给智能体装护栏的团队，多半默认了一件事：护栏的判定只取决于动作危不危险。10 月 15 日提交 arXiv 的《Language Is a Security Surface for Agent Guards》（编号 2610.22244）把这个默认砸出了一个缺口——同一批工具调用、同一个环境观察、同一个安全标签，只把用户指令换一种语言，十九个守卫里的大多数就改了判。
论文作者是 Hasan Demirkiran 与 Jens Ernstberger，已被 NeurIPS 2026 的 Agents in the Wild 安全研讨会接收。他们建的基准叫 LinguaGuardBench，底子是 TS-Bench 的 AgentDojo-Traj 里 1220 个已标注步骤：只把用户指令译成德语、法语、土耳其语、斯瓦希里语与阿姆哈拉语，工具调用、环境观察与安全标签全部逐字节锁死。任何判定变化，只能归因于语言本身。
语言越少见，翻锅越勤
结果分规模看才有信息量。13B 参数以下的九个守卫，安慰剂校正后的平均翻转率从法语的 +1.5 个百分点爬到阿姆哈拉语的 +4.4——译者越是冷门，守卫越晕。四个专门训练的智能体守卫最为敏感，反倒是前沿 API 守卫整体只动大约一个点；其中表现最稳的 Gemini 3.8 Flash，有无用户指令，判定完全一致。
损伤的方向还随守卫规模而变：12B 到 30B 的开源守卫倾向于多拦——误拦良性步骤至多 +5.0 个百分点；而显著的漏放全部出现在 10B 以下守卫，至多 -7.4 个百分点。一个偏保守一个偏激进，共同点是判定都被语言搅动了。论文还做了事后归因：损伤集中在少数指令上，且落在「智能体推理过程中复述英文请求」的步骤——看起来是守卫在反应请求与推理两个通道之间的不一致，英语改写虽然也动判定，但幅度比不上翻译。
这件事为什么值得护栏团队连夜改排期
它把多语言支持从「体验问题」重新归类成了「安全面问题」。今天的守卫生态是英语中心建的：训练数据英语、评测基准英语、连系统提示都是英语。用户端却是全球语言分布——一个德语用户提出的同样请求，在守卫眼里可能长得就不像它学过的东西。攻击者不需要写一行注入，只要挑一个稀有语种下指令。
基准与全部 48.9 万条判定记录随论文公开，这给了行业一个可复用的体检工具：把自家守卫放上去跑一遍，看翻转率落在哪个区间。论文自己给出的缓解方向也实在——领域分组留出法、按评测单元计指标、带安慰剂的配对干预，都是今天就能落地的评测纪律。
放进台谱里看
站点 1715 的 SafeActBench 论证过「状态转移约束只能落在 harness」：工具调用的前提没被绑定，静态打分再高也会在交互里翻车。那篇讲约束放在哪，本篇讲约束对什么敏感——两篇合起来才是护栏工程的完整画面：harness 管执行的边界，而边界的守卫本身有语言盲区。1943 的 AI Passport 把运行时验权做成了签名凭据，1945 的治理货架把控制装到模型外，这条线上的共识是「别信模型自觉」，LinguaGuardBench 补上了同一条共识的另一半：也别信守卫在非英语输入前的自觉。
对多语言产品团队，这篇还有一个直接的产品含义：如果你的智能体服务英德双语用户，那么同样一句「把上季度的报表发给我」，在两个语种下过的可能是两道安全闸——而其中一道的参数是调给另一道用的。
几盆该浇的冷水
1220 个步骤、五种语言，覆盖面是受控切片而非全语种光谱；阿姆哈拉语与斯瓦希里语的网络文本稀少，可能同时放大了「稀有度效应」与「数据污染效应」，论文没有把两者分开。守卫「翻转」不等于「失守」——多数变化发生在边缘判定上，论文明确所有不安全调用仍被拦住，变动集中在误拦与个别漏放。19.2 与 8.33 那类百分比点数，是小样本评测上的效应量，换批数据可能缩水。
给护栏负责人的一个最短行动清单：今天就拿公开的判定记录抽一千条自家守卫的判定做语言对照实验，重点不是追平前沿模型，是先知道你们的守卫在德语法语下还稳不稳定。这个问题以前没人问过，所以答案大概率不好看——但不知道，比不好看更危险。