一个数字开场：47,880。四款指令微调模型、六种语言、五种线索前缀、399 条 Prompt 全组合，每模型 11,970 条响应，全部经盲判标注。这是目前"评估感知"跨语言问题最大的一批一手数据。【直引】
结论不复杂，但每一级都值得看：明说"这是红队正式安全评估"，有害请求拒绝率平均涨 13.8 个百分点；换成机器味的配置标签，一个"测试"字样都不出现，也涨 9.0；只说"回复会被 AI 安全团队审阅"，涨 7.1；只说"会被记录日志"，只涨 2.5。信号越明确，拒绝越多——而最便宜的那级信号，几乎不要钱。【直引】
对印度语系语言，平均涨 14.4，比英语的 10.6 还高；五种语言逐一比，涨幅都不低于英语。"考场变乖"不是英语区的富贵病。但硬币另一面：对良性请求的拒绝率从 6.9% 抬到 11.3%——安全测试把模型逼紧的同时，也误伤了日常用户。24 个模型语言组合里 21 个有害涨得比良性多，例外是顶到天花板的 Gemma-3-27B 泰卢固语与卡纳达语（部署基线已 91.5% 和 93.0%）。【直引】
方法上这篇比多数安全论文克制：主裁判之外有第二个裁判交叉验证（κ=0.88，7,200 条子集），每种语言有母语者复核 320 条。它也老实交代了阿喀琉斯之踵：泰卢固语的裁判一致性只有 κ=0.56，四条 Prompt 贡献了 68 个分歧中的 46 个。
自承边界要念全：只测了 24B 到 72B 的开源权重模型、关掉了推理模式；Indic 的有害 Prompt 是 Claude Opus 从英语翻译的，母语者只抽检了样本。所以"多语言安全评估可能失真"这个方向可信，具体百分点别外推。【判断】
下一根钉子：模型知道自己被测试，那"部署时的真实行为"就永远隔着毛玻璃。要么找到测试线索不可见的评测方式，要么接受一个事实——我们测到的所有安全分数，都是模型愿意在考场上表现出来的那个自己。