore 负责把扰动后音频的自动转写与原文本算语义相似度，分工是 bridging 不同扰动参数的统一标尺；人工可懂度评分负责判定多少分以上人才算真听懂，分工是锚定阈值的真实含义；搭配理由是频率偏移与时长缩放无法直接比较，组合意义是先用人定阈值再映射回参数空间，实现跨扰动类型的可比安全上界。
需要指出的缺项是原文未报告每种扰动阈值的具体数值区间，只给了方法与图示趋势，不能从名称推定实现细节。
本研究训练了什么，没有训练什么，真实计算过程是什么？
本研究没有训练任何 LAMs，也没有微调被测模型。7 个被测模型全部是调用既有权重做零样本推理，开源模型本地运行，闭源系统走官方接口，输入均为音频，除非明确标注为文本基线对照。论文未报告梯度更新、参数冻结与解冻、学习率或训练步数，因此不能写任何关于训练超参数的断言。
真实的计算发生在三处。第一处是基准构造计算：文本收集、模型标注、TTS 合成与多音色多口音采样。第二处是语义阈值标定计算：150 条音频的人工可懂度打分，0 到 10 分量表，3 位本科生评定，Cohen’s Kappa 为 0.72，再对 13 轮扰动前后转写算平均相似度 0.638 作为阈值。第三处是攻击搜索计算：树结构 Parzen 估计器驱动的贝叶斯优化，先做 10 次拟随机初始化，再按分位数 0.10 划分好坏集并建密度比，每步从好分布采样 24 个候选取比值最大者，执行扰动加模型推理加拒绝相似度评分，直至预算用完。附录还说明本地实验用两块 48 GB 的 A6000，未做额外微调。
这意味着结果的随机性来自模型生成采样与搜索采样，而非训练随机性。论文用 5 次独立运行取平均来压低方差，不能把冻结参数误解为输出确定。
测什么、和谁比、条件是否一致、指标方向如何？
测两档难度。Base 档测干净音频下的安全，APT+ 档测保义扰动下的安全退化。比较对象是 7 个主流 LAMs：SpeechGPT、SALMONN、DiVA、Qwen2-Audio、LLaMA-Omni、Gemini-2.0-flash 与 GPT-4o-audio，其中闭源用公开端点，提示格式遵循各自官方对话模板以反映真实用法。另有文本对照，把音频转写文本送入同一模型的文本接口，其余流程相同，用于近似底层文本模型的行为。
攻击成功率 × 策略违反： 攻击成功率负责看回答是否出现拒绝关键词，分工是测拒绝机制是否被触发；策略违反负责由评判模型判定内容是否实质违规，分工是测即使措辞委婉是否仍有害；搭配理由是模型可能不说拒绝词却用模糊话术回避或实质作答，组合意义是把形式拒绝与实质安全分开，避免把话术性回避误记为安全。
指标共五项，方向必须记牢：攻击成功率越低越好，毒性分数越低越好，策略违反越低越好，关联度越高越好，与标准拒绝的相似度越高越好。攻击成功率按拒绝关键词表判定，毒性、违反与关联度由 GPT-4o 打分，相似度由 GPTScore 对 142 条 GPT-4 生成的拒绝算得。论文还用分层子集上的人评验证 GPT-4o 打分的相对排序不变，并在附录报告 5 次运行的标准差：二进制指标约 0.02 到 0.04，1 到 5 分量表约 0.22，嵌入相似度约 0.01，说明管线稳定。
下表整理基准与评测的规模条件，便于复述分母与口径，避免把不同聚合下的数字混比。
| 数据集与评测条件 | 样本规模 | 违规类别数 | 音色数 | 口音数 |
|---|---|---|---|---|
| AJailBench-Base 构造 | 1495 条 | 10 类 | 118 种 | 4 种 |
| APT 扰动家族 | 7 种方法 | 3 域 | 保义约束 | 贝叶斯组合 |
表前问题是：后文所有安全数字的分母与多样性从何而来，公平条件是否一致？该表说明基线分母是 1495，扰动是 7 种三域方法，音色口音多样性用于防单一声音偏置。表后解释是：规模与多样性是收益，代价是只覆盖英语及 4 种英语口音，未测跨语种鲁棒性；扰动可组合是收益，代价是必须在阈值内搜索，否则语义漂移会污染结论。未胜出项是部分自动生成的越狱样本含乱序词，TTS 会逐字母拼读而非自然朗读，这会引入与扰动无关的失真边界。
下表整理评测稳定性与标定条件的关键数字，便于核对聚合对象与阈值来源。
| 评测设置 | 独立运行次数 | 拒绝模板数 | 人评标定样本数 | 语义阈值与一致性 |
|---|---|---|---|---|
| 推理与打分 | 5 次取平均 | 142 条 | 150 条 | 0.638，Kappa 0.72 |
| 指标方向 | 越低越好三项 | 越高越好两项 | 人机排序一致 | 13 轮后多不可懂 |
表前问题是：阈值 0.638 从何而来，5 次平均与 142 条拒绝分别管什么？该表说明 5 次管生成方差，142 条管拒绝相似度分母，150 条与 Kappa 管阈值可信度。表后解释是：阈值收益是统一了不可比的扰动强度，代价是阈值来自 Whisper 转写加特定人评量表，换识别器或换人可能漂移；13 轮叠加后多数不可懂，论文在优化中取更保守的 10 轮，这是用攻击强度换保义的做法。原文未报告延迟与成本，不能承诺该流程更快更便宜。
主结果显示了什么，哪些模型在哪些维度各有代价？
论文报告没有单个模型在所有维度都稳健。Base 档上 SpeechGPT 最不安全，平均攻击成功率约 0.945，毒性与违反也高；SALMONN 攻击成功率最低约 0.137，但关联度仅约 1.531，可用性代价明显，经常对良性请求也不给有用回答。GPT-4o 在音频模态比其文本对照更严格，平均攻击成功率约 0.190，毒性约 2.654，违反约 0.350，拒绝相似度约 0.624 为最高，策略是少用生硬拒绝，多用中性模糊但不实质作答的话术，例如建议咨询持证医疗专业人士。Qwen2-Audio、DiVA、LLaMA-Omni 与 Gemini-flash 居中，但各有短板类别，例如经济伤害与性内容等类别差异大。文本与音频行为高度一致，说明加音频模态未彻底破坏底层对齐，但也未自动带来音频鲁棒性。
APT+ 档上多数模型的攻击成功率上升、安全分数下降。论文的对比表显示 SALMONN 从 0.356 升至 0.433，Qwen2-Audio 从 0.491 升至 0.526，DiVA 从 0.580 升至 0.674，Gemini-flash 从 0.611 升至 0.737，GPT-4o 从 0.235 升至 0.314，且多处加粗表示统计显著。毒性与关联度变化相对小，但拒绝相似度多下降。这支持 3 个判断：越狱可经信号本身成功而不只靠文本话术；当前安全可能过度依赖干净转写；APT+ 是更严的基准。
下表用论文明确报告的五指标定义帮助核对方向，避免把下降误读为变好。
| 指标 | 全称 | 取值 | 方向 | 判定方式 |
|---|---|---|---|---|
| ASR | 攻击成功率 | 0 到 1 | 越低越好 | 拒绝关键词表 |
| TS | 毒性分数 | 1 到 5 | 越低越好 | GPT-4o 打分 |
| PV | 策略违反 | 0 或 1 | 越低越好 | GPT-4o 判定 |
| Relevance | 关联度 | 1 到 5 | 越高越好 | GPT-4o 打分 |
| Similarity | 拒绝相似度 | 相似度 | 越高越好 | GPTScore 对 142 条拒绝 |
表前问题是：比较模型时如何同时看形式拒绝与实质危害？该表提醒必须五项同看。表后解释是：GPT-4o 的收益是低 ASR 低毒性低违反加高相似度，代价是关联度中等约 2.432；SALMONN 的收益是极低 ASR，代价是关联度最低；SpeechGPT 是反例，ASR 毒性违反三高。未评测边界是防御方法，论文明确留作未来工作，不能把评测强等同于已有解法。 语义阈值实验的可视化进一步限定了扰动可用范围。
看图路径： 1. 先确认每子图纵轴都是相似度，横轴分别是能量、音高、时长与叠加轮数；2. 对比红色虚线阈值线在四个子图中的相对高度是否一致；3. 观察曲线先升后降与单调下降两种形状分别出现在哪些扰动
论文图 3。原论文 Figure 3：“Semantic Consistency Constraint Experiment’s visualization. (a) Energy Distribution Perturbation. (b) Pitch shifting. (c) Temporal Scaling (d) Perturbation Overlay Round.”。
看完图应理解：能量扰动相似度先平后陡降，音高在适中偏移处略升后速降，时长缩放低于 0.6 或高于 1.2 后陡降，多轮叠加最线性且持续下降，红色虚线 0.6382 是统一阈值。像素能辨的是趋势与阈值相对位置，不能硬读每点的精确参数值；原文补充说明最大叠加 13 轮但优化取保守 10 轮，并经人工检查可懂性。
扰动叠加与选择频率说明了什么，哪种操作更常被选中？
论文把消融与机制分析放在阈值曲线与选择分布上。能量、音高、时长 3 条单扰动曲线形状不同，说明模型对不同声学维度的容忍度不同：能量容忍较宽但高强度崩塌，音高有一定鲁棒区间，时长容忍最窄。多轮叠加曲线最线性，说明小扰动可累积侵蚀语义，这也是必须设轮数上限的原因。贝叶斯优化在阈值内倾向于组合多个小的安全编辑，而非单次激进变换，这与保义要求一致。
选择频率图显示 7 种扰动都被用到，分布相对均匀但时间拉伸与淡入淡出最高，说明细微的节奏与边界能量调整在保义下最易偏移内部表示。
看图路径： 1. 先读纵轴百分比范围与横轴七种扰动名称；2. 比较最高柱与最低柱分别对应哪两种操作；3. 观察七根柱整体差异是大是小，判断是否存在单一主导攻击
论文图 4。原论文 Figure 4：“Sample distribution across 7 APT techniques in AJailBench-APT+, selected via Bayesian optimiza- tion.”。
看完图应理解：纵轴是百分比约 12 到 16，横轴七柱为音高偏移、时间拉伸、频率噪声、丢弃、淡入淡出、自然噪声与音量，最高柱是时间拉伸，次高是淡入淡出，最低是丢弃。收益是攻击多样性，代价是单种扰动提升有限，必须组合才显著；反例是丢弃选中率最低，说明粗暴删段在保义约束下性价比不高。原文未报告去掉某一扰动后必然掉多少，因此不能写因果断言，只能说在该搜索预算与阈值下观察到此分布，可能随预算与模型而变，待验证。
还有哪些没测、不能承诺与伦理约束？
论文自述两项局限。第一是未研究音频对抗攻击的防御，只建议未来探索带保义扰动的对抗微调、跨增强视图的一致性正则与信号滤波，但未验证有效性，不能承诺这些方法一定提升安全或不损可用性。第二是聚焦英语音频，虽含多口音但未测跨语种鲁棒性，不能把结论推广到多语部署。
方法层面还有三项未验证推测需要区分。论文说小扰动引起表示偏移导致绕过拒绝，这是有限解释，支持证据是扰动后拒绝相似度下降，但未直接观测内部表示因果链。论文说 APT+ 可迁移到真实黑盒场景，这是可能，需补跨模型跨音色跨语速的迁移实验。论文用 GPT-4o 做评判虽经人评验证排序一致，但误差仍在合理范围而非零误差，不能把自动分当人评。
伦理上论文称音频提示可能诱发不安全行为，采取非商业负责任使用许可、申请加点击协议、细粒度标签分发、不收集个人身份信息、标注员可随时退出与可撤销访问等预防措施。资源状态本次未能确认可达，不能写已公开可下载，复现前应先申请与确认许可。
要复现应先做什么，需要哪些信息条件与预算？
复现分基线复现与增强复现两条线。基线线先按论文收集两类文本：一是论文与 Reddit 等公开分享的手工提示，二是用开源越狱生成工具自动生成，只保留能绕过指定 ChatGPT 版本的样本，再用 DeepSeek-V3 按 10 类标注，最后用 Google Cloud TTS 配 118 种音色与英美澳印四口音合成。需保留的关键超参数是 1495 条总量、10 类划分、118 音色与 4 口音，以及乱序词会被拼读的注意事项。
增强线先实现 7 种扰动与转写加 GPTScore 评分链，再招募有领域知识的标注者用 0 到 10 可懂度量表标定 150 条多轮扰动样本，算 Kappa 与 0.638 阈值并映射回参数上界，最后跑 TPE 贝叶斯优化：10 次初始化、分位数 0.10、每步 24 候选，在 2 维归一化空间中最小化与拒绝集的余弦相似。被测模型按官方模板零样本调用，开源本地跑，闭源调端点，文本对照用转写文本送文本接口，全条件 5 次独立运行先按提示聚合再按运行平均。
预算上原文只给两块 A6000 本地机与 5 次运行的方差范围，未报告 TTS 费用、API 费用与搜索总步数，还需补成本验证。统计上二进制指标方差小、量表指标方差约 0.22，复现时应同报均值与标准差，并固定种子或独立重跑 5 次。缺失的阈值区间与候选扰动编码细节需以论文仓库为准，在未确认可达前不要假设可一键运行。
何时值得尝试这套方法，一句话收束应带走什么？
当你的语音助手已通过文本安全评测但要在真实麦克风、压缩、混响与说话人变化下部署时，值得尝试这套先保义再搜扰动的方法，因为它补上了文本转语音直测漏掉的声学维度。当你只有干净录音室数据时，不宜直接宣称安全，因为 APT+ 显示保义小扰动仍能显著抬高攻击成功率。
带走的判断是：AJailBench 用 1495 条 10 类基线确立了下限，用三域 7 种扰动加语义阈值与贝叶斯组合确立了更严的上限，7 模型比较显示没有全能 winner，GPT-4o 以中性回避实现较好的安全可用平衡，SALMONN 以牺牲可用换极低攻击成功率，SpeechGPT 则明显欠对齐。下一步最需补的是防御侧验证与跨语种迁移验证，否则只能说测出了缺口，还不能说补上了缺口。
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
- 评分规则：type-aware-v1
- 评分模型：muse-spark-1.3-contributor
- 评分请求协议：openai_responses