在人工智能安全领域，"guardrails"（护栏）机制被视为防止大语言模型产生有害输出的关键防线。然而，近期研究人员发现，这些看似可靠的护栏系统本身存在深层次漏洞，尤其是在多语言环境和 summarization（摘要）任务中。一个名为 "Bilingual Shadow Reasoning" 的红队技术揭示了攻击者如何利用语言差异和隐藏策略来绕过安全检查，这一发现对当前依赖 LLM 进行信息处理的企业和组织具有重要的警示意义。
Salt 机制的隐喻与技术背景
"Salt" 一词在这篇研究中的使用源于一个波斯语谚语：当食物变质时，人们会添加盐来掩盖问题，但如果盐本身已经变质，那么问题只会更加严重。在 LLM 安全语境下，salt 机制被用来比喻那些本应保护系统安全的防护措施 —— 包括 guardrails、过滤器和 summarization 策略 —— 它们本身可能已经 "变质"，反而成为新的安全隐患。
传统观点认为，LLM 的 summarization 任务风险较低，因为它只是对已有内容的压缩和提取，不会主动生成新的有害信息。然而，这种认知忽视了几个关键事实：首先，现代组织广泛使用 AI 摘要来支持高管决策、舆论分析和用户体验研究，摘要内容的倾向性会直接影响判断和行动；其次，摘要过程涉及对原始信息的重新组织、优先级排序和框架构建，这些操作本质上是一种信息操控；第三，攻击者可以通过精心设计的输入或隐藏策略来操纵摘要结果，使其服务于特定目的。
Bilingual Shadow Reasoning：多语言绕过技术详解
研究人员 Roya Pakzad 提出的 "Bilingual Shadow Reasoning" 技术是理解这一漏洞的关键。该技术的核心思想是：利用不同语言之间的语义差异和模型对非英语策略指令的处理弱点，在不引起怀疑的情况下植入隐蔽的政策导向。
具体而言，攻击者可以使用一个模型（如 OpenAI GPT-OSS-20B）对同一份文档进行摘要，但仅改变隐藏策略或指令的语言版本。例如，对同一份联合国人权报告，分别使用英文版和波斯文版的安全策略进行引导。研究结果显示，即便策略文本在语义上完全等价，模型生成的摘要也会出现显著差异 —— 某些版本的摘要会强调特定人权问题，而另一些版本则可能淡化或忽略相同内容。
这种攻击的隐蔽性在于：从表面上看，最终输出的摘要仍然专业、流畅、符合英语语法规范，普通用户难以察觉背后的操控痕迹。问题出在模型内部的推理过程：当使用非英语 "deliberation" 语言编码优先级和框架时，模型会在生成英语摘要前进行一轮 "影子推理"，而这一推理过程对用户完全不可见。这意味着闭源工具或本地包装器可以在用户不知情的情况下注入政策指令，用于审查、宣传、营销操控或历史重构。
Guardrails 本身的系统性缺陷
更令人担忧的是，研究发现主流的 guardrails 系统同样继承了大语言模型的诸多弱点。在与 Mozilla.ai 合作的项目中，研究人员对多语言、上下文感知的护栏系统进行了系统性评估。实验使用完全相同的人道主义场景，但改变策略语言（英语 versus 波斯语），结果发现了令人震惊的评分差异：36% 到 53% 的得分差异仅取决于策略语言的选择，而非场景本身的实质内容。
具体而言，guardrails 系统在非英语环境下的失败表现为多种形式。首先是幻觉问题：护栏系统会在波斯语推理过程中生成事实上不存在的术语和概念，这些幻觉可能导致错误的安全判定；其次是偏见假设：例如，在测试中对寻求庇护者的国籍做出未经证实的假设，这些假设会影响最终的拒绝或放行决策；第三是过度自信：模型对其无法验证的事实判断表现出不合理的置信度，这种盲目自信会掩盖真正的问题。
值得特别关注的是，这些缺陷在人道主义场景中可能产生生死攸关的后果。在难民援助、冲突地区信息传递等情境下，信息的准确性和中立性直接关系到人们的生命安全。当依赖 AI 系统进行信息筛选和摘要时，任何偏差都可能导致关键信息的遗漏或扭曲。
技术根因与系统性风险
从技术层面分析，多语言 guardrails 绕过的根本原因可以归结为以下几个方面。第一，训练数据的不均衡：主流 LLM 的训练数据以英语为主，对其他语言的理解和生成能力存在明显差距，这种差距直接传递到了安全机制层面；第二，评估标准的单一化：当前的安全评估主要针对英语场景设计，对多语言环境的覆盖不足，导致非英语环境成为 "灰色地带"；第三，策略翻译的语义损失：将英语安全策略翻译为其他语言时，语义完整性不可避免地发生损失，而这种损失往往未被充分测试。
从系统设计的角度看，这一漏洞暴露了当前 AI 安全架构的深层问题。许多组织在部署 LLM 时假设安全护栏是可靠的外部保障，实质上将关键决策权让渡给了这些未经充分审计的系统。这种 "信任传递" 链条的薄弱环节恰恰在于：用户信任护栏，护栏信任模型，但模型本身并不真正 "理解" 安全策略的意图。
防御策略与工程实践建议
针对上述漏洞，组织和开发者需要采取多层次的防御措施。在技术层面，首先应建立多语言安全测试流程，任何安全策略在部署前都应经过多种语言的等效性验证；其次，采用 "红队 + 蓝队" 的对抗性测试架构，定期使用 Bilingual Shadow Reasoning 等技术进行内部渗透测试；第三，在关键决策场景中保留人工审核环节，特别是涉及人道主义、法律或政治敏感内容时。
在流程层面，组织需要重新审视对 AI 摘要的依赖程度。鉴于研究表明摘要可以系统性地改变读者情感并影响购买决策，对于高风险场景应建立 "摘要仅供参考，原始内容必须审阅" 的制度。此外，安全团队应建立跨语言监控机制，持续追踪不同语言版本输出的差异，及时发现异常模式。
在更宏观的层面，这一研究呼吁 AI 行业重新思考安全评估的国际化和多元化方向。英语中心主义的安全标准不仅无法保护全球用户，反而可能成为新的操控渠道。建立真正具有多语言能力的安全评估体系，需要纳入更多非英语国家的研究者视角，需要更多资源投入到非英语语言的能力建设中。
结语
"Don't Trust the Salt" 这一研究的价值不仅在于揭示了具体的技术漏洞，更在于提醒整个行业重新审视 AI 安全的假设前提。当我们把信息处理的控制权交给 AI 系统时，必须意识到这些系统本身存在可以被利用的弱点。多语言环境下的 guardrails 绕过不是理论假设，而是已经被实践验证的真实威胁。在 AI 系统日益深入日常决策的今天，建立更加健壮、多元和透明的安全机制已经不再是可选项，而是必须面对的紧迫课题。
资料来源：Roya Pakzad 在 Substack 发布的文章《Don't Trust the Salt: AI Summarization, Multilingual Safety, and Evaluating LLM Guardrails》以及 Mozilla.ai 的多语言 guardrails 评估项目。