AIモデルの機能と安全性という観点では、すべての言語が平等に扱われているわけではありません。そしてヨーロッパの組織は、この現実に起因する特有のリスクに直面しています。
現代の大規模言語モデル(LLM)エコシステムは、自然言語に大きく依存しています。ユーザーがチャットボットと対話する場合でも、ソフトウェア開発のための具体的な指示を出す場合でも、メール文面を生成する場合でも、大規模なデータ分析を行う場合でも同様です。この依存関係は、プロンプトインジェクション攻撃が幅広く存在することからも見て取れます。これらの攻撃は言語を利用した巧妙な手口に依存しているのです。
主要なAIモデルは数十から数百の言語でテキストを処理できますが、その性能と安全性の能力は言語間で劇的に異なります。
ウェールズ語やスワヒリ語など、サポートが手薄な言語の多くは、基本的なプロンプトにしか応答できず、文法的な誤りを犯すこともあります。OpenAIのGPT、GoogleのGemini、AnthropicのClaudeといった主流モデルは、英語、アラビア語、スペイン語、フランス語、ドイツ語、日本語、簡体字中国語、ヒンディー語など、およそ30から40の言語で高い性能を発揮します。
英語は、多くのAIモデルにとって群を抜いて最もサポートが手厚い言語です。英語は、学習データの量が突出して多いことに加え、多くの他言語よりも効率的に英語を表現できるトークン化方式の恩恵も受けています。
学術研究によると、多くのLLMは英語でプロンプトを与えられた際に、論理・推論・コーディング・数学のタスクで最も高い性能を発揮します。また、多くの主要AI研究機関は、英語話者のアノテーターを使って安全性チューニング、挙動のアラインメント、強化学習を実施しています。
この傾向には例外もあります。QwenやDeepSeekといった中国製モデルは、中国語のテキストや文化的文脈を扱う際に欧米製モデルを上回る性能を示しますし、ヨーロッパや中東の言語をさらに支援するための取り組みも存在します。とはいえ、現代のAI業界を「英語中心」と呼んでも決して言い過ぎではないでしょう。
世界的な視点で見れば、これは単なる理解力やAIの機能上の問題にとどまらず、セキュリティ上の問題でもあります。7月22日、AIセキュリティベンダーのDeepKeepはブログ記事を公開し、「あなたのAIは100の言語を話すが、あなたのAIセキュリティ層はそうではない」というタイトルを付けました。
DeepKeepが説明するように、数多くのAI製品の上に存在するAIセキュリティ層やガードレールは、必ずしもすべての言語で等しくジェイルブレイクや危険な動作から保護してくれるわけではありません。
「翻訳の過程でセキュリティ上の意図が変化することがあります。ジェイルブレイクの明白さが薄れることもあります。プロンプトインジェクションが命令構造の一部を失うこともあります」とブログ記事には記されています。「文化に特有の言い回しが無害なテキストに平坦化されてしまうこともあります。機微な用語がうまく翻訳されず、セキュリティポリシーにもはや合致しない言葉に変換されてしまうこともあります。複数言語が混在した入力では、悪意ある指示をある言語で維持しつつ、別の言語による無害な文脈でそれを取り囲むことも可能です」
これは、多くの組織が複数の言語にまたがってAIツールを使い、協働する場合に特に問題となります。これはグローバルに事業を展開する企業であればどこでも当てはまりますが、とりわけヨーロッパやアジア、アフリカを拠点とする企業では顕著です。
ヨーロッパは、こうした課題を示す最も分かりやすい例の一つです。AIセキュリティベンダーDeepKeepの最高技術責任者(CTO)兼共同創業者であるYossi Altevet氏はDark Reading誌に対し、一つの規制・経済圏の中に数十もの言語が併存しており、国境を越えた事業運営はむしろ当たり前になっていると語ります。
「この密度の高さこそが、ヨーロッパが構造的により危険にさらされている理由です。日常業務の中で言語のギャップに突き当たる確率が、それだけ高くなるからです」と同氏は述べます。「多言語を扱う企業であれば、どこであっても、英語以外の言語によるプロンプトを処理した瞬間に同じ根本的なリスクを抱えることになります」
ヨーロッパが置かれた独自の立場
欧州連合(EU)は24の言語を公用語として認定していますが、それに加えて、従業員が日常的に主として使用しうる地域言語や少数言語もさらに数多く存在します。
ヨーロッパのサイバーセキュリティを専門とするベンダーWithSecureで戦略的脅威インテリジェンス・調査担当バイスプレジデントを務めるPaolo Palumbo氏は、Dark Reading誌に対し、リソースの少ないAI言語における安全性・セキュリティの不整合はヨーロッパだけが影響を受けるものではないとしつつも、「組織が同一の製品を複数の言語・環境にまたがって展開するのが一般的である」ため、ヨーロッパは特に複雑な運用上の課題に直面していると述べます。
「ある製品が特定の言語で流暢に会話しているように見えても、そのモデレーション、プロンプトインジェクション検知、データ漏洩防止(DLP)、インシデント監視といった制御機能が、その言語において同水準で検証されていない場合があります」と同氏は説明します。
Palumbo氏は、多言語対応のセキュリティがAIガバナンスにおいて見過ごされがちな部分になりかねないと指摘し、組織はベンダーの「対応している」という主張から推測するのではなく、多言語での安全性についての証拠を要求すべきだと主張します。
「EU AI法は、すべてのAI製品がサポートするあらゆる言語で同一の安全性能を達成しなければならないという一般的要件を課してはいませんし、普通のチャットボットが自動的に高リスクシステムとみなされるわけでもありません」と同氏は説明します。「しかし、高リスクシステムについては、同法はシステムのライフサイクル全体を通じた継続的なリスク管理、そして適切な水準の正確性・堅牢性・サイバーセキュリティを求めています。プロバイダーは予見可能な誤用にも対処し、実装した対策が有効かどうかを検証しなければなりません。言語的な違いがこうした制御に実質的な影響を及ぼす場合、言語ごとのテストが、コンプライアンスを証明するために必要な証拠の一部になり得ます」
DeepKeepのベンチマークテストでは、ドイツ語、スペイン語、フランス語、イタリア語のいずれにおいても、翻訳経由での個人識別情報(PII)検出の精度が、母語での分析と比較して有意に低下することが示されました。「ヨーロッパの多言語という現実は、このギャップがほぼすべての主要市場で、しかも同時に、絶えず露呈することを意味しているにすぎません」とAltevet氏は付け加えます。
とはいえ、この点においてヨーロッパには世界の他の地域に対する優位性もあります。ESETでAI研究シニアマネージャーを務めるFilip Mazán氏は、多くのヨーロッパ言語には共通点があると指摘します。
「例えば英語とドイツ語は語彙が重なり合っており、大規模言語モデルはしばしばその共通基盤を活用できます。同じことは、言語構造と語彙を共有する多くのスラブ語系言語にも当てはまります」と同氏は述べます。
多言語AI対応の裏にあるセキュリティの問題
言語能力、安全性のアラインメント、そして下流のセキュリティ制御は区別して考える必要があります。モデル自体が非常に高い能力を持っているように見えても、これらが言語間で等しく機能するとは限らないからです。言い換えれば、あるモデルがドイツ語やスペイン語を流暢に話し、理解できたとしても、セキュリティのガードレールが必ずしも同じレベルで機能するとは限らないということです。
Altevet氏は、AIの多言語対応の裏にあるリスクは理論上のものではないと説明します。攻撃者は、主に英語向けに調整されたフィルターをすり抜けることを狙って、悪意ある命令を意図的に複数の言語で繰り返し試すのです。
同ベンダーは、2023年と2024年に行われたブラウン大学の研究を引き合いに出しています。この研究によると、OpenAIのGPT-4は、安全でないプロンプトをリソースの少ない言語に翻訳して入力した場合、79%の確率で有害かつ実行可能な応答を返しました。一方、元の英語のプロンプトで同様の有害な応答が生成されたのは1%未満にとどまりました。
MicrosoftのAIレッドチームでテクニカルリードを務めるPete Bryan氏は、Dark Reading誌に対し、同社が長年にわたり、さまざまな言語にわたってAIシステムのテストを行ってきたと述べています。それは「モデルの安全性と挙動の特性は、プロンプトを与える言語、そしてモデルが応答する言語によって変わり得るから」だといいます。
「言語は、安全性という物語の一つの側面にすぎません。ある言語であるユーザーにとって安全な応答であっても、そのユーザーが異なる文化的文脈に置かれていれば、同じ言語であっても安全ではなくなる場合があります。例えば、カリフォルニアにいるアメリカ人が韓国語を話す場合と、ソウルにいる韓国人が韓国語を話す場合とでは事情が異なります」と同氏は述べます。
同様に、OpenAI、Anthropic、Googleといった大手AIベンダーも、自社モデルの多言語に関する問題への対策をテストしていますが、この戦いは今なお続いています。
多言語AIの問題への対処
ヨーロッパをはじめとする各地域のLLMにおける多言語間の不整合がもたらす問題に対処するため、組織はさまざまな方法を試みています。
標準的な選択肢の一つが、翻訳を先に行うセキュリティフィルタリングです。これは、組織のセキュリティ層がコンテンツをまず英語に翻訳し、ガードレールを適用したうえで、出力を許可するか遮断するかを判断する方式です。また、ネイティブ言語のガードレールという方式もあります。これはすべてを英語に翻訳するのではなく、セキュリティ層が元の言語のままプロンプトと意味を評価するというものです。
DeepKeepやLakeraといったベンダーは、この方式が翻訳ベースのガードレールによって生じる死角よりも優れていると謳っています。意図が考慮されるため、ポリシーが理想的な形でより適切に維持されるからです。
AIに特化した多くのレッドチーム企業が、多言語での評価を提供しています。Microsoftの社内AIレッドチームは、複数の言語、テキストや音声を含むさまざまなモダリティ、そして異なる言語に伴うさまざまな文化的文脈にわたってテストを行っています。
「私たちのシナリオでは、単に英語を別の言語に直接翻訳しているわけではありません。それに加えて、システムをテストするために複数の言語を組み合わせて混在させることも多く、一度に複数の言語を組み込んだシナリオによって、テスト対象システムの安全性にどのような影響が及び得るかを確認しています」と同氏は述べます。
最後に、ランタイムのAIファイアウォールやポリシー実施ツールは、脅威アクターがもたらすより大きなリスクをカバーします。AIファイアウォールは、不審なツール呼び出しを遮断し、機微なデータの流出を防ぎ、プロンプトインジェクションによる動作の阻止を試み、調査のために不審なインシデントを記録します。
