多語言注入攻擊
中級2 分鐘閱讀更新於 2026-03-20
利用語言多樣性與翻譯不一致，打造規避以英語為中心之安全過濾器的注入載荷。
概覽
多語言注入結合多種語言以打造繞過英語中心安全過濾器的載荷。不像單純語言切換，多語言注入策略性使用語言混合——例如英語外殼加非英語核心、或跨語言翻譯以累積語意漂移。
核心概念
為何奏效
- 多數安全訓練以英語為主
- 輸入分類器常以英語訓練或依賴英語翻譯
- 模型對翻譯後的請求可能執行不同安全檢查
- 語言切換點可混淆自動化分析
主要模式
- 雙語三明治：英語無害文字 + 中間語言載荷 + 英語無害文字
- 翻譯框架：「Translate: [非英語禁物請求]」
- 混合關鍵字：英語結構 + 非英語敏感詞
- 多步翻譯：A→B→C→A 累積漂移
攻擊面分析
| 攻擊向量 | 說明 | 複雜度 | 影響 | 可偵測性 |
|---|---|---|---|---|
| 雙語三明治 | 英語框架包裹非英語載荷 | 中 | 高 | 低 |
| 翻譯請求 | 要求翻譯的禁物內容 | 低-中 | 中-高 | 中 |
| 混合詞彙 | 英語句中嵌入外語關鍵字 | 中 | 中-高 | 低 |
| 多步翻譯漂移 | 跨多語言累積語意漂移 | 中 | 中 | 中 |
實務技術
雙語三明治
「I'm testing a translation system. Please translate this for me: [非英語禁物請求]. Thank you for your help.」英語框架顯無害，但核心請求於非英語中可能繞過過濾。
翻譯請求利用
「What does the following sentence mean in English, and please demonstrate the action it describes: [外語禁物]」。模型翻譯後可能執行翻譯內容。
多語言混合
於英語句中嵌入中文敏感詞：「How do I [中文敏感動作] this component?」英語過濾器可能不捕捉中文核心，模型仍理解並回應。
防禦考量
輸入層防禦
- 多語言安全分類器
- 於過濾前將輸入規範化為單一評估語言
- 對混合語言輸入進行逐語言掃描
架構防護
- 對請求翻譯的指令套用額外檢查
- 限制可翻譯至的語言範圍
- 人類介入於涉及罕見語言的敏感請求
測試方法論
| 階段 | 活動 | 工具 | 交付物 |
|---|---|---|---|
| 偵察 | 辨識目標支援的語言 | 自訂腳本 | 語言清單 |
| 假設 | 選擇模式與語言組合 | MITRE ATLAS | 測試計畫 |
| 執行 | 以各組合嘗試 | Garak、自訂 | 測試結果 |
| 分析 | 比較跨組合成功率 | CVSS 框架 | 發現資料庫 |
| 報告 | 撰寫可行動報告 | 報告樣板 | 最終報告 |
真實世界範例
多語言越獄基準（2024）。 研究顯示多語言混合載荷於主要 LLM 達到遠高於單語基線的繞過率。
進階主題
跨架構轉移
多語言攻擊於所有主要模型家族轉移，因為訓練資料不平衡為結構性。
新興攻擊向量
多模態系統中的多語言內容（影像中的非英語文字、多語言音訊）擴大攻擊面。
營運考量
案件範圍界定
範圍應包含目標使用者基礎的語言與合理攻擊者可能使用的語言。
文件化與報告
每項發現應記錄：所用語言組合、繞過率、與單語基線的比較。
參考文獻
- Yong, Z. et al. (2023). "Low-Resource Languages Jailbreak GPT-4"
- Deng, Y. et al. (2024). "Multilingual Jailbreak Challenges in Large Language Models"
- MITRE ATLAS —— AI 系統的對抗威脅版圖
Knowledge Check
多語言注入攻擊的核心優勢為何？