浙大展示 AudioHijack：把惡意指令藏進音訊，悄悄劫持 AI 語音助手

讓 AI 語音助手幫你總結會議、聽歌識曲甚至打個電話，已經越來越常見了。但在你戴著耳機聽播客或者開 Zoom 會議時，藏在背景音裡的幽靈可能已經在給你的 AI 下指令了。

據報道，浙江大學研究團隊公佈了一項名為 AudioHijack 的音訊對抗攻擊技術，相關論文下週將在舊金山舉行的 IEEE S&P 安全研討會上正式宣讀。這項研究展示了一種人耳完全察覺不到的聲音微調技術，能悄無聲息地誘導大音訊語言模型執行惡意指令。

根據論文第一作者、浙江大學博士生陳猛的介紹，生成這種對抗訊號只需要大約半個小時。更可怕的是，這一訊號與具體語境無關，無論使用者在向 AI 說什麼，攻擊者都能反覆利用它來操縱目標模型。

只要半小時，把惡意指令揉進音訊

傳統的對抗音訊攻擊主要針對單向任務，比如騙過語音轉文字或音訊分類系統，讓它把一句話聽錯。而 AudioHijack 瞄準的則是不僅能聽懂、還能呼叫工具並採取行動的生成式大音訊語言模型。

攻擊者只需要微調數字音訊檔案裡的波形數值。這些改動在人耳聽起來毫無異常，就是一段普通的音樂、影片原聲或者語音備忘錄，但模型在處理時卻會解析出攻擊者寫好的隱藏指令。

這種攻擊不僅能在離線場景生效，比如你把一段網上下載的播客發給 AI 提問，或者在視訊會議裡播放暗藏玄機的背景音誘導轉錄助手；研究團隊尚未發表的後續實驗還顯示，他們甚至能在即時的 AI 語音通話中現場注入惡意指令。

測試結果顯示，AudioHijack 在 13 個主流開源模型上的平均攻擊成功率高達 79% 至 96%。被操控的模型不僅會悄悄進行敏感內容搜尋、從攻擊者控制的伺服器下載檔案，甚至會把使用者的隱私資料打包成郵件傳送出去。

攻破商用服務，借道開源打閉源

針對生成式音訊模型的攻擊一直很難做。老一代 AI 會給出精細的數值反饋，演算法能根據反饋不斷調整微調引數；但現在的生成式模型把聲音切成了離散的 token，反饋變得非常粗糙，原本的最佳化演算法很容易失效。

浙江大學的研究團隊找到了一種方法，成功逼近了演算法最佳化所需的精細反饋。雖然這一過程需要訪問開源模型的完整權重，但他們發現，在開源模型上生成的攻擊樣本，可以直接遷移到共享類似架構的商用模型上，包括微軟和 Mistral 的商業語音 AI 服務。

微軟發言人在回應置評請求時表示，感謝研究人員提升了行業對這類技術的理解，並指出這項研究是通過直接受控的互動來評估模型彈性，有助於指導後續的防禦工作。

為什麼重要

我們認為，AudioHijack 最大的警示在於，大音訊語言模型正在把傳統的「聽覺輸入」變成高許可權的「執行介面」。過去使用者習慣了防範可疑連結和釣魚郵件，但沒人會對一首背景音樂或一段會議錄音產生戒心。

如果語音助手具備讀取使用者郵件、控制智慧家居甚至操作銀行賬戶的許可權，這種隱形指令的殺傷力就會成倍放大。對普通使用者來說，目前最好避免讓連線了敏感許可權的 AI 助手去直接解析未經清洗的網路音影片源。

對整個行業而言，這說明直接沿用文本大模型的防禦思路在多模態領域行不通。把聲音離散化為 token 並沒有帶來天然的安全性，反而給跨模型的遷移攻擊留下了空間。各家大廠在急於給 AI 裝上語音互動和外部工具呼叫能力之前，必須先在音訊輸入層補上嚴格的安全過濾和指令隔離機制。