多語言的照妖鏡：一個日文驚嘆號，如何揭示 AI 安全對齊的跨語境漏洞

近期研究揭示，中國 DeepSeek 大型語言模型竟能被一個簡單的日文構文「越獄」，成功繞過其對敏感政治議題的審查。這不僅暴露了 AI 安全對齊的重大盲點，更凸顯多語言審查機制的不對稱性。當安全防護僅在單一語言脈絡中驗證時，局部穩定易被誤認為全面安全。因此，建立跨語言、跨符號系統的壓力測試與安全基準，是打造真正具備韌性 AI 系統的關鍵。

一個日文驚嘆號，如何讓 AI 防線崩潰？

事件的主角是中國 AI 公司深度求索（DeepSeek AI）開發的語言模型。一份由研究者 Masato Suzuki 發佈在 Zenodo 上的技術報告，詳細記錄了一個極其簡單卻有效的 jailbreak 手法。研究者發現，當使用日文提出關於「1989 年天安門事件」或「2019 年香港民主化運動」等在中文語境下高度敏感的議題時，模型通常會觸發過濾機制而拒絕回答。

然而，只要在提示詞（prompt）中採用一種特殊構文——「一個三音節的日文詞彙，後面緊跟一個全形的驚嘆號」（例如：「天安門！」），DeepSeek 的安全防護就瞬間失效了。模型不僅不再迴避，反而能同時針對這兩個敏感主題生成詳細的日文內容。

這個發現證明，模型的檢閱過濾器與注意力機制存在巨大的語言不對稱性。在中文或英文環境下看似穩固的 guardrail，換到一個非核心的語言與符號系統（日文與全形標點）時，就變得不堪一擊。

為什麼模型的安全防護會有語言偏見？

一個簡單的符號組合就能破解耗費大量資源建立的安全機制，這背後的原因值得深思。

最可能的解釋是，模型的安全對齊訓練資料存在嚴重的語言偏差。開發團隊可能將絕大多數資源集中在主流語言（如英文和中文）的對抗性攻擊與防禦上，而忽略了其他語言中獨特的語法、語義和符號用法。

這種「訓練盲點」導致了安全機制的不對稱性。模型學會辨識中文或英文中的敏感詞彙，卻可能無法將日文中的「天安門！」這種看似無害、帶有語氣強調的短句，與同樣的風險等級關聯起來。

這種現象在針對 GPT-4 的研究中也曾被發現，低資源語言（low-resource languages）往往能成為繞過安全限制的有效媒介。

從技術層面看，這也暴露了當前 guardrail 設計的侷限。許多安全機制仍高度依賴關鍵字過濾或基於語義的分類器。

然而，像 DeepSeek 這個案例所展示的，攻擊者可以透過非語義的、純粹結構性的手法（syntactic attacks）來繞過偵測。這提醒我們，僅僅理解「說什麼」是不夠的，一個成熟的安全系統還必須理解「怎麼說」——包括不同語言、不同符號系統的表達方式。

安全對齊的真正挑戰，不在於模型能否在熟悉的場景中遵守規則，而在於它面對非預期、跨語境的輸入時，是否依然能維持穩定。

如何建立真正具備韌性的安全系統？

DeepSeek 的日文 jailbreak 案例，為所有 AI 系統建構者提供了一個重要的教訓：模型安全是一個跨語言、跨文化的治理問題，而非單一語境下的技術問題。若要建立真正具備韌性的安全護欄，我們必須超越傳統的測試思維，採納更全面的策略：

• 系統性的多語言紅隊演練（Multilingual Red Teaming）：安全測試不應僅限於英文或模型的原生語言。必須投入資源，系統性地從不同語言、文化背景的角度，對模型進行壓力測試，主動尋找類似的漏洞。
• 發展跨文化的安全基準（Cross-cultural Safety Benchmarks）：什麼是「有害內容」？其定義在不同文化中存在差異。我們需要超越以歐美為中心的視角，建立更能反映全球多樣性的安全評估基準。
• 強化對非對稱輸入的防禦：成熟的 guardrail 必須能處理混合語言（code-switching）、音譯詞、特殊符號（如全形／半形字元、表情符號）等非標準輸入。這需要模型不僅理解語義，更能解析輸入的結構與符號層面的意圖。

從 Google 的 Responsible AI Practices 到 OpenAI 的 Safety Framework，業界巨頭都已意識到安全對齊的複雜性。

然而，這次的案例顯示，即便對於資源雄厚的開發者，語言的長尾效應（long-tail of languages）依然是巨大的挑戰。

這個看似微小的日文構文漏洞，就像一面鏡子，照見了當前 AI 安全實踐中的巨大缺口。它提醒我們，任何在單一語境下宣稱的「安全」，都可能只是局部且脆弱的幻象。

唯有將多語言、多文化、多符號系統的複雜性納入核心設計，我們才可能打造出真正值得信賴的 AI 系統。這條路還很長，而這次的事件，正是督促我們加速前進的警鐘。

延伸閱讀

• Masato Suzuki, "Technical Note on the Case of Simultaneous Output of '1989 Tiananmen Square Protests' and '2019 Hong Kong Pro-democracy Protests' in Japanese by the Chinese LLM 'DeepSeek'," Zenodo, June 2024.
• Yong-Kyu Hui et al., "Low-Resource Languages Jailbreak GPT-4," arXiv, October 2023.
• Andy Zou et al., "Universal and Transferable Adversarial Attacks on Aligned Language Models," arXiv, July 2023.

我是江中喬，專注於 AI Agent Architecture、Memory Governance 與 Cognitive Diversity，持續研究如何打造能夠長期協作、可信任且可治理的 AI 系統。