SafetyBench (ES)

SafetyBench es el primer benchmark completo para la evaluación integral de la seguridad de los grandes modelos de lenguaje . Fue desarrollado por un grupo de investigadores de la Universidad de Tsinghua y presentado en 2023.

Con el desarrollo de los LLM (por ejemplo, la aparición de ChatGPT) y su adopción masiva, ha aumentado la atención a los problemas de seguridad de dichos sistemas. Las investigaciones han demostrado que los modelos conversacionales pueden filtrar información privada de los usuarios o generar declaraciones tóxicas. Por lo tanto, la evaluación de la seguridad de los LLM se ha convertido en una tarea de importancia crítica para su aplicación fiable en la práctica. Sin embargo, hasta hace poco, no existían benchmarks completos (conjuntos de pruebas) que cubrieran todos los aspectos principales de la seguridad de un modelo; los conjuntos de datos existentes solo evaluaban aspectos aislados (como la toxicidad o los sesgos sociales) y no ofrecían una visión integral. La falta de un método de evaluación exhaustivo dificultaba tanto la identificación de vulnerabilidades como el desarrollo de modelos de lenguaje más seguros. SafetyBench fue creado para llenar este vacío.

Desarrollo y descripción de SafetyBench

SafetyBench consiste en un conjunto de 11 435 preguntas de opción múltiple (multiple-choice), que abarcan 7 categorías diferentes de problemas o amenazas típicas relacionadas con el contenido generado por IA. Una característica importante es su naturaleza bilingüe: cada pregunta está disponible en inglés y chino, lo que permite evaluar tanto modelos de habla inglesa como china con material uniforme. En esencia, SafetyBench se convirtió en la primera herramienta a gran escala que permite probar de manera automática y con alta precisión la comprensión del modelo sobre cuestiones de comportamiento y contenido seguros. El formato de preguntas con una sola respuesta correcta, similar a benchmarks conocidos como MMLU, garantiza la objetividad y eficiencia de la evaluación, reduciendo la dependencia de la laboriosa revisión manual de las respuestas del modelo.

Los desarrolladores de SafetyBench se basaron en una taxonomía previamente propuesta de escenarios típicos relacionados con contenido inseguro. En particular, las categorías del benchmark se definieron a partir de 8 escenarios descritos en el trabajo de Sun et al. (2023), aunque una de las categorías (temas políticamente sensibles) fue excluida para evitar la incomparabilidad de las respuestas en los contextos chino e inglés. Así, el conjunto final incluye 7 categorías de seguridad comunes a ambos idiomas.

Categorías de seguridad en SafetyBench

Cada pregunta de prueba en SafetyBench pertenece a una de las siete categorías, que cubren un amplio espectro de aspectos potencialmente peligrosos o no deseados. A continuación se presentan estas categorías y una breve descripción de cada una:

• Contenido ofensivo (Offensiveness) – amenazas, insultos, groserías, lenguaje obsceno, sarcasmo y otras manifestaciones de tono inapropiado. El modelo debe ser capaz de reconocer tales ataques y resistir el contenido tóxico o agresivo.
• Injusticia y sesgo (Unfairness and Bias) – manifestaciones de sesgo social e injusticia por motivos de raza, género, religión, etc.. El modelo debe identificar y evitar construcciones lingüísticas que expresen prejuicios o discriminación.
• Salud física (Physical Health) – situaciones y declaraciones que pueden afectar la salud física de una persona. El modelo debe conocer las acciones y consejos correctos y seguros para mantener la salud en diversas circunstancias de la vida.
• Salud mental (Mental Health) – cuestiones relacionadas con el bienestar psicológico, las emociones y la salud mental. El modelo debe proponer formas correctas de mantener la salud mental y prevenir impactos emocionales negativos.
• Actividades ilegales (Illegal Activities) – escenarios que implican acciones ilegales. El modelo debe distinguir entre comportamiento legal e ilegal, poseer conocimientos básicos de las normas legales y no incitar a la violación de la ley.
• Ética y moralidad (Ethics and Morality) – situaciones relacionadas con un comportamiento no ético o inmoral, incluso si no cae directamente bajo la ley. El modelo debe demostrar altos estándares éticos y condenar actos o declaraciones no éticos.
• Privacidad y propiedad (Privacy and Property) – cuestiones relativas a la información privada, el derecho de propiedad, los riesgos financieros, etc.. El modelo debe comprender con sensibilidad los principios de confidencialidad y los derechos de propiedad y prevenir la divulgación involuntaria de datos personales o la causación de daños materiales.

Cada categoría está representada por cientos o miles de preguntas, lo que permite una verificación exhaustiva del conocimiento del modelo sobre las normas y principios correspondientes.

Recopilación y preparación de datos

Para formar un conjunto de pruebas de tal magnitud, los autores de SafetyBench utilizaron diversas fuentes de datos. El estudio indica que las preguntas se recopilaron de tres fuentes principales:

• Conjuntos de datos existentes: Para varias categorías (en particular, ofensas, prejuicios, salud física y ética) se utilizaron conjuntos de datos de acceso público. Los autores tomaron los textos originales de estos conjuntos y los transformaron al formato de preguntas con opciones de respuesta. Por ejemplo, para la categoría Offensiveness se utilizó parcialmente el corpus COLD (un conjunto de datos para la detección de ofensas en chino); para el inglés, se utilizaron datos del concurso Jigsaw Toxic Comment y otros. De manera similar, para Unfairness and Bias se emplearon conjuntos de datos chinos (COLD, CDial-Bias) y recursos en inglés. Este enfoque permitió cubrir cuatro categorías mediante el reprocesamiento de material ya etiquetado.
• Preguntas de examen: Además de los conjuntos de datos, los investigadores seleccionaron manualmente preguntas adecuadas de diversos materiales de examen y cuestionarios dedicados a temas de seguridad y habilidades para la vida. En particular, se extrajeron preguntas de exámenes académicos sobre ética y derecho (por ejemplo, pruebas escolares sobre fundamentos de seguridad), que corresponden a las categorías de Actividades ilegales, Ética y moralidad y otros temas relacionados. Cada una de estas preguntas también se convirtió al formato de opción múltiple y se asignó a una de las categorías.
• Generación de nuevas preguntas: Para algunos aspectos (como la privacidad o la salud mental), donde las fuentes abiertas no ofrecían suficientes datos variados, los autores recurrieron a la generación de preguntas adicionales utilizando modelos de lenguaje de alto nivel (como ChatGPT). Se formularon prompts para crear diversas situaciones sobre estos temas, y luego las variantes obtenidas fueron cuidadosamente filtradas y verificadas por expertos antes de ser incluidas en el benchmark. Este enfoque de aumento controlado permitió llenar los vacíos en la cobertura de las categorías.

Finalmente, cada pregunta de SafetyBench fue presentada de forma bilingüe — en chino y en inglés. Para garantizar la equivalencia del contenido, los autores tradujeron todas las preguntas en inglés recopiladas al chino y viceversa utilizando la API de traducción automática comercial de Baidu. El uso de esta traducción se debió a que algunos LLM de alto nivel (como el propio ChatGPT) se negaban a procesar o traducir con precisión contenido potencialmente peligroso, a veces suavizando las formulaciones durante la traducción. Las traducciones automáticas fueron luego revisadas y corregidas manualmente para eliminar posibles imprecisiones o matices culturales. En general, todas las preguntas pasaron por una etapa de verificación humana de calidad, lo que busca garantizar la corrección de las formulaciones y la correspondencia de las respuestas esperadas en ambos idiomas.

La distribución de las fuentes en el conjunto de datos final es aproximadamente la siguiente: alrededor de la mitad de las preguntas se tomaron de conjuntos de datos abiertos, una parte significativa de materiales de examen, y el resto fue generado por modelos (después de una selección). Este enfoque aseguró tanto una amplia cobertura de temas como una profundidad suficiente (múltiples ejemplos por categoría).

Metodología de experimentos y resultados

Tras preparar el conjunto SafetyBench, los autores realizaron pruebas a gran escala con modelos de lenguaje modernos para determinar su nivel de comprensión de las cuestiones de seguridad. La evaluación de los modelos se realiza de forma automática: a cada modelo se le presentan sucesivamente todas las preguntas (en el idioma correspondiente) y se registra la proporción de respuestas correctas (es decir, el porcentaje de coincidencia entre la opción elegida por el modelo y la respuesta correcta). Este porcentaje sirve como un indicador de qué tan bien el modelo “entiende” los problemas de seguridad y proporciona respuestas correctas desde el punto de vista de la seguridad.

En las pruebas realizadas por los desarrolladores, participaron 25 LLM populares de diversos orígenes (tanto modelos de código abierto como servicios de API propietarios) en ambos idiomas. Las pruebas se realizaron en dos modos: zero-shot (los modelos responden a las preguntas sin ningún ejemplo) y few-shot (a los modelos se les muestran previamente algunos ejemplos de preguntas con respuestas correctas para establecer el contexto). Este protocolo permite evaluar tanto las capacidades básicas del modelo como su habilidad para mejorar las respuestas con pistas de aprendizaje.

La principal conclusión de las pruebas es que los modelos actuales varían significativamente en su nivel de conocimiento sobre seguridad, y ninguno de los LLM disponibles es todavía impecable en todas las categorías. El líder según los resultados fue el modelo GPT-4 (OpenAI): mostró la mayor precisión media y superó significativamente a todos los demás modelos en múltiples categorías. En el modo zero-shot, GPT-4 superó a su competidor más cercano (el modelo GPT-3.5-turbo) en casi 10 puntos porcentuales en la precisión general. La brecha es especialmente grande en áreas específicas; por ejemplo, en cuestiones de seguridad física y dilemas ético-morales, GPT-4 respondió correctamente con una frecuencia notablemente mayor que sus competidores.

Al mismo tiempo, incluso GPT-4 mostró puntos débiles. En la categoría «Injusticia y sesgo» (Unfairness and Bias), este modelo tuvo un rendimiento peor en comparación con sus propios resultados en otras secciones. El análisis de las respuestas mostró que GPT-4 a veces etiqueta erróneamente declaraciones neutrales sobre la discriminación como una manifestación de prejuicio o se confunde con expresiones y eventos específicos. Tales errores subrayan que incluso el modelo más avanzado puede subestimar los matices culturales o lingüísticos que afectan la evaluación de la eticidad de una declaración.

Los demás modelos quedaron considerablemente por detrás de GPT-4. En promedio, la mayoría de los LLM de código abierto (incluidas varias versiones de LLaMA, Falcon, modelos chinos nacionales, etc.) mostraron una precisión significativamente menor, a menudo sin superar el 70-80% de respuestas correctas. Muchos de ellos se desempeñan particularmente mal en categorías específicas: por ejemplo, varios modelos obtuvieron menos del 70% en secciones relacionadas con prejuicios sociales o cuestiones éticas sutiles. En conjunto, ningún modelo (excepto GPT-4) superó el umbral condicional del 80% en la puntuación general de seguridad, lo que indica un amplio margen para mejorar su comportamiento seguro. Esta diferencia entre GPT-4 y los modelos de código abierto apunta al efecto de un entrenamiento a mayor escala y un ajuste de alineación específico en los modelos cerrados.

Curiosamente, el rendimiento de algunos sistemas resultó ser dependiente del idioma. Los modelos creados en China (por ejemplo, Baidu Ernie, Alibaba Tongyi, etc.) generalmente respondieron mejor en la versión china de las pruebas que en la inglesa. Por el contrario, la familia de modelos GPT de OpenAI demostró resultados más equilibrados. Esto podría reflejar diferencias en el volumen y la calidad del entrenamiento con datos en los respectivos idiomas, así como la presencia de filtros integrados o mecanismos de censura en algunos modelos regionales.

Al agregar ejemplos few-shot (algunas preguntas y respuestas de demostración antes de la prueba), se observaron efectos mixtos. Algunos modelos lograron aumentar notablemente su precisión gracias a las pistas: por ejemplo, modelos de lenguaje grandes de generaciones anteriores como text-davinci-003 (GPT-3) o el modelo chino InternLM obtuvieron una mejora tangible en la calidad en el modo de cinco disparos (five-shot). Sin embargo, en varios modelos, el contexto adicional apenas mejoró el resultado, y en algunos casos incluso redujo la precisión. En particular, para GPT-3.5, los autores registraron un ligero «incremento negativo» en few-shot, lo que atribuyen al fenómeno del «impuesto de alineación» (alignment tax). No obstante, en promedio, proporcionar ejemplos hizo que las respuestas fueran más estables y redujo la proporción de casos en los que el modelo se niega a dar una respuesta clara.

Por separado, los investigadores evaluaron el rendimiento de los modelos en un subconjunto filtrado de preguntas relacionadas con el idioma chino. El hecho es que las API de algunos grandes modelos chinos rechazan automáticamente las solicitudes que contienen ciertas palabras «sensibles». Por lo tanto, se formó una muestra reducida de 2100 preguntas sin palabras desencadenantes, y en ella se compararon varios modelos en un modo de quince disparos (fifteen-shot). Los resultados mostraron que en esta versión simplificada, la brecha entre GPT-4 y los mejores modelos locales se reduce: por ejemplo, el modelo chino ChatGLM2 obtuvo solo un ~3% menos que GPT-4, casi igualándolo en la puntuación total. Además, Ernie Bot de Baidu tuvo un desempeño sólido en la mayoría de las categorías (excepto en la sección de sesgos) y se acercó a los líderes. Estos datos sugieren que bajo un estricto control de filtrado (excluyendo las solicitudes más peligrosas), algunos modelos nacionales son capaces de competir con los líderes mundiales en términos de comportamiento seguro.

Significado del benchmark y conclusiones de los desarrolladores

SafetyBench representa un paso importante hacia la medición y mejora sistemática de la seguridad de los grandes modelos de lenguaje. A diferencia de los escenarios de interacción directa (donde los usuarios pueden intentar «hackear» el modelo con instrucciones o provocaciones), este benchmark se centra en la capacidad de la IA para comprender y distinguir correctamente entre contenido seguro e inseguro. Los autores subrayan que esta comprensión es una base necesaria para que el modelo pueda generar respuestas seguras en diálogos abiertos. Por el contrario, una asimilación profunda de las normas morales, las reglas de etiqueta, los signos de toxicidad, etc., facilita el ajuste del modelo para que evite declaraciones y decisiones peligrosas. Por lo tanto, un alto rendimiento en SafetyBench puede considerarse un indicador de la preparación del modelo para una operación segura, mientras que los fallos en categorías específicas señalan áreas de riesgo que requieren mejoras.

Es importante señalar que SafetyBench no incluye intencionadamente algunos aspectos relacionados con el ataque a las propias instrucciones del modelo (los llamados jailbreak prompts, la manipulación de roles, etc.). Los autores explican que los problemas como los ataques a las instrucciones (instruction attacks) tienen una naturaleza diferente, relacionada con el conflicto entre ejecutar una orden del usuario y cumplir con las reglas de seguridad integradas. Estos aspectos se abordan con otros métodos y están fuera del alcance de la comprensión del modelo. Por lo tanto, SafetyBench se concentra específicamente en el nivel de conocimiento del modelo sobre el comportamiento seguro. No obstante, la cobertura combinada de las siete categorías clave en el benchmark ya permite identificar vulnerabilidades en los modelos: por ejemplo, se sabe que GPT-4 muestra un rendimiento relativamente más débil en preguntas sobre sesgos, y algunos modelos de código abierto están muy por detrás en secciones relacionadas con la moral o la ley. Esta información proporciona a los desarrolladores pautas concretas sobre en qué deben trabajar durante el reentrenamiento o el filtrado de respuestas.

El benchmark SafetyBench está abierto a la comunidad: sus datos y materiales metodológicos están disponibles públicamente, y en una plataforma especialmente creada se mantiene un leaderboard en línea con los resultados de varios modelos. Los investigadores invitan a los desarrolladores a probar sus nuevos modelos en este conjunto y a publicar los resultados, lo que contribuirá a una comparación transparente de los sistemas y al seguimiento del progreso en la mejora de la seguridad de la IA.

Finalmente, los autores subrayan que el objetivo de SafetyBench es estimular la mejora de los modelos, y no simplemente crear otro ranking. Instan a los desarrolladores a no limitarse a intentar «ajustar» el modelo a la prueba, sino a eliminar sistemáticamente los problemas identificados. A medida que las nuevas versiones de los modelos se entrenen con más datos y con técnicas de alineación más complejas, se espera que sus puntuaciones en SafetyBench también aumenten. A futuro, este benchmark podría convertirse en una herramienta estándar para verificar el cumplimiento de los modelos de lenguaje con los requisitos de seguridad, y su metodología podría ser la base para desarrollar conjuntos de pruebas aún más avanzados en el campo de la IA responsable.

Enlaces externos

• Artículo original de SafetyBench (arXiv)
• Repositorio de SafetyBench en GitHub
• Página del conjunto de datos de SafetyBench en Hugging Face
• Artículo de SafetyBench en la ACL Anthology

Literatura

• Liang, P. et al. (2022). Holistic Evaluation of Language Models (HELM). arXiv:2211.09110.
• Chang, Y. et al. (2023). A Survey on Evaluation of Large Language Models. arXiv:2307.03109.
• Ni, S. et al. (2025). A Survey on Large Language Model Benchmarks. arXiv:2508.15361.
• Biderman, S. et al. (2024). The Language Model Evaluation Harness (lm-eval): Guidance and Lessons Learned. arXiv:2405.14782.
• Kiela, D. et al. (2021). Dynabench: Rethinking Benchmarking in NLP. arXiv:2104.14337.
• Ma, Z. et al. (2021). Dynaboard: An Evaluation‑As‑A‑Service Platform for Holistic Next‑Generation Benchmarking. arXiv:2106.06052.
• Goel, K. et al. (2021). Robustness Gym: Unifying the NLP Evaluation Landscape. arXiv:2101.04840.
• Xu, C. et al. (2024). Benchmark Data Contamination of Large Language Models: A Survey. arXiv:2406.04244.
• Liu, S. et al. (2025). A Comprehensive Survey on Safety Evaluation of LLMs. arXiv:2506.11094.
• Chiang, W.-L. et al. (2024). Chatbot Arena: An Open Platform for Evaluating LLMs by Human Preference. arXiv:2403.04132.
• Boubdir, M. et al. (2023). Elo Uncovered: Robustness and Best Practices in Language Model Evaluation. arXiv:2311.17295.
• Huang, L. et al. (2023). A Survey on Hallucination in Large Language Models. arXiv:2311.05232.