💻 computer science

SARSteer: Safeguarding Large Audio-Language Models via Safe-Ablated Refusal Steering

本文介绍了 SARSteer，这是首个针对大型音频-语言模型的推理时防御框架，它结合了文本衍生的拒绝转向与分解安全空间消融技术，旨在有效缓解由有害音频引发的响应，同时避免对良性查询产生过度拒绝。

原作者： Weilin Lin, Jianze Li, Hui Xiong, Li Liu

发布于 2026-06-15

📖 1 分钟阅读☕ 轻松阅读

原作者： Weilin Lin, Jianze Li, Hui Xiong, Li Liu

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一种新型的机器人助手，它不仅能阅读文本，还能倾听你的声音。这些“大语言音频模型”（LALMs）就像是超级聪明的耳朵和大脑的结合体，准备好随时为你提供帮助，无论是设定闹钟还是回答复杂的问题。

然而，研究人员发现了一个可怕的问题：这些语音助手的防范意识比基于文本的 AI 要容易被欺骗得多。 如果你输入一个危险的请求，标准的 AI 可能会说“不”。但如果你通过语音说出一个危险的请求，语音 AI 往往会照做，因为它认为这只是一场正常的对话。

这篇论文介绍了一种名为 SARSteer 的新安全系统来解决这个问题。以下是它的工作原理，我们使用简单的类比来解释：

问题所在：两个失效的工具

在 SARSteer 出现之前，科学家们尝试在这些语音机器人上使用两种现有的安全工具，但两者都失败了：

“翻译”失败（激活转向/Activation Steering）：
想象你有一张城市的地图（文本 AI）和一张森林的地图（语音 AI）。你试图把城市地图上的“危险区域”标记用于保护森林。这行不通，因为地形完全不同。研究人员发现，在计算机的大脑内部， spoken words（口语化表达）产生的“危险信号”与书面文字的信号看起来完全不同。试图强迫语音 AI 遵循基于文本的安全规则，就像是试图在沙漠公路上驾驶一艘船——它只会发生碰撞。
“过度保护的保镖”（提示词防御/Prompt Defenses）：
第二个工具就像是一个俱乐部的保镖，他被告知：“只要听到任何听起来可疑的词，就拒绝所有人。”这确实阻止了坏人，但也把无辜的人也拒之门外了。例如，如果有人问：“我该如何制作一份假的银行账单？”（坏请求），保镖会说“不”。但如果有人问：“我该如何制作一份真实的银行账单？”（好请求），保镖仍然会说“不”，因为这两个问题听起来太相似了。这被称为过度拒绝（over-refusal）。

解决方案：SARSteer

作者构建了一个名为 SARSteer（安全消融拒绝转向/Safe-Ablated Refusal Steering）的新安全系统。你可以把它看作是一个聪明的、两步走的保安系统，修复了上述两个问题。

第一步：“文本翻译员”（文本衍生拒绝转向/Text-Derived Refusal Steering）
SARSteer 不再试图从混乱的音频波形中寻找安全信号，而是观察 AI 生成的文本指令。

类比： 想象 AI 是一个音乐家。当它听到一首坏歌时，它通常会演奏出一个“拒绝”的音符（比如一个忧伤的“我不能那样做”）。SARSteR 会倾听文本部分大脑中那个特定的“拒绝音符”，并以此为引导。它本质上是在说：“我们不需要分析可怕的声音；我们只需要复制文本部分的‘不’信号，并将其应用到语音中。”这绕过了令人困惑的音频差异。

第二步：“安全区过滤器”（分解安全空间消融/Decomposed Safe-Space Ablation）
现在，我们有了一个强大的“不”信号，但我们不想在回答好问题时（比如“制作假银行账单”的例子）也误说“不”。

类比： 想象这个“不”的信号是一束巨大的红色激光。有时，这束激光太宽了，会误伤附近的无辜者。SARSteer 使用一种特殊的过滤器（称为 PCA，或主成分分析）来观察所有的“好”问题。它识别出了好问题所存在的“安全区”。
然后，它会切掉“不”信号中与“安全区”重叠的部分。
结果： 现在的激光形状变得非常完美。它能精准击中坏人，但会绕过无辜的人，让他们安全通过。

研究结果

研究人员在两个流行的语音 AI 模型（Qwen2-Audio 和 Kimi-Audio）上测试了该系统。

之前： 语音机器人很容易被诱导去做坏事，或者因为过于胆小而拒绝回答正常问题。
之后（使用 SARSteer 后）： 机器人变得非常擅长对危险请求说“不”（显著降低了坏人的成功率），同时仍能开心地回答正常问题。它们不需要从头开始重新训练；该安全系统在对话过程中就能直接生效。

总结

SARSteer 是一个聪明的语音 AI 安全补丁。它通过借鉴文本中的安全信号，防止 AI 被口语化的词汇所欺骗，并通过仔细修剪这些信号，确保 AI 不会误拒绝那些无害的问题。它让语音助手变得更安全，同时也让它们依然保持高效。

技术摘要：SARSteer

1. 问题陈述

大型音频-语言模型（LALMs）正成为语音助手和实时语音交互等应用中关键的多模态骨干网络。然而，其部署面临着显著的安全风险，因为研究表明，音频输入比文本更容易诱发有害响应。虽然针对大型语言模型（LLMs）和大型视觉-语言模型（LVLMs）的安全对齐技术已经存在，但将其直接应用于 LALMs 面临两个关键局限性：

基于音频的转向失效： 在 LLMs 中，激活转向向量是通过对比有害和安全的文本输入来构建的。然而在 LALMs 中，有害和安全的语音输入在所有层级上都占据着差异巨大的潜在分布。这种分布差距使得“从有害到安全”的方向变得不可靠，导致传统的转向方法失效甚至降低性能。
基于提示词的防御导致的过度拒绝： 基于提示词的防御（例如，指示模型拒绝不道德请求）往往会引发“过度拒绝”。虽然它们能有效拦截有害查询，但也会错误地拒绝那些与有害查询在词汇上具有相似性的良性查询，特别是那些处于决策边界附近的查询。现有的指标往往无法捕捉到这种权衡，因为它们依赖于通用基准测试，而非成对的有害-安全数据集。

2. 方法论：SARSteer

为了解决这些挑战，作者提出了 SARSteer（安全消减拒绝转向），这是一种无需高昂微调成本的推理时防御框架。该方法由两个主要部分组成：

A. 文本衍生的拒绝转向

与其尝试基于差异巨大的音频模态进行转向，SARSteer 直接从文本模态中提取拒绝转向向量。

机制： 模型处理一个带有文本指令的有害音频查询。在指令后附加一个拒绝文本提示（例如，“我无法协助处理该请求”）。
向量提取： 转向向量 ( $\hat{v}$ ) 计算为带有拒绝提示的查询与不带该提示的查询之间隐藏状态的平均差值。这捕捉了中间激活层中与模态无关的安全对齐语义，提供了一个可靠的方向来执行拒绝，而无需操纵音频输入本身。

B. 分解的安全空间消减

为了减轻过度拒绝问题，SARSteer 采用了投影修正步骤，以确保转向向量不会干扰良性语义。

安全子空间识别： 通过对良性（安全）查询的激活进行主成分分析（PCA），以识别良性语义的主导子空间。
消减： 将拒绝转向向量分解为平行于安全子空间的成分和正交成分。移除平行成分（该成分存在触发良性输入产生错误拒绝的风险）。
应用： 在推理过程中，仅将正交成分添加到模型的隐藏状态中。这确保了转向信号严格作用于有害方向，同时保留了模型在处理安全查询时的效用。

3. 核心贡献

本文做出了以下贡献：

数据集构建： 作者通过将文本基准测试转换为音频，并将有害查询纯化为词汇相似的良性版本，构建了语音领域的成对有害-安全数据集（例如 Figstep-audio）。这使得对安全性-效用权衡进行严格评估成为可能。
局限性的实证分析： 本研究通过系统性研究证明了为什么直接的激活转向在音频领域会失效（由于潜在分布差异），以及基于提示词的防御如何导致边界安全输入的过度拒绝。
推理时框架： 引入了 SARSteer 作为一种原则性的、无需训练的防御策略，利用文本衍生的转向和安全空间消减来实现 LALMs 的对齐。

4. 实验结果

研究人员在 state-of-the-art 的 LALMs（Qwen2-Audio 和 Kimi-Audio）上使用了诸如 Figstep-audio、SORRY-Bench、AdvBench 和 AirBench 等基准测试进行了广泛实验。

降低有害性： SARSteer 在降低攻击成功率（ASR）方面显著优于基线方法（包括 vanilla 转向和基于提示词的防御如 AdaShield 和 FSD）。例如，在 Qwen2-Audio 使用 Figstep-audio 的测试中，SARSteer 的 ASR 为 10.80%，而“无防御”基线的 ASR 为 51.60%。
保持帮助性： 与遭受高拒绝率（低平衡拒绝率，即 BRR）影响的基于提示词的防御不同，SARSteer 保持了高度的帮助性。它在有效方法中实现了最高的 BRR（Qwen2-Audio 在 Figstep-audio 上为 79.95%），成功区分了有害输入和良性输入。
通用效用： 该方法在 AirBench 基准测试上保留了通用用途，性能波动保持在很窄的范围内，表明该防御不会降低模型的通用能力。
消减实验： 实验证实这两个组件都是必要的：移除文本衍生转向（V1）会导致过度拒绝，而移除基于 PCA 的安全空间消减（V2）则会导致有害查询拒绝效果不佳。

5. 重要性与主张

作者将 SARSteer 定位为 LALMs 安全对齐的必要步骤，强调需要模态感知的防御，因为对文本或视觉有效的技术并不能直接转化为音频。

原则性防御： 论文声称建立了一种原则性的防御策略，既避免了微调（SFT/RLHF）的高资源消耗，又克服了音频输入的特定脆弱性。
模态感知： 该工作强调，安全对齐必须考虑不同模态特定的潜在分布特征。观察到的结论是：音频激活无法作为安全转向的可行操作空间，因此必须转向文本衍生的信号，这一发现被视为一项基础性的洞察。
鲁棒性： 该方法被声称在不同的超参数（样本量、缩放系数和主成分数量）和不同的 LALM 架构下均具有鲁棒性。

作者总结道，SARSteer 提供了一种灵活且高效的解决方案，能够在拒绝有害音频输入的同时，保持 LALMs 的通用效用，解决了这一在多模态安全领域中很大程度上仍被忽视的问题。