← トップへ戻る

プレプリント ·研究論文 ·速報 ·AI要約未精査 ·AIによる読み解き

多言語環境で大規模言語モデルの安全性は守れるか？STEERが問い直す課題

STEERは、LLMの安全性が低リソース言語やコードスイッチングに対して脆弱であることを示す手法です。

元記事タイトル: 安全対策付き埋め込みを改良して悪用する手法：STEER

arXiv cs.AI 2026年07月03日

査読未完了の可能性があります。完成した査読済み論文としてではなく、研究コミュニティ向けの早期共有として読んでください。

RESEARCH 研究論文 / Preprint

Field Note 読む前に確認

3行まとめ

STEERは大規模言語モデル（LLM）の安全対策を改良して悪用する手法
この手法は低リソース言語や混在言語での応答生成に対するモデルの脆弱性を明らかにした
GPT-4o-miniでも効果があり、汎用性が高い

こんな人に関係ある話

AIセキュリティ担当者 LLM開発者マルチリンガル環境でのAI利用者

信頼度メモ

プレプリント論文（査読前の可能性あり）

記事の読み解き Reading

元記事を材料に、要点、編集視点、良い点と懸念点を読みやすい順に整理しています。

大規模言語モデル（LLM）の安全性は主に英語で訓練され、低リソース言語やコードスイッチングに対する汎化性が不明確です。この研究では、STEERという攻撃手法を導入し、モデルが安全な訓練データ外の入力に対して有害な応答を生成する現象を明らかにしました。STEERは、モデルの拒否行動に関連する単語を特定して低リソース言語に翻訳することで、拒否を抑制しつつ有害な意図を維持します。この手法は6つのオープンソースLLMで高い攻撃成功率を達成し、GPT-4o-miniでも効果が確認されました。

編集部コメント

この研究はLLMの安全性に関する重要な課題を提起し、特に低リソース言語や混在言語での応答生成に対するモデルの脆弱性を明らかにしました。STEERのような手法が実装されれば、開発者はより広範な文脈で安全対策を考える必要があるでしょう。

評価ポイント Assessment

良い点

STEERは英語中心の安全対策が低リソース言語やコードスイッチングに対して脆弱であることを示す
モデルが有害な応答を生成する可能性を高める手法を提案した
GPT-4o-miniでも効果があり、汎用性が高い

懸念点

低リソース言語に対する安全性の評価が不十分である
特定のアーキテクチャに依存しないことが示されたものの、他のモデルでの検証が必要

業界・社会への影響 Impact

この研究はLLMの多言語安全性を問い直し、開発者が安全対策の範囲を広げる必要性を強調します。また、マルチリンガル環境におけるAIの信頼性と倫理的な使用について議論を呼び起こす可能性があります。

深堀り Deep Dive

前提知識

大規模言語モデル（LLM）は、近年急速に発展し、多様な分野で活用されているが、安全性の確保は依然として重要な課題である。特に、安全対策は主に英語で訓練され、他の言語やコードスイッチング（複数言語の混在）に対しては十分な汎化性が保証されていない。このため、LLMが訓練データとは異なる言語や文脈に対して、予期せぬ有害な応答を生成する可能性がある。このような問題を解消するためには、多言語への対応や、安全対策の幅広い適用が求められている。

何が新しいのか

本研究では、STEERという新しい攻撃手法を提案し、LLMの安全対策が英語に偏っていることを利用して、有害な応答を生成する方法を明らかにした。STEERは、モデルの拒否行動に関与する単語を特定し、低リソース言語に翻訳することで、拒否を抑制しつつ有害な意図を維持する。この手法は、6つのオープンソースLLMにおいて高い攻撃成功率を達成し、GPT-4o-miniでも効果が確認された。これは、既存のランダムなコードスイッチングやGCG（Greedy Coordinate Gradient）よりも優れた結果を示しており、安全対策の英語依存性が重大な脆弱性であることを示唆している。

今後見るべき論点

多言語におけるLLMの安全性の強化がどのように進むか
STEERのような攻撃手法が他のLLMやモデルアーキテクチャにも適用可能かどうか
安全対策の英語依存性を解消するための新しい訓練方法や検出機構の開発動向

用語解説

STEER 安全対策を回避するための攻撃手法で、モデルの拒否行動に関与する単語を低リソース言語に翻訳し、有害な応答を生成する方法

コードスイッチング複数の言語を混在して使用すること。例：英語と日本語を混ぜて話すこと

低リソース言語訓練データが少なく、自然言語処理において十分な精度が得にくい言語

JailbreakBench LLMが安全対策を回避できるかどうかを評価するためのベンチマーク

GCG Greedy Coordinate Gradientの略。LLMに対して攻撃を行うための既存手法の一つ

参照元 Sources

元記事と、深堀りで参照した情報源です。コミュニティ投稿やプレプリントでは、ここから根拠を確認できます。

安全対策付き埋め込みを改良して悪用する手法：STEER

arXiv cs.AI

https://arxiv.org/abs/2607.01859

この記事の見取り図

読む前に確認
記事の読み解き
深堀り
参照元
AI要約について
関連記事

キーワード

Safety Targeted Embedding Exploit via Refinement STEER LLM 低リソース言語コードスイッチング

AI要約について

本記事の要約・分類・読み解きにはAIを使用しています。内容確認に努めていますが、誤訳・解釈違い・元記事更新の反映漏れを含む可能性があります。重要な判断を行う場合は、必ず元記事もご確認ください。

速報について — 速報は追加調査や本文抽出の結果で内容が更新される場合があります。初期要約には誤りや不足が含まれる可能性があります。

記事データ

Source	プレプリント
Category	研究論文
Status	速報
出典	arXiv cs.AI
公開日	2026-07-03

元記事の説明文

arXiv:2607.01859v1 Announce Type: new Abstract: Safety training for large language models (LLMs) is conducted predominantly in English, leaving uncertain how well safety mechanisms generalize to low-resource languages and mixed-language code-switching. We show that this creates an epistemic gap in which models confidently generate harmful responses for inputs that fall outside the distribution of their safety training. To study this phenomenon, we introduce STEER (Safety Targeted Embedding Exploit via Refinement), a gradient-guided attack that identifies words contributing most strongly to the model's refusal behavior and iteratively translates them into low-resource languages to suppress refusal while preserving harmful intent. Across six open-source 8B-parameter models, STEER achieves attack success rates of up to 93.0% on JailbreakBench and 96.7% on AdvBench, outperforming random code-switching and Greedy Coordinate Gradient (GCG). The resulting prompts also transfer to GPT-4o-mini, achieving a 35.5% attack success rate without requiring access to the target model, suggesting that the underlying weakness is not specific to a single architecture. These findings demonstrate that safety mechanisms aligned primarily on English cannot be assumed to generalize across multilingual inputs. We argue that improving multilingual safety requires broader coverage during alignment and mechanisms that explicitly detect and abstain on out-of-distribution inputs.