AEGIS：用内部信号在中间层拦截大型音频语言模型越狱

作者要分辨：音频越狱成功，是因为模型没有识别有害意图，还是识别之后没有形成拒绝。逐层探测后，作者称属于后者，并把该落差称为 risk-to-refusal gap；AEGIS 用中层风险分数选择性打开后层安全适配器。

• 场景： LALM 在音频理解之外会遇到异构越狱。作者列举语义与多语言混淆、副语言变化、组合音频和对抗波形扰动，并认为防御要跨这些机制，同时少在良性提示上过度拒绝。
• 现有做法的缺口： 作者称输入侧过滤、安全训练和表示层干预能在不同阶段减少不安全回答，但没有回答越狱成功时对齐断在何处。
• 核心观察： 作者在六个无防御 LALM 上比较逐层风险可解码性与拒绝倾向。Figure 1 只给出 Qwen2-Audio：作者称中、深层风险仍可解码，拒绝概率却接近零；其余五个模型作者称类似，脚注称结果在仓库，正文未附图。
• 本文做法： 冻结基座，在探测选定的中层读出连续风险分数，再选择性激活后层 LoRA 安全适配器。
• 威胁模型：
  • 目标： 越狱使模型对有害音频给出不安全回答；防御要降低这类输出，并限制良性输入上的过度拒绝。
  • 攻击输入： 攻击经由音频进入。评测覆盖信号级扰动、语义混淆、多语言攻击，以及多说话人对话中的组合越狱。
  • 判定： 受害系统是 LALM 解码器。unsafe rate 由 Llama-Guard-3-8B 计算；过度拒绝是 Qwen3-TTS 合成的 XSTest 上命中预定义拒绝正则的比例。
  • 防御可用的信息： 风险门读取中层最终提示 token 的隐藏状态，超过阈值才修改后层。作者在 Section 6 写明这需要模型内部访问。

异构音频越狱

• 基准与红队： JALMBench（Peng 等，ICLR 2026）与 Audio Jailbreak（Song 等，ACL 2026）评测音频语言模型的越狱漏洞。红队工作包括 Hao Yang 等（NAACL 2025）和 Wanqi Yang 等（ACL Findings 2025）。
• 攻击机制： 语义与组合操作改写或拆开有害意图（Yudong Yang 等，ICML 2026；Yu 等，EACL 2026）。副语言变化涉及语言、口音、情绪和说话风格（Roh 等，2025；Feng 等，ICASSP 2026；Li 等，AAAI 2026）。信号级方法优化对抗波形（Kang 等，ICLR 2025；Peri 等，ACL 2024）。
• 配套指标： 作者称这些攻击的安全影响常用 AdvBench、JBB-Behaviors 衡量，良性提示上的过度拒绝常用 XSTest。作者认为由此需要跨机制的防御，并压低过度拒绝。

防御所在阶段

• 提示词与 guard： 一部分工作加强安全指令（文献 7、17）。guard 在生成前检测或过滤不安全输入，论文点到 SALMONN-Guard（文献 9）、OmniGuard（Verma 等，EMNLP 2025）和 VoiceSHIELD-Small（Ranjan 等）。
• 训练与推理时干预： 安全训练文献为 11、12、26，其中包含 RRS（Hao Yang 等，EMNLP 2025）和 SEA（Lu 等，ACL 2025）。推理时干预文献为 13、27、28，即 SARSteer（Lin 等，ICML 2026）、ALMGuard（Jin 等，NeurIPS 2025）和 Spirit（Djanibekov 等，EMNLP 2025）。
• 引言中的批评： 作者称输入侧过滤、安全训练和表示层干预（文献 9、11–13）能减少不安全回答，但没有回答越狱成功时对齐断在哪里。这是作者对这几类做法的批评。

内部安全信号

• 分开表示： Zhao 等（2025）报告 LLM 中危害性与拒绝可以分开表示，并分析越狱如何改变内部安全信号。
• 跨模态动态： Wang 等研究跨模态安全冲突下的逐层拒绝动态；实验里的 OmniSteer 即这篇文献 11（表中记为 arXiv'26）。

基线方法与基准

• 基线方法： 比较在 Qwen2-Audio 上完成，包括用与 AEGIS 相同数据重训的 RRS、OmniSteer、ALMGuard、SARSteer，Whisper-large-v3 的 ASR 预处理，以及 PBD-JBB（把 JailbreakBench 的防御系统提示词接到目标模型系统提示词之前）。
• 基准/数据集： AJailBench 的 Origin 子集、JALM-Bench 的 SSJ 与 ADiv、SACRED-Bench 的 MSD 子集；过度拒绝用 Qwen3-TTS 合成的 XSTest 音频。

作者的定位是：音频越狱下，留下的风险信息为何没有变成拒绝，仍然较少被理解；本文用逐层探测看这一关系，并用该风险信号指导选择性的后层干预。

AEGIS 是冻结基座上的 detect-then-intervene 防御：中层风险门给出连续分数，再按分数决定后层 LoRA 是否改写隐藏状态，以及改多强（Figure 2）。诊断用的线性探针不是部署时的门控。

逐层诊断

• 风险可解码性： 作者做二分类数据：有害且会引出不安全回答的输入，以及良性且会引出安全回答的输入。每个解码层取最终输入 token 的隐藏状态，单独训一个线性探针，在留出划分上用 AUROC 表示有害与良性是否线性可分，并当作该层有没有风险信息的代理。该数据集的规模、以及它和三个越狱基准是否同一批样本，论文未说明。
• 拒绝倾向： 预定义拒绝模式里不重复的首 token 当作拒绝起始 token。每一步生成把该层隐藏状态投到词表，softmax 后把这些 token 的概率加总，再对生成步平均。词表本身论文未列出。
• 为何检测在中层、干预在后层： 作者称无防御时，中层和深层 AUROC 升高，但拒绝倾向仍接近零，哪怕输入最后引出不安全回答。Figure 1 横轴为 Decoder Layer，刻度画到 28，并标了 shallow、middle、deep，但没有印出分界层号；左轴刻度为 Risk Detection (AUROC) 0.65–0.95，右轴为 Refuse Probability (logit-lens) 0.0–1.0。图注称绿线是风险可解码性，红线、蓝线分别是干预前、后的拒绝 token 概率，图例文字为 baseline 与 AEGIS。各层精确读数图中没有标出。

中层 MLP 风险门

• 层 ℓg 按每个模型自己的逐层探测来选，论文未给出层号。门读取该层最终提示 token 的表示 h_ℓg。
• 轻量 MLP 加 sigmoid 得到风险分数 g=σ(f_θ(h_ℓg))。f_θ 是 MLP，σ 是 sigmoid，g 在 0 与 1 之间，既是风险估计，也用来缩放后层更新。

后层适配器与推理

• 在后层集合 L_int 插入 LoRA。激活时隐藏状态按 h_ℓ ← h_ℓ+α· g· B_ℓ(A_ℓ(h_ℓ)) 更新。A_ℓ、B_ℓ 是低秩投影，α 是干预强度；乘上 g 是为了让高风险输入上的更新更大、低风险输入上更小。秩、L_int 包含哪些层，论文都未写。
• 推理与训练不同： 推理时只有风险超过阈值的输入才打开适配器。打开之后，α 沿闭环逐步增大，直到满足预先定义的拒绝准则（Figure 2 标为 scale-to-refusal）。阈值、α 的数值和拒绝准则的定义，论文都未给出。

训练目标

• 基座冻结，风险门与适配器联合训练。损失由三部分相加：只算在目标响应 token 上、提示 token 被 mask 的语言模型损失；风险分数对二元标签 z 的交叉熵，λBCE=1.0；以及对 g 的稀疏惩罚，λL1=0.01。z=1 为有害，z=0 为良性。论文未写 z 是否来自 Llama-Guard-3-8B。
• 作者称这组损失是为了在有害输入上检测并干预，同时少改变良性行为。良性训练样本是 JBB-Behavior 经 TTS 转成的提示，加上 LLM 生成的一般良性指令；所用 TTS 和 LLM 的名字论文未写。

实验设置

• 模型： Qwen2-Audio-7B、VITA-1.5、Ultravox v0.5、Phi-4-Multimodal Instruct、Voxtral-Small-24B、Gemma 4 E4B Instruct。Table 1 表头写作 Gemma 4 E4B、Phi-4、ViTA-1.5、Qwen2-Audio、Ultravox v0.5、Voxtral Small。
• 越狱数据： AJailBench Origin 1,490 条；JALM-Bench 的 SSJ 246 条与 ADiv 700 条，表中合并为 JALM (ADiv+SSJ)；SACRED-Bench MSD 1,364 条。作者称它们覆盖信号级扰动、语义混淆、多语言攻击和多说话人组合越狱。
• 良性数据与协议： 过度拒绝评测是 Qwen3-TTS 合成的 XSTest 音频，条数未报告。in-domain 的训练包含被评测基准的训练样本，测试在该基准的 held-out split 上。LOBO 整份留出一个越狱基准，只用另外两个训练。划分比例和重复次数论文未报告。
• 指标： unsafe rate 是 Llama-Guard-3-8B 判为不安全的输出百分比。过度拒绝率是 XSTest 上命中预定义拒绝正则的百分比；OR 为绝对值，ΔOR 为相对无防御模型的百分点。论文未报告与人工判定的一致性，也未给出正则。
• 基线： 只在 Qwen2-Audio 上比较。作者称用与 AEGIS 相同的数据重训 RRS、OmniSteer、ALMGuard、SARSteer；另有 Whisper-large-v3 预处理（Table 3 行为 ASR，OpenAI'23）和 PBD-JBB。正文把该防御提示词标为文献 9，Table 3 写作 PBD-JBB（NeurIPS'24）。Table 3 只把 AEGIS 标成 LOBO，其余行没有这一标记。作者称若干基线需要模型特定的内部访问或额外训练，所以对比集中在这一个模型。

主结果

下表是无防御到 AEGIS（in-domain）的 unsafe rate（%）。ΔOR 是 in-domain 下 XSTest 过度拒绝相对无防御的百分点变化。据 Table 1。

Swipe horizontally to read the table

模型	AJail	JALM	SACRED	ΔOR
Gemma 4 E4B	7.90→0.30	16.90→0.20	17.20→0.00	+10.4
Phi-4	4.40→0.00	66.80→1.20	46.40→1.30	+2.4
ViTA-1.5	6.40→0.00	1.60→0.00	2.40→0.00	+0.5
Qwen2-Audio	12.55→1.40	16.70→0.00	42.45→1.60	+9.3
Ultravox v0.5	7.20→0.40	4.40→0.00	0.40→0.00	+7.5
Voxtral Small	18.90→0.60	22.80→0.60	26.40→0.00	+7.7

• 摘要、引言和 Section 5.2 都写平均 unsafe rate 从 17.9% 降到 0.4%；后两处写明这是 in-domain 的 18 个模型–基准对。作者认为效果不绑在某一个模型族或安全剖面上。表中 in-domain 仍高于 1% 的是 Qwen2-Audio 的 AJail 与 SACRED，以及 Phi-4 的 JALM 与 SACRED。
• 作者称 XSTest 过度拒绝平均增加 6.3 个百分点，并称效用代价有限。表中 in-domain ΔOR 最大的是 Gemma 4 E4B，最小的是 ViTA-1.5。
• LOBO 的平均 unsafe rate 作者报告为 2.6%。Table 1 里较高的格子是 Voxtral Small 的 JALM 13.20% 与 AJail 10.30%，Phi-4 的 JALM 7.60%，Gemma 4 E4B 的 JALM 7.50%，Ultravox v0.5 的 AJail 4.00% 与 JALM 2.40%。SACRED 的 LOBO 只有 Voxtral Small 为 0.40%，其余五个模型为 0.00%。也有 LOBO 低于同格 in-domain 的情况，例如 Qwen2-Audio 的 AJail 为 0.80%（in-domain 为 1.40%）。作者没有解释这些格之间的差别。

与代表防御的比较

• 同表能直接读到的高低： Table 3 仍是 Qwen2-Audio。Vanilla 三列与 Table 1 的无防御一行相同，ΔOR 记为 0.00。AEGIS 行标为 LOBO，为 0.80%、0.80%、0.00%，ΔOR +5.30，与 Table 1 对应格一致（Table 1 的 ΔOR 印作 +5.3）。作者称它是唯一在三个基准上都把 unsafe rate 保持在 1% 以下的方法；表中其余行至少有一列不低于 3.17%。
• 只在部分基准上更低： SARSteer 为 4.43%、6.13%、26.91%，ΔOR +41.60。作者称它把 AJail 和 JALM 改进较多，但 SACRED 仍为 26.9%（表为 26.91%）。ASR 的 SACRED 为 3.17%、ΔOR +1.40，但 JALM 为 31.09%，高于 Vanilla 的 16.70%。
• 相对 Vanilla 并非每列都下降： ALMGuard 为 13.09%、22.73%、43.55%，ΔOR +12.00，三列都不低于 Vanilla。RRS 为 11.61%、26.32%、38.71%，ΔOR +11.33，其中 JALM 高于 Vanilla。PBD-JBB 为 9.73%、26.96%、33.94%，ΔOR +12.00，JALM 同样更高。OmniSteer 为 12.21%、17.02%、42.96%，ΔOR +0.80。作者称多数对比防御的过度拒绝增幅更大；表里小于 AEGIS 的是 OmniSteer 和 ASR。

风险门的作用

• 变体： Table 2 在 Qwen2-Audio 的 LOBO 上比较 Full 与 Always-on。Full 把安全 LoRA 加到全部解码层；Always-on 保留后层适配器、去掉风险门，对每个输入都干预。
• 数字： Full 为 AJail 0.3%、JALM 0.0%、SACRED 2.0%，ΔOR +22.1。Always-on 为 0.3%、2.0%、2.2%，ΔOR +21.9。AEGIS 为 0.8%、0.8%、0.0%，ΔOR +5.30。
• 作者解读： 作者称两个变体的防护都很强，但 XSTest 过度拒绝增加 22.1 和 21.9 个百分点，AEGIS 为 5.3 个百分点；并认为风险门主要控制何时干预。表中 Full 的 SACRED（2.0%）高于 AEGIS（0.0%），作者没有单独解释这一格。

干预后的拒绝倾向

• 测了什么： Section 5.4 用 Figure 1 看 Qwen2-Audio 在成功音频越狱上，干预前后的逐层拒绝倾向。
• 图上能核对的内容： 作者称红色曲线到后层仍接近零，蓝色曲线在干预后于后层升高。右轴刻度是 0.0 到 1.0，左轴刻度是 0.65 到 0.95，横轴刻度到 28。图内没有各层读数，升高到多少无法从图中文字读出。作者称左图绿色风险可解码性在中层和深层升高。
• 作者解读： 作者认为 AEGIS 把仍可解码的风险信息重新连到后层拒绝倾向上，从而缩小 risk-to-refusal gap。另外五个模型的曲线不在正文。

其他消融与分析

• Table 1 的 LOBO ΔOR：Gemma 4 E4B +10.1，Phi-4 +9.9，ViTA-1.5 +5.1，Qwen2-Audio +5.3，Ultravox v0.5 +1.3，Voxtral Small +9.6 个百分点。
• Table 1 无防御的过度拒绝绝对值：Gemma 4 E4B 10.8%，Phi-4 11.6%，ViTA-1.5 12.0%，Qwen2-Audio 36.80%，Ultravox v0.5 26.8%，Voxtral Small 3.2%。
• 论文没有别的超参数表；λBCE=1.0 与 λL1=0.01 只在方法节给出。

作者指出的局限与后续方向

• 代理指标： 作者写，分析依赖的代理度量可能无法完全刻画内部安全机制（Section 6，Limitations）。
• 闭源模型： 作者写，AEGIS 需要访问模型内部，这限制了它在闭源 LALM 上的适用（Section 6）。
• 攻击范围： 作者写，评测覆盖了多种攻击机制，但没有包含全部音频越狱，也没有包含针对该防御本身的自适应攻击（Section 6）。

实验覆盖范围

• 模型： 行为评测包括 Section 5.1 的六个 LALM。正文中的逐层风险与拒绝曲线只有 Qwen2-Audio 的 Figure 1；作者称另外五个模型的结果在仓库。
• 数据与协议： 越狱集为 AJailBench Origin（1,490）、JALM-Bench 的 SSJ 与 ADiv（246 与 700）、SACRED-Bench MSD（1,364）。设置包括 in-domain 的 held-out split 和 LOBO（Section 5.1）。论文未报告划分比例和重复次数。
• 对比与消融所在模型： RRS、OmniSteer、ALMGuard、SARSteer、Whisper-large-v3 的 ASR、PBD-JBB，以及 Table 2 的 Full 与 Always-on，都在 Qwen2-Audio 上。作者写明，若干基线需要模型特定的内部访问或额外训练，所以防御对比放在该模型（Section 5.1）。
• 判定和未写出的参数： 不安全标签来自 Llama-Guard-3-8B，过度拒绝来自拒绝正则（Section 5.1）。论文未报告与人工判断的一致性，也未报告风险阈值、风险门所在层号、后层集合、LoRA 的秩和 α 的取值（Section 4）。
• 良性样本的来源： 训练用的是 JBB-Behavior 经 TTS 转写的良性提示，以及 LLM 生成的一般良性指令；生成用的 LLM 和训练用的 TTS，论文未点名。过度拒绝评测单独使用 Qwen3-TTS 合成的 XSTest 音频（Section 5.1）。

AEGIS 是放在 LALM 解码器内部的检测后干预防御，用来处理异构��频越狱。

• 问题： 作者追问越狱成功是没识别有害意图，还是风险留在隐藏状态里却没有变成拒绝。在六个无防御模型上，作者称中后层仍可把有害与良性输入线性分开，logit lens 的拒绝概率却接近零，并把这一落差称为 risk-to-refusal gap。正文只附了 Qwen2-Audio 的 Figure 1。
• 做法： 基座冻结。每个模型用探针选一个中层，MLP 把最终提示 token 变成 0 到 1 的风险分数，用来缩放后层 LoRA。推理时越过阈值才干预，再逐步加大强度，直到满足预先定义的拒绝准则。联合训练包括提示被 mask 后的语言模型损失、BCE（权重 1.0）和门控上的 L1（权重 0.01）。
• 主结果： 六个模型与三个基准共 18 对，in-domain 平均 unsafe rate 从 17.9% 降到 0.4%；作者另报告 LOBO 平均为 2.6%（Section 5.2、Table 1）。in-domain 的 XSTest 过度拒绝平均增加 6.3 个百分点。
• 参差不齐的格子： LOBO 下 Voxtral Small 在 JALM 仍为 13.20%、在 AJail 为 10.30%（Table 1）。Qwen2-Audio 上，标为 LOBO 的 AEGIS 为 0.80%、0.80%、0.00%，ΔOR +5.30；同表 SARSteer 的 SACRED 为 26.91%，ΔOR +41.60（Table 3）。去掉门控或把 LoRA 铺到所有层时，ΔOR 为 +21.9 与 +22.1（Table 2）。
• 作者的结论： 作者认为，选择性的内部干预可以把留下的中层风险接到后层拒绝上，在 in-domain 和 LOBO 里降低不安全回答，并限制过度拒绝。作者同时写明：测量用的是代理指标，方法需要内部访问，评测也没有包含全部音频越狱和针对防御的自适应攻击。