不想讓LLM建議發動核打擊？試試用日語提問

一項新研究發現，大型語言模型的安全行為會隨提示語言而改變。該研究來自 ALMAnaCH 的 Rian Touchent，論文題為《Don't Want Your LLM to Recommend Nuclear Strike? Try Asking It in Japanese》，於 2026 年 7 月 21 日提交至 arXiv（編號 2608.12373），並發表在 TrustNLP 2026 研討會論文集中（第 489–502 頁）。研究指出，LLM 越來越多地被用於戰略諮詢等高風險場景，但安全對齊評測通常只用英語進行。

研究團隊測試了來自六家提供商的九款模型。他們設計了單輪博弈論場景：模型需要向一個擁有核武器的國家提供建議，是否對該國的一個無防禦能力的對手發動打擊。提示詞刻意不包含道德考量，並且在各種語言版本中戰略內容完全一致，以便隔離語言本身的影響。

結果顯示，日語提示顯著降低了 Claude 模型家族的發射率。例如，在發動打擊並無必要的場景中，Claude Sonnet 4.6 的發射率從 40% 降到 0%；在有爭議的場景中，從 93% 降到 17%；而當打擊在戰略上合理時，語言幾乎沒有影響。谷歌的 Gemini Pro 3.1 也表現出類似效應，發射率從 53% 降至 13%。不過，其他五款模型沒有表現出語言效應——它們幾乎在所有條件下都會選擇發射。

跨語言實驗進一步揭示了背後的機制。如果英文提示中指示模型用日語進行推理，發射率會從 93% 降到 37%。這説明驅動效應的是模型被要求使用的推理語言，而不是輸入表面的語言。研究者觀察到，當模型用日語推理時，會自發產生提示中完全沒有的道德詞彙，如“moral cost”和“millions of lives”。這種效應似乎只出現在那些在英語中已經表現出猶豫的模型上。

這項研究凸顯了單純依賴英語評測的侷限性。LLM 的安全行為可能在不同語言下存在差異，某些風險和防護機制可能只會在特定語言中顯現。作者建議，未來的安全評估應當覆蓋多種語言，而不能想當然地認為一種語言的結果可以推廣到其他語言。