我已获取论文全文（包括所有附录），并进行了所有必要的研究查询。以下是最终的结构化审查。

Paper Review: From Inaudible Inputs to Model Failures: Low-Frequency Safety Risks in LALMs

论文类型: 问题定义型 + 方法型

本文同时提出一个新安全问题（低频不可听输入对 LALM 的威胁）和对应攻击/防御方法（ILL / DRG），属于问题定义驱动的方法论文。

公理审查结果

公理一：对象公理

• 判定: ⚠️

• 依据: 论文研究的对象——低频（5–20 Hz）信号通过 LALM 音频前端进入模型但人类无法感知的”感知边界不匹配”——是真实存在的。声学文献已证明商用麦克风在 0.5–20 Hz 有非零响应（Jeng et al. 2011; Asmar et al. 2018; Takazawa et al. 2024），论文在 Appendix A 中系统梳理了物理链可行性。问题在 6 个 LALM 上均触发精度下降，说明广泛存在。核心概念可操作化定义清晰（频率范围、duty cycle、active interval 均有明确公式）。

  但关键缺口在于：论文的实验完全是数字模拟（模拟麦克风接收端的波形叠加），未进行任何物理空间实验。论文自身在 Limitations 中承认”do not reproduce the complete acoustic path from a loudspeaker through a real-world acoustic environment to a microphone”。低频声源需要专用设备（ rotary subwoofer），普通手机/笔记本扬声器无法有效产生 5–20 Hz 信号。这意味着论文识别的风险从物理可行性到实际威胁之间仍有较大距离。虽然 Park & Robertson 2009 和 Asmar et al. 2018 证明了低频信号可以空气传播，但这些实验使用的是专业级设备，而非 LALM 典型部署场景中的消费级设备。问题定义有价值，但当前实验设置下的验证范围与论文声称的”practical hidden channel”之间存在外延差距。

• Wiki 证据: OMC Wiki 全部 6 次 wiki_query 返回空（”audio adversarial attack LALM”、”low-frequency inaudible attack”、”audio safety benchmark” 等均无记录）。paper-wiki 对 “inaudible low-frequency audio attack safety”、”audio red teaming LALM” 返回空。free-search 补充发现 DolphinAttack (Zhang et al. 2017, ultrasonic >20kHz)、Sirens’ Whisper (arXiv 2603.13847, 2026-03, near-ultrasonic jailbreak)、CommanderSong (Yuan et al. 2018) 等已有工作均使用超声波频段（高于人类听觉上限），而本文使用低频/次声波频段（低于人类听觉下限），方向相反。低频方向针对 LALM 的攻击在 free-search 结果中未发现先例。

公理二：识别公理

• 判定: ⚠️

• 依据: 论文提供了 4 个攻击 baseline（Gaussian 随机噪声、PNL 环境噪声、Audio-Adv 白盒 Carlini-Wagner 攻击、Whisper 通用声学攻击）和 3 个防御 baseline（LF-Suppression、DFL 语音增强、MMSE-STSA），并使用统一 RMS 能量预算（Eq. 14, β=4）确保公平比较。消融实验（Fig. 6）隔离了 4 个关键变量：振幅、duty cycle、段长度、状态序列构造。Fig. 6(d) 表明结构化状态序列优于随机噪声、固定频率和均匀扫频，支持 Frequency Confusion Transfer 模块的有效性。Table 5 验证了 Sentence Attention Scale Estimation 跨模型/跨数据集的一致性。Table 6 提供了注意力质量、表示余弦相似度和输出置信度的内部机制证据。

  但关键问题在于：ILL 并非在所有设置上统一优于 baseline。论文自身坦诚”ILL does not uniformly outperform every audible-noise baseline”。Table 13 的统计检验显示，ILL 与 Gaussian 和 PNL 各类别的差异在 Holm 校正后不显著（p=0.422），仅在对比 Audio-Adv 和 Whisper 时显著更优。这意味着低频结构化攻击相对于简单可听噪声的增量贡献有限——在相同能量预算下，普通噪声就能达到可比的破坏效果。论文的核心论点从”ILL 更强”退化为”低频波段本身就能造成广泛退化”，这是一个较弱的识别结论。此外，缺少最简 baseline：纯低频 Gaussian 噪声（限于 5–20 Hz）与 ILL 的对比未见，Fig. 6(d) 中的 “Random” 似乎是在全频段随机而非低频段随机。

• Wiki 证据: OMC wiki_query 对”audio adversarial baseline”、”最简 baseline”等查询均返回空。paper-wiki 无相关 baseline 记录。free-search 确认 Carlini & Wagner 2018 (Audio-Adv)、Raina et al. 2024 (Whisper/Muting Whisper) 均为该领域已发表的被引工作，论文已纳入。

公理三：独立性公理

• 判定: ✅

• 依据: 评估链条独立性良好。ILL 使用 Qwen2.5-Omni 作为参考模型构造，但主要评估覆盖 6 个 LALM（含 GPT-audio-mini、Gemini-3.5-flash 等闭源模型），且最强攻击效果出现在未见过的 StepAudio2 上（RAVDESS 下降 67pp），排除了参考模型=评估模型的循环论证。DRG 检测器仅依赖输入频谱的 K-means 聚类，不查询目标 LALM。人类听觉评估（112 名参与者）完全独立于模型评估。评估数据集（MMAU、LibriSpeech、CoVoST2、RAVDESS）均为公开标准数据集，与攻击构造数据集不相交（100 构造样本 vs 100 测试样本，disjoint）。

  轻微问题：Qwen2.5-Omni 同时作为参考模型和评估目标之一出现在 Table 1 中，但论文同时报告了其他 5 个模型的独立结果，且 Qwen2.5 上的攻击效果并非最强，因此不构成严重循环。

• Wiki 证据: OMC wiki_query 对”judge 独立性 循环论证”、”synthetic 人类校验”返回空。paper-wiki 无相关记录。free-search 未发现独立性相关的质疑。

公理四：压缩公理

• 判定: ⚠️

• 依据: ILL 的攻击构造流程包含两个模块、十余个公式：(1) Sentence Attention Scale Estimation 需要对参考 LALM 前向传播、多尺度注意力矩阵分析（3 个尺度 W={ρ,5ρ,10ρ}）、边界检测、语料库中位数估计；(2) Frequency Confusion Transfer 需要 STFT、频谱质心计算、状态量化（n 个状态）、马尔可夫转移矩阵估计（含 Laplace 平滑）、动态规划解码、连续相位波形合成。最终产出仅为一个固定的低频波形模板。

  复杂度是否必要？消融支持了部分设计选择（Fig. 6d: 结构化状态 > 随机/固定/扫频；Fig. 6c: 注意力导出的段长度有效阈值），但整体流程的必要性未充分论证。例如：是否有更简单的方法从语料库导出有效频率轨迹（如直接使用频谱质心的时间序列而非马尔可夫建模+Viterbi 解码）？马尔可夫转移矩阵+动态规划相对于简单频谱质心插值的增量贡献未单独消融。命名方面，”Sentence Attention Scale Estimation”和”Frequency Confusion Transfer”等名称有一定膨胀感但尚可接受。

  DRG 防御的设计则体现了良好的压缩性：仅需 STFT + 时间聚合 + K-means（2 类）+ 质心距离判断，O(V) 检测时间，无需神经网络或 LALM 查询。这是论文中压缩性最好的组件。

• Wiki 证据: OMC wiki_query 对”已有方法 标准做法 等价”返回空。paper-wiki 对”audio frequency adversarial perturbation”返回空。free-search 确认 STFT、K-means、马尔可夫链、Viterbi 解码均为标准信号处理/统计方法，论文的组合方式未见直接等价的已有工作。

公理五：效用公理

• 判定: ⚠️

• 依据: 绝对效应量：ILL 在 18 个模型-任务 cell 中全部降低精度（mean 13.1pp, median 11.0pp, Wilcoxon p=3.81×10⁻⁶），最大单点下降 67pp（StepAudio2/RAVDESS）。CoVoST2 BLEU 在所有 6 个目标上均为最低。隐蔽性极强：ANR 0.06–0.08%（baseline 均 >98.9%），人类听觉评分 1.33 vs clean 1.17。DRG 检测 F1 89.69–99.00%，恢复后均值精度 28.5%→46.1%。

  关键缺失：

  1. 缺少最密切相关的 baseline——Sirens’ Whisper (SWhisper, arXiv 2603.13847, 2026-03, USENIX Security 2026)。SWhisper 是针对 speech-driven LLM 的不可听攻击，发表时间在本文之前 5 个月，是最接近的同类工作（区别在于 SWhisper 使用近超声波 >15kHz，本文使用低频 5–20 Hz）。论文未引用、未对比 SWhisper，这是一个严重的 baseline 遗漏。
  2. 缺少 “Acoustic Interference” (arXiv 2605.18168) 和 “Hijacking LALMs via Context-Agnostic and Imperceptible Auditory Prompt Injection” (arXiv 2604.14604) 两项同期/近期工作。
  3. 样本量偏小：每个数据集仅 100 个测试样本，对于声称跨 6 个 LALM 的广泛效果，统计可靠性有限。
  4. ILL vs 可听噪声的优势有限：Table 13 表明 ILL 与 Gaussian/PNL 的差异不显著，核心卖点更多在于”隐蔽性”而非”攻击力”。

  效用诚实性：论文诚实报告了 ILL 不统一优于所有 baseline 的事实，并提供了完整的 Friedman + Holm 校正统计检验，这值得肯定。

• Wiki 证据: OMC wiki_query 对”SOTA 最新 最强 baseline”、”同类工作 已有方法”返回空。paper-wiki 对”audio jailbreak attack LALM”返回空。free-search 发现 Sirens’ Whisper (2603.13847, 2026-03)、Acoustic Interference (2605.18168)、Hijacking LALMs (2604.14604) 等未引用的相关工作。DolphinAttack (2017)、CommanderSong (2018)、Audio-Adv (Carlini & Wagner 2018)、Muting Whisper (Raina et al. 2024) 均已被论文引用。

公理六：新颖性公理

• 判定: ⚠️

• 依据: 频率方向新颖：所有先前的不可听音频攻击（DolphinAttack 2017, CommanderSong 2018, SurfingAttack 2020, Sirens’ Whisper 2026）均使用超声波频段（>20 kHz，高于人类听觉上限）。本文首次系统研究低频/次声波频段（5–20 Hz，低于人类听觉下限）对 LALM 的攻击，这是一个真正不同的物理频段，具有不同的传播特性和硬件响应特征。这个方向性差异是真实的创新增量。

  组件层面：Sentence Attention Scale Estimation（用 LALM 注意力矩阵导出语义段长度）是将 Transformer attention analysis 应用于攻击调度的新组合。Frequency Confusion Transfer（从语料库频谱质心统计导出马尔可夫状态序列再合成波形）是多步组合，各步均为标准技术（STFT、频谱质心、马尔可夫链、Viterbi），但组合方式未见先例。DRG 的 K-means 频谱分布检测是标准方法的应用。

  但增量有限：

  1. SWhisper (2026-03) 已建立了”不可听信号攻击 speech-driven LLM”的问题框架，本文将频率从近超声波换到低频，框架相似但物理基础不同。
  2. Sadasivan et al. 2026 (EACL) 已研究噪声对 audio-based LLM 的现实世界操纵，本文的低频是其特殊化。
  3. 组件虽为新颖组合，但每个组件的独立贡献未充分消融（如马尔可夫建模 vs 简单频谱质心插值的对比缺失）。
• Wiki 证据: OMC wiki_query 对”是否已有 first new unified”、”来源 已有工作 迁移”返回空。paper-wiki 对 “inaudible attack” 返回空。free-search 确认低频方向无先例，但 SWhisper 的不可听框架已在 5 个月前发表。

公理七：可复现公理

• 判定: ⚠️

• 依据: 论文提供了详尽的数学公式（Eq. 1–14）、完整的超参数设置（β=4, 5–20 Hz, n states, γ duty ratio, W={ρ,5ρ,10ρ}）、统一 RMS 预算协议（Eq. 14）、详细的防御训练协议和复杂度分析（Appendix B）。使用的数据集（MMAU、LibriSpeech、CoVoST2、RAVDESS）和评估的 LALM（4 个开源 + 2 个闭源）均为公开可获取。

  缺失项：

  1. 未提及代码或数据开源。论文未包含代码链接或承诺开源。
  2. ILL 波形模板未公开。作为”universal waveform”，公开模板对社区复现和防御研究有价值。
  3. 闭源模型结果不可复现：GPT-audio-mini 和 Gemini-3.5-flash 的评估结果依赖 API 访问，API 版本变更可能导致不同结果。
  4. 人类评估刺激集未公开：112 人的听觉评估协议有描述但刺激音频未链接。
  5. 采样细节：每个数据集 100 个样本的采样方式（随机 vs 分层）在 Appendix C 中有简述但未提供采样脚本或 seed。
• Wiki 证据: OMC wiki 无相关记录。论文 References 中的 arXiv 论文均可通过 arXiv 获取。

总评

• 科学价值: 中 — 首次系统识别低频不可听输入对 LALM 的安全风险，提供了跨 6 个模型的实证证据和内部机制分析（注意力/表示/置信度），但物理验证缺失削弱了”practical risk”的声称。
• 方法价值: 中 — ILL 的低频方向新颖，消融实验支持核心设计选择，但组件复杂度偏高且增量优势有限（vs 可听噪声统计不显著）。DRG 防御设计简洁有效。
• 社区价值: 中 — 为 LALM 安全研究开辟了新的攻击面方向，但缺少 SWhisper 等密切相关工作对比、未开源代码/模板、样本量偏小，限制了其作为社区基础设施的价值。

日报摘要

• Strength: 首次提出低频（5–20 Hz）不可听信号作为 LALM 攻击向量，在 6 个 LALM 上实现全部 18 个 model-task cell 精度下降（mean 13.1pp, max 67pp），ANR 仅 0.06–0.08%，人类听觉评分 1.33 接近 clean 的 1.17。
• Weakness: 实验为纯数字模拟无物理空间验证；缺少最密切相关工作 Sirens’ Whisper (arXiv 2603.13847, USENIX Security 2026) 的引用与对比；ILL vs Gaussian/PNL 的攻击效果差异在 Holm 校正后不显著（p=0.422），核心贡献更多在于隐蔽性而非攻击力增量。

打分

加权总分: 6.42/10（加权分之和 61.0 / 权重之和 9.5） 最终建议: Borderline 5-6.5