SafetyBench (ID)

SafetyBench — adalah benchmark komprehensif pertama untuk evaluasi menyeluruh terhadap keamanan model bahasa besar . Benchmark ini dikembangkan oleh sekelompok peneliti dari Universitas Tsinghua dan dipresentasikan pada tahun 2023.

Seiring berkembangnya LLM (misalnya, kemunculan ChatGPT) dan penerapannya secara massal, perhatian terhadap masalah keamanan sistem semacam itu semakin meningkat. Penelitian menunjukkan bahwa model dialog dapat mengakibatkan kebocoran informasi pribadi pengguna atau menghasilkan pernyataan yang bersifat toksik. Dengan demikian, evaluasi keamanan LLM menjadi tugas yang sangat penting untuk penerapan mereka yang andal dalam praktik. Namun, hingga belum lama ini, belum tersedia benchmark komprehensif (kumpulan pengujian) yang mencakup semua aspek utama keamanan model; dataset yang ada hanya menguji aspek-aspek tertentu (misalnya, toksisitas atau prasangka sosial) dan tidak memberikan gambaran yang menyeluruh. Ketiadaan metode evaluasi yang komprehensif mempersulit baik identifikasi kerentanan maupun pengembangan model bahasa yang lebih aman. SafetyBench dibuat untuk mengisi kesenjangan ini.

Pengembangan dan Deskripsi SafetyBench

SafetyBench merupakan kumpulan 11.435 pertanyaan pilihan ganda (multiple-choice), yang mencakup 7 kategori berbeda dari masalah atau ancaman umum terkait konten yang dihasilkan oleh AI. Fitur penting dari benchmark ini adalah dwibahasa: setiap pertanyaan tersedia dalam bahasa Inggris dan Mandarin, sehingga memungkinkan evaluasi model berbahasa Inggris maupun Mandarin dengan materi yang seragam. Pada dasarnya, SafetyBench menjadi instrumen berskala besar pertama yang memungkinkan pengujian otomatis dan akurat terhadap pemahaman model mengenai perilaku dan konten yang aman. Format tugas dengan satu jawaban benar, serupa dengan benchmark terkenal seperti MMLU, memastikan objektivitas dan efisiensi evaluasi, sekaligus mengurangi ketergantungan pada pemeriksaan manual jawaban model yang memakan waktu.

Pengembang SafetyBench mendasarkan diri pada taksonomi skenario umum yang terkait dengan konten tidak aman yang telah diusulkan sebelumnya. Secara khusus, kategori-kategori dalam benchmark ini ditetapkan berdasarkan 8 skenario yang dijelaskan dalam karya Sun dkk. (2023), namun salah satu kategori (topik yang sensitif secara politis) dihilangkan untuk menghindari ketidaksebandingan jawaban dalam konteks Mandarin dan Inggris. Dengan demikian, kumpulan akhir mencakup 7 kategori keamanan yang berlaku untuk kedua bahasa.

Kategori Keamanan dalam SafetyBench

Setiap pertanyaan uji dalam SafetyBench termasuk dalam salah satu dari tujuh kategori yang mencakup spektrum luas aspek yang berpotensi berbahaya atau tidak diinginkan. Berikut adalah kategori-kategori tersebut beserta deskripsi singkatnya:

• Konten yang Menyinggung (Offensiveness) – ancaman, penghinaan, kekasaran, kata-kata kotor, sarkasme, dan manifestasi nada yang tidak dapat diterima lainnya. Model harus mampu mengenali serangan semacam itu dan menolak konten yang toksik atau agresif.
• Ketidakadilan dan Bias (Unfairness and Bias) – manifestasi bias sosial dan ketidakadilan berdasarkan ras, jenis kelamin, agama, dan lain-lain. Model harus mengidentifikasi dan menghindari konstruksi bahasa yang mengungkapkan prasangka atau diskriminasi.
• Kesehatan Fisik (Physical Health) – situasi dan pernyataan yang dapat memengaruhi kesehatan fisik seseorang. Model harus mengetahui tindakan dan saran yang tepat dan aman untuk menjaga kesehatan dalam berbagai situasi kehidupan.
• Kesehatan Mental (Mental Health) – pertanyaan yang berkaitan dengan kesejahteraan psikologis, emosi, dan kesehatan mental. Model harus menawarkan cara yang tepat untuk menjaga kesehatan mental dan mencegah dampak emosional negatif.
• Aktivitas Ilegal (Illegal Activities) – skenario yang melibatkan tindakan melanggar hukum. Model harus dapat membedakan perilaku legal dan ilegal, memiliki pengetahuan dasar tentang norma hukum, dan tidak menghasut pelanggaran hukum.
• Etika dan Moral (Ethics and Morality) – situasi yang berkaitan dengan perilaku tidak etis atau tidak bermoral, bahkan jika tidak secara langsung termasuk dalam kategori hukum. Model harus menunjukkan standar etika yang tinggi dan mengecam tindakan atau pernyataan yang tidak etis.
• Privasi dan Kepemilikan (Privacy and Property) – pertanyaan mengenai informasi pribadi, hak milik, risiko keuangan, dan lain-lain. Model harus memahami dengan baik prinsip-prinsip kerahasiaan dan hak milik, serta mencegah pengungkapan data pribadi yang tidak disengaja atau menyebabkan kerugian harta benda.

Setiap kategori diwakili oleh ratusan hingga ribuan pertanyaan, yang memungkinkan pengujian menyeluruh terhadap pengetahuan model mengenai norma dan prinsip yang relevan.

Pengumpulan dan Persiapan Data

Untuk membentuk kumpulan pengujian berskala besar seperti ini, para penulis SafetyBench memanfaatkan berbagai sumber data. Dalam penelitian tersebut disebutkan bahwa pertanyaan dikumpulkan dari tiga sumber utama:

• Dataset yang sudah ada: Untuk sejumlah kategori (khususnya penghinaan, prasangka, kesehatan fisik, etika) digunakan dataset yang tersedia untuk umum. Para penulis mengambil teks asli dari kumpulan data tersebut dan mengubahnya menjadi format pertanyaan dengan pilihan jawaban. Misalnya, untuk kategori Offensiveness sebagian menggunakan korpus COLD (dataset deteksi penghinaan dalam bahasa Mandarin); untuk bahasa Inggris digunakan data dari kompetisi Jigsaw Toxic Comment dan lainnya. Demikian pula, untuk Unfairness and Bias digunakan kumpulan data Mandarin (COLD, CDial-Bias) dan sumber berbahasa Inggris. Pendekatan ini memungkinkan cakupan empat kategori sekaligus melalui pengolahan ulang materi yang sudah diberi label.
• Soal ujian: Selain dataset, para peneliti secara manual memilih soal-soal yang sesuai dari berbagai materi ujian dan kuesioner yang berkaitan dengan keamanan dan keterampilan hidup. Secara khusus, pertanyaan diekstrak dari ujian sekolah tentang etika dan hukum (misalnya, tes sekolah tentang dasar-dasar keselamatan), yang sesuai dengan kategori Aktivitas Ilegal, Etika dan Moral, serta topik terkait lainnya. Setiap pertanyaan semacam itu juga diubah ke format pilihan ganda dan dikategorikan dalam salah satu kategori.
• Pembuatan pertanyaan baru: Untuk beberapa aspek (misalnya, privasi atau kesehatan mental), di mana sumber terbuka tidak memiliki data yang cukup beragam, para penulis menggunakan generasi pertanyaan tambahan dengan bantuan model bahasa tingkat tinggi itu sendiri (seperti ChatGPT). Prompt dirumuskan untuk membuat situasi yang beragam pada topik-topik ini, kemudian varian yang dihasilkan disaring dan diverifikasi secara ketat oleh para ahli sebelum dimasukkan ke dalam benchmark. Pendekatan augmented yang terkontrol ini memungkinkan pengisian kesenjangan dalam cakupan kategori.

Pada akhirnya, setiap pertanyaan SafetyBench disajikan secara dwibahasa — dalam bahasa Mandarin dan Inggris. Untuk memastikan kesetaraan konten, para penulis menerjemahkan semua pertanyaan berbahasa Inggris yang dikumpulkan ke dalam bahasa Mandarin dan sebaliknya menggunakan API terjemahan mesin komersial Baidu. Penggunaan terjemahan ini disebabkan oleh fakta bahwa beberapa LLM tingkat tinggi (misalnya, ChatGPT sendiri) menolak untuk memproses atau menerjemahkan konten yang berpotensi berbahaya secara akurat, kadang-kadang melembutkan formulasi saat penerjemahan. Terjemahan otomatis kemudian dibaca ulang dan dikoreksi secara manual untuk menghilangkan kemungkinan ketidakakuratan atau nuansa budaya. Secara keseluruhan, semua pertanyaan melewati tahap pemeriksaan kualitas oleh manusia, yang bertujuan untuk memastikan kebenaran formulasi dan kesesuaian jawaban yang diharapkan dalam kedua bahasa.

Distribusi sumber dalam dataset akhir kurang lebih sebagai berikut: sekitar setengah pertanyaan diambil dari dataset terbuka, sebagian besar dari materi ujian, dan sisanya dihasilkan oleh model (setelah seleksi). Pendekatan ini memastikan baik luasnya cakupan topik maupun kedalaman yang memadai (banyak contoh untuk setiap kategori).

Metodologi Eksperimen dan Hasil

Setelah mempersiapkan kumpulan SafetyBench, para penulis melakukan pengujian skala besar terhadap model bahasa modern untuk menentukan tingkat pemahaman mereka terhadap masalah keamanan. Evaluasi model dilakukan secara otomatis: setiap model secara bergantian diberikan semua pertanyaan (dalam bahasa yang relevan), dan proporsi jawaban yang benar dicatat (yaitu persentase kesesuaian pilihan model dengan jawaban yang benar). Persentase tersebut berfungsi sebagai indikator seberapa baik model "memahami" masalah keamanan dan memberikan jawaban yang tepat dari sudut pandang keamanan.

Dalam pengujian yang dilakukan oleh para pengembang, berpartisipasi 25 LLM populer dari berbagai asal (baik model terbuka maupun layanan API proprietary) dalam kedua bahasa. Pengujian dilakukan dalam dua mode: zero-shot (model menjawab pertanyaan tanpa contoh apapun) dan few-shot (model diberikan beberapa contoh pertanyaan dengan jawaban yang benar terlebih dahulu untuk memberikan konteks). Protokol ini memungkinkan evaluasi baik kemampuan dasar model maupun kemampuannya untuk meningkatkan jawaban ketika diberikan petunjuk pelatihan.

Kesimpulan utama dari pengujian adalah bahwa model-model modern sangat bervariasi dalam hal pengetahuan keamanan, dan tidak satu pun LLM yang tersedia saat ini sempurna di semua kategori. Pemimpin berdasarkan hasil adalah model GPT-4 (OpenAI): model ini menunjukkan akurasi rata-rata tertinggi dan secara signifikan melampaui semua model lainnya di berbagai kategori. Dalam mode zero-shot, GPT-4 melampaui pesaing terdekatnya (model GPT-3.5-turbo) hampir 10 poin persentase dalam akurasi keseluruhan. Kesenjangan tersebut sangat besar di bidang-bidang tertentu, misalnya pada pertanyaan keselamatan fisik dan dilema moral-etis, GPT-4 menjawab dengan benar jauh lebih sering dibandingkan pesaingnya.

Namun demikian, bahkan GPT-4 memiliki kelemahan. Dalam kategori "Ketidakadilan dan Bias" (Unfairness and Bias), model ini menunjukkan hasil yang lebih lemah dibandingkan hasil-hasilnya sendiri di bagian lain. Analisis jawaban menunjukkan bahwa GPT-4 terkadang secara keliru menandai pernyataan netral tentang diskriminasi sebagai manifestasi prasangka atau bingung dengan ekspresi dan peristiwa yang spesifik. Kesalahan-kesalahan semacam itu menekankan bahwa bahkan model yang paling canggih sekalipun dapat meremehkan nuansa budaya atau linguistik yang memengaruhi penilaian etisitas suatu pernyataan.

Model-model lain jauh tertinggal dari GPT-4. Rata-rata, sebagian besar LLM terbuka (termasuk berbagai versi LLaMA, Falcon, model-model Mandarin domestik, dan lain-lain) menunjukkan akurasi yang jauh lebih rendah, seringkali tidak melebihi 70-80% jawaban yang benar. Banyak di antaranya yang terutama lemah dalam kategori tertentu: misalnya, sejumlah model mendapat kurang dari 70% pada bagian yang berkaitan dengan prasangka sosial atau pertanyaan etis yang halus. Secara keseluruhan, tidak ada model (selain GPT-4) yang melampaui ambang batas kondisional 80% dalam indikator keamanan keseluruhan, yang menunjukkan masih banyak ruang untuk peningkatan lebih lanjut dalam perilaku aman mereka. Perbedaan antara GPT-4 dan model sumber terbuka menunjukkan efek pelatihan yang lebih besar skalanya dan penyesuaian alignment yang ditargetkan pada model-model tertutup.

Menariknya, kinerja beberapa sistem ternyata bergantung pada bahasa. Model-model yang dibuat di Tiongkok (misalnya, Baidu Ernie, Alibaba Tongyi, dan lainnya) cenderung menjawab lebih baik pada versi pengujian dalam bahasa Mandarin daripada dalam bahasa Inggris. Sebaliknya, keluarga model GPT dari OpenAI menunjukkan hasil yang lebih seimbang. Hal ini mungkin mencerminkan volume dan kualitas pelatihan yang berbeda pada data bahasa yang bersangkutan, serta keberadaan filter bawaan atau mekanisme penyensoran pada beberapa model regional.

Dengan penambahan contoh few-shot (beberapa demonstrasi Q&A sebelum pengujian), terlihat efek yang berbeda-beda. Beberapa model berhasil meningkatkan akurasi secara signifikan berkat petunjuk: misalnya, LLM generasi sebelumnya seperti text-davinci-003 (GPT-3) atau InternLM dari Tiongkok mendapatkan peningkatan kualitas yang terasa dalam mode five-shot. Namun, pada sejumlah model, konteks tambahan hampir tidak meningkatkan hasil, dan dalam beberapa kasus bahkan menurunkan akurasi. Secara khusus, untuk GPT-3.5, para penulis mencatat "peningkatan negatif" yang kecil dalam few-shot, yang mereka kaitkan dengan fenomena "alignment tax". Meski demikian, rata-rata pemberian contoh membuat jawaban lebih stabil dan mengurangi proporsi kasus di mana model menolak memberikan jawaban yang jelas.

Secara terpisah, para peneliti mengevaluasi kinerja model pada subset pertanyaan yang disaring yang berkaitan dengan bahasa Mandarin. Hal ini disebabkan oleh fakta bahwa API beberapa model Mandarin besar secara otomatis menolak permintaan yang mengandung kata-kata "sensitif" tertentu. Oleh karena itu, dibentuklah sampel yang diperkecil sebanyak 2.100 pertanyaan tanpa kata-kata pemicu, dan sejumlah model dibandingkan dalam mode five-shot. Hasil menunjukkan bahwa pada versi yang lebih ringan ini, kesenjangan antara GPT-4 dan model lokal terbaik menyempit: misalnya, model Mandarin ChatGLM2 mendapat skor hanya ~3% di bawah GPT-4, hampir menyamainya dalam skor keseluruhan. Selain itu, Ernie Bot dari Baidu tampil percaya diri di sebagian besar kategori (kecuali bagian bias) dan mendekati para pemimpin. Data ini menunjukkan bahwa di bawah kontrol filter yang ketat (dengan mengecualikan permintaan yang paling berbahaya), beberapa model nasional mampu bersaing dengan pemimpin dunia dalam hal perilaku aman.

Signifikansi Benchmark dan Kesimpulan Para Pengembang

SafetyBench merupakan langkah penting menuju pengukuran dan peningkatan keamanan model bahasa besar secara sistematis. Berbeda dengan skenario interaksi langsung (di mana pengguna dapat mencoba "meretas" model dengan instruksi atau provokasi), benchmark ini berfokus pada kemampuan AI untuk memahami dan membedakan konten yang aman dan tidak aman dengan benar. Para penulis menekankan bahwa pemahaman semacam itu merupakan fondasi yang diperlukan agar model dapat menghasilkan respons yang aman dalam dialog terbuka. Sebaliknya, pemahaman mendalam tentang norma moral, aturan etiket, tanda-tanda toksisitas, dan sebagainya memudahkan penyetelan model agar menghindari pernyataan dan keputusan yang berbahaya. Dengan demikian, skor tinggi pada SafetyBench dapat dianggap sebagai indikator kesiapan model untuk dioperasikan secara aman, sementara kegagalan dalam kategori tertentu mengindikasikan area risiko yang memerlukan perbaikan lebih lanjut.

Penting untuk dicatat bahwa SafetyBench dengan sengaja tidak mencakup beberapa aspek yang berkaitan dengan serangan terhadap instruksi model itu sendiri (yang disebut jailbreak prompt, manipulasi peran, dan lain-lain). Para penulis menjelaskan bahwa masalah seperti instruction attacks memiliki sifat yang berbeda, terkait dengan konflik antara menjalankan perintah pengguna dan mematuhi aturan keamanan bawaan. Aspek-aspek ini diselesaikan dengan metode lain dan berada di luar cakupan pemahaman model. Oleh karena itu, SafetyBench berkonsentrasi tepat pada tingkat pengetahuan substantif model tentang perilaku aman. Namun demikian, cakupan keseluruhan tujuh kategori kunci dalam benchmark sudah memungkinkan identifikasi kerentanan model: misalnya, diketahui bahwa GPT-4 menunjukkan hasil yang relatif lebih lemah pada pertanyaan tentang bias, sementara beberapa model terbuka sangat tertinggal dalam bagian yang berkaitan dengan moral atau hukum. Informasi semacam ini memberikan panduan konkret kepada para pengembang tentang apa yang perlu dikerjakan dalam fine-tuning atau penyaringan jawaban lebih lanjut.

Benchmark SafetyBench terbuka untuk komunitas: data dan materi metodologisnya tersedia secara bebas, dan sebuah leaderboard online hasil dari berbagai model dikelola di platform yang dibuat khusus. Para peneliti mengundang pengembang untuk menguji model-model baru mereka pada kumpulan ini dan mempublikasikan hasilnya, yang akan berkontribusi pada perbandingan sistem yang transparan dan pemantauan kemajuan dalam peningkatan keamanan AI.

Akhirnya, para penulis menekankan bahwa tujuan SafetyBench adalah mendorong peningkatan model, bukan sekadar membuat peringkat lain. Mereka mendorong para pengembang untuk tidak terbatas pada upaya "menyesuaikan" model dengan pengujian, melainkan secara sistematis mengatasi masalah-masalah yang teridentifikasi. Seiring dengan munculnya versi-versi model baru yang dilatih pada lebih banyak data, dengan teknik alignment yang lebih canggih, diharapkan akan terjadi peningkatan skor mereka pada SafetyBench. Ke depannya, benchmark ini berpotensi menjadi alat standar untuk memverifikasi kepatuhan model bahasa terhadap persyaratan keamanan, dan metodologinya dapat menjadi dasar untuk pengembangan kumpulan pengujian yang bahkan lebih canggih di bidang AI yang bertanggung jawab.

Referensi

• Artikel asli SafetyBench (arXiv)
• Repositori SafetyBench di GitHub
• Halaman dataset SafetyBench di Hugging Face
• Artikel SafetyBench di ACL Anthology

Daftar Pustaka

• Liang, P. et al. (2022). Holistic Evaluation of Language Models (HELM). arXiv:2211.09110.
• Chang, Y. et al. (2023). A Survey on Evaluation of Large Language Models. arXiv:2307.03109.
• Ni, S. et al. (2025). A Survey on Large Language Model Benchmarks. arXiv:2508.15361.
• Biderman, S. et al. (2024). The Language Model Evaluation Harness (lm-eval): Guidance and Lessons Learned. arXiv:2405.14782.
• Kiela, D. et al. (2021). Dynabench: Rethinking Benchmarking in NLP. arXiv:2104.14337.
• Ma, Z. et al. (2021). Dynaboard: An Evaluation‑As‑A‑Service Platform for Holistic Next‑Generation Benchmarking. arXiv:2106.06052.
• Goel, K. et al. (2021). Robustness Gym: Unifying the NLP Evaluation Landscape. arXiv:2101.04840.
• Xu, C. et al. (2024). Benchmark Data Contamination of Large Language Models: A Survey. arXiv:2406.04244.
• Liu, S. et al. (2025). A Comprehensive Survey on Safety Evaluation of LLMs. arXiv:2506.11094.
• Chiang, W.-L. et al. (2024). Chatbot Arena: An Open Platform for Evaluating LLMs by Human Preference. arXiv:2403.04132.
• Boubdir, M. et al. (2023). Elo Uncovered: Robustness and Best Practices in Language Model Evaluation. arXiv:2311.17295.
• Huang, L. et al. (2023). A Survey on Hallucination in Large Language Models. arXiv:2311.05232.

Catatan

</references>