语音与文本越狱走的是同一条内部通道：统一安全子空间的发现与转向验证

英文题目：A Unified Safety Subspace Exists in Speech Language Models

会议身份：conference:interspeech:2026:conference-paper-id:mukhituly26_interspeech

来源为官方会议 PDF；图片依据原页像素，表格数字依据原文引用。PDF 文字层不视为原始 TeX，未可靠恢复的结构不作推断。

会议来源：官方记录 · 官方 PDF

标签：#形式化分析 #对抗鲁棒性 #可解释性 #语音 #语音对话系统

评分：6.1/10 | 创新 1.5/2 | 技术严谨 1.0/1.5 | 实验充分 1.0/1.5 | 清晰度 0.8/1 | 影响力 1.0/1.5 | 开源 0.0/1.5 | 可复现 0.3/0.5 | 工程/实践 0.5/1.5

排名：前50% | 文档类型：方法研究

👥 作者与机构

• Nurdaulet Mukhituly：机构信息未能从会议 PDF 纯文本可靠映射
• Muhammad Cendekia Airlangga：机构信息未能从会议 PDF 纯文本可靠映射
• Rifo Ahmad Genadi：机构信息未能从会议 PDF 纯文本可靠映射
• Nhi Hoai Doan：机构信息未能从会议 PDF 纯文本可靠映射
• Amirbek Djanibekov：机构信息未能从会议 PDF 纯文本可靠映射
• Samuel Munachiso Nwadike：机构信息未能从会议 PDF 纯文本可靠映射
• Zangir Iklassov：机构信息未能从会议 PDF 纯文本可靠映射
• Kentaro Inui：机构信息未能从会议 PDF 纯文本可靠映射

📌 核心摘要

语音语言模型需同时处理语音与文本输入并在有害请求下保持拒绝，难点在于音频越狱可通过副语言线索与波形扰动绕过文本对齐。先以有害、越狱与良性查询的语音与文本输入送入模型，抽取Qwen2-Audio第15层与GLM-4-Voice第17层末词元残差流激活，并在有害与越狱激活并集上拟合模态专属二维主成分投影，输出可分离拒绝与顺从的低维平面。再以该投影平面为输入，计算越狱均值减有害均值的差向量以估计顺从偏移，并将其反投影回残差流全维空间，输出可注入的音频与文本转向向量。最后以前述转向向量为输入，以带符号缩放系数加减注入推理时残差流，正向注入使有害输入转向顺从，反向相减使越狱输入恢复拒绝且无需重训。与孤立处理单模态或单攻击的防御不同，该工作把安全建模为共享低维几何中的同一线性边界并用跨模态平行性解释迁移。在Qwen2-Audio越狱评测设置下，减去音频转向向量的AdvWave的攻击成功率为0.52%，低于原始输入的攻击成功率97.93%。跨架构与自适应攻击下的泛化尚未验证，其适用边界受限于两模型与五种攻击的条件。原文未披露训练、推理或部署成本。

🔗 开源与复现资源

本次未形成可展示的已核验资源记录，开放状态尚未核实。 可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。

🧭 深度解读

输入是什么，模型要输出什么？

这篇论文研究的输入是语音语言模型同时面对的两类通道：直接输入的文本请求，以及输入的语音请求。目标输出是文本回答，但回答要满足安全要求：对无害的日常请求正常作答，对携带恶意意图的请求拒绝，对经过对抗加工的越狱请求仍然拒绝而不是顺从。初学者容易把语音理解成文本的语音版，论文强调语音带来了文本没有的线索和扰动方式，例如韵律等超音段线索、转录不变但波形被藏入指令的做法，以及基于优化的微小扰动。

为固定讨论对象，论文把样本分成 3 类。第一类是良性请求，例如日常工具性问答；第二类是有害请求，携带明确恶意意图且正常情况下应被拒绝；第 3 类是越狱请求，意图与有害请求相近，但经过对抗改写或音频扰动后诱使模型顺从。图 1 的作用就是把后两类的输出差异钉死：同样意图下，一个被识别并拒绝，一个绕过过滤而顺从。

下面这张示意图先建立有害与越狱在输出行为上的对照，它是后文把激活分成有害簇与越狱簇的语义依据，读图时不要把它当成定量结果。

看图路径： 1. 先读最上方黑色加粗的同一有害请求，确认有害与越狱样本意图相同；2. 再对比中间橄榄色拒绝段与下方红色顺从段的开头句式差异；3. 注意红色段用编号分条给出操作细节且关键处被遮挡的呈现方式；4. 把该图理解为后文三类样本划分中 H 与 J 的输出级定义

论文图 1。原论文 Figure 1：“The difference between harmful and jailbreak samples: harmful queries are detected and refused, while jailbreak queries with similar intent elicit model compliance.”。

该图展示了同一个以详细描述税务欺诈为意图的请求如何产生两种 opposite 的输出。上方黑色加粗行为输入意图，中间橄榄色段以道歉加拒绝开头并强调违法后果，下方红色段则以操作指南开头并分条列出篡改申报的步骤细节。教学上把它看作例子即可：它说明越狱不是换了意图，而是换了让模型放行的方式。论文必须保留的信息是这种意图相同但行为相反的配对关系，因为后文所有几何分析都在问：模型内部用什么表示区分了这两者。

语音语言模型 × 越狱攻击： 语音语言模型负责把语音和文本两种输入通道映射到同一文本生成器，越狱攻击负责用对抗扰动让同一有害意图绕过拒绝而得到顺从回答，二者搭配的意义在于：论文不是把音频当成独立风险，而是检验不同通道的越狱是否击中了同一个内部安全机制。

此前路线把安全当指标优化，本文要回答什么机制问题？

与语音安全相关的已有路线包括输入过滤、对扰动音频做对抗训练，以及事后对激活做干预。这些工作通常报告攻击成功率下降了多少，但较少刻画越狱在内部绕过了哪一个机制，也不回答加入音频后模型的安全状态发生了什么变化。另一条路线是纯文本模型的可解释性研究，认为拒绝可以被残差流中少数方向调制，也有人提出存在多个可分离的拒绝或安全方向。

论文的切入点是把这两条路线连起来：既然文本模型里已经观察到紧凑的拒绝结构，那么当模型同时接受语音和文本后，同样的内部特征或边界整形干预是否还能跨通道迁移。作者特别提醒，抑制拒绝特征不一定直接导致有害顺从，这意味着拒绝特征只是安全行为的重要部分，还不能完整解释越狱诱发的顺从，尤其是在走出纯文本之后。

因此本文的核心问题不是再提出一种过滤器，而是检验多模态越狱是否仍然收敛到残差流中一个共享的低维安全子空间。论文用降维揭示良性、有害、越狱 3 类查询的可分结构，再从该子空间构造简单的转向方向，并在推理时注入残差流，观察是否能在不重新训练的情况下定向翻转拒绝与顺从。这个问题设定决定了后文实验必须同时覆盖跨攻击与跨模态迁移，否则只能证明单点防御有效，不能证明子空间统一。

要判断统一子空间存在，需要什么样的可复述证据？

初学者需要先把存在性主张翻译成可检验的操作。论文所说的统一安全子空间存在，至少包含 3 层含义。第一层是几何可分性：在某个中间层的残差流激活空间里，良性、有害、越狱 3 类输入形成可区分的簇，且有害与越狱虽然意图相近却分开。第二层是因果可干预性：沿着从有害均值指向越狱均值的方向或其反方向做加减，能让被拒绝的有害输入变顺从，让顺从的越狱输入变拒绝。第 3 层是跨条件一致性：从一种攻击或一种模态估计的方向，对另一种攻击或另一种模态仍然有效。

这 3 层缺一不可。如果只有可视化分离而不能干预翻转，那就只是相关性；如果只能在同学到的攻击上干预而不能迁移，那就只是过拟合到特定扰动；如果只能在单模态内迁移而不能跨模态，那就不能称为统一。论文把这 3 层分别对应到主成分投影图、加减转向实验、跨攻击与跨模态表格，读者复述时应按这个顺序检查证据是否闭环。

还需要明确适用边界。论文只研究两个开源语音语言模型和 5 种具体攻击，只在选定的中间层做干预，只用攻击成功率和大模型裁判衡量安全。它没有声称对所有未来音频攻击免疫，也没有测量延迟、误拒率或训练成本。把统一理解为在这组条件下的共享几何与可迁移干预，比理解成发现了放之四海的防御开关更符合原文。

方法全景：一个样本如何走完从输入到转向输出？

先沿着一个样本走完全流程。假设输入是一条音频越狱请求，模型先把它编码进语音语言模型的残差流，到达选定的中间层时，取出最后一个词元的激活向量。这个向量被看作该输入在安全几何中的位置。正常情况下，有害输入的位置落在拒绝一侧，越狱输入的位置被扰动推过边界而落在更靠近良性的一侧。

方法全景分为两步。第一步是发现结构：对有害与越狱两类激活拟合模态特定的 2 维主成分投影，把良性样本只投影进去做可视化，计算越狱均值减去有害均值得到平面内的顺从偏移方向，再把该平面方向反投影回原始高维残差空间，得到可在推理时使用的完整转向向量。按模态来源，这个向量被称为音频向量或文本向量。第二步是验证因果：在同一中间层对最后一个词元激活加上缩放归一化后的向量，用系数的符号决定推向顺从还是拉回拒绝，然后观察生成回答是否翻转。

这个设计的教学要点是区分可视化与干预。投影只是为了找到方向，真正的检验是加向量后行为是否按预期变化。论文还给出符号约定：正系数把有害输入推向顺从，负系数把越狱拉回拒绝，并用拒绝逻辑值的线性近似解释符号为何成立。复述时应先讲样本路径，再讲方向估计，最后讲加减操作，不要一开始就陷入线性判别分析的细节。

表示与投影：残差流向量如何变成二维平面上的方向？

论文的表示对象是第 l 层最后一个词元的残差流激活，记作与模态和样本有关的 d 维向量。模态取文本或音频，类别取良性、有害、越狱。类条件均值是同层同模态同类别样本的平均激活。线性编码假设认为安全相关概念在残差流中是线性可分的，在中间层尤其明显。在类内协方差近似各向同性的简化下，最优分离方向退化为均值差，这就是后文差均值方向的理论起点。

具体计算时，论文对每个模态用有害加越狱激活拟合 2 维投影矩阵，得到平面内的有害均值与越狱均值。平面内的顺从偏移方向定义为越狱均值减去有害均值，指向从拒绝簇到顺从簇。论文引用越狱激活靠近良性输入的先验，认为该方向近似等于良性指向有害方向的负方向。再用投影矩阵把平面方向反投影回 d 维空间，恢复可注入残差流的转向向量。良性样本不参与拟合，只用于投影可视化，这是复现时容易忽略的细节。

残差流 × 主成分分析： 残差流负责在每一层累积并传递当前输入的分布式表示，主成分分析负责把高维的末尾词元激活投影到 2 维平面以暴露聚类结构，二者搭配的理由是：只有先在残差流的固定层取出可比向量，再用主成分分析降维，才能同时完成可视化与转向方向估计。

需要提醒的是，各向同性只是简化近似，原文明确承认残差流一般是各向异性的，只是沿用已有安全探针工作的常用近似。跨模态可迁移的充分条件是同类别跨模态均值近似相等，此时音频向量与文本向量近似平行。原文也指出该条件是充分而非必要，即使均值本身模态分离，只要均值差方向近似平行，迁移仍可能成立，这为解释实验中部分分离但方向一致的现象留了余地。

干预与符号：加减同一个向量为何能双向翻转？

干预发生在选定的中间层，对最后一个词元的激活加上系数乘以归一化转向向量。系数控制幅度和方向，正值把被拒绝的有害输入推向顺从，负值把顺从的越狱输入拉回拒绝。论文用拒绝逻辑值的线性近似解释符号：在分类器权重与差均值方向对齐、而估计出的转向向量近似为该方向负方向的前提下，权重与转向向量的内积为负，因此正系数降低拒绝得分，负系数提高拒绝得分。

复述时要区分原始目标、近似与实现。原始目标是跨过拒绝边界，近似是把拒绝趋势看作线性函数，实际实现是固定幅度的向量加法。论文通过随机向量基线排除幅度幻觉：如果任意同范数扰动都能翻转行为，那么方向就没有意义；只有当学习到的方向明显优于随机方向，才能说翻转是方向性的。

拒绝方向 × 转向干预： 拒绝方向负责指明从有害聚类中心指向越狱聚类中心或其反方向的安全轴，转向干预负责在推理时把归一化后的该向量按系数加到末尾词元激活上，二者组合新增的作用是：不更新任何权重，仅靠沿轴正推或反推就能在拒绝与顺从之间翻转行为。

另一个易错点是把正向与负向实验混为一谈。正向实验的对象是原本被拒绝的有害输入，指标是攻击成功率上升得越多越说明找到了顺从方向；负向实验的对象是原本顺从的越狱输入，指标是攻击成功率下降得越多越说明恢复了拒绝。2 个方向共用同一个向量但符号相反、评价对象不同，读表时必须先确认是哪个模块的结果。

本研究训练了什么，没有训练什么？

本研究没有训练或微调任何语音语言模型权重，也没有更新主成分投影之外的参数。2 个模型都是直接调用的已有开源模型，实验中的学习只发生在估计转向向量这一步：计算类均值、拟合主成分投影、求均值差并反投影。这个过程没有梯度反向传播，没有优化器更新，没有训练轮次，也没有重置时机的概念。

真实计算过程是推理时激活读取加向量注入。研究者先用良性、有害、越狱 3 类文本与音频输入分别跑模型，抽取选定中间层最后一个词元的激活并保存；再在离线侧做均值与主成分计算得到音频向量与文本向量；在评估越狱时，于同一层对同一位置的激活做 1 次加法，然后继续前向生成回答。因此可复现的关键不是训练脚本，而是激活抽取位置、投影拟合样本构成、向量归一化方式和系数扫描范围。

原文未报告的内容应明确标为缺项：没有给出投影拟合的具体样本量配比之外的超参数，没有报告抽取与注入带来的延迟开销，也没有报告转向后对良性任务质量的影响。不能从模型名称推定其音频编码器或对齐训练的实现细节，也不能把参数冻结等同于输出确定，因为生成仍受采样与裁判判定等不确定因素影响。

实验条件：数据、攻击、模型与判定如何对齐？

模型方面，论文在两个可同时接受文本或音频输入并生成文本回答的开源语音语言模型上做实验，一个是 Qwen2-Audio，取第 15 层，另一个是 GLM-4-Voice，取第 17 层。选层依据是主成分平面上类别分离最干净的中间层，这与已有工作认为安全结构在中间层最明显的判断一致。2 个模型的转向系数扫描范围不同，前者在 10 到 20 之间，后者在 1 与 2 之间，论文解释这与 2 模型在主成分第一轴上的分布紧凑程度相关。

数据方面，良性文本用 Alpaca 抽 200 条，良性音频用 Air-Bench 取 200 条，有害文本用 AdvBench，有害音频用 AdvBench 的合成语音版本，以保持有害意图一致而只改变输入通道。攻击覆盖 5 种：音频侧为 AdvWave、AMSE、CAVA，其中前两者来自 JALMBench；文本侧为 AutoDAN 与 BEAST，这两类原本为文本大模型设计但已有工作显示可迁移到语音模型。用于构造转向向量的只有 AdvWave 得到的音频向量和 AutoDAN 得到的文本向量，其余攻击全部用于测试迁移。

评价指标是攻击成功率，即诱发出有害内容的输入占比，越低表示越安全。判定有害与否采用大模型裁判协议，用 GPT-5 对每条生成回答标注是否 harmful，裁判提示词放在随附代码中。关于资源可得性，原文正文出现了代码链接，但本次收到的资源状态证据为不可用，因此只能写本次未能确认代码可达，不能声称代码已公开或可运行。

攻击成功率 × 大模型裁判： 攻击成功率负责量化越狱输入中有多大比例真正诱发出有害内容，大模型裁判负责对每条生成回答标注是否属于有害顺从，二者搭配的原因是：仅靠是否拒绝的字面匹配不可靠，必须由裁判先判定有害性，再按总数归一得到可比的成功率。

主结果：同一方向能否跨模态压住越狱？

先看几何是否为干预提供了前提。论文在 2 个模型的选定中间层上把残差激活投影到前两个主成分，观察到有害与越狱形成可分离的簇，尽管意图相近，说明模型内部区分了拒绝与顺从；同类样本的音频与文本点落在附近但可区分的区域，说明残差流保留了部分模态结构同时共享安全轴；越狱点位于良性与有害之间而非完全坍缩到良性，符合越狱把有害激活推过拒绝边界但未完全到达良性的预测。2 模型的区别在于对齐紧密度不同，GLM-4-Voice 的有害音频与有害文本重叠更多，Qwen2-Audio 则模态分离更明显但仍共享同一安全轴。

下面这组投影图是理解后文转向箭头含义的关键，读图时先确认坐标与图例，再看簇间相对位置，不要硬读单个点的精确数值。

看图路径： 1. 先看左右两幅子图的标题层号与横纵轴 PC1 与 PC2 刻度范围差异；2. 再按图例区分绿色良性、红色有害、浅蓝越狱以及深蓝转向箭头；3. 观察有害簇与越狱簇分离而越狱点落在良性与有害之间的位置关系；4. 对比左图模态分离与右图有害音频文本大面积重叠的不同对齐形态

论文图 2。原论文 Figure 2：“PCA projection of residual-stream activations onto the first two principal components. Left: Qwen2-Audio (Layer 15). Right: GLM-4-Voice (Layer 17).”。

左图为 Qwen2-Audio 第 15 层，横轴范围约负 16 到正 20，纵轴约负 10 到正 18，绿色良性点偏上，红色有害点偏右下与中下，浅蓝越狱点居中，深蓝箭头从红色有害侧指向浅蓝越狱侧。右图为 GLM-4-Voice 第 17 层，横轴约负 1.5 到正 1.7，纵轴约负 1.2 到正 1.2，红色有害偏左，绿色良性偏右，浅蓝越狱居中，深蓝箭头同样横跨拒绝到顺从。后解释是：箭头方向就是后文加减的转向方向，簇间分离越干净，越支持存在可干预的低维安全轴。

再看因果干预是否成立。下表比较的是负向转向，即从越狱输入中减去转向方向后攻击成功率下降的幅度，比较问题是同学到的向量能否压住未见过的攻击与另一模态，公平条件是同一模型同一攻击集合，指标方向是成功率越低越好。

上表显示的主要收益是大幅恢复拒绝，且音频来源向量压住文本攻击、文本来源向量压住音频攻击，支持跨模态迁移。代价与反例是：随机同范数向量在部分攻击上仍有一定下降但远不及学习方向，说明幅度不是主因；BEAST 与 CAVA 等攻击的基线与残留差异提醒不能把总体低于 7% 推广为每种攻击零风险。未胜出项是随机基线，它在所有格中都明显更差，这反而强化了方向特异性的结论。

音频向量 × 文本向量： 音频向量负责记录从音频有害与音频越狱样本估计出的均值差方向，文本向量负责记录从文本有害与文本越狱样本估计出的对应方向，二者搭配的检验意义是：若跨模态类均值近似对齐，则两向量近似平行并可互换，从而用一侧攻击学到的方向去防御另一侧攻击。

反向验证：加上同一方向能否让拒绝变顺从？

除了把越狱拉回拒绝，论文还做了反向验证：对原本被拒绝的有害输入加上正向转向，观察攻击成功率是否上升。这个对照的意义在于证明找到的轴是双向因果的，而不是只在越狱样本上碰巧有效。如果正向能让拒绝变顺从，负向能让顺从变拒绝，那么该方向更可能是控制拒绝行为的共享轴。

原文报告，正向干预把原本低于 6% 的有害输入成功率推高到 56% 到 90% 之间，覆盖 2 个模型与两种模态。这个幅度远大于随机向量的变化，同样支持方向特异性。但读者应注意适用条件：正向实验的对象不是越狱，而是普通有害请求，它回答的是轴的存在性，不代表防御部署时会主动制造顺从。复现时必须严格区分正负号与评价集合，否则会把上升当成防御失败。

该反向结果也带来一个限制：既然一个简单加法就能大面积解除拒绝，说明当前模型的拒绝边界在该层表示中是脆弱的。论文没有测试这种脆弱性是否会连带损害良性回答质量，也没有测试在更强对齐训练后该轴是否仍然如此容易被推动。因此它支持统一子空间的诊断价值，但不能直接当成部署级修复方案。

系数与随机基线：效果是方向还是幅度幻觉？

论文的消融围绕两个问题：系数多大合适，以及效果是否只是加了扰动。系数方面，Qwen2-Audio 在 10 到 20 之间扫描最优，GLM-4-Voice 只在 1 与 2 之间扫描最优。原文把这种差异与主成分第一轴的分布范围对应起来：后者激活更紧凑，只需更小位移就能跨过拒绝边界。复现时应保留这种按模型分别扫描的做法，不能把一组系数直接搬到另一模型。

随机基线方面，论文用与最优向量相同系数的同范数随机向量做对照。下表整理的是该对照要回答的问题：在相同扰动幅度下，随机方向能否复现学习方向的翻转，公平条件是同一攻击同一系数，指标方向是正向越高越顺从、负向越低越拒绝。

上表的主要收益是排除幅度解释：相同范数下只有学习方向能稳定翻转，支持安全行为由低维子空间控制。代价是系数选择依赖事后最优报告，论文取的是扫描中最优的成功率，这在部署时不可直接复用，需要额外验证如何在线选择系数。未胜出项仍是随机向量，它在个别攻击上有小幅变化但整体远差；未评测边界是良性任务退化与推理延迟，原文没有给出可核对数字。

初学者常把消融理解成调参技巧，这里应理解成因果检验：没有随机基线，几何分离只能算相关；有了随机基线，才能说翻转来自方向本身。

哪些结论是报告，哪些还是待验证？

论文直接报告的是：在 2 个模型、选定中间层、5 种攻击、给定裁判下，几何可分与双向可干预同时成立，且跨模态迁移幅度大。这些是可用表格数字复述的事实。有限解释的是跨模态可迁移的理论条件：类均值跨模态近似相等是充分而非必要，方向平行这个更弱条件也可能成立，这能解释 Qwen2-Audio 中模态分离但仍共享安全轴的现象，但原文没有给出方向平行度的定量阈值。

待验证的是更强的推广。第一，是否对更多模型架构、更多音频攻击家族、更多语言仍然成立，原文只验证了 2 模型五攻击。第二，转向是否会误伤良性请求的回答质量，原文没有报告误拒率或生成质量对比。第三，系数需要按模型手调且取事后最优，部署时如何自动选择、是否稳定，原文没有给出在线策略。第四，裁判本身用大模型完成，其误判率与偏置未被量化，不能把自动裁判分数等同于人工安全评审。

相关性不是因果的提醒在这里同样适用：投影图上的分离支持存在共享轴，但只有加减干预加随机基线才构成因果证据；即使因果成立，也只说明在该层该系数下可翻转，不等于找到了训练时可正则化的唯一安全表示。总体趋势不等于每组都成立，例如不同攻击的基线与残留差异很大，复述时应保留这种不均匀性。

复现先做什么，需要哪些信息条件？

复现的第一步是准备可比的 3 类样本。良性文本与音频分别按原文来源抽取，数量级为 200 条；有害文本用 AdvBench，有害音频用其合成语音版本以保持意图一致；越狱样本覆盖 AdvWave、AMSE、CAVA、AutoDAN、BEAST 5 种，其中只有 AdvWave 与 AutoDAN 用于估计向量，其余用于测试迁移。划分与采样的关键是不要把测试攻击混入方向估计，否则跨攻击迁移的结论会被污染。

第二步是固定激活抽取与投影流程。对 Qwen2-Audio 取第 15 层、对 GLM-4-Voice 取第 17 层，取最后一个词元的残差激活；对每个模态用有害加越狱拟合 2 维投影，良性只做投影可视化；计算越狱均值减有害均值得到平面方向并反投影回原始维度，分别得到音频向量与文本向量。第三步是固定干预协议：在同一层同一位置做归一化加法，Qwen2-Audio 扫描 10 到 20，GLM-4-Voice 扫描 1 与 2，分别记录正向对有害输入、负向对越狱输入的攻击成功率，并用同范数随机向量做平行对照。

判定环节需保留原文信息条件：用同一大模型裁判对生成回答标注有害与否，再按总数计算成功率，裁判提示词应与随附代码一致。由于本次未能确认代码链接可达，复现者不能默认脚本可下载，应先补做可达性验证，再补测裁判一致性、良性质量变化与延迟开销这三项原文缺项，才能把诊断性发现推进为可部署结论。

何时值得尝试这种思路，还需补哪项验证？

当研究者面对的痛点是音频与文本越狱各自为战、防御只能逐个打补丁时，这篇论文的思路值得尝试：先在中间层残差流中检查 3 类激活是否可分，再估计一个简单的均值差方向，最后用正负两种符号验证双向翻转与跨条件迁移。如果在自己的模型上也能复现分离加可迁移干预，那么后续防御可以考虑沿该轴做训练时正则或推理时监测，而不必为每种攻击维护独立规则。

但尝试前要认清前提：该方法依赖能稳定抽取中间层激活的白盒访问，依赖有害与越狱样本的配对构造，依赖裁判判定的可靠性，以及依赖按模型调参的系数。如果只能做黑盒调用，或者无法获得意图对齐的跨模态样本，那么直接套用本文数值不会有意义。

还需补的验证包括：转向后良性任务是否退化、系数能否自动选择而非事后取优、更多模型与攻击下的迁移是否保持、以及训练时显式对齐该子空间能否真正提升鲁棒性而非仅仅移动边界。把这些补齐后，统一安全子空间才能从一个可复述的几何诊断，变成可运行的安全机制。

⚖️ 评分明细

评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。

• 评分规则：type-aware-v1
• 评分模型：muse-spark-1.3-contributor
• 评分请求协议：openai_responses

← 返回 interspeech-2026 论文汇总