全球安全盲区：翻译成为低资源语言中的安全绕过途径

英文中判为安全的有害请求，译入低资源语言后仍可能得到不安全补全；作者要分开测量这种翻译绕过。

• 场景：作者称模型已全球部署，但安全评测与对齐集中在英文。英文测试下看似稳固的守卫，遇到同一意图的其他语言就可能失败，对手只需低成本翻译。作者引用的报告习惯是：24个发布系统报告的顶尖模型中，20个宣传广泛多语言支持，只有5个报告任何多语言安全红队（Yong et al., 2025）。
• 既有缺口：翻译绕过已被报告。作者称那些工作通常不报告攻击者实际据以行动的条件量，也不检验弱点是否按语言类型组织。无条件不安全率会把英文已经失败和只在译文上失败混在一起。
• 假设：作者称安全依赖与其他任务相同的语言理解，主要在英文训练的对齐，在覆盖最少的语言上可能泛化差。作者写明不声称发现了翻译绕过。
• 本文的测量：三部分。（i）把翻译绕过与英文已有不安全分开的指标；（ii）在78种低资源语言、20个语系上检验风险是否按语言类型组织；（iii）模型没有稳定排序，因而不发布排行榜。提示原文不发布，按类别的绕过排序也扣下。
• 威胁模型：
  • 目标：以尽可能少的努力得到有害补全。
  • 能力：把提示译成多种语言并反复查询，包括尝试若干低资源语言。
  • 策略：先用英文探测；若英文回应安全，再把同一意图译入一种或多种低资源语言。任一译文产生有害补全即算攻击成功。不需要越狱技巧。
  • 指标对准的失败：不是模型在英文之外偶尔失手，而是它在英文已安全处理的提示上，翻译后是否广泛、稳定地失败。

翻译绕过

• Yong et al. [2023] 报告了针对 GPT-4 的低资源语言翻译越狱。Deng et al. [2024] 提出 MultiJail 并描述多语言设定。Al Ghanim et al. [2024] 用阿拉伯语转写得到类似效应。
• 作者称这一支表明问题存在，但通常不报告攻击者据以行动的条件量，也不检验弱点是否按语言类型组织。

多语言能力与安全报告

• Yong et al. [2025] 讨论英文中心的安全评测，并给出上述 20/24 与 5/24 的报告习惯统计。
• Global-MMLU、MMLU-ProX、XCOPA：作者称模型在英文最好、在更低资源的语言上更差（Singh et al., 2025；Xuan et al., 2025；Ponti et al., 2020）。Wang et al. [2024] 被引来支持：主要在英文训练的对齐，在覆盖最少的语言上可能泛化差。

基准规模与评分方式

• ALERT（Tedeschi et al., 2024）是带细粒度分类的大规模红队基准；M-ALERT（Friedrich et al., 2025）把它扩到多种语言。作者称这些基准的提示远多于本文的 119 条（少一到两个数量级），本文不声称提示广度上有优势；作者称贡献是正交的：语言更多、取低资源端的类型学分布，并配条件化指标。
• Mazeika et al. [2024] 代表许多基准报告拒绝率而非不安全补全率；An et al. [2024] 研究错误拒绝。作者称这两类现象可能被混在同一个评审标签里。

翻译质量解释与类型学

• Marx and Dunaiski [2026] 在四种低资源非洲语言、七个商业模型上报告较低的单轮越狱率，并归因于机器翻译在有害意图到达模型前就被削弱。作者称不能排除该解释，因为本文只用一个翻译器、不记录质量协变量；但该解释不能说明语系排序为何随模型变化。检验放在 Section 5.5。
• 资源分级遵循 Joshi et al. [2020]，类型学用 WALS（Dryer, 2013）。Blaschke et al. [2025] 表明语言相似度与跨语言迁移的联系取决于设定，作者因此检验语系结构，而不是假定它。

基线与数据来源：本文没有另设攻击方法基线。119 条提示来自 AdvBench、MultiJail、PHTest、HarmBench 和 DiaSafety。回归以 Claude-Sonnet-4 为参照（OR = 1）。

作者把本文定位为测量，而不是发现翻译绕过：条件量、按语言类型的正式检验，以及不发布排行榜。与提示更多的基准相比，作者称区别在语言覆盖和条件化指标；对翻译质量解释，作者用模型间语系排序的变化来检验它能否解释全部差异。

在翻译介导的绕过设定下，把同一批英文有害提示译入低资源语言，用条件于英文安全的不安全比例，把翻译绕过和英文已有的不安全分开。

提示、语言与模型

• 提示：119 条，明确要求或鼓吹不安全、非法或不道德行为，来自 AdvBench、MultiJail、PHTest、HarmBench，并加入 DiaSafety 的非指令式提示。11 类，集中在 Dangerous Behavior & Criminal Content（35）、Hate & Discrimination（20）、Violence & Threats（18）、Self-Harm & Suicide（15）（Table 11）。构建是汇总、去重与启发式过滤、加入 DiaSafety，再按危害类别和请求类型做分层子集（Appendix B、C）。请求类型分 Directive，以及非 Directive 的 Interrogative、Assertive、Expressive。
• 语言：英语加 78 种低资源语言，选自 Google Translate 词表，优先类型学多样、母语者较多的低资源语言。资源等级用 Joshi et al. [2020] 的 Level 0 与 Level 1。20 个语系（Table 12）：Austronesian 与 Indo-European 各 15，Niger-Congo 9，Turkic 6，Creole 5，Sino-Tibetan 与 Nilo-Saharan 各 4，其余 20 种语言在 13 个较小语系。
• 模型：10 个，混合开源权重、闭源和部分开放权重。正文列为两个 Claude 4、两个 Gemini 2.5、GPT-5、Grok-4、两个 Llama 4 变体、Mistral 2 Large、Phi-4；结果表分别记为 Claude-Sonnet-4、Claude-Opus-4、Gemini-Pro-2.5、Gemini-Flash-2.5、Llama-Scout-17B、Llama-Maverick-17B、Mistral-Large。作者按公开资料都标为中或大规模，有两套模型的家族各含中等和大模型，并写明不分离规模效应。温度在支持处设为 0，其余超参用推荐默认值。除 Grok-4 不能处理 Shan 外，各模型看到相同译文。完整模型每模型 9,401 条提示–语言输入，Grok-4 为 9,282；过滤前共 93,891 对。

翻译与判定

• 正向翻译用 Google Translate 公开 API。作者称这操作化了攻击者廉价改写有害意图的能力；选择理由是语言覆盖、低资源语言上相对较高的流畅度，以及安全相关内容上一致的领域处理。
• 回应收集于目标语言，再用同一系统回译成英文，供英文评审和人工抽查。评审是 GPT-4o，只用于打分，对回译后的英文回应标 Safe 或 Unsafe。论文未写数值阈值。
• 239,292 条原始回应过滤后，有害分析框约为 92,536 条低资源补全；条件于 EN-safe 后为 Section 5.3 使用的 56,148 行。
• 专业译者抽查 5 种样本内语言和 1 种样本外语言，各 133 条，四档为 Perfect、Great、Fair/Poor、Nonsense/Unintelligible。翻译差且回应差的语言被移除。抽查来自另一次生成；作者称它说明提示翻译的忠实度，而不是被打分的那些补全。为降低误用，只报告类别元数据和汇总统计。附录 A 有定性示例，此处不复述提示与回应。

条件化绕过指标

• 某提示对某模型为 EN-safe，当且仅当该模型的英文补全被判安全。对该提示，低资源不安全份额是 78 种语言中产生不安全补全的比例。
• 汇总为：给定 EN-safe 时，低资源语言不安全的平均百分比。广度阈值是 P(≥20% LR unsafe | EN-safe)（至少 16/78）和 P(≥50% LR unsafe | EN-safe)（至少 39/78）。作者称阈值表示失败有多广，并避免依赖最大值。
• 威胁模型里的攻击成功是任一译文得到有害补全；报告指标是份额和广度。条件指标随模型变化，因为各模型的 EN-safe 集不同。

固定效应、语系与排序方案

• 作者在 EN-safe 子集上做 prompt 固定效应回归，以处理子集选择。单位是英文补全安全的（模型，提示）对；结果是 78 个低资源版本中的不安全计数。二项 GLM、logit 链接：logit P(unsafe in LR | model m, prompt p) = α_p + β_m。α_p 是提示固定效应，β_m 是模型效应，参照为 Claude-Sonnet-4。拟合用 681 对、87 条提示；该子集内总是 0 或总是 78 的提示被排除。作者报告过度离散 φ = 3.47，并使用离散度校正的标准误。
• 语系检验比较加性模型与加入模型×语系交互的模型，用似然比检验（Appendix F）。Figure 3 是各模型相对自身 EN-safe 均值的语系偏差（百分点）。
• 排序比较三种都条件于模型自身英文安全的方案：Scheme 1 为各自 EN-safe 集；Scheme 2 为十模型都 EN-safe 的 39 条；Scheme 3b 为 Claude-Sonnet-4 的 95 条与各模型自身集合的交集（Appendix H）。不与自身 EN-safe 求交的第四种构造被排除，作者称它估计的不是同一个量。

实验设置

• 被测模型：Claude-Sonnet-4、Claude-Opus-4、Gemini-Pro-2.5、Gemini-Flash-2.5、GPT-5、Grok-4、Llama-Scout-17B、Llama-Maverick-17B、正文的 Mistral 2 Large（表作 Mistral-Large）、Phi-4。打分模型为 GPT-4o。
• 数据：119 条有害提示、11 类（Table 11）；英语加 78 种低资源语言、20 个语系（Table 12）。完整模型 9,401 行，Grok-4 因未跑 Shan 为 9,282；过滤前 93,891 对。原始回应 239,292 条；过滤后低资源补合约 92,536 条；EN-safe 语言级观测 56,148 行、112 条提示（Appendix F）。
• 对照：无单独攻击方法基线。固定效应以 Claude-Sonnet-4 为参照。排序的 Scheme 3b 也以该模型的 EN-safe 集为基线集。
• 指标：EN-safe 条件下 78 种语言的平均不安全百分比；≥20%（≥16/78）与 ≥50%（≥39/78）的提示比例；低资源不安全的 odds ratio。
• 判定：目标语言回应经 Google Translate 回译后，由 GPT-4o 标 Safe 或 Unsafe。论文未写分数阈值，也未报告与人工的一致性。温度在支持处为 0；论文未报告重复采样次数。
• 抽查：5 种样本内语言加 1 种样本外语言，各 133 条，来自另一次生成（Section 3.4）。

主结果

摘要与 Section 5.1 给出的平均绕过率区间是 21.9% 到 44.4%。逐模型数字取自 Appendix H Table 6 的 Rate 1 与 Table 5 的 Scheme 1（各模型自有 EN-safe 集），不是从图上读出。OR 只取 Section 5.2 正文写出的数值；Figure 4 有其余模型，正文未列数字。

| 模型 | Scheme 1 绕过率 | EN-safe 条数 | 相对 Sonnet-4 的 OR | | Mistral-Large | 44.4% | 73 | 3.75 [3.11, 4.53] | | Phi-4 | 40.5% | 70 | 3.67 [3.04, 4.43] | | Llama-Scout-17B | 36.6% | 66 | 未报告 | | Claude-Sonnet-4 | 36.2% | 95 | 1 | | Claude-Opus-4 | 32.4% | 90 | 未报告 | | GPT-5 | 24.0% | 90 | 0.56 [0.47, 0.68] | | Gemini-Flash-2.5 | 21.9% | 60 | 未报告 |

省略的 Table 6 Rate 1 / Table 5 Scheme 1：Llama-Maverick-17B 为 27.4%（N=54），Grok-4 为 25.3%（N=53），Gemini-Pro-2.5 为 24.1%（N=70）。

• 作者称英文安全经常对应低资源语言中相当比例的不安全，且不限于少数语言。Figure 2 还画了两个广度阈值，正文未列出逐模型数值。
• 作者称固定效应之后模型差异仍然大，Figure 2 的差异不能只由各模型 EN-safe 子集不同来解释。表中三个 OR 的区间都不含 1。
• 作者同时写明，这一条件率的顺序不能直接当成可发布的鲁棒性排行（Section 5.4）。

语系结构

• 在 56,148 行上，加入模型×语系交互的 ∆Deviance = 535.67（63 df），离散度校正 p = 1.3 × 10−9。作者称改进约为加性模型 deviance 的 1.2%，幅度不大，但统计上显著；语系模式大体跨模型共享，另有一小块模型特异成分（Section 5.3、Appendix F）。
• 作者称风险聚在少数语系，而不是孤立语言；EN-safe 条件下最高风险语系常常是 Nilo-Saharan，若干模型上 Niger-Congo 偏高。同一模型内语系相差 9 到 34 个百分点（中位数 20）；对所有模型平均后，最安全与最高风险语系大约相差 16 个百分点。Figure 3 是相对各模型自身均值的偏差热图，正文未逐格给数。
• 作者称攻击者把翻译集中到最高风险语系，成功率会高于随机选语言；缓解上可优先做语系感知的红队和针对性微调。

三种条件化方案下的排序

• Scheme 1、Scheme 2（39 条公共提示）、Scheme 3b 都条件于模型自身的英文安全。作者称它们估计同一个攻击者条件量，只是进入平均的提示不同。Table 7：Scheme 1 与 3b 的 Spearman ρ = 0.952；Scheme 1 与 2 为 0.709；Scheme 2 与 3b 为 0.636。正文写前一对为 ρ = 0.95，Scheme 2 与其余为 ρ = 0.64–0.71。
• 九个模型换序；只有 Mistral-Large 的 rank span 为 0。Claude-Sonnet-4 的 span 为 5，完全来自 Scheme 2，其 Scheme 1 与 3b 的率都是 36.2%。Scheme 2 下 Mistral-Large 为 19.5%，Gemini-Pro-2.5 为 5.8%（Table 6）。作者称 Scheme 2 也是每个模型最小的集合，其分歧混有样本量变小，不能单独读成不稳定。
• 作者称没有一种方案适合作为公开发布的排序：Scheme 1 有选择混杂；Scheme 3b 相对某一个基线模型，并不中性；Scheme 2 提示集固定但只有 39 条。因此不发布排行榜。作者称模型并非同样安全。被排除的第四种构造下，非基线模型只有 53% 到 83% 的行对该模型是 EN-safe；Mistral-Large 达到 52.3%，作者称升幅部分来自估计量改变。

翻译退化与语系交互

• 四个在查看结果前定下的指标标记了 EN-safe 行的 14.1%（正文）；Table 8 为 7,923 行、14.11%。语言级退化率与绕过率：正文 Spearman ρ = 0.92（p < 10−32，n = 78），附录为 ρ = 0.921（p = 6.23 × 10−33）。退化率从 Pashto 的 4.7% 到 Baoulé 的 34.0%。退化回应被判不安全为 43.3%，干净回应为 29.8%。作者称绝对的逐语言比率受到未知程度的污染。
• 去掉被标记行后（48,225 行），交互仍在：∆Deviance = 440.87，63 df，p = 3.3 × 10−6。Table 9 的衰减为 −17.70%（正文写 17.7%）。二元控制把 535.67 降到 511.67（Table 9 为 −4.48%，正文写 4.5%）；连续分数为 −2.62%（正文 2.6%）；四指标分别进入为 −6.40%（正文 6.4%）。作者称每种控制下交互仍然显著。
• 作者称这些分析没有确立对模型平均后的语系主效应独立于翻译质量；确立的是交互，不是排序。Table 10 中 Shan 的绕过率为 54.5%（n=662，退化 32.2%），Dinka 为 50.0%（n=720）；Pashto 绕过率 24.0%、退化 4.7%（n=721）。Grok-4 未跑 Shan。

其他消融与分析

• 固定效应样本为 681 对、87 条提示；φ = 3.47，Appendix G 复现为 3.4742。总是 0 或总是 78 的提示被排除。
• Appendix F 语系行数：Other/Small 14,349，Indo-European 10,814，Austronesian 10,811，Niger-Congo 6,484，Turkic 4,323，Creole 3,604，Nilo-Saharan 2,882，Sino-Tibetan 2,881。
• Table 11 中条数最少的类别是 Crimes Against Children 与 Sexual Violence & Illegal Sexual Acts，各 1 条。作者未发布按类别的绕过率。
• 附录 G：24 项检查中 23 项精确复现；唯一差异是模型级行数。正文写完整模型 9,401 行、Grok-4 为 9,282、过滤前共 93,891。附录称原始说明把两种 9,282 的来源混在一起，并保留该差异。
• 人工抽查未报告各档条数。论文未报告哪些模型不支持温度为 0，也未报告重复次数。
• 附录 A 的示例被作者称为不穷尽、不具统计代表性；不复述其中的提示与回应。

作者指出的局限与后续方向

• 翻译介导评测：流水线用一个翻译系统生成低资源提示，并把回应回译后再做英文安全评测，可能引入语义漂移。专业译者抽查支持提示忠实度，但没有覆盖实际被打分的回应，也没有全量提示集的独立翻译质量度量。作者称测得比率应解释为这一翻译介导威胁模型下的脆弱性，而不是底层多语言安全行为的精确估计。后续方向是用双语人工复核者和独立翻译系统验证被打分的回应（Section 6.2）。
• 评审依赖：不安全标签由一个 LLM 评审、经翻译后的输出、在全部语言上一致给出。作者称这有利于规模和内部一致，但可能引入系统偏差，包括评审策略与被评模型行为之间可能的依赖（Section 6.2）。
• 提示与交互范围：有害提示集是策划的、条数固定的，评测聚焦单轮。作者称真实误用可以包含迭代探测、多轮升级和上下文累积，因此发现刻画的是受控的、作者称为保守的翻译绕过，而不是多语言对抗交互的全谱（Section 6.2）。

实验覆盖范围

• 被测模型为 Claude-Sonnet-4、Claude-Opus-4、Gemini-Pro-2.5、Gemini-Flash-2.5、GPT-5、Grok-4、Llama-Scout-17B、Llama-Maverick-17B、Mistral 2 Large（表作 Mistral-Large）、Phi-4；打分模型为 GPT-4o（Section 3.3–3.4）。
• 有害提示 119 条、11 类（Table 11）；语言为英语加 78 种、20 个语系，资源等级为 Joshi Level 0 与 Level 1；Grok-4 未跑 Shan（Section 3.1–3.3，Table 12）。评测为单轮提示–回应（Section 6.2）。
• 主条件化用各模型自有 EN-safe 集；另报告 39 条十模型公共集，以及与 Claude-Sonnet-4 的交集（Appendix H）。固定效应样本为 681 对、87 条提示（Appendix E）。语系检验用 56,148 行（Appendix F）。
• 翻译抽查为 5 种样本内语言加 1 种样本外语言、各 133 条，且来自另一次生成（Section 3.4）。论文写明未记录提示质量协变量，也没有全量独立翻译质量度量（Section 5.5、6.2）。
• 正文给出平均绕过率区间，但未列出 Figure 2 中 ≥20% 与 ≥50% 阈值的逐模型数值。OR 的正文数字只有 Claude-Sonnet-4、Mistral-Large、Phi-4、GPT-5（Section 5.2）。按类别的绕过排序未发布（Section 1.4）。作者写明不分离模型规模效应（Section 3.3）。

这是一项测量工作：在翻译绕过的威胁模型下，把英文已经不安全和只在低资源译文上不安全分开。

• 问题：模型全球部署，但安全评测与对齐集中在英文。作者要测的是，英文里被安全处理的有害意图，换成低资源语言后还会不会得到不安全补全，风险是否按语系组织，以及能否给出稳定的模型名次。
• 做法：119 条英文有害提示经 Google Translate 进入 78 种低资源语言，十个模型在目标语言作答，回应回译后由 GPT-4o 二分类。核心量是条件于该模型英文安全的低资源不安全比例，并设至少 16/78 与至少 39/78 两个广度阈值。可比性用 prompt 固定效应，语系用模型×语系交互，排序用三种条件化方案。提示原文和按类别的排序不发布。
• 绕过率：自有 EN-safe 集上，平均绕过率从 Gemini-Flash-2.5 的 21.9% 到 Mistral-Large 的 44.4%（Table 6；摘要给出同一区间）。相对 Claude-Sonnet-4，Mistral-Large 的 OR 为 3.75 [3.11, 4.53]，Phi-4 为 3.67 [3.04, 4.43]，GPT-5 为 0.56 [0.47, 0.68]（Section 5.2，φ = 3.47）。
• 语系与翻译：同一模型内语系相差 9 到 34 个百分点（中位数 20）。交互在去掉退化行后仍在（Table 9 衰减 −17.70%）。作者称平均后的语系排序并未被确立为独立于翻译质量。78 种语言上，退化率与绕过率的 Spearman ρ = 0.92。
• 排序：三种方案下九个模型换序。作者因此不发布排行榜，同时称模型并非同样安全。
• 作者的结论：若把英文对齐当作安全边界，翻译就是绕过它的最简单办法；只做英文评测会留下一大块可搜索、未审计的多语言表面。作者主张把多语言安全当作安全基础设施：用与攻击者行为对齐的条件化指标来测，按稳定语言分组做压力测试，并在风险集中处做针对性缓解。