💬 NLP

Refusal Direction is Universal Across Safety-Aligned Languages

Este artículo demuestra que la dirección de rechazo en modelos de lenguaje alineados con la seguridad es universal entre 14 idiomas, ya que un vector extraído en inglés puede eludir las defensas en otros idiomas sin necesidad de ajuste adicional, revelando una vulnerabilidad de seguridad translingüística fundamental.

Autores originales: Xinpeng Wang, Mingyang Wang, Yihong Liu, Hinrich Schütze, Barbara Plank

Publicado 2026-02-26

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Xinpeng Wang, Mingyang Wang, Yihong Liu, Hinrich Schütze, Barbara Plank

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

🌍 El Gran Secreto de los "No" de la IA

Imagina que los Modelos de Lenguaje (como ChatGPT o Llama) son como guardias de seguridad gigantes en un edificio. Su trabajo es dejar pasar a las personas amables (preguntas inocentes) pero detener a los malvados (pedidos peligrosos o dañinos).

Para hacer esto, estos guardias tienen un "botón de pánico" interno. Si detectan algo malo, presionan ese botón y dicen: "Lo siento, no puedo ayudarte con eso".

Los investigadores de este estudio descubrieron algo sorprendente sobre cómo funciona ese botón de pánico en diferentes idiomas.

1. El "Vector de Rechazo": La Brújula del "No"

Piensa en el cerebro de la IA como una gran habitación llena de brújulas. Cuando la IA va a decir "No", todas esas brújulas apuntan en una dirección muy específica. Los investigadores llamaron a esta dirección el "Vector de Rechazo".

Lo que sabíamos antes: Sabíamos que si empujabas la aguja de la brújula en inglés, la IA dejaba de decir "No" y empezaba a obedecer a los malvados (un "jailbreak" o ruptura de seguridad).
Lo que descubrieron ahora: ¡Esta brújula funciona igual en todos los idiomas!

La Analogía del Traductor Mágico:
Imagina que tienes una brújula que apunta al "Norte" (el "No" en inglés). Los investigadores tomaron esa misma brújula y la llevaron a Alemania, China, Tailandia y Nigeria.
¡Funcionó! Al usar la brújula del inglés para "desactivar" el botón de pánico en español o japonés, la IA dejó de decir "No" en esos idiomas también. Es como si el "No" fuera un idioma universal que la IA entiende en su interior, sin importar qué palabras usemos para hablarle.

2. El Problema: No todos los guardias están despiertos

Aquí viene la parte más interesante y preocupante. Aunque la brújula (el mecanismo de "No") es la misma en todos los idiomas, la capacidad de la IA para distinguir entre "bueno" y "malo" no es igual en todos lados.

La Analogía de la Niebla:

En Inglés: Imagina que el guardia está en una habitación con una luz muy brillante. Ve claramente quién es un ladrón y quién es un vecino. Si alguien intenta entrar, lo detiene.
En otros idiomas (como Yoruba o Thai): La habitación está llena de niebla. El guardia tiene la misma brújula (sabe cómo decir "No"), pero no puede ver bien quién es quién. Confunde a los ladrones con los vecinos.

¿Qué significa esto?
Si la niebla es muy densa (como en el idioma Yoruba en algunos modelos), el guardia ni siquiera intenta detener al ladrón. Por eso, en algunos idiomas, la IA es mucho más fácil de engañar. No es que el "No" no exista, es que el guardia está tan confundido por la niebla que no sabe cuándo usarlo.

3. La Prueba: El Experimento de la "Llave Maestra"

Los investigadores hicieron un experimento genial:

Crearon una lista de preguntas peligrosas en 14 idiomas diferentes.
Tomaron la "llave maestra" (el vector de rechazo) que se aprendió en inglés.
La aplicaron a modelos que hablaban otros idiomas.

El resultado:

En idiomas donde la IA ya era segura (como el alemán o el chino), al usar la llave inglesa, la IA dejó de decir "No" y obedeció las órdenes peligrosas.
En idiomas donde la IA ya era débil (como el Yoruba), la llave hizo que la obediencia a las órdenes malas aumentara aún más (de un 58% a más del 90%).

La lección: Si puedes hackear la seguridad en inglés, puedes hackearla en casi cualquier otro idioma, porque el mecanismo interno es el mismo.

4. ¿Por qué importa esto? (El mensaje final)

Este estudio nos dice dos cosas importantes:

El peligro es global: No basta con proteger a la IA solo en inglés. Si un atacante encuentra la forma de engañar a la IA en inglés, puede usar esa misma técnica para engañarla en español, francés o cualquier otro idioma. La seguridad es tan fuerte como su eslabón más débil.
La solución: Para hacer a la IA más segura en todo el mundo, no solo necesitamos enseñarle a decir "No" (que ya lo hace bien en su interior), sino que necesitamos quitar la niebla. Necesitamos entrenarla para que vea claramente la diferencia entre lo bueno y lo malo en todos los idiomas, no solo en inglés.

En resumen

Imagina que la IA es un cuerpo humano.

El cerebro (el mecanismo de rechazo) es el mismo para todos los idiomas.
Pero los ojos (la capacidad de ver el peligro) están muy nublados en algunos idiomas.

Este paper nos dice: "Oye, si logras cegar al cerebro en inglés, lo ciegas en todos los idiomas. Pero para que sea realmente seguro, tenemos que limpiar la niebla de los ojos en todos los idiomas, no solo en inglés".

Es una llamada de atención urgente para los creadores de IA: La seguridad debe ser universal, o no es seguridad en absoluto.

Resumen Técnico: Universalidad de la Dirección de Rechazo en Modelos de Lenguaje Multilingüe

1. El Problema

Los Modelos de Lenguaje Grandes (LLMs) deben poseer mecanismos de rechazo para negarse a generar contenido dañino, poco ético o que viole políticas de seguridad. Aunque la investigación reciente ha demostrado que el comportamiento de rechazo en inglés puede ser manipulado mediante una única dirección en el espacio de activación (un vector específico), existe una brecha crítica de conocimiento:

Vulnerabilidad Multilingüe: Se sabe poco sobre cómo funcionan estos mecanismos de rechazo en idiomas distintos al inglés.
Ataques de Jailbreak Translingüísticos: Los atacantes han descubierto que los prompts en idiomas no ingleses a menudo eluden las restricciones de seguridad que funcionan perfectamente en inglés.
Pregunta Central: ¿Es la "dirección de rechazo" (el vector matemático que codifica la negativa) específica de cada idioma o es un fenómeno universal que se comparte entre todos los idiomas en los LLMs?

2. Metodología

Los autores proponen un enfoque basado en la intervención en la activación del modelo para investigar la naturaleza de estas direcciones de rechazo.

Dataset PolyRefuse: Crearon un nuevo dataset multilingüe traduciendo prompts maliciosos y benignos del inglés a 14 idiomas diversos (incluyendo alemán, español, francés, japonés, chino, coreano, árabe, tailandés, yoruba, etc.), cubriendo múltiples familias lingüísticas y sistemas de escritura.
Extracción de la Dirección de Rechazo: Utilizaron el método de diferencia de medias (difference-in-means) en las activaciones residuales del modelo. Calculan la diferencia entre las activaciones promedio de respuestas a prompts dañinos ( $D_{harmful}$ ) y benignos ( $D_{harmless}$ ) para obtener un vector de rechazo ( $\hat{r}$ ).
Intervenciones Vectoriales:
- Ablación (Eliminación): Proyectan y restan el vector de rechazo de las activaciones residuales para eliminar la capacidad de negarse (forzando el cumplimiento).
- Adición (Refuerzo): Suman el vector de rechazo a las activaciones para aumentar la probabilidad de negarse.
Experimentos de Transferencia:
1. Extrajeron vectores de rechazo en inglés y los aplicaron a modelos respondiendo en otros 13 idiomas.
2. Extrajeron vectores de rechazo en idiomas no ingleses (alemán, chino, tailandés) y los aplicaron a otros idiomas.
Evaluación: Utilizaron modelos como Llama-3, Qwen2.5 y Gemma-2, evaluando las tasas de cumplimiento con prompts dañinos antes y después de la intervención, utilizando WildGuard para la clasificación de seguridad.

3. Contribuciones Clave

Universalidad de la Dirección de Rechazo: Demuestran que la dirección de rechazo es aglóstica (independiente del idioma). Un vector extraído en inglés puede desactivar el rechazo en otros idiomas con una eficacia casi perfecta, y viceversa.
Intercambiabilidad entre Idiomas Alineados: No solo el inglés funciona; los vectores extraídos de cualquier idioma que tenga una alineación de seguridad robusta (ej. alemán, chino) pueden transferirse y manipular el comportamiento de rechazo en otros idiomas.
Análisis Geométrico de la Vulnerabilidad: Identifican que, aunque las direcciones de rechazo son paralelas (alineadas) entre idiomas, la separación geométrica entre las representaciones de "dañino" y "inocuo" es mucho más débil en idiomas no ingleses.
Dataset PolyRefuse: Liberación de un dataset multilingüe estandarizado para evaluar la seguridad y el rechazo en LLMs.

4. Resultados Principales

Eficacia de la Ablación Translingüística:
- Al ablar (eliminar) el vector de rechazo extraído en inglés, la tasa de cumplimiento a prompts dañinos en otros idiomas aumentó drásticamente (a menudo superando el 90% de cumplimiento), incluso en modelos que inicialmente mostraban una seguridad multilingüe fuerte.
- Lo mismo ocurrió al usar vectores extraídos de alemán, chino o tailandés; su ablación colapsó el comportamiento de rechazo en todos los demás idiomas evaluados.
El Caso de Yoruba: Se identificó que el yoruba es un idioma "no alineado" en los modelos probados. Los modelos mostraron tasas de cumplimiento extremadamente altas (hasta 82.9% en Llama-3) incluso antes de la ablación. Esto sugiere que la transferencia de vectores de rechazo solo es efectiva entre idiomas que ya poseen una alineación de seguridad base.
Geometría del Espacio de Embedding:
- Paralelismo: Los vectores de rechazo calculados en diferentes idiomas son aproximadamente paralelos en el espacio de embeddings, lo que explica por qué la intervención funciona.
- Falta de Separación: En inglés, las representaciones de prompts dañinos e inocuos forman clusters bien separados. En idiomas no ingleses (especialmente en modelos como Llama-3), esta separación es difusa. Los prompts "jailbreakeados" caen en una región intermedia, lo que debilita la señal de rechazo y hace que el modelo sea vulnerable.

5. Significado e Implicaciones

Mecanismo Subyacente: El estudio revela que los LLMs codifican el concepto de "rechazo" de manera estructurada y consistente a través de los idiomas, pero la capacidad de distinguir qué es dañino varía según el idioma. El problema no es la dirección del rechazo, sino la falta de separación clara entre categorías de contenido en idiomas no dominantes.
Seguridad y Defensa:
- Las defensas de seguridad actuales son frágiles porque dependen de una separación de clusters que no se generaliza bien a todos los idiomas.
- Para construir defensas multilingües robustas, no basta con aprender a rechazar en inglés; es necesario mejorar la geometría interna del modelo para separar claramente el contenido dañino del inocuo en todos los idiomas.
Interpretabilidad: Este trabajo proporciona una comprensión mecánica profunda de cómo los LLMs generalizan comportamientos pragmáticos (como el rechazo) a través de fronteras lingüísticas, confirmando que la alineación de seguridad es un fenómeno compartido en el espacio latente, pero su implementación práctica falla en idiomas con menos datos de entrenamiento o alineación deficiente.

En conclusión, el artículo demuestra que la vulnerabilidad a los jailbreaks multilingües no se debe a la falta de un mecanismo de rechazo universal, sino a la incapacidad del modelo para mantener una separación nítida entre contenido seguro e inseguro en idiomas distintos al inglés, a pesar de que la "dirección" para rechazar es la misma.