核心发现
方法论
本研究构建了SalamaBench，通过多阶段人工验证和AI筛查，融合异构数据集，确保多类别安全评估的标准化。采用MLCommons安全风险分类体系，将8170个提示覆盖12个安全类别。对五个主流ALMs（Fanar 1/2、ALLaM 2、Falcon H1R、Jais 2）在多种安全保护配置（单一守护模型、多投票融合、人工金标验证）下进行评估。利用类别感知的评估框架，分析模型在不同安全风险域的表现差异。
关键结果
- Fanar 2在整体攻击成功率方面表现最佳，成功率最低，达到了XX%；但在某些特定风险类别（如仇恨言论、暴力犯罪）中，鲁棒性仍存在明显差异。
- Jais 2表现出较高的脆弱性，攻击成功率高达XX%，显示其内在安全对齐较弱。
- 本研究发现，专门设计的安全守护模型（如Qwen3Guard、Llama Guard 4）在检测和过滤有害内容方面优于原生ALMs，尤其在多模型融合策略中表现最佳，达成最高的金标一致性。
研究意义
本研究填补了阿拉伯语模型安全评估的空白，为多类别、细粒度的安全风险检测提供了标准化工具。强调类别感知的重要性，推动了针对阿拉伯语文化和语言特性的安全机制发展。对行业而言，有助于提升模型在敏感场景中的可信度，减少潜在危害，促进阿拉伯语AI应用的健康发展，为未来多语言、多文化的安全对齐研究提供了范例。
技术贡献
提出SalamaBench作为首个涵盖12类安全风险的阿拉伯语模型评估基准，结合多阶段人工验证确保数据质量。引入类别感知评估框架，结合多模型守护机制，显著提升安全检测的准确性。创新点在于跨模型、多策略的安全性能比较，为模型安全对齐提供了系统化的量化指标。该框架可扩展至其他低资源语言，为多语言安全研究提供技术基础。
新颖性
本研究首次系统性地构建了针对阿拉伯语的多类别安全评估基准，并采用多模型融合策略验证模型安全性。区别于以英语为中心的安全评估体系，SalamaBench结合文化语境，强调类别感知，突破了现有单一指标或粗粒度评估的局限。其创新在于多模型、多策略的结合，提供了更细粒度、更真实的安全性能画像。
局限性
- 数据集虽覆盖多类别，但仍受限于现有公开资源，某些风险类别（如特殊文化背景下的隐晦表达）尚未充分覆盖。
- 评估主要依赖模型输出的自动分类，可能存在误判，未来需结合更多人工审核以提升准确性。
- 模型在特定风险类别（如宗教敏感内容）表现仍不稳定，需进一步优化安全机制。
未来方向
未来将扩展SalamaBench的数据规模，涵盖更多文化和语境，提升多模态安全评估能力。探索基于强化学习和对抗训练的安全优化策略，增强模型在复杂场景下的鲁棒性。同时，推动国际合作，制定多语言、多文化的安全评估标准，促进全球AI安全治理。
AI 总览摘要
随着人工智能在全球范围内的快速发展，语言模型（LMs）在多样化应用中扮演着核心角色。然而，模型的安全性和对齐（alignment）问题逐渐成为行业和学术界关注的焦点。现有的安全评估体系多以英语为主，缺乏针对阿拉伯语等低资源语言的细粒度、多类别评估工具，导致模型在不同文化和语境中表现差异显著。为解决这一问题，本文提出了SalamaBench，一套基于MLCommons安全风险分类体系的阿拉伯语安全评估基准，涵盖8170个多类别提示，旨在系统性检测模型在12个安全风险域的表现差异。
通过多阶段人工验证和AI筛查，确保数据的真实性和多样性。评估了五个主流阿拉伯语模型（Fanar 1/2、ALLaM 2、Falcon H1R、Jais 2）在不同安全保护策略（单模型守护、多投票融合、金标验证）下的表现。结果显示，Fanar 2在整体攻击成功率方面表现优异，但在某些风险类别中仍存在漏洞；Jais 2则表现出较高的脆弱性，反映出其安全对齐的不足。研究还验证了专门设计的守护模型（如Qwen3Guard和Llama Guard 4）在检测有害内容方面优于原生模型，尤其在多模型融合策略中效果最佳。
本研究强调类别感知在安全评估中的重要性，为阿拉伯语模型的安全优化提供了系统工具。未来，计划扩展数据集，结合强化学习等技术，提升模型在复杂场景下的鲁棒性，推动多语言、多文化的安全标准制定。这一工作不仅丰富了多语言安全研究的理论基础，也为实际应用中的模型安全提供了可行路径。
深度分析
研究背景
近年来，AI语言模型（LMs）在全球范围内快速发展，推动了教育、医疗、客服等多个行业的变革。代表性工作如OpenAI的GPT系列、Google的BERT等，极大提升了自然语言理解和生成能力。然而，随着模型规模扩大和应用场景复杂化，模型安全性和对齐问题逐渐凸显。尤其在多语言环境中，模型在不同文化背景下的表现差异明显，安全风险也随之增加。现有的安全评估体系多以英语为主，缺乏针对低资源语言如阿拉伯语的细粒度、多类别检测工具，导致模型在实际应用中存在潜在危害。阿拉伯语具有丰富的语法和文化背景，模型在安全方面的表现尤为复杂。近年来，多个阿拉伯语模型（如Fanar、ALLaM、Jais）相继问世，但其安全性评估多依赖翻译或粗略指标，难以反映真实场景中的风险。
核心问题
当前，阿拉伯语模型的安全对齐面临多重挑战：一是缺乏系统化、多类别的评估基准，难以全面检测模型在不同风险域的表现；二是文化和语言特性导致安全风险难以捕捉，尤其是隐晦表达和文化敏感内容；三是现有评估多依赖自动分类工具，误判率较高，缺乏多样化的验证机制。这些问题限制了模型在敏感场景中的安全应用，亟需建立专门的评估体系以提升模型的可信度和安全性。
核心创新
本研究的核心创新在于：一是构建涵盖12类安全风险的SalamaBench，结合多源数据和人工验证，确保数据质量和类别多样性；二是引入类别感知评估框架，细粒度检测模型在不同风险域的表现差异；三是采用多模型融合策略（如多投票）提升检测准确率，验证了专门守护模型在安全检测中的优越性。相比传统单一指标评估，SalamaBench提供了更全面、更真实的安全性能画像，为多语言、多文化模型安全对齐提供了技术基础。
方法详解
- �� 数据集融合：整合多源数据（如RTP-LX、PGPrompts、阿拉伯特定数据集），通过严格筛查和多阶段人工验证，确保提示的真实性和多样性。• 分类体系：采用MLCommons安全风险分类体系，将8170个提示映射到12个类别，确保评估的标准化和可比性。• 数据标注：由多名专家进行类别标注，结合自动化工具进行一致性验证，提升数据质量。• 模型评估：对五个主流ALMs在不同保护策略（单模型、多投票、金标验证）下进行测试，记录攻击成功率、误报率等指标。• 安全守护：利用Qwen3Guard、Llama Guard 4等专用模型作为评估器，比较其与原生模型的检测效果。• 跨模型分析：统计不同模型在各类别的表现差异，识别脆弱点，优化安全机制。
实验设计
- �� 数据来源：使用多源数据集（RTP-LX、PGPrompts等），确保覆盖多样化风险场景。• 评估指标：采用攻击成功率、金标一致性、误报率等指标，量化模型安全性能。• 实验设置：在不同保护配置（单模型、多投票、金标验证）下，评估五个ALMs的表现。• 超参数：调节模型阈值、融合策略参数，确保公平比较。• 结果验证：结合人工审核，验证自动分类的准确性，确保评估的可靠性。
结果分析
- �� Fanar 2在整体攻击成功率方面表现最佳，成功率最低，达XX%；在仇恨言论、暴力等类别表现尤为优越，但在宗教敏感内容中仍存在漏洞。• Jais 2的攻击成功率高达XX%，显示其安全机制较弱，存在明显的安全风险。• 多模型融合策略（如多投票）显著提升检测准确性，最高金标一致率达XX%，验证了多策略结合的有效性。• 专用守护模型（Qwen3Guard、Llama Guard 4）在检测有害内容方面优于原生模型，尤其在多类别、多场景下表现出更强鲁棒性。
应用场景
- �� 实时内容过滤：在聊天机器人、内容审核平台中应用SalamaBench的评估结果，提升有害内容检测能力。• 模型优化：为模型开发者提供安全性能指标，指导模型微调和安全机制设计。• 政策制定：辅助制定多语言、多文化环境下的AI安全标准，推动行业规范化发展。
局限与展望
- �� 数据集覆盖仍有限，部分文化和隐晦表达未充分反映，未来需持续扩充多样性。• 自动分类误差影响评估准确性，需结合人工验证提升可靠性。• 模型在某些敏感类别表现不稳定，未来需优化安全策略和训练方法。
通俗解读 非专业人士也能看懂
想象一个工厂生产各种商品，工厂里有很多不同的机器（模型），它们可以制造不同的产品（回答）。但有些机器可能会制造出有害的商品，比如危险的玩具或不合规的产品。为了确保工厂的产品安全，工厂需要一套检测系统（安全评估基准），可以检查每台机器的输出，确保没有危险。SalamaBench就像这样一套检测系统，它会用不同的方法检查模型的输出，确保它们不会制造危险品。通过多次检测和人工审核，工厂可以找到哪些机器还需要改进，哪些机器表现良好。这样，整个工厂的产品就会变得更安全、更可靠。
简单解释 像给14岁少年讲一样
想象你在学校里，有很多同学在用手机发消息。有时候，有些消息可能会带来麻烦，比如说一些不友善的话或者不适当的内容。老师想要确保每个人都发的内容安全、友善，于是他们设计了一套特别的检测系统。这个系统会检查每条消息，判断它是不是安全的，或者里面有没有不好的内容。SalamaBench就像这个老师的检测系统，它专门用来检查阿拉伯语的聊天内容，确保没有危险或者不友善的东西出现。它会用很多不同的方法来检测，比如看内容是不是带有仇恨、暴力或者其他不好的信息。通过不断地测试和改进，这个系统可以帮助我们让聊天变得更安全、更友善。这样一来，无论是老师还是学生，都可以放心地用手机交流，不用担心遇到不好的内容。
术语表
Safety Hazard Taxonomy (安全风险分类体系)
一种结构化的分类体系，用于定义和标注模型可能产生的有害行为类别，包括暴力、仇恨、色情等。它帮助评估模型在不同风险域的表现。
论文中采用MLCommons的安全风险分类体系，将模型输出的有害行为划分为12类，用于标准化安全评估。
ALMs (Arabic Language Models, 阿拉伯语模型)
专为阿拉伯语设计的自然语言处理模型，旨在理解和生成阿拉伯语文本，考虑其复杂的语法和文化背景。
本文评估了Fanar、ALLaM、Jais等多款ALMs的安全性能，强调其文化和语言特性带来的挑战。
Safeguard Models (安全守护模型)
专门设计用来检测和过滤有害内容的模型，可以在模型生成内容时进行实时监控或事后评估。
论文中分析了Qwen3Guard、Llama Guard 4等多款守护模型在安全检测中的效果。
Attack Success Rate (攻击成功率)
衡量模型在面对有害提示时被成功操控生成有害内容的比例，数值越低表示模型越安全。
研究中Fanar 2的攻击成功率最低，显示其安全性较高。
Multi-model Fusion (多模型融合)
结合多个模型的输出，通过投票或加权方式提升检测的准确性和鲁棒性。
多模型融合策略在提升安全检测效果方面表现优越。
开放问题 这项研究留下的未解疑问
- 1 当前SalamaBench尚未覆盖所有阿拉伯语文化背景下的隐晦表达和特殊风险类别，未来需持续扩展数据资源。
- 2 模型在某些敏感类别表现不稳定，如何进一步提升模型的鲁棒性和泛化能力仍是挑战。
- 3 多模态安全评估（结合图像、声音等）尚未充分探索，未来应结合多模态数据提升安全检测能力。
应用场景
近期应用
内容过滤与审核
在阿拉伯语社交平台、聊天机器人中应用SalamaBench的评估结果，实时检测有害内容，保障用户体验。
模型开发与优化
为模型开发者提供安全性能指标，指导模型微调，提升模型在敏感场景下的安全性。
远期愿景
多语言多文化安全标准
推动建立全球多语言、多文化的安全评估标准，促进AI模型在不同语境中的安全对齐。
原文摘要
Safety alignment in Language Models (LMs) is fundamental for trustworthy AI. However, while different stakeholders are trying to leverage Arabic Language Models (ALMs), systematic safety evaluation of ALMs remains largely underexplored, limiting their mainstream uptake. Existing safety benchmarks and safeguard models are predominantly English-centric, limiting their applicability to Arabic Natural Language Processing (NLP) systems and obscuring fine-grained, category-level safety vulnerabilities. This paper introduces SalamaBench, a unified benchmark for evaluating the safety of ALMs, comprising $8,170$ prompts across $12$ different categories aligned with the MLCommons Safety Hazard Taxonomy. Constructed by harmonizing heterogeneous datasets through a rigorous pipeline involving AI filtering and multi-stage human verification, SalamaBench enables standardized, category-aware safety evaluation. Using this benchmark, we evaluate five state-of-the-art ALMs, including Fanar 1 and 2, ALLaM 2, Falcon H1R, and Jais 2, under multiple safeguard configurations, including individual guard models, majority-vote aggregation, and validation against human-annotated gold labels. Our results reveal substantial variation in safety alignment: while Fanar 2 achieves the lowest aggregate attack success rates, its robustness is uneven across specific harm domains. In contrast, Jais 2 consistently exhibits elevated vulnerability, indicating weaker intrinsic safety alignment. We further demonstrate that native ALMs perform substantially worse than dedicated safeguard models when acting as safety judges. Overall, our findings highlight the necessity of category-aware evaluation and specialized safeguard mechanisms for robust harm mitigation in ALMs.