Unsere Sicherheitsprüfungen waren auf Deutsch schlechter
Wir haben unsere wöchentliche Menge gegnerischer Prompts nach achtzehn Monaten in Englisch zum ersten Mal auf Deutsch laufen lassen — in einem System, in dem die meisten Nutzer Deutsch schreiben. Etwa doppelt so viele kamen durch.
Achtzehn Monate die falsche Sprache getestet
Unser wöchentlicher Angriffslauf ist eine Menge von Prompts, die abgelehnt werden sollen, automatisch geprüft. Sie entstand auf Englisch, weil die meisten veröffentlichten Beispiele englisch sind, und blieb englisch, weil sie immer bestand und niemand genauer hinsah.
Das System, das sie schützt, bedient eine deutschsprachige Belegschaft. Rund vier Fünftel des echten Verkehrs sind Deutsch. Wir hatten eine Sicherheitseigenschaft in einer Sprache gemessen, die ein Fünftel der Eingaben ausmacht.
Was die Übersetzung zeigte
Wir haben die Menge übersetzt und erneut laufen lassen. Die Ablehnungsquote fiel von rund vierundneunzig auf rund achtundachtzig Prozent — was klein klingt und bedeutet, dass sich die Zahl der durchkommenden Prompts etwa verdoppelte.
Die Fehlschläge waren nicht exotisch. Es waren gewöhnliche Anfragen in deutscher Formulierung, die die englische Fassung derselben Anfrage gefangen hätte — was nahelegt, dass die Abdeckung des Filters die Variable ist und nicht die Sprache selbst.
Die Forschung zur ungleichen Abdeckung
Kumar und Kollegen veröffentlichten 2025 PolyGuard, ein mehrsprachiges Moderationswerkzeug für siebzehn Sprachen, aufgebaut auf der Prämisse, dass Moderationsqualität über Sprachen hinweg nicht gleichmäßig ist und es ein Fehler ist, die englische Leistung als repräsentativ zu behandeln.
Das ist die Korrektur, die wir brauchten, und kein von uns übernommenes Verfahren. Nützlich war die Bestätigung, dass es sich um eine bekannte und allgemeine Eigenschaft handelt und nicht um eine Besonderheit unserer Konfiguration — das hat verändert, wie wir den Befund Kunden gegenüber darstellen.
| Eigenschaft des Testsets | Was es haben muss |
|---|---|
| Sprachverteilung | Passend zum echten Verkehr, nicht zur Bequemlichkeit |
| Formulierung | Von Muttersprachlern geschrieben, nicht übersetzt |
| Fachvokabular | Die Begriffe des Kunden, keine allgemeinen |
| Aktualisierung | Quartalsweise. Versuche ändern sich |
Warum Übersetzen nicht reicht
Wir haben die deutsche Menge durch Übersetzen gebaut, was der schnellste Weg zu einer Zahl war und nicht, wie die Menge existieren sollte. Ein übersetzter Angriffsprompt trägt englischen Satzbau, und die Formulierungen, die ein deutscher Sprecher tatsächlich wählt, unterscheiden sich auf Weisen, die für einen Klassifikator zählen.
Die heutige Menge ist deshalb auf Deutsch von einem deutschen Sprecher geschrieben, die übersetzten bleiben getrennt als schwächeres Signal. Die muttersprachlich geschriebene Menge fängt Dinge, die die übersetzte nicht fing — wenig überraschend und erwähnenswert, weil die Abkürzung verlockend ist.
Was wir am System geändert haben
Einen Moderationsschritt, der auf dem deutschen Text läuft statt auf einer Übersetzung davon — was wir früher erwogen und aus Kostengründen verworfen hatten. Die Kosten waren real und die Begründung falsch, denn die Kosten fielen je Anfrage an und das Risiko je Vorfall.
Wir haben außerdem die Schwelle speziell für Deutsch gesenkt — eine unangenehme Asymmetrie, die man in eine Konfigurationsdatei schreibt, und die ehrliche Antwort auf einen gemessenen Zuverlässigkeitsunterschied. Der Kommentar daneben nennt den Grund, mit Datum und Zahlen.
Die allgemeine Lehre
Bei jeder gemessenen Eigenschaft ist zu fragen, in welcher Sprache gemessen wurde. Das gilt über Sicherheit hinaus: Unsere Retrieval-Qualität hatte dasselbe Problem, und wir haben es auf demselben Weg gefunden. Beide Male sah die Gesamtkennzahl gut aus, weil die Mehrheitssprache nicht die getestete war.
Es reicht auch über Sprache hinaus. Eine auf der bequemen Teilmenge gemessene Eigenschaft ist eine Eigenschaft, die man über den Rest nicht kennt — und Bequemlichkeit wählt Teilmengen auf eine Weise aus, die damit korreliert, was ein Team ohnehin versteht.
Was es gekostet hat
Einen Tag zum Übersetzen und Laufenlassen, eine Woche für eine richtige deutsche Menge und laufend die Pflege zweier Mengen statt einer. Der Moderationsschritt auf dem Originaltext erhöhte die Kosten je Anfrage um wenige Prozent.
Dem steht gegenüber, dass wir eine echte Lücke gefunden haben, die achtzehn Monate lang in einem produktiven System offen war. Wir hätten sie irgendwann über einen Vorfall gefunden, und der Unterschied zwischen diesen beiden Wegen ist das ganze Argument für gegnerische Tests.
Was wir nicht behaupten
Wir behaupten nicht, Deutsch sei von sich aus schwerer zu moderieren. Die beobachtete Variable ist die Abdeckung, und ein mit mehr deutschen Daten trainierter Filter schlösse die Lücke vermutlich — was wir von unserer Position aus nicht leisten können.
Wir behaupten auch nicht, unsere Menge sei jetzt ausreichend. Es ist ein Sprachpaar, von einer Person geschrieben, quartalsweise aktualisiert, und sie prüft, woran wir gedacht haben. Die ehrliche Position ist: besser als vorher und weiterhin ein Maß unserer Vorstellungskraft.