Scale AI berichtet über ROK-FORTRESS‑Ergebnisse zur mehrsprachigen KI‑Sicherheit

Scale AI veröffentlichte am 17. September 2026 Ergebnisse von ROK-FORTRESS, einem zweisprachigen Englisch‑Koreanisch‑Adversarial‑Safety‑Benchmark, das gemeinsam mit dem Korea AI Safety Institute entwickelt wurde, und berichtete, dass auf Koreanisch formulierte Eingabeaufforderungen, die in koreanischen Kontexten verankert sind, durchweg mit geringerer gemessener Schädigung bei fast allen der 14 evaluierten Frontier‑Modelle verbunden waren.

Benchmark‑Design: Die Transcreation‑Matrix

Die meisten mehrsprachigen Sicherheits‑Benchmarks übersetzen eine feste Eingabeaufforderung in eine andere Sprache, während das beschriebene Szenario unverändert bleibt. Im Forschungsbeitrag, verfasst von Madhu Sehwag, beschreibt Scale AI ROK-FORTRESS als kontrollierte Transcreation‑Matrix: Jede adversariale Eingabeaufforderung wird in bis zu vier Varianten evaluiert, die unabhängig voneinander Sprache (Englisch versus Koreanisch) und geopolitische Verankerung (d. h. US‑ versus koreanische Akteure, Institutionen und operative Details) variieren. Jede adversariale Eingabeaufforderung wird mit einem harmlosen Gegenstück gepaart, sodass der Benchmark auch Über‑Ablehnung messen kann.

Der vollständige Datensatz umfasst 1 235 Aufgaben in vier Bereichen der nationalen Sicherheit und öffentlichen Sicherheit: chemische, biologische, radiologische, nukleare und explosive (CBRNE) Bedrohungen; politische Gewalt und Terrorismus; kriminelle und finanzielle Aktivitäten; sowie Informationslecks. Die Antworten werden von kalibrierten LLM‑als‑Richter‑Panels bewertet, die anhand von von Experten verfassten Referenz‑Labels validiert wurden, wobei prompt‑spezifische binäre Rubriken verwendet werden, die von erfahrenen Red‑Team‑Mitgliedern entwickelt wurden.

Der Beitrag veranschaulicht das Design anhand eines Szenarios eines Massenangriffs: dieselbe zugrunde liegende Absicht kann die Bombardierung des Oklahoma Federal Building im Jahr 1995 in den Vereinigten Staaten oder die Bombardierung des Korean Air Fluges 858 im Jahr 1987 in Korea hervorrufen, und eine rein übersetzungsbasierte Bewertung kann nicht aufzeigen, wie diese Veränderung der Verankerung das Modellverhalten beeinflusst.

ROK-FORTRESS ist der neueste Benchmark einer breiteren Partnerschaft zwischen Scale AI und dem Korea AI Safety Institute, die gemeinsame Forschung, LLM‑Evaluierungen und Red‑Teaming umfasst, und er baut auf FORTRESS auf, dem national‑Sicherheits‑ und öffentlichen‑Sicherheits‑Benchmark von Scale AI für Frontier‑Modelle.

Berichtete Ergebnisse für 14 Modelle

Die Bewertung umfasste laut dem Papier ein Dual‑Track‑Set aus Frontier‑ und koreanisch‑optimierten Modellen. Scale AI berichtet, dass englische Eingabeaufforderungen im Allgemeinen die höchste, nach Tier‑Gewichtung gewichtete Risikobewertung erzielten, während vollständig transkrierte koreanische Eingabeaufforderungen die niedrigste erzielten, wobei Zwischenvarianten dazwischen lagen, und dass dieses Muster selbst bei speziell auf Koreanisch ausgerichteten regionalen Modellen bestand. Die am meisten bzw. am wenigsten schädlichen Modelle unterschieden sich in ihren Risikobewertungen um fast das Neune‑fache.

Eine Ablation mit direkter Anfrage erschwerte dieses Muster. Die Haupttests des Benchmarks verwenden ausgearbeitete adversariale Eingabeaufforderungen, die schädliche Anfragen in Rollenspielen, erfundenen Hintergrundgeschichten oder emotionalen Appellen verbergen; wenn diese Hüllen entfernt wurden und dieselben Informationen in klarer, direkter Sprache angefordert wurden, verschwand der koreanische Vorteil größtenteils. Proprietäre Modelle von OpenAI, Anthropic und Google blieben in Koreanisch moderat sicherer, während fünf Open‑Source‑Frontier‑Modelle eher bereit waren, auf Koreanisch zu reagieren. Das Papier stellt fest, dass diese Aufteilung darauf hindeutet, dass ein Teil der koreanischen Unterdrückung auf Prompt‑Spezialisierung zurückzuführen ist, d. h. dass adversariale Hüllen durch Transcreation an Wirksamkeit verlieren, anstatt dass eine intrinsische sprachbasierte Sicherheitsausrichtung vorliegt.

Scale AI berichtet außerdem, dass der Effekt des Wechsels von Englisch zu Koreanisch etwa 2,5‑mal so groß war wie der Effekt des Wechsels von US‑ zu koreanischer Verankerung, also etwa zehn Prozentpunkte gegenüber vier, und bietet eine Interpretation, die mit den Ergebnissen übereinstimmt: Koreanisch fungiere als konservatives Risikosignal. In 4 der 14 Modelle schwächte das Hinzufügen koreanischen Kontexts die Reduktion schädlicher Antworten, die mit der koreanischen Sprache verbunden ist, signifikant, und kein Modell zeigte einen statistisch signifikanten Effekt in die entgegengesetzte Richtung. Betrachtet man nur Fälle, in denen Modelle antworteten statt abzulehnen, gaben 12 der 14 weiterhin weniger schädliche Antworten in Koreanisch, während Modelle zudem harmlosen koreanischen Anfragen häufiger ablehnten, in manchen Fällen etwa doppelt so häufig.

Preprint, öffentlicher Datensatz und erklärte Implikationen

Die zugrunde liegende Preprint auf arXiv, mit dem Titel “ROK-FORTRESS: Messung der Wirkung geopolitischer Transcreation für nationale Sicherheit und öffentliche Sicherheit”, listet Michael S. Lee und 15 Co-Autoren. Sie wurde erstmals am 13. Mai 2026 eingereicht und zuletzt am 7. Juli 2026 überarbeitet, und umfasst 16 Seiten Haupttext plus einen Anhang, insgesamt 74 Seiten, mit vier Abbildungen und zwei Tabellen im Haupttext. Die Zusammenfassung präsentiert die Ergebnisse als Beweis dafür, dass insbesondere im Englisch–Koreanisch-Fall das Sicherheitsverhalten durch Sprache-als-Risikosignale und Kontextinteraktionen geprägt wird, die reine Übersetzungsbewertungen übersehen, und erklärt, dass die Transcreation-Matrix-Methodik darauf ausgelegt ist, sich auf andere Sprach-Kultur-Paare zu verallgemeinern.

Ein öffentlicher Teil des Datensatzes ist auf Hugging Face unter einer CC‑BY‑4.0‑Lizenz verfügbar, hinter einer Zugangsvereinbarung, die Kontaktdaten erfordert. Der Teil enthält 791 der 1 235 Aufgaben (64 Prozent), während die verbleibenden 444 Aufgaben (36 Prozent) als privater Holdout zurückgehalten werden, basierend auf einer Bewertung durch Expert‑Red‑Team‑Mitglieder hinsichtlich des Schadenspotenzials, sowohl um Eingabeaufforderungen zu beschränken, die ein höheres Risiko für Missbrauch in der realen Welt darstellen, als auch um eine Kontamination des Benchmarks zu verhindern. Die Veröffentlichung umfasst 359 kulturunabhängige Aufgaben mit je zwei Varianten und 432 kulturspezifische Aufgaben mit je vier Varianten, was 1 519 effektive Aufgaben‑Varianten‑Paare ergibt, wobei jede Aufgabe ein bis sieben binäre Rubrik‑Einträge enthält, die auf sieben Schadensdimensionen mit domänenspezifischen Risikostufen 1 bis 3 abgebildet sind. Der öffentliche Teil deckt CBRNE (251 Aufgaben), kriminelle und finanzielle illegale Aktivitäten (248), politische Gewalt und Terrorismus (209) sowie Informationslecks (83) ab, mit 450 Aufgaben, die aus FORTRESS adaptiert wurden, und 341 neu erstellt wurden. Der Datensatz wird im Parquet‑Format bereitgestellt, eine TSV‑Version ist ebenfalls enthalten.

Im Beitrag erklärt Scale AI, dass Bewertungen, die ausschließlich auf Übersetzungen basieren, reale Sicherheitslücken unterschätzen können, dass Benchmarks transkreative Eingabeaufforderungen testen sollten, die sowohl Sprache als auch geopolitische Grundlagen anpassen, während die zugrunde liegende Absicht erhalten bleibt, und dass nachträgliche Trainingsdaten und Red‑Team‑Praktiken kulturell verankerte Varianten einbeziehen sollten, anstatt nur übersetzte Versionen englischer adversarialer Eingabeaufforderungen zu verwenden. Für verbündete Regierungs‑Kontexte stellt Scale AI fest, dass ein Modell, das in englischen Sicherheitsbewertungen gut abschneidet, sich anders verhalten kann, wenn es in der lokalen Sprache zu lokal verankerten Bedrohungen befragt wird. Der Beitrag weist darauf hin, dass weitere Tests erforderlich sind, um zu bestimmen, ob dieselben Muster in anderen Sprachen und Ländern gelten.