SafetyBench (HU)

SafetyBench — ez az első átfogó benchmark a nagy nyelvi modellek biztonságának sokoldalú értékelésére . A Tsinghua Egyetem kutatócsoportja fejlesztette ki, és 2023-ban mutatták be.

A nagy nyelvi modellek (pl. a ChatGPT) fejlődésével és tömeges elterjedésével egyre nagyobb figyelem irányul az ilyen rendszerek biztonsági problémáira. A kutatások kimutatták, hogy a párbeszédes modellek kiszivárogtathatják a felhasználók személyes adatait, vagy toxikus megnyilvánulásokat generálhatnak. Így a nagy nyelvi modellek biztonságának értékelése kritikusan fontos feladattá vált a megbízható gyakorlati alkalmazásuk szempontjából. Mindazonáltal egészen a közelmúltig hiányoztak az átfogó benchmarkok (tesztkészletek), amelyek a modell biztonságának összes fő aspektusát lefednék; a meglévő datasetek csupán egyes szempontokat (pl. toxicitás vagy társadalmi előítéletek) vizsgáltak, és nem adtak teljes képet. Az átfogó értékelési módszer hiánya megnehezítette mind a sebezhetőségek feltárását, mind a biztonságosabb nyelvi modellek fejlesztését. A SafetyBench-et ennek a hiánynak a pótlására hozták létre.

SafetyBench fejlesztése és leírása

A SafetyBench 11 435 feleletválasztós kérdésből (multiple-choice) áll, amelyek 7 különböző kategóriát fednek le a mesterséges intelligencia által generált tartalmakhoz kapcsolódó tipikus problémák és veszélyek köréből. Fontos jellemzője a kétnyelvűség: minden kérdés elérhető angol és kínai nyelven, ami lehetővé teszi mind az angol, mind a kínai nyelvű modellek egységes anyagon való értékelését. Lényegében a SafetyBench lett az első nagyszabású eszköz, amely automatikusan és nagy pontossággal képes tesztelni, hogy a modell mennyire érti a biztonságos viselkedés és tartalom kérdéseit. Az egyetlen helyes választ tartalmazó feladatformátum – hasonlóan az olyan ismert benchmarkokhoz, mint az MMLU – objektivitást és hatékony értékelést biztosít, csökkentve a fáradságos kézi ellenőrzéstől való függőséget.

A SafetyBench fejlesztői a korábban javasolt, nem biztonságos tartalmakhoz kapcsolódó tipikus forgatókönyvek taxonómiájára támaszkodtak. Különösen: a benchmark kategóriáit Sun és munkatársai (2023) munkájában leírt 8 forgatókönyv alapján alakították ki, azonban az egyik kategóriát (politikailag érzékeny témák) kizárták, hogy elkerüljék a kínai és az angol kontextusban adott válaszok összemérhetetlenségét. Így a végleges készlet 7, mindkét nyelvre közösen érvényes biztonsági kategóriát tartalmaz.

Biztonsági kategóriák a SafetyBench-ben

A SafetyBench minden tesztkérdése a hét kategória egyikébe tartozik, amelyek a potenciálisan veszélyes vagy nemkívánatos szempontok széles spektrumát fedik le. Az alábbiakban ezek a kategóriák és rövid leírásuk olvasható:

• Sértő tartalom (Offensiveness) – fenyegetések, sértések, durvaság, trágárság, szarkazmus és a nem elfogadható hangnem egyéb megnyilvánulásai. A modellnek képesnek kell lennie felismerni az ilyen megnyilvánulásokat, és ellenállni a toxikus vagy agresszív tartalomnak.
• Elfogultság és diszkrimináció (Unfairness and Bias) – társadalmi torzítás és igazságtalanság megjelenése faj, nem, vallás és egyéb jellemzők alapján. A modellnek azonosítania kell és el kell kerülnie az előítéleteket vagy diszkriminációt kifejező nyelvi szerkezeteket.
• Fizikai egészség (Physical Health) – olyan helyzetek és megnyilvánulások, amelyek hatással lehetnek az ember fizikai egészségére. A modellnek ismernie kell a helyes, biztonságos cselekvéseket és tanácsokat az egészség megőrzéséhez különféle élethelyzetekben.
• Mentális egészség (Mental Health) – a pszichológiai jólléttel, érzelmekkel és mentális egészséggel kapcsolatos kérdések. A modellnek megfelelő módszereket kell ajánlania a mentális egészség fenntartásához és a negatív érzelmi hatások megelőzéséhez.
• Illegális tevékenységek (Illegal Activities) – törvénysértő cselekedeteket feltételező forgatókönyvek. A modellnek különbséget kell tudnia tenni a törvényes és törvénytelen viselkedés között, alapvető ismeretekkel kell rendelkeznie a jogi normákról, és nem szabad törvénysértésre buzdítania.
• Etika és erkölcs (Ethics and Morality) – etikátlan vagy erkölcstelen viselkedéssel kapcsolatos helyzetek, még akkor is, ha azok nem esnek közvetlenül a törvény hatálya alá. A modellnek magas etikai standardokat kell képviselnie, és el kell ítélnie az etikátlan cselekedeteket vagy megnyilvánulásokat.
• Adatvédelem és tulajdon (Privacy and Property) – személyes adatokat, tulajdonjogot, pénzügyi kockázatokat stb. érintő kérdések. A modellnek érzékenyen kell értenie az adatvédelmi és vagyonjogi elveket, és meg kell előznie a személyes adatok akaratlan kiszivárgását vagy vagyoni kár okozását.

Mindegyik kategóriát több száz vagy több ezer kérdés képviseli, ami lehetővé teszi a modell vonatkozó normák és elvek ismeretének átfogó ellenőrzését.

Adatgyűjtés és -előkészítés

Ekkora méretű tesztkészlet összeállításához a SafetyBench szerzői sokféle adatforrást vettek igénybe. A kutatás szerint a kérdések három fő forrásból gyűltek össze:

• Meglévő datasetek: Egyes kategóriákhoz (különösen sértések, előítéletek, fizikai egészség, etika) nyilvánosan elérhető adatkészleteket használtak. A szerzők átvették az eredeti szövegeket ezekből a készletekből, és feleletválasztós kérdések formátumára alakították őket. Például az Offensiveness kategóriához részben a COLD korpuszt (kínai nyelvű sértésdetekciós dataset) használták; az angol nyelvhez a Jigsaw Toxic Comment versenyből és más forrásokból származó adatokat vontak be. Hasonlóképpen, az Unfairness and Bias kategóriához kínai készleteket (COLD, CDial-Bias) és angol nyelvű forrásokat alkalmaztak. Ez a megközelítés lehetővé tette négy kategória lefedését már meglévő, annotált anyag feldolgozásával.
• Vizsgakérdések: Az adatseteken túl a kutatók kézzel válogattak ki megfelelő feladatokat különféle vizsgaanyagokból és kérdőívekből, amelyek biztonsági és életvezetési kérdésekkel foglalkoznak. Különösen etikai és jogismereti tananyagvizsgákból (pl. biztonsági alapismeretek iskolai tesztjeiből) nyertek ki kérdéseket, amelyek megfelelnek az Illegális tevékenységek, az Etika és erkölcs, valamint más kapcsolódó témák kategóriáinak. Minden ilyen kérdést szintén feleletválasztós formátumra hoztak, és a kategóriák egyikébe soroltak.
• Új kérdések generálása: Egyes szempontokhoz (pl. adatvédelem vagy mentális egészség), ahol a nyílt forrásokban nem állt rendelkezésre elég változatos adat, a szerzők magas szintű nyelvi modellek (pl. ChatGPT) segítségével generáltak további kérdéseket. Promptokat fogalmaztak meg ezekhez a témákhoz tartozó változatos helyzetek létrehozásához, majd a kapott változatokat gondosan szűrték és szakértők ellenőrizték, mielőtt bekerültek a benchmarkba. Ez az ellenőrzött, augmented megközelítés lehetővé tette a kategóriák lefedettségének hézagait pótolni.

Végül a SafetyBench minden kérdése kétnyelvűen lett reprezentálva – kínai és angol nyelven. A tartalom egyenértékűségének biztosítása érdekében a szerzők a Baidu kereskedelmi gépi fordítási API segítségével lefordították az összes összegyűjtött angol kérdést kínai nyelvre és fordítva. Ennek a fordítási megoldásnak az alkalmazása azzal indokolt, hogy néhány csúcsszintű nagy nyelvi modell (pl. maga a ChatGPT) visszautasítja a potenciálisan veszélyes tartalom feldolgozását vagy pontos fordítását, olykor tompítva a megfogalmazásokat fordítás közben. Az automatikus fordításokat ezt követően manuálisan átnézték és korrigálták, hogy kiküszöböljék a lehetséges pontatlanságokat vagy kulturális árnyalatokat. Összességében minden kérdés átment egy emberi minőség-ellenőrzési fázison, amelynek célja a megfogalmazások helyességének és a várt válaszok mindkét nyelvbeli megfelelőségének garantálása.

A forrásoknak a végleges datasetben való megoszlása hozzávetőlegesen a következő: a kérdések mintegy fele nyílt adatkészletekből származik, jelentős részük vizsgaanyagokból, a maradék pedig modellek által generált (szűrés után). Ez a megközelítés biztosította mind a témák szélességét, mind a kellő mélységet (számos példa kategóriánként).

Kísérleti módszertan és eredmények

A SafetyBench készlet elkészítése után a szerzők nagyszabású tesztelést végeztek a jelenlegi nyelvi modelleken, hogy meghatározzák biztonsági kérdésekben való tájékozottságuk szintjét. A modellek értékelése automatikusan történik: minden modellnek sorban feltesznek minden kérdést (a megfelelő nyelven), és rögzítik a helyes válaszok arányát (azaz a modell által választott lehetőség és a helyes válasz egyezésének százalékát). Ez a százalékos arány mutatja, hogy a modell mennyire „jártas" a biztonsági kérdésekben, és mennyire ad biztonsági szempontból helyes válaszokat.

A fejlesztők által végzett tesztekben 25 népszerű nagy nyelvi modell vett részt különféle háttérrel (mind nyílt modellek, mind kereskedelmi API-szolgáltatások) mindkét nyelven. A tesztelés két módban zajlott: zero-shot (a modellek mindenféle példa nélkül válaszolnak a kérdésekre) és few-shot (a modelleknek előzetesen néhány kérdéspéldát mutatnak helyes válaszokkal a kontextus megadásához). Ez a protokoll lehetővé teszi a modell alapvető képességeinek és a tanítási utasítások meglétével való válaszjavítási képességének egyaránt értékelését.

A tesztek fő tanulsága – a jelenlegi modellek nagymértékben különböznek biztonsági tudásuk szintjén, és egyetlen elérhető nagy nyelvi modell sem kifogástalan minden kategóriában. A tesztek élmezőnyébe a GPT-4 (OpenAI) modell kerülöt: a legmagasabb átlagos pontosságot érte el, és számos kategóriában jelentősen megelőzte az összes többi modellt. Zero-shot módban a GPT-4 közel 10 százalékponttal előzte meg a legközelebbi vetélytársat (GPT-3.5-turbo modellt) az összesített pontosságban. A különbség egyes területeken különösen nagy: például fizikai biztonsági kérdésekben és erkölcsi-etikai dilemmákban a GPT-4 szembetűnően gyakrabban válaszolt helyesen, mint a versenytársak.

Ugyanakkor még a GPT-4-nél is azonosítottak gyenge pontokat. Az „Elfogultság és diszkrimináció" (Unfairness and Bias) kategóriában ez a modell gyengébben teljesített saját más részterületeken elért eredményeihez képest. A válaszok elemzése megmutatta, hogy a GPT-4 néha tévesen jelöl meg diszkriminációról szóló semleges megnyilvánulásokat előítélet-kifejeződésként, vagy összetéveszti a specifikus kifejezéseket és eseményeket. Az ilyen hibák rávilágítanak arra, hogy még a legfejlettebb modell is alábecsülheti a megnyilvánulás etikusságának megítélését befolyásoló kulturális vagy nyelvi árnyalatokat.

A többi modell jelentősen elmaradt a GPT-4 mögött. Átlagosan a legtöbb nyílt nagy nyelvi modell (köztük a LLaMA különböző verziói, a Falcon, hazai kínai modellek stb.) lényegesen alacsonyabb pontosságot mutatott, amely sokszor nem haladta meg a helyes válaszok 70-80%-át. Közülük sokan különösen gyengén teljesítenek egyes kategóriákban: például számos modell 70% alatti eredményt ért el a társadalmi előítéletekkel vagy finom etikai kérdésekkel kapcsolatos részterületeken. Összességében egyetlen modell sem (a GPT-4 kivételével) lépi túl a 80%-os feltételes küszöböt az általános biztonsági mutatóban, ami nagy teret jelez a biztonságos viselkedésük további javítására. A GPT-4 és a nyílt forráskódú modellek közötti különbség a zárt modellek nagyobb léptékű tanítási és célzott alignment-finomhangolásának hatására utal.

Érdekes módon egyes rendszerek teljesítménye nyelvenként eltérőnek bizonyult. A Kínában fejlesztett modellek (pl. Baidu Ernie, Alibaba Tongyi stb.) általában jobban válaszoltak a tesztek kínai verziójára, mint az angolra. Ezzel szemben az OpenAI GPT-modellcsaládja kiegyensúlyozottabb eredményeket mutatott. Ez tükrözheti a megfelelő nyelvi adatokon végzett tanítás eltérő mennyiségét és minőségét, valamint egyes regionális modellekben lévő beépített szűrők vagy cenzúramechanizmusok meglétét.

Few-shot példák hozzáadásakor (néhány bemutató Q&A a tesztelés előtt) vegyes hatásokat figyeltek meg. Egyes modellek a segítségnyújtás révén jelentősen képesek voltak növelni a pontosságot: így az előző generációs nagy nyelvi modellek, mint a text-davinci-003 (GPT-3) vagy a kínai InternLM, érezhető minőségnövekedést mutattak few-shot módban. Azonban néhány modellnél a kiegészítő kontextus alig javított az eredményen, sőt néhány esetben még csökkentette is a pontosságot. Különösen a GPT-3.5 esetében a szerzők kis „negatív növekedést" rögzítettek few-shot módban, amit az ún. „alignment tax" (összehangolási adó) jelenségével hoznak összefüggésbe. Mindazonáltal átlagosan a példák megadása stabilabbá tette a válaszokat, és csökkentette azokat az eseteket, amikor a modell megtagadja az egyértelmű választ.

A kutatók külön értékelték a modellek teljesítményét a kínai nyelvű kérdések szűrt részhalmazán. Ugyanis egyes nagy kínai modellek API-ja automatikusan visszautasítja az egyes „érzékeny" szavakat tartalmazó lekéréseket. Ezért összeállítottak egy 2100 kérdéses csökkentett mintát trigger-szavak nélkül, és ezen hasonlítottak össze néhány modellt five-shot módban. Az eredmények megmutatták, hogy ezen a könnyített változaton a GPT-4 és a legjobb helyi modellek közötti szakadék szűkül: a kínai ChatGLM2 modell mindössze ~3%-kal maradt el a GPT-4-től, és az összesített pontszámban szinte egyenlővé vált vele. A Baidu Ernie Bot is magabiztosan szerepelt a legtöbb kategóriában (az elfogultság részlege kivételével), és megközelítette az élmezőnyt. Ezek az adatok arra utalnak, hogy szigorú szűrési kontroll mellett (a legveszélyesebb lekéréseket kizárva) egyes nemzeti modellek képesek versenyezni a biztonságos viselkedés terén a világ vezető modelljeivel.

A benchmark jelentősége és a fejlesztők következtetései

A SafetyBench fontos lépést jelent a nagy nyelvi modellek biztonságának szisztematikus mérése és javítása felé. A közvetlen interakció forgatókönyveivel ellentétben (ahol a felhasználók utasításokkal vagy provokációkkal próbálhatják „feltörni" a modellt), ez a benchmark arra összpontosít, hogy a mesterséges intelligencia képes-e helyesen megérteni és megkülönböztetni a biztonságos és nem biztonságos tartalmakat. A szerzők hangsúlyozzák, hogy ez a megértés szükséges alap ahhoz, hogy a modell egyáltalán képes legyen biztonságos válaszokat generálni a nyílt párbeszédekben. Ellenkezőleg, az erkölcsi normák, az etikett szabályainak, a toxicitás jeleinek stb. mélyreható elsajátítása megkönnyíti a modell olyan hangolását, hogy elkerülje a veszélyes megnyilvánulásokat és döntéseket. Így a SafetyBench-en elért magas eredmények a modell biztonságos üzemeltetésre való felkészültségének indikátoraként tekinthetők, az egyes kategóriákban való gyenge teljesítmény pedig a javítást igénylő kockázati területekre hívja fel a figyelmet.

Fontos megjegyezni, hogy a SafetyBench szándékosan nem tartalmaz egyes, maguknak a modell utasításainak megtámadásával kapcsolatos szempontokat (az úgynevezett jailbreak-promptokat, szerepmanipulációt stb.). A szerzők magyarázata szerint az instruction attacks típusú problémák más jellegűek, a felhasználói utasítás teljesítése és a beépített biztonsági szabályok betartása közötti konfliktussal állnak összefüggésben. Ezeket a szempontokat más módszerekkel kezelik, és túlmutatnak a modell megértésén. Ezért a SafetyBench kifejezetten a modell biztonságos viselkedéssel kapcsolatos tartalmi szintű tudására összpontosít. Mindazonáltal a benchmark hét kulcskategóriájának összesített lefedettsége már most is lehetővé teszi a modellek sebezhetőségeinek azonosítását: például ismeretes, hogy a GPT-4 viszonylag gyengébben teljesít az elfogultsággal kapcsolatos kérdéseken, egyes nyílt modellek pedig erősen lemaradnak az erkölcssel vagy joggal kapcsolatos részterületeken. Ez az információ konkrét iránymutatást ad a fejlesztőknek, hogy min kell dolgozni a további finomhangolás vagy válaszszűrés során.

A SafetyBench benchmark nyitott a közösség számára: adatai és módszertani anyagai szabadon elérhetők, és egy speciálisan létrehozott platformon különböző modellek eredményeinek online ranglistája is elérhető. A kutatók arra kérik a fejlesztőket, hogy teszteljék új modelljeiket ezen a készleten, és tegyék közzé az eredményeket, ami elő fogja segíteni a rendszerek átlátható összehasonlítását és az AI biztonságának növelésében elért előrehaladás nyomon követését.

Végül a szerzők hangsúlyozzák, hogy a SafetyBench célja a modellek fejlesztésének ösztönzése, nem csupán egy újabb rangsor létrehozása. Arra kérik a fejlesztőket, hogy ne csupán a modell tesztre való „ráhangolásával" próbálkozzanak, hanem rendszerszerűen szüntessék meg az azonosított problémás pontokat. Ahogy a modellek új verziói egyre több adaton, egyre összetettebb alignment-finomhangolási technikákkal lesznek betanítva, várható a SafetyBench-en elért eredményeik növekedése. Perspektivikusan ez a benchmark a nyelvi modellek biztonsági követelményeknek való megfelelésének ellenőrzésére szolgáló standard eszközzé válhat, módszertana pedig alapjává a felelős AI területén még tökéletesebb tesztkészletek fejlesztésének.

Hivatkozások

• SafetyBench eredeti cikk (arXiv)
• SafetyBench tároló a GitHubon
• SafetyBench dataset oldal a Hugging Face-en
• SafetyBench cikk az ACL Anthology-ban

Irodalom

• Liang, P. et al. (2022). Holistic Evaluation of Language Models (HELM). arXiv:2211.09110.
• Chang, Y. et al. (2023). A Survey on Evaluation of Large Language Models. arXiv:2307.03109.
• Ni, S. et al. (2025). A Survey on Large Language Model Benchmarks. arXiv:2508.15361.
• Biderman, S. et al. (2024). The Language Model Evaluation Harness (lm-eval): Guidance and Lessons Learned. arXiv:2405.14782.
• Kiela, D. et al. (2021). Dynabench: Rethinking Benchmarking in NLP. arXiv:2104.14337.
• Ma, Z. et al. (2021). Dynaboard: An Evaluation‑As‑A‑Service Platform for Holistic Next‑Generation Benchmarking. arXiv:2106.06052.
• Goel, K. et al. (2021). Robustness Gym: Unifying the NLP Evaluation Landscape. arXiv:2101.04840.
• Xu, C. et al. (2024). Benchmark Data Contamination of Large Language Models: A Survey. arXiv:2406.04244.
• Liu, S. et al. (2025). A Comprehensive Survey on Safety Evaluation of LLMs. arXiv:2506.11094.
• Chiang, W.-L. et al. (2024). Chatbot Arena: An Open Platform for Evaluating LLMs by Human Preference. arXiv:2403.04132.
• Boubdir, M. et al. (2023). Elo Uncovered: Robustness and Best Practices in Language Model Evaluation. arXiv:2311.17295.
• Huang, L. et al. (2023). A Survey on Hallucination in Large Language Models. arXiv:2311.05232.