多模態注入暴露音頻風險

多模態大型語言模型（MLLM）的安全防護出現新挑戰。研究團隊近日揭露一項名為「多模態注入」的攻擊手法，並同步推出專用評測架構 MMPIBench，專門用來檢驗模型在接收圖像與音頻這兩種非文字輸入時，是否會因惡意提示注入而遭受攻擊。初步評測結果顯示，當前多模態智能體在面對不同模態的威脅時，防護能力存在明顯落差，尤其是音頻通道已成為駭客更容易突破的弱點。所謂「多模態注入」，是指攻擊者將惡意指令隱藏在圖像或音頻等非文字載體內，當模型處理這些輸入時，若不慎解析出其中的提示內容，就可能觸發未經授權的行為。

這類攻擊手法之所以受到關注，是因為多模態模型在真實應用中經常同時處理文字、圖片、語音等多種資料來源，若其中任何一個通道把關不嚴，整個系統的安全邊界便可能被繞過。MMPIBench 評測架構正是在此背景下誕生。研究團隊設計了一系列測試單元，模擬攻擊者如何將惡意指令嵌入圖像的像素變化或音頻的頻譜特徵中，並觀察模型是否會執行這些指令。評測數據清楚呈現了不同模態之間的防護強度差異：以圖像為載體的視覺攻擊成功率僅約 1%，模型嘗試執行攻擊指令的比例也只有 12.8%。這意味著多數模型在處理圖片時，內建的安全過濾機制已經能夠有效攔截大部分惡意提示。

然而，一旦攻擊者成功將惡意信號嵌入音頻並送達模型，情況便截然不同。根據評測數據，部分測試單元中音頻攻擊的完成率竟大幅攀升至 49%，幾乎是視覺攻擊成功率的 49 倍。這項對比清楚點出音頻通道的注入效率遠高於視覺通道，也是目前多模態系統中最顯著的安全缺口。為何音頻會成為防護弱點？研究人員初步推測，這可能與模型在訓練階段對音頻資料的處理方式有關。許多多模態模型在圖像辨識上已累積大量對抗性訓練資料，並發展出相對成熟的過濾策略；但對於音訊輸入，尤其是語音指令或環境音中的隱藏資訊，現有安全機制仍缺乏足夠的辨識能力。

此外，音頻訊號經過壓縮、取樣或頻譜轉換後，其中嵌入的惡意內容更容易被模型誤判為正常特徵，從而繞過防護。這項研究不僅暴露了技術漏洞，也對開發者提出明確警示：雖然多模態 AI 在圖像層面的安全對策已有一定成效，但在音頻處理環節仍存在顯著缺口。若未能針對音頻輸入加強過濾與驗證機制，模型將可能被誘導執行未經授權的指令，例如讀取敏感資料、修改系統設定，甚至是觸發外部裝置。隨著語音助手、自動字幕生成、即時翻譯等音頻應用日益普及，這類風險的影響範圍也將持續擴大。MMPIBench 的推出為業界提供了一套標準化的評測工具，讓開發者能夠在部署前就測試自家模型對不同模態攻擊的抵抗能力。

研究團隊也呼籲，未來的多模態安全研究應將音頻通道列為重點防治對象，並參考視覺通道的成功經驗，建立類似對抗性樣本資料庫與防禦策略。值得注意的是，目前針對音頻的注入攻擊尚未大規模出現在真實駭客活動中，但評測數據已證明技術可行性。一旦攻擊手法被公開揭露，有心人士就可能快速複製並用於實際場景。因此，在產品落地前補強音頻安全，已不僅是提升模型穩定性，更是預防潛在資安事件的關鍵步驟。另一方面，多模態注入的風險也挑戰了傳統的權限控管觀念。過去人們習慣認為，AI 系統只要不接收外部指令就不會被惡意操作；但多模態輸入可以將指令「藏」在看似無害的聲音或圖片中，使用者甚至可能完全不知情。

這使得安全防護必須從單純的輸入過濾，進一步延伸到對所有模態內容的語義檢測與行為監控。從技術發展脈絡來看，多模態大型語言模型的優勢在於能整合不同感官訊息，但同時也擴大了攻擊面。圖像與音頻的資料結構遠比文字複雜，現有的自然語言安全模型難以直接套用，必須針對各模態的特性重新設計防護方案。MMPIBench 的出現，正是為了幫助業界釐清哪些模態最需要優先修補，進而合理分配安全資源。總結評測結果，視覺攻擊成功率僅 1% 與音頻攻擊完成率 49% 的巨大差距，凸顯出當前多模態 AI 在安全防護上的「偏科」現象。開發者若只著重於文字與圖像的過濾，卻忽略了音頻這條隱藏通道，整個系統的防線就會出現致命破口。

後續研究若能結合更細緻的音頻特徵分析與動態行為偵測，或許能逐步縮小模態之間的安全落差，讓多模態模型真正走向兼顧功能與信任的未來。