技術要約：Minionese：多言語LLMの安全性に関する包括的なベンチマークおよびメカニズム研究

1. 問題提起

大規模言語モデル（LLM）は、安全性のアライメントにおいて顕著な「言語ギャップ」を示している。モデルは英語の有害なプロンプトに対しては確実に拒絶を行う一方で、非英語や低リソース言語の文脈では同様の要求に従ってしまうことが多い。既存の評価フレームワークは、集計されたジェイルブレイク率に依存しており、多言語の分布シフトによって誘発される特定の失敗モードを明らかにできていないため、この格差を特徴付けることができていない。既存の研究は、拒絶が活性化空間内の低次元方向によって媒介されることを確立しているが、現実的な言語的摂動（例：翻字、コードスイッチング）の下で、これらのメカニズムが異なるリソース階層にわたってどのように劣化するかについては依然として不明である。

2. メソドロジー

2.1 Minionese ベンチマーク

著者らは、攻撃タイプに応じたメカニズム分析をサポートするように設計された多言語ジェイルブレイク・ベンチマークである Minionese を導入する。言語のアイデンティティを主要な変数として扱う従来のベンチマークとは異なり、Minionese は意味内容を一定に保ちながら、言語的操作のタイプを変化させる。

• コーパス: AdvBench からの 385 個の有害なプロンプトに基づき、それらと意味的に並行な無害な対応プロンプトをペアにしている。
• 範囲: 4 つのリソース階層（ティア 1：高リソースからティア 4：低リソースまで）に分類された 18 言語をカバーしている。
• 摂動タイプ:
  1. 標準的な翻訳 (Standard Translation): 対象言語への完全な翻訳（ベースライン）。
  2. コードスイッチング (Code-Switching): 有害なプロンプトと無害なプロンプトの間で、最小限の差異があるスパンのみを翻訳する。残りは英語のまま維持される。
  3. 翻字 (Transliteration): 完全な翻訳を別のスクリプト（例：非ラテン文字のローマ字化、またはロマンス諸語のラテン・キリル文字によるレンダリング）に変換する。
  4. 翻訳調 (Translationese): 反復的なラウンドトリップ翻訳（英語 $\to$ 対象言語 $\to$ 英語 $\to$ 対象言語）を行い、意味的なドリフトや機械翻訳の表面統計を導入する。
• 規模: ベンチマークは合計 55,440 個のプロンプト ($385 \times 2 \times 4 \times 18$) を生成する。

2.2 評価パイプライン

本研究では、3 つの指示チューニング済みモデル、Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct、および Aya-Expanse-8B を評価する。

• 指標: 攻撃成功率 (ASR)、応答のコヒーレンス（一貫性）、および安全体制の分布。
• 安全性判定: 応答は WildGuard を用いてスコアリングされる。判定の信頼性の問題を軽減するため、非英語の応答はスコアリング前に英語にバックトランスレーション（逆翻訳）される。
• コヒーレンス・フィルタリング: ASR の差異が安全性の失敗ではなく生成の劣化によるものではないことを確実にするため、言語識別信頼度、Unicode の妥当性、および長さに基づいて応答をフィルタリングする。

2.3 幾何学的メカニズム分析

著者らは、残差ストリーム内における 有害性の検出 (harmfulness detection) と 拒絶の活性化 (refusal activation) を切り分けるための幾何学的フレームワークを採用している：

• 部分空間の構築: 有害性の部分空間を定義するためにロジスティック回帰プローブを訓練し、拒絶された応答と同意した応答の行動的対比を通じて「拒絶方向」を抽出する。
• 失敗の分類: 以下の通り失敗を分類する：
  • アップストリーム（意味回復の失敗）: 拒絶メカニズムに到達する前に、有害性の表現が崩壊する。
  • ダウンストリーム（閾値下活性化）: 有害性は検出されているが、拒絶方向への投影が不十分であり、決定閾値を越えられない。
• コーン分析: 拒絶メカニズムの分析を多次元の「拒絶コーン (refusal cone)」へと拡張し、基底方向の言語横断的な転移可能性をテストする。

3. 主要な結果

3.1 行動的脆弱性プロファイル

• ティアの勾配: 標準的な翻訳および翻訳調の攻撃は、リソースレベルが低下するにつれて ASR の急激な上昇を示す。Llama の場合、平均 ASR はティア 1 の約 8% から、ティア 3–4 では 70% 以上へと上昇する。
• 翻字はスクリプト依存: 翻字は、ティア 1–2 の非ラテン文字言語（例：Llama における韓国語の 99%）において最も高い ASR を生み出すが、ラテン文字および非常に低リソースなティア 4 の言語ではほぼゼロまで低下する。これは、脆弱性がリソースレベルではなく、スクリプトのアイデンティティによって媒介されていることを示している。
• コードスイッチングはティアに対して安定: この攻撃は、ティア 4 を含むすべてのリソース階層において中程度から高い ASR を維持する（例：Yoruba に対する Llama の ASR は 82%）。これは、意味表現の劣化ではなく、言語識別ルーティングを妨害する失敗モードであることを示唆している。
• 急激な安全体制の遷移: ティア 2 とティア 3 の間に質的な変化が生じる。モデルはティア 1–2 では主に拒絶行動を維持するが、ティア 3 では拒絶率が大幅に低下する。これは、連続的な劣化ではなく、閾値効果であることを示している。

3.2 メカニズムの知見

• 幾何学的不整合: 有害・無害の分離（シルエット係数で測定）は、ティア 3 以降で著しく劣化する。ティア 4 では、有害性の部分空間は英語の有害性の部分空間に対して直交に近づく。
• 閾値下活性化 (支配的な失敗モード): ティア 3 の言語については、有害性プローブが高い AUC を示す（モデルが内部的に入力を有害であるとエンコードしていることを示す）が、拒絶信号が決定閾値を越えることに失敗する。有害性の表現は存在するが、誤った方向に配置された低ランクの部分空間を通じてルーティングされ、拒絶方向への投影が不十分となっている。
• 意味回復の失敗 (ティア 4): ティア 4 では、有害性の表現自体が崩壊しており（AUC がチャンスレベルに接近）、これはモデルが有害性さえ検出できないアップストリームの失敗を表している。
• 一次元的な言語横断的拒絶: 英語の拒絶コーンは多次元であるが、最初の基底方向 ($b_0$) のみが言語間で強固に転移する。二次的な方向 ($b_1$–$b_4$) は、非英語言語に対してほぼゼロまたは負のマージンを持ち、しばしばスクリプト・ファミリー固有のサブサーキットをエンコードしている。

4. 貢献

1. Minionese ベンチマーク: 18 言語、4 つのリソース階層、および 4 つの摂動タイプを網羅し、攻撃タイプごとのメカニズム分析を可能にする、粒度の高い多言語ジェイルブレイク・ベンチマーク。
2. 経験的な脆弱性プロファイル: 各攻撃タイプが、明確で再現可能な脆弱性プロファイル（スクリプト依存の翻字、ティアに対して安定したコードスイッチング、および急激なティア 2–3 の安全体制の遷移）を生み出すことの実証。
3. 幾何学的フレームワーク: 有害性の検出と拒絶の活性化を切り分けるメカニズム的説明を提供し、「閾値下活性化」と「意味回復の失敗」という 2 つの主要な失敗モードを特定した。

5. 意義と主張

本論文は、英語のみの安全性評価はグローバルな展開には不十分であると主張している。研究結果は、安全性の監査において、スクリプト・ファミリー、摂動タイプ、および言語ごとのアライメント・カバレッジを考慮する必要があることを示している。

• メカニズム的洞察: 本研究は、多言語ジェイルブレイクが拒絶メカニズムを破壊することによって成功するのではなく、入力に対してメカニズムを「飢餓状態」にすることによって成功すると断じている。低リソースの設定では、有害なコンテンツは幾何学的に薄い部分空間を占め、拒絶方向への投影に失敗する。
• 介入への影響: 安全性の介入（例：対照的活性化追加）は、主要な言語横断的拒絶方向 ($b_0$) と一致していなければならない。より高次元のコーン方向への介入は、非英語言語における安全性を積極的に低下させる可能性がある。
• ガバナンス: 結果は、安全性の失敗がモデル固有のアーティファクトではなく、多言語の分布シフト下におけるトランスフォーマーの安全性アライメントの構造的な特性であることを示唆している。これは、ガバナンスの枠組みが、集計された指標を超えて、特定の言語的および幾何学的な脆弱性に対処しなければならないことを意味する。

著者らは、多様な言語コミュニティにおける責任ある展開を確実にするために、最適化された攻撃レシピではなく、失敗のメカニズムに焦点を当てた、レッドチーミングとアライメントのための診断ツールを提供することを強調している。