[论文] GLiGuard：基于 Schema 的分类用于 LLM 防护

Source: arXiv - 2605.07982v1

Overview

本文介绍了 GLiGuard，一种轻量级（0.3 B 参数）的仅编码器模型，它将安全相关的内容审核视为 分类 问题，而非生成问题。通过将任务定义和标签含义直接嵌入输入中，形成结构化的 “schema”，GLiGuard 能在一次前向传播中评估数十个安全维度，提供与更大（7 B–27 B）解码器模型相当的安全防护性能，同时大幅降低延迟和成本。

关键贡献

• Schema‑conditioned encoding: 将提示安全、响应安全、拒绝检测、14 个细粒度危害类别和 11 种 jailbreak 策略打包进单一 token 架构，并输入双向编码器。
• Compact architecture: 紧凑架构——将 GLiNER2 编码器（≈3 亿参数）适配到安全分类任务，相比典型的守护模型实现 23–90× 的体积缩减。
• Multi‑aspect evaluation in one pass: 单次运行的多方面评估——在无需自回归解码的情况下同步预测所有安全信号，使吞吐量提升至最高 16×，延迟降低至 17×。
• Competitive accuracy: 竞争力的准确性——在九个已建立的安全基准上，匹配或超越 7 B–27 B 解码器式守护模型的 F1 分数。
• Open‑source release: 开源发布——代码、预训练权重和 schema 模板均公开，可促进可复现性和社区扩展。

方法论

1. 任务框架 – 作者将安全审查重新定义为一个多标签分类问题。每个安全维度（例如“性内容”“政治劝说”“越狱尝试”）都被视为一个二元标签。
2. 模式构建 – 对于给定的用户提示和模型回复，构建一个 结构化标记模式，其中包括：
   • 一个 任务定义块，描述模型应评估的内容（例如“回复是否安全？”）。
   • 标签块，列举可能的类别并附上简短的文字描述。
   • 输入文本（提示 + 回复）放在模式之后。
     该模式被标记化后作为单个序列输入到编码器。
3. 编码器适配 – 以 GLiNER2 为起点，作者在涵盖 14 种危害类别和 11 种越狱策略的精选安全数据集上微调双向编码器。模型输出每个标签的 logits 向量，随后通过阈值化得到二元决策。
4. 推理灵活性 – 由于模式位于输入中，新增安全类别或修改现有类别只需编辑模式文本，无需重新训练核心模型。
5. 评估 – 系统在九个公开安全数据集上进行基准测试（如 SafeRLHF、Anthropic 的 HH、越狱语料库）。指标侧重于宏平均 F1、延迟（毫秒）和吞吐量（查询/秒）。

结果与发现

• 准确性：GLiGuard 的 F1 与体积更大的模型相差仅 1–2 %，表明经过良好调校的编码器能够捕捉细微的安全信号。
• 速度：非自回归推理可实现高达 16 倍 的吞吐提升和 17 倍 的延迟降低，使得即使在海量请求下实时审核也变得可行。
• 可扩展性：向模式中添加新标签块不会降低性能，验证了设计的灵活性。

Practical Implications

• Cost‑effective moderation – 部署一个 300 M 参数的 guard 可显著降低 GPU 内存占用和云计算费用，使初创公司和边缘服务能够在不需要昂贵硬件的情况下嵌入安全检查。
• Real‑time user‑facing apps – 聊天机器人、代码助手和生成式搜索界面可以在几乎无感知的延迟下执行多维安全策略，提升用户信任。
• Rapid policy updates – 企业只需更新 schema 模板即可推出新的安全类别（例如新出现的错误信息手段），避免冗长的模型再训练周期。
• Multi‑modal pipelines – 由于 GLiGuard 仅为编码器，可与其他编码器（如检索或嵌入模型）在同一推理图中堆叠，进一步简化端到端流水线。
• Open‑source ecosystem – 已发布的代码库欢迎社区贡献——自定义 schema、领域特定微调，或与现有 LLM 服务栈（如 vLLM、TGI）集成。

限制与未来工作

• Domain coverage – 虽然训练数据范围广泛，但可能遗漏小众或快速演变的有害内容类型；在分布外提示上性能可能下降。
• Binary labeling granularity – 当前方案对每个类别输出二元决策；更丰富的置信分数或层次标签可能提升下游处理。
• Encoder capacity ceiling – 尽管 0.3 B 目前表现良好，但若扩展到数百个安全维度，可能最终需要更大的编码器或更复杂的方案设计。
• Adversarial robustness – 论文指出，故意模糊意图的高级 jailbreak 仍可能逃过检测；未来工作旨在引入对抗训练和动态方案适配。

总体而言，GLiGuard 证明了经过深思熟虑的条件编码器能够以极低的计算成本提供工业级安全审查，为更广泛、实时部署可信 LLM 服务打开了大门。

作者

• Urchade Zaratiana
• Mary Newhauser
• George Hurn-Maloney
• Ash Lewis

论文信息

• arXiv ID: 2605.07982v1
• 分类: cs.CL, cs.CR
• 出版时间: 2026年5月8日
• PDF: 下载 PDF