# Piggybacking on Perception: Stealthy Concurrent Audio Prompt Injections Against Multimodal LLM Agents
> Ficha editorial pública de Research IA. Estado: Lectura primaria completa. La interpretación editorial no sustituye la fuente primaria.

- Página canónica: https://luiseduardodemiguel.com/research-ia/papers/piggybacking-on-perception-stealthy-concurrent-audio-prompt-injections-a
- Fuente primaria: https://arxiv.org/abs/2607.28165
- Versión leída: v2
- Fuente comprobada: 2026-08-19 · lectura primaria completa; extracción editorial automatizada, revisión humana pendiente
- Autores: Mingxiao Liu, Yitong Li, Haoren Zhao, Yaoxiang Bian, Jianan Ma, Jian Zhang, Jialuo Chen, Xinhao Deng, Zhen Wang
- Fecha del corte: 30 JULIO 2026.
- Área: AGENTES · SEGURIDAD · MULTIMODAL

## Tesis y contexto

Estudia instrucciones maliciosas que se superponen a la voz legítima del usuario y parecen ruido ambiental o una fuente secundaria. Presenta AudioAgentSecurity, con ocho escenarios reales y diez patrones de ataque, evaluado sobre once agentes multimodales.

- Problema: Los agentes de audio no pueden asumir que todo sonido captado pertenece al usuario autorizado. Por qué puede ser importante: Los ataques alcanzan un ASR medio del 69,1% frente a Gemini 3 Pro. La defensa CADV separa fuentes acústicas y comprueba consistencia entre modalidades, superando el 90% de detección en las pruebas reportadas.
- Por qué importa: La relevancia práctica todavía necesita contraste editorial.

## Evidencia reportada

- **reported-result**: An attack that deceives the model but is clearly perceptible to humans has reduced practical value. [localizador](https://arxiv.org/html/2607.28165#S6)

## Lectura y límite

- Método: La lectura de III. Threat Model describe la intervención y su construcción: We consider a highly practical interaction scenario: a user actively engaging with a Multimodal Agent (e.g., Doubao AI Smartphone) through continuous audio. These agents are typically deployed on mobile or IoT devices with high-privilege tool-use capabilities, such as financial transactions, system configuration, and private data management. We assume the user’s voice is the sole root of trust, while the surrounding acoustic environment is an untrusted, environment-exposed input channel. We assume a Black-box Attacker with no access to the agent’s internal weights, system prompts, or tool-calling logic. The…
- Límite: La lectura primaria permite comprobar método y resultados en el HTML, pero no convierte sus conclusiones en validación independiente. La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en VI. Evaluation.
- Confianza editorial: Media
- Limitación: El cierre de la fuente señala: Limitations and Future Work. Our findings open several natural extensions and also have clear limitations. First, the physical-world experiments cover selected devices, acoustic layouts, and attack settings; broader evaluation on AI glasses, smart speakers, and additional phone models is needed before generalizing the results. Second, the human study is a focused perceptual evaluation with 20 laboratory volunteers, not a population-scale survey. Third,…
- Limitación: La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en VI. Evaluation.

## Localizadores de evidencia
- [Fuente primaria · canonical](https://arxiv.org/abs/2607.28165): tipo abstract
- [HTML · lectura completa](https://arxiv.org/html/2607.28165): tipo abstract
- [Método · III. Threat Model](https://arxiv.org/html/2607.28165#S3): tipo section
- [Evaluación · VI. Evaluation](https://arxiv.org/html/2607.28165#S6): tipo section
- [Cierre · IX. Discussion](https://arxiv.org/html/2607.28165#S9): tipo section

## Próxima prueba

- ¿La propuesta mejora asistentes móviles frente a la línea base actual?
- Métrica: Comparar la métrica principal de la fuente junto con calidad, coste, latencia y tasa de errores.
- Regla de parada: Parar si no aparece una mejora reproducible o si aumenta el riesgo, la complejidad o el coste sin compensación.

## Recursos reproducibles
- [https://github.com/Limax666/AudioAgentSecurity](https://github.com/Limax666/AudioAgentSecurity)
- [the following issues](https://github.com/arXiv/html_feedback/issues)
- [list of packages that need conversion](https://github.com/brucemiller/LaTeXML/wiki/Porting-LaTeX-packages-for-LaTeXML)
- [developer contributions](https://github.com/brucemiller/LaTeXML/issues)

## Enlaces relacionados

- [VAKRA](https://luiseduardodemiguel.com/research-ia/markdown/papers/vakra)
- [The Devil Is in the Interface](https://luiseduardodemiguel.com/research-ia/markdown/papers/devil-interface)
- [SkillSentry](https://luiseduardodemiguel.com/research-ia/markdown/papers/skillsentry)