技術要約：Now You Hear Me（君の声が聞こえる）：大規模音声言語モデルに対するオーディオ・ナラティブ攻撃

問題提起

GPT-4oやGemini 2.0 Flashといったリアルタイム音声インターフェースへの大規模音声言語モデル（LALM）の急速な統合は、これまでほとんど特性化されてこなかった明確なクラスのセキュリティ脆弱性を導入している。既存のジェイルブレイク研究は、テキストのセマンティクス（意味論）や低レベルの音声信号摂動（ノイズ注入、アクセントの変化など）に焦点を当てているが、これらのアプローチは、音声を単なるテキストのラップ（包み）や信号操作の媒体として扱っていることが多い。

本論文は、決定的なギャップを特定している。それは、現在の安全メカニズムが、パラ言語的キュー（トーン、プロソディ、アフェクト、およびデリバリー・スタイル）を独立した敵対的ベクトルとして考慮できていないという点である。著者らは、LALMは音声を、社会的・心理的な情報を含む豊かなマルチモーダル信号として解釈するように訓練されているため、「デリバリー（話し方）に基づく」攻撃に対して脆弱である可能性があると仮定している。具体的には、悪意のある指示を、説得力のある権威、共感、または特定のナラティブ（物語）のペース配分を用いて枠付けすることで、同じ指示がプレーンテキストとして提示された場合に効果的にブロックされるはずのアライメント（調整）のガードレールを上書きできるのではないか、という問いを立てている。

メソドロジー

著者らは、人間の発話における心理学的および社会的ダイナミクスを利用して、LALMのコンプライアンス（遵守）を操作するブラックボックス型オーディオ・ジェイルブレイク・パイプラインを提案している。

1. 脅威モデル

この攻撃は、攻撃者がターゲットとなるLALMと音声入力のみを通じてやり取りを行うブラックボックス設定で動作する。目標は、モデルの制限されたレスポンス $R$（例：違法行為の指示）を生成する確率を最大化する入力オーディオ波形 $a^*$ を見つけ出し、モデルのアライメント・ポリシーをバイパスすることである。

2. コア・メカニメント：スタイライズされたデリバリー

セマンティックな内容を修正したり、トークンレベルで音声信号を摂動させたりするのではなく、この手法はデリバリー・スタイルを操作する。著者らは、固定されたテキストプロンプト $x$ から、音声スタイルベクトル $s$ によって制御された音声を合成するために、高度なテキスト読み上げ（TTS）モデルを活用する。攻撃は、 $s$ （プロソディ、ピッチ、リズム）の変化が、モデルの話し手の意図に関する潜在表現を変化させ、それによってモデルのコンプライアンス行動をシフトさせるという仮説に基づいている。

3. ヒューリスティックなデリバリー・スタイル

コミュニケーション心理学や社会的影響の理論（例：メディア方程式、強制コンプライアンス）に基づき、著者らは5つの特定のデリバリー・スタイルを設計した：

• 権威的な要求 (Authoritative Demand): 優位性を示すための、低いピッチ、一定のテンポ、毅然としたイントネーション。
• 親和的な説得 (Affiliative Persuasion): 温かさと信頼を伝えるための、中程度のピッチ変化、柔らかな調音。
• 緊急の指令 (Urgent Directive): 緊急性を喚起するための、高まった発話速度と途切れるようなリズム。
• 感情的な示唆 (Emotive Suggestion): 共感に訴えかける、穏やかで感情的に響くトーン。
• 社会的絆への訴え (Social Bonding Appeal): 社会的距離を縮めるための、遊び心のあるピッチ変調とリラックスしたリズム。

4. 実験設定

この手法は、3つの最先端エンドツーエンドLALMに対して評価された：

• クローズドソース: GPT-4o Realtime, Gemini 2.0 Flash.
• オープンソース: Qwen2.5-Omni-7B.

攻撃は、3つのベンチマークデータセット（AdvBench, JailbreakBench, MaliciousInstruct）に含まれる悪意のある入力に対してテストされた。本研究では、提案されたスタイライズされたオーディオを以下のものと比較した：

• テキストのみのベースライン（例：DeepInception）。
• 標準的なTTS（ニュートラルなオーディオ）。
• 既存のオーディオベースの攻撃（例：AdvWave）。

主な貢献

1. 新しい攻撃ベクトルの特定: 本論文は、パラ言語的および心理学的特徴を悪用することが、セマンティックな難読化や低レベルの信号摂動とは異なる、強力な攻撃ベクトルであることを示している。
2. ブラックボックス型ジェイルブレイク・パイプライン: 著者らは、説得的かつ治療的なデリバリー・スタイルを用いて、基礎となる指示を変更することなく、不適切な出力を引き出すための実用的なパイプラインを、社会的影響理論を用いて定式化した。
3. 体系的な実証的エビデンス: 本研究は、デリバリーベースの攻撃が、多様なモデルとベンチマークにおいて、テキストのみや信号レベルのベースラインを凌駕し、攻撃成功率（ASR）の大幅な向上を実現するという証拠を提供している。
4. 脆弱性分析: 本研究は、観察された脆弱性をLALMにおける擬人化バイアスとコンプライアンス傾向に関連付けており、モデルが音声のアフェクト（情動）をコミュニケーション上の意図として解釈することが、アライメントの失敗につながることを示唆している。

結果

実験の結果、スタイライズされた音声は、テキストのみやニュートラルなオーディオのベースラインと比較して、一貫して攻撃成功率を向上させることが明らかになった。

• 全体的なパフォーマンス: 提案手法（スタイライズされたデリバリーで強化されたAdvWaveベースラインを使用）は、Gemini 2.0 Flashにおいて98.26%の成功率を達成し、テキストのみのベースラインを大幅に上回った。
• 比較による利得:
  • GPT-4o Realtimeにおいて、AdvBenchに対するDeepInceptionフレームワークのASRは、**44.42%（テキスト）から57.88%（スタイライズされたオーディオ）**に増加した。
  • Gemini 2.0 Flashにおいて、MaliciousInstructに対するASRは、**73.00%（テキスト）から86.00%（オーディオ）**へと跳ね上がった。
  • 本手法は、ほとんどのモデルとベンチマークにおいて、既存のオーディオベースの攻撃（AdvWave）に対して、一貫して**6〜10%**の相対的な利得を示した。
• スタイルの有効性: 「権威的な要求」と「社会的絆への訴え」が最も一貫して効果的なスタイルであった。しかし、「感情的な示唆」のようなよりソフトなスタイルであっても、ニュートラルなデリバリーよりも優れた性能を示しており、軽微なアフェクティブ（情動的）な変調が、ポリシーのアライメントを偏らせるには十分であることを示している。
• モデルの感受性:
  • Gemini 2.0 Flashは、スタイルに関わらずASRが一貫して85%を超えており、最も高い脆弱性を示した。これは、意図のシグナルとしてパラ言語的なアフェクトに過度に依存していることを示唆している。
  • Qwen2.5-Omniは、よりスタイル判別的なレスポンスを示したが、スタイライズされたオーディオを処理する際にデコーディングの不安定性（早期終了、反復ループ）も示し、その結果、一部のケースではテキストベースラインと比較してASRが低くなった。
• 汎用性: この脆弱性は、人間の録音音声や代替TTSシステム（Gemini-2.0-Flash TTS）を使用した場合にも持続しており、この効果が特定の合成パイプラインによるアーティファクトではないことを裏付けている。

意義と主張

本論文は、テキストのアライメントはマルチモーダルな安全性には不十分であると主張している。研究結果は、LALMが音声のアフェクトと話し手の意図との間の暗黙的なマッピングをエンコードしており、心理学的に構成された音響的フレーミングに対して脆弱であることを浮き彫りにしている。

• パラ言語的コンディショニング: 著者らは、現在の安全フレームワークが主にテキスト向けに較正されているため、失敗していると主張している。それらは、言語的内容とパラ言語的表現（プロソディ、トーン、ストレス）を共同で推論できていない。
• デリバリーとしての敵対者: 本研究は、「デリバリー」自体が敵対的なメカニズムとして機能し得ることを確立している。コミュニケーション・スタイルを操作することで、攻撃者はセマンティックな指示を変更することなく、コンプライアンスを誘発することができる。
• 今後の方向性: 論文は、プロソディや話し手の意図を明示的にモデル化する安全防御を求めている。将来のアライメント・メカニズムは、オーディオを単なるテキストの運び手として扱うのではなく、社会的に構成された、あるいはアフェクティブな音声に対して堅牢である必要があることを示唆している。

著者らは、音声ベースのインターフェースが普及するにつれ、「デリバリーのギャップ」が、大規模音声言語モデルを保護する上での、極めて重要かつ未探索の課題となるであろうと結論づけている。