無聲來襲：研究揭示「隱形音訊」可劫持 AI 語音模型，風險高達 96%

前言：隱形的數位炸彈

當我們把客廳裡的智慧音箱、車載語音助理、甚至辦公室的AI客服當作生活一部分時，或許從未想過——它們的聲音大門其實已被看不見的「聽不見的音訊」撬開。中國浙江大學的研究團隊在最新的IEEE 安全研討會上展示了一種名為 AudioHijack 的攻擊手法，能在不被人耳察覺的情況下，將惡意指令嵌入音訊波形，讓 AI 語音模型乖乖聽話，甚至幫攻擊者完成遠端搜尋、下載檔案、寄送個人郵件等危險操作。成功率最高可達 96%，而這一切只需要半小時的訓練。

什麼是「隱形音訊」？

簡單來說，研究團隊透過微調 WAV 檔案中的數值——也就是改變聲波的幅度與頻率——創造一種「聽不見」的訊號。人類的耳朵對這些高頻或超低頻的部分幾乎毫無感知，然而大型音訊語言模型（LALM）卻會把這些微小的變化當成有效指令，解讀並執行。研究作者孟晨（Meng Chen）指出：「這種訊號是上下文無關的，一旦訓練好，無論使用者說什麼，你都可以隨時用來攻擊目標模型。」

攻擊流程拆解

• 製備訊號：使用開源的音訊處理工具，在普通 MP3 或 WAV 中植入特定的「雜訊指紋」。
• 注入載體：把這段音訊偽裝成線上影片、音樂片段、語音留言，甚至是 Zoom 會議的錄音，上傳至任何提供語音轉文字的 AI 服務。
• 觸發執行：當目標模型解析該音訊時，隱藏指令會覆蓋原本的使用者指令，甚至在後臺呼叫外部 API，完成網頁搜尋、檔案下載、郵件傳送等動作。

實際危害例項

研究人員在 13 種開源模型以及 Microsoft、Mistral 等商業系統上實測，結果顯示 AudioHijack 能夠：

• 強制拒絕請求：讓本應回應使用者查詢的模型直接說「我無法幫助」。
• 散佈假資訊：在回覆中插入捏造的統計資料或新聞。
• 植入惡意連結：誘導使用者點選看似正規但實為釣魚的連結。
• 改變人格設定：讓客服模型的語氣瞬間轉為冷漠、嘲諷甚至帶有攻擊性。
• 執行後臺操作：自動進行網路搜尋、檔案下載、傳送含有個人資料的電子郵件。

為何傳統防禦失效？

過去的資安防護大多聚焦在「檢測輸入的文字提示」——例如過濾敏感關鍵字或監控異常指令。但 AudioHijack 直接在音訊波形的數值層動刀，根本不涉及使用者可見的文字。這也意味著「單點防禦」（single‑point defense）在面對這種「不可見」的訊號時幾乎束手無策。研究發現即便防守方加入注意力機制監視，攻擊者仍可以透過降低指令強度，保持大部分攻擊力而繼續實現目的。

投資人，你不能忽視的風險

如果你的基金或公司正依賴於語音互動的 AI 產品，這場「隱形音訊」風暴可能在一夜之間讓你們的品牌形象和使用者信任崩塌。想想看：一次惡意的音訊投放導致 AI 助理在公開場合說出「我們平臺已洩露使用者資料」——瞬間市值蒸發、股價狂瀉。這不只是技術問題，更是金融市場、波段操作的直接風險。
目前已有多個業者在產品路線圖中加入多層次音訊驗證與即時行為監控，但從研究到實際部署仍有數月的空窗期。對於追求 Alpha 的交易員來說，這段「資安紅利」正是佈局資安類股、AI 安全審計的好時機。

防禦建議（給技術團隊與投資者）

1. 引入聲紋層次過濾：在模型輸入前，增設對不可聽頻段的檢測與過濾。
2. 加強內部注意力監控：即時捕捉模型對異常音訊片段的關注異常，提高警報閾值。
3. 多模態驗證：將音訊指令與文字指令雙重校驗，防止隱藏指令單獨生效。
4. 限制外部工具呼叫許可權：嚴格控制 AI 執行網路搜尋、檔案下載、郵件傳送等高危操作的授權。

結論：別讓「聽不見」成為新常態

浙江大學的這項研究向我們敲響了警鐘：在 AI 時代，聲音不再安全。當黑天鵝出現時，金融市場往往會在幾天內重新定價。作為華爾街的交易員，我們要學會「先聽到風險，再說服自己」——現在就把這枚「隱形音訊」定時炸彈列入風控清單，並關注相關的資安類標的。否則，下一次財報會議上，你的 AI CFO 可能會在全華爾街面前說出：「本季度盈利下跌 30%，因為我們的 AI 系統被『聽不見』的指令劫持了。」