我们对 AdvWave‑P 这一加性音频 jailbreak 在 Qwen2‑Audio 上的频率与解码深度声明进行审计。审计协议在短时傅里叶变换（STFT）域掩蔽扰动的频率成分，并测量攻击成功率（$ASR$）以及音频跨度表示。
在 520 条 AdvBench 提示上，主要评审将 $76.7\%$ 的对抗输入标记为 jailbreak。盲测单标注者的 Rogan‑Gladen 灵敏度估计为 $0.87$（约 $0.83\sim0.95$，考虑验证率不确定性），该校正未应用于掩蔽条件。
频率排名依赖划分方式：仅能量占比即可预测标准八频段排名（Spearman $\rho = 0.95$），等 Hz 与等能划分均显示掩蔽任意测试频段会显著降低 $ASR$。在更细的 16‑频段等能分辨率下，掩蔽 $7520\sim7960\,\text{Hz}$ 带仍保持 $ASR$ 为 $0.10$，但缺乏匹配对照导致结果未决。
匹配能量的散点移除实验表明，连续移除在低频段造成更大损伤，而在上频段两种移除方式均逼近底线。全局幅度重新缩放使 $ASR$ 接近基线，但测试的是幅度敏感性而非频率位置。
在一次重新优化试验（$n = 20$）中，单‑或双频段支持的 $ASR$ 分别达到 $0.00$, $0.25$, $0.40$，而随机覆盖约半数 STFT 格子的支持平均 $ASR$ 为 $0.86$。
在经提示与能量校正的模型中，音频跨度差异与频段必要性呈正相关，系数从投影层输出的 $+0.63$ 上升至第 30 层的 $+0.93$（对比 $+0.293$, $95\%$ CI $[0.11,0.51]$）。该关联并非因果定位，单层补丁未能确认因果层。
结果支持在审计频率声明时采用分区感知方法，细分高频带的结果以及更广泛的普适性仍有待进一步验证。
点评