Scale AI publie les résultats de ROK-FORTRESS sur la sécurité de l’IA multilingue

Scale AI, le 17 septembre 2026, a publié les résultats de ROK-FORTRESS, un benchmark de sécurité adversarial bilingue anglais‑coréen développé conjointement avec le Korea AI Safety Institute, indiquant que les invites rédigées en coréen et ancrées dans des contextes coréens étaient systématiquement associées à un préjudice mesuré plus faible sur presque les 14 modèles de pointe évalués.

Conception du benchmark : la matrice de transcréation

La plupart des benchmarks de sécurité multilingue traduisent une invite fixe dans une autre langue tout en conservant le scénario décrit inchangé. Dans le post de recherche, rédigé par Madhu Sehwag, Scale AI décrit ROK-FORTRESS comme une matrice de transcréation contrôlée : chaque invite adversariale est évaluée selon jusqu’à quatre variantes qui font varier indépendamment la langue, anglais versus coréen, et le contexte géopolitique, c’est‑à‑dire les entités, institutions et détails opérationnels des États‑Unis versus la Corée. Chaque invite adversariale est associée à une contrepartie bénigne afin que le benchmark puisse également mesurer le sur‑refus.

L’ensemble complet de données couvre 1 235 tâches réparties sur quatre domaines de sécurité nationale et de sécurité publique : les menaces chimiques, biologiques, radiologiques, nucléaires et explosives (CBRNE) ; la violence politique et le terrorisme ; les activités criminelles et financières ; et les fuites d’informations. Les réponses sont notées par des panels calibrés LLM‑as‑judge, validés à l’aide d’étiquettes de référence rédigées par des experts, en utilisant des rubriques binaires spécifiques à chaque invite développées par des red‑teamers experts.

Le post illustre la conception avec un scénario d’attaque à grande échelle : la même intention sous‑jacente peut faire référence au bombardement de 1995 du bâtiment fédéral d’Oklahoma aux États‑Unis ou au bombardement de 1987 du vol Korean Air 858 en Corée, et une évaluation uniquement basée sur la traduction ne peut révéler comment ce changement de contexte modifie le comportement du modèle.

ROK-FORTRESS est le dernier benchmark issu d’un partenariat plus large entre Scale AI et le Korea AI Safety Institute, couvrant la recherche conjointe, les évaluations de LLM et le red‑team, et il s’appuie sur FORTRESS, le benchmark de sécurité nationale et de sécurité publique de Scale AI pour les modèles de pointe.

Résultats rapportés sur 14 modèles

L’évaluation a porté sur un ensemble à double voie de modèles de pointe et optimisés pour le coréen, selon le document. Scale AI rapporte que les invites en anglais produisent généralement le score de risque pondéré le plus élevé, tandis que les invites entièrement transcréées en coréen donnent le score le plus bas, les variantes intermédiaires se situant entre les deux, et que ce schéma se maintient même pour les modèles régionaux spécialisés en coréen. Les modèles les plus et les moins nuisibles différaient d’environ neuf fois dans leurs scores de risque.

Une ablation par demande directe a compliqué ce schéma. Les principaux tests du benchmark utilisent des invites adversariales élaborées qui dissimulent des requêtes nuisibles dans des jeux de rôle, des histoires inventées ou des appels émotionnels ; lorsque ces enveloppes ont été retirées et que la même information a été demandée en langage clair et direct, l’avantage du coréen a largement disparu. Les modèles propriétaires d’OpenAI, Anthropic et Google sont restés légèrement plus sûrs en coréen, tandis que cinq modèles de pointe open‑source étaient davantage enclins à se conformer en coréen. Le document indique que cette division suggère qu’une partie de la suppression en coréen reflète une spécialisation des invites, c’est‑à‑dire que les enveloppes adversariales perdent en efficacité grâce à la transcréation, plutôt qu’une alignement de sécurité intrinsèque lié à la langue.

Scale AI rapporte également que l’effet du passage de l’anglais au coréen était environ 2,5 fois plus important que l’effet du passage d’un contexte américain à un contexte coréen, soit environ dix points de pourcentage contre quatre, et propose une interprétation cohérente avec les résultats : le coréen agit comme un signal de risque conservateur. Dans 4 des 14 modèles, l’ajout d’un contexte coréen a considérablement affaibli la réduction des réponses nuisibles associées à la langue coréenne, et aucun modèle n’a montré d’effet statistiquement significatif dans la direction opposée. En ne considérant que les cas où les modèles ont répondu plutôt que décliné, 12 des 14 ont encore fourni des réponses moins nuisibles en coréen, tandis que les modèles ont également refusé plus souvent les requêtes coréennes inoffensives, parfois environ deux fois plus souvent.

Prépublication, jeu de données public et implications déclarées

Le préprint sur arXiv, intitulé “ROK-FORTRESS : Mesurer l’effet de la transcréation géopolitique pour la sécurité nationale et la sécurité publique”, répertorie Michael S. Lee et 15 co-auteurs. Il a été soumis pour la première fois le 13 mai 2026 et révisé pour la dernière fois le 7 juillet 2026, et il compte 16 pages de texte principal plus une annexe, soit 74 pages au total, avec quatre figures et deux tableaux dans le texte principal. Son résumé présente les résultats comme une preuve que, du moins dans le cas anglais‑coréen, le comportement de sécurité est façonné par les signaux de risque linguistiques et les interactions contextuelles que les évaluations uniquement basées sur la traduction négligent, et il indique que la méthodologie de la matrice de transcréation est conçue pour se généraliser à d’autres paires langue‑culture.

Un sous‑ensemble public du jeu de données est disponible sur Hugging Face sous licence CC‑BY‑4.0, derrière un accord d’accès qui nécessite des informations de contact. Le sous‑ensemble comprend 791 des 1 235 tâches, soit 64 pour cent, tandis que les 444 tâches restantes, soit 36 pour cent, sont retenues comme jeu de validation privé sur la base d’une évaluation d’experts red‑teamers du potentiel de préjudice, tant pour restreindre les invites jugées plus susceptibles d’être détournées dans le monde réel que pour éviter la contamination du benchmark. La diffusion comprend 359 tâches « Culture Agnostic » avec deux variantes chacune et 432 tâches « Culture Specific » avec quatre variantes chacune, ce qui donne 1 519 paires tâche‑variante effectives, chaque tâche comportant de un à sept items d’évaluation binaire associés à sept dimensions de préjudice avec des niveaux de risque spécifiques au domaine de 1 à 3. Le sous‑ensemble public couvre les CBRNE (251 tâches), les activités criminelles et financières illicites (248), la violence politique et le terrorisme (209) ainsi que les fuites d’information (83), avec 450 tâches adaptées de FORTRESS et 341 tâches nouvellement rédigées. Le jeu de données est fourni au format Parquet avec une version TSV incluse.

Dans le billet, Scale AI indique que les évaluations basées uniquement sur la traduction peuvent sous‑estimer les écarts de sécurité réels, que les benchmarks devraient tester des invites transcréées qui adaptent à la fois la langue et le contexte géopolitique tout en préservant l’intention sous‑jacente, et que les données post‑entraînement ainsi que les pratiques de red‑team devraient intégrer des variantes ancrées culturellement plutôt que de se limiter à des versions traduites d’invites adversariales en anglais. Pour les contextes gouvernementaux alliés, Scale AI précise qu’un modèle performant dans les évaluations de sécurité en anglais peut se comporter différemment lorsqu’on l’interroge dans la langue locale au sujet de menaces locales. Le billet indique qu’il faut encore tester pour déterminer si les mêmes schémas s’appliquent à d’autres langues et pays.