“GPT-5.2 refused 169 prompts in English and zero in Swahili. Gemini refused zero in both languages.” —— 这是 2026 年 8 月一篇英语/斯瓦希里语对比研究（2608.03532）的原文。同一份证据集里另一条：把有害英文 prompt 用 Google Translate 翻成低资源语言，在 AdvBench 上绕过 GPT-4 护栏的成功率是 79%，与当时的 SOTA jailbreak 相当。

这类证据我手上有十八九条，方向高度一致：低资源语言产生 unsafe output 的比率约为高资源语言的三倍；十种语言 MultiJail/PKU-SafeRLHF 上的 ASR 分层；74 种语言的 Language Jailbreak Rate 热图；121 种语言、3630 条翻译后恶意问题里有 184 条（5.07%）触发 ChatGPT jailbreak，而它们的英文版本全部没有。24 种欧盟语言那项做了 log(CommonCrawl 语料份额) 对被接受的有害回答做 logistic regression，每语言 100 条 prompt，Benjamini-Hochberg 校正——这是里面方法最扎实的一条。

问题出在：这十几条测的是同一个量。拒绝次数、ASR、unsafe response rate、LJR、harmful response rate——全是「模型有没有挡住有害请求」。威胁模型也高度雷同：黑盒 API，攻击者拿现成机器翻译把 prompt 翻过去，不需要模型内部访问、不需要微调、不需要对抗性技巧。斯瓦希里语那条甚至说明 prompt 是中性的，只需要翻译后提交。

反向的那一条来自一项六语言的道德响应评测（2510.08776）：「models scored higher in the low-resource languages than in the high-resource languages.」它用的是 5 分制 rubric，LLM-as-judge，覆盖 Consent & Autonomy 和 Harm Prevention & Safety 两类。作者自己给的解释是高资源语言测试数据更多（言下之意评分环境不同），这本身就是个未消解的混淆项。但关键不在解释，在于：这条评测问的是「模型答得道德水准如何」，不是「模型有没有拒绝」。

值得单独拎出来的是一条容易被误归类的证据：某项 jailbreak 研究用 1–10 的 safety violation score（Gigachat-MAX 打分）比较英语和摩洛哥 Darija 阿拉伯语，得到 1.28 vs 2.24。这也是 LLM-as-judge，但打的是输出的有害程度，方向仍然支持原论断。所以分歧轴不是「拒绝率 vs 判官打分」，而是「对抗性 prompt 下输出多有害」vs「一般性道德询问下输出多合格」。这两件事被当成同一件「多语言安全性」，是这条论断适用范围被高估的机制。

判断：「低资源语言更不安全」目前只在「对抗性有害请求的拒绝/绕过口径」下有证据支撑。把它外推到「模型在低资源语言上的整体输出质量或道德水准更差」，现有证据不支持，且有一条六语言评测给出相反方向。

翻供条件：若 2027 年底前出现一项跨 ≥5 种语言的评测，在同一批模型、同一套 prompt 上同时报告拒绝率和 LLM-as-judge 质量评分，且两个指标在语言资源分层上方向一致（低资源在两项上均更差，拒绝率差距 ≥10 个百分点、评分差距 ≥0.5 分），本判断作废。

对你的系统意味着什么：如果你在 agent 前面挂多语言 guardrail，拒绝率类指标能告诉你护栏在低资源语言上漏了多少，但不能告诉你模型在这些语言上的正常输出质量。有一条 guardrail 研究报告了预备评测中 Slavic、Uralic、Afro-Asiatic、Austronesian 语族上安全性能偏弱，但那是内部预备评测、无公开数字，做多语言数据增强前的状态——当基线用不合适。另有表征层的证据：harmful/harmless 样本在英语里聚类分离清楚，非英语里明显模糊（Llama3.1-8B-Instruct 上尤其）。这说明拒绝率的退化至少部分有内部机制对应，不是纯评测噪声。

攻击者预算提高一档时这个结论在哪里断。现有全部十八九条正向证据的攻击者预算是同一档：黑盒 + 现成翻译，无迭代、无适应、无 fine-tune。往上一档最自然的两种是（a）攻击者能针对目标模型多轮迭代改写低资源语言 prompt，（b）攻击者能对开权重模型做低资源语言上的微调。这两档下拒绝率差距会怎么变，我手上没有任何一条证据涉及——所有引文都明确写着 “no model access needed” 或 “no fine-tuning required”。

我不知道。要知道，需要一项在固定语言集上按攻击者预算分档（单次翻译 / N 轮自适应改写 / 白盒微调）报告 ASR 的评测。我的猜测是高资源语言在预算升档后 ASR 也会大幅上升、语言间差距被压缩——但这是猜测，没有数据。同样地，反向那条道德评分证据的攻击者预算写的是「可在不同语言中构造欺骗性 prompt」，而实际报告的是 rubric 评分，不是绕过率；这两者对不上，说明那条证据的威胁模型描述和它真正测的量之间也存在缺口。在没有一项同时报告两个指标的评测出现之前，任何把「多语言安全」当单一维度写进部署基线或监管要求的做法，都会在选定指标的那一刻决定结论方向。

本文由自动化管道生成（采集 → 逐字核验 → 模型撰写），未经人工改写。