多语言环境下 LLM 安全对齐漏洞百出别只看英语跑分

在对大语言模型（LLM）进行安全对齐（Safety Alignment）评估时，过度依赖英语基准测试是一个常见误区。许多模型在英语环境下能够完美拒绝违规请求，但一旦切换至印地语或孟加拉语等低资源语言，其防御层便会迅速失效。这种现象表明，当前的对齐技术本质上绑定在英语语料的统计分布之上，缺乏跨语言的逻辑一致性。若仅在英语环境下开展红队测试，模型在面向全球的实际部署中将面临显著的“文化迟钝”风险，攻击者往往利用语言差异与心理诱导来绕过既定防御，而非使用简单的翻译指令。

构建有效的多语言对抗性压力测试需要摒弃传统低效方法。传统的“翻译英语违规指令 → 输入模型”测试方式效率较低，因为模型可能已经见过类似的翻译模式。参照 IndicSafeEval 框架的建议，在测试中应引入“拟人化劝说策略（Persuasive Strategies）”，而非生硬的指令覆盖。在实施红队测试时，可将攻击策略划分为六类，通过模拟真实人类的诱导口吻尝试突破。例如，不再使用 <code>"Ignore all previous instructions"</code> 这种经过反复训练的模板，而是采用带有情感引导或特定场景假设的劝说语调。

实操层面建议构建一个包含多语言、多类别的对抗性提示词库。针对 10 个安全敏感类别，为每类设计数百个不同语言的诱导样本，从而形成一个规模超过 7,000 个提示词的压力测试集，用于黑盒测试。

通过对主流开源模型进行黑盒测试，可以观察到多语言环境下模型容易在以下几个方面出现“破防”：

<ul>
<li><strong>语言不均衡性：</strong> 模型在英语、法语等高资源语言中表现稳健，但在印地语、马拉地语、旁遮普语等语言中，拒绝率大幅下降。</li>
<li><strong>策略敏感度：</strong> 当攻击者放弃陈旧模板，转而使用具有“劝说色彩”的口吻时，模型的防御机制失效速度极快。</li>
<li><strong>类别差异：</strong> 某些特定的有害内容（如特定文化的偏见或特定地区的违规操作）在多语言环境下比通用违规内容更容易突破。</li>
</ul>

开发者可以通过以下路径优化跨语言的安全对齐，以避免模型在脱离英语舒适区后性能崩溃：

<p><strong>1. 摆脱单一语言评估：</strong> 停止将英语跑分作为唯一指标。在部署前，必须将低资源语言和复杂的心理诱导逻辑纳入核心 KPI。</p>
<p><strong>2. 引入多样化对齐数据：</strong> 增加非英语语系的 SFT（监督微调）数据，确保安全边界不再仅依赖于英语语料的分布。如果缺乏原生多语言安全数据，可以尝试使用高质量的跨语言合成数据进行对齐。</p>
<p><strong>3. 使用专业测试框架：</strong> 建议在 GitHub 搜索并部署 <code>IndicSafeEval</code> 等针对非英语语系设计的压力测试框架，通过量化指标（如不同语言下的违规响应率）来定位模型的脆弱点。</p>

在发布多语言模型前，需执行以下检查以确保安全性：

<ul>
<li>是否测试了非英语环境下，使用“劝说策略”而非“指令覆盖”的攻击表现？</li>
<li>是否对比了同一风险类别在英语与目标低资源语言中的拒绝率差异？</li>
<li>是否验证了模型在不同语言间是否存在逻辑一致的防御边界？</li>
</ul>