Benign Fine-Tuning Breaks Safety Alignment in Audio LLMs
📄 Benign Fine-Tuning Breaks Safety Alignment in Audio LLMs #音频安全 #数据增强 #音频大模型 #多模态模型 #对抗样本 🔥 评分:9.5/10 | arxiv 👥 作者与机构 第一作者:Jaechul Roh(推断,因名字在前) 通讯作者:Amir Houmansadr(推断,因名字在后且通常为资深作者) 全部作者:Jaechul Roh, Amir Houmansadr 所属机构:University of Massachusetts Amherst, Department of Computer Science 💡 毒舌点评 亮点:论文像一把精准的手术刀,首次剖开了音频大模型“良性微调”外表下的安全脆弱性,揭示了其与文本/视觉模态截然不同的、由编码器架构决定的“阿喀琉斯之踵”,研究问题抓得准,分析框架设计得妙。槽点:提出的防御方法(远距离过滤和系统提示)虽然有效但略显“直球”,缺乏对模型内部拒绝机制更深入的干预探索,算是给后续研究者留了口饭吃。 🔗 开源详情 代码:论文明确提及在GitHub上发布了代码(“Report GitHub Issue”),用于复现邻近度过滤和实验。 数据集:论文提及发布了用于实验的良性音频数据集和有害音频提示集(经过TTS转换)。 模型权重:论文研究的是三个已公开的SOTA模型(AF3, Kimi-Audio, Qwen2.5-Omni),未发布其微调后的权重,以防止滥用。 在线Demo:未提及。 依赖的开源工具:使用了多个开源模型和工具,包括:Whisper系列编码器、Sentence-BERT、WavLM、LoRA微调框架、Edge-TTS、Google TTS (gTTS)等。 📌 核心摘要 这篇论文首次系统研究了良性(无害)音频数据微调对音频大模型安全对齐的破坏作用。要解决的问题是:用户出于提升模型性能目的进行的常规微调,是否会无意中破坏模型的安全防护?方法上,作者提出了一个基于嵌入空间邻近度的过滤框架,从语义、声学及混合维度,选择性地用与有害内容在表示空间上相近的良性音频进行微调。主要发现是,即使微调数据完全良性,也能使越狱成功率(JSR)从个位数飙升至87.12%,且主导的脆弱性维度(语义或声学)取决于模型编码器的架构。实际意义在于揭示了Audio LLMs一个非对抗性、易被忽视的重大安全风险,并提出了两种无需修改架构的实用防御策略(训练时远距离过滤和推理时安全系统提示)。局限性在于研究限于英语单轮对话,未探索非语音音频任务或多语言场景。 🏗️ 模型架构 论文本身并非提出新模型,而是分析三个现有的SOTA音频大模型在微调下的安全行为。因此,模型架构部分描述的是被分析的三个目标模型: Audio Flamingo 3 (AF3):架构为 Whisper音频编码器 -> 2层MLP投影器 -> Qwen2.5-7B LLM骨干(28层)。其关键特点是MLP投影器会压缩音频特征,形成一个与文本对齐空间不同的表示区域。 Kimi-Audio 7B:采用双编码器设计,包含WhisperVQ编码器(通过矢量量化瓶颈,会丢弃部分声学细节)和Whisper-Large-V3编码器。音频信息通过这两个编码器处理后输入LLM。 Qwen2.5-Omni 7B:架构为Whisper-Large-V3编码器 -> 直通(pass-through)-> Qwen2.5-7B Thinker模块。其编码器输出几乎不加修改地传递给LLM,保留了更多的音频-文本对齐信息。 数据流动与关键设计:在所有三个模型中,音频编码器在微调期间是冻结的,只有LLM骨干网络通过LoRA进行参数更新。这是与文本LLM微调的关键区别:在音频LLM中,安全对齐所依赖的表示(来自编码器)并未被微调直接修改,但下游LLM的决策边界却发生了偏移。 ...