Technische Zusammenfassung: Latente Richtlinien-Sicherheitsvorkehrungen (LPG)

1. Problemstellung

Moderne KI-Sicherheitssysteme verlassen sich auf „Sicherheitsvorkehrungen" (Guardrails), um Eingabeaufforderungen und Antworten zu filtern. Während traditionelle Sicherheitsvorkehrungen schnell sind, werden sie auf festen Sicherheitstaxonomien trainiert und können sich ohne Nachtraining nicht an dynamische, benutzerspezifische Richtlinien (z. B. spezifische Unternehmensregeln oder regulatorische Einschränkungen) anpassen. Im Gegensatz dazu stehen „richtlinienbewusste" Sicherheitsvorkehrungen, die natürliche Sprachrichtlinien zur Inferenzzeit akzeptieren, vor einem kritischen Zielkonflikt:

• Nicht-schließende Modelle (z. B. DynaGuard) sind schnell, aber brüchig; sie verlassen sich häufig auf positionelle Artefakte oder Inhaltsa priori, anstatt ihre Urteile wirklich auf spezifische Richtliniennormen zu gründen.
• Schließende Modelle (z. B. GuardReasoner, ThinkGuard) erreichen hohe Genauigkeit durch die Generierung expliziter Gedankenketten (CoT) zur Analyse von Richtlinien, doch dies führt zu prohibitiver Latenz (oft 10-mal langsamer), was sie für die Echtzeit-Moderation ungeeignet macht.

Die Kernherausforderung besteht darin, eine Sicherheitsvorkehrung zu entwickeln, die dynamischen, heterogenen Richtlinien treu folgt, um normenverankerte Urteile zu produzieren, und dabei die für den produktiven Einsatz erforderliche niedrige Latenz beibehält.

2. Methodik: Latente Richtlinien-Sicherheitsvorkehrung (LPG)

LPG adressiert diese Spannung, indem sie den Abwägungsprozess in einen kontinuierlichen latenten Raum komprimiert, anstatt ausführliche textliche Begründungen zu generieren. Das Framework basiert auf dem Prinzip, dass Schlussfolgerungsschritte sich auf spezifische Richtliniensignifikate festlegen müssen, anstatt auf diffuse Sicherheitsa priori.

2.1 Strukturierte Evaluierungsvorlage

Anstelle von freiformulierter Schlussfolgerung erzwingt LPG eine feste dreistufige Evaluierungsspur:

1. Intent-Analyse: Untersucht den Gesprächsverlauf, um versteckte böswillige Absichten aufzudecken (z. B. Jailbreaks durch Rollenspiel).
2. Richtlinienanalyse: Identifiziert selektiv relevante Richtliniennormen aus einer großen Menge und fördert semantisches Matching anstelle einer positionellen Enumeration.
3. Urteilsformulierung: Erzeugt ein kompaktes, maschinenlesbares Urteil, das an spezifische verletzte Richtliniennormen ($P^*$) verankert ist.

2.2 Latentes Schließen durch Kompression kontinuierlicher Gedanken

Die Stufen 1 und 2 (Intent- und Richtlinienanalyse) werden in kontinuierliche latente Tokens komprimiert, während Stufe 3 (Urteil) als expliziter Text erhalten bleibt, um die Interpretierbarkeit zu bewahren.

• Ersetzung latenter Tokens: Die explizite Token-Generierung für die ersten beiden Stufen wird durch eine Sequenz latenter Embeddings ersetzt ($e_{t+1} = \text{Proj}(h^{(L)}_t)$), die im latenten Raum fortschreiten, ohne in diskrete Tokens zu materialisieren.
• Stufenabgestimmte latente Slots: Im Gegensatz zu früheren Arbeiten, die einen einzigen undifferenzierten Puffer verwenden, weist LPG separate latente Budgets für die Intent- und Richtlinienstufen zu, wodurch diese Teilaufgaben in separierbaren Teilräumen residieren können.

2.3 Überwachungsstrategie

Eine Schlüsselinnovation ist das Überwachungssignal, das sich von mathematisch orientiertem latentem Schließen unterscheidet (wo eine Token-Rekonstruktion ausreicht). Da Sicherheitsentscheidungen von heterogenen Benutzerrichtlinien und latenten Absichten abhängen, setzt LPG einen Multi-Objective-Loss ein:

1. Verlust des Urteilsoutputs ($L_{out}$): Standard-Cross-Entropy auf dem finalen kompakten Urteilstring.
2. Distillation versteckter Zustände des Lehrers ($L_{distill}$):
   • Answer-Position-Distillation: Bringt die versteckten Zustände von Schüler und Lehrer am Token des Urteilsbeginns zur Ausrichtung, um den entscheidungsproduzierenden Rechenzustand zu übertragen.
   • Stufen-Grenzen-Distillation: Bringt das finale latente Element jeder Stufe mit dem versteckten Zustand des Lehrers am entsprechenden Grenztoken zur Ausrichtung.
3. Semantisch-Inhalts-Überwachung ($L_{explain}$): Anstatt die Token des Lehrers zu rekonstruieren, rekonstruiert das Modell eine kompakte Lehrer-Zusammenfassung (Intent-Kern oder Begründung für Richtlinienviolation), die durch das Basis-LM geleitet wird. Dies stellt sicher, dass latente Elemente semantisch sinnvolle Repräsentationen von Richtlinieninhalten bleiben und keine undurchsichtigen Rechenpuffer sind.
4. Verlust für Referenzschließen ($L_{ref}$): Ein Regularizer unter Verwendung der vollständigen expliziten Schlussfolgerungssequenz des Lehrers, um ein katastrophales Vergessen der Schlussfolgerungsfähigkeiten zu verhindern.

2.4 Trainingskorpus

LPG wird auf einer Mischung von 40.000 Datensätzen aus richtlinienfundierten Datensätzen (DynaBench, GuardSet-X) und allgemeinen Sicherheitsdatensätzen trainiert. Ein kritisches Kuratierungsprinzip ist, dass kein Trainingsbeispiel dieselbe Richtlinielliste zweimal sieht. Richtlinien werden zu einzeiligen „Richtlinienbüchern" umgeschrieben, und Listen werden pro Beispiel dynamisch synthetisiert und gemischt, um zu verhindern, dass das Modell positionelle Abkürzungen lernt oder Regelstrings auswendig lernt.

3. Hauptbeiträge

• Latente Richtlinien-Sicherheitsvorkehrung (LPG): Das erste Framework, das latentes Schließen spezifisch auf richtlinienfundierte Sicherheitsmoderation anwendet und die Abwägung auf ca. 10 latente Tokens komprimiert.
• Semantische latente Abwägung: Ein neuartiges Design, bei dem latente Stufen durch Lehrer-Distillation und Zusammenfassungsrekonstruktion explizit mit Richtliniensignifikaten (Intent und Normenrelevanz) abgeglichen werden, anstatt einer einfachen Token-Rekonstruktion.
• Normenverankerte Urteile: Ein Mechanismus, der das Modell zwingt, spezifische verletzte Richtliniennormen auszugeben, um Auditierbarkeit zu gewährleisten und die Abhängigkeit von Sicherheitsa priori zu verhindern.
• Effizienz-Genauigkeits-Pareto-Grenze: Der Nachweis, dass tiefes Richtlinien-Schließen von hoher Latenz entkoppelt werden kann.

4. Experimentelle Ergebnisse

Evaluiert auf GuardSet-X, DynaBench (augmentiert mit Mischungen und kontrafaktischen Szenarien) und Out-of-Distribution-Benchmarks (HarmBench, WildGuardTest, PolicyGuardBench):

• Genauigkeit: LPG-4B erreicht 84,5 % durchschnittliche Sicherheitsgenauigkeit und 77,9 % F1 auf richtlinienfundierten Benchmarks und übertrifft die stärkste dynamische Baseline (DynaGuard-8B) sowie Schließ-Baselines (GuardReasoner).
• Robustheit: Auf dem augmentierten DynaBench (mit gemischten Richtlinien und kontrafaktischer Regelentfernung) behält LPG eine hohe Leistung bei, während nicht-schließende Baselines wie DynaGuard signifikante Genauigkeitsverluste erleiden (z. B. -7,4 Punkte unter Mischung), was darauf hindeutet, dass LPG seine Entscheidungen wirklich auf Richtlinieninhalte gründet.
• Latenz: LPG läuft etwa 11-mal schneller als Qwen3-4B-Thinking und 5,4-mal schneller als GuardReasoner-8B bei der Evaluierung einzelner Proben, mit einer durchschnittlichen Latenz von ca. 748 ms.
• Ablationsstudien:
  • Das Entfernen des Answer-Position-Distillation-Verlusts führt zu einem nahezu 20-Punkte-Genauigkeitsabfall und identifiziert ihn als kritisches Überwachungssignal.
  • Eine Sweep-Studie des latenten Budgets zeigt, dass 10 latente Tokens (4 für Intent, 6 für Risiko) die Leistung des vollständigen expliziten Schließens mit ca. 5-mal geringerer Latenz annähern, wobei ab 20 Tokens abnehmende Grenzerträge auftreten.
• Out-of-Distribution (OOD): LPG generalisiert gut auf unbekannte Benchmarks (z. B. 96,4 % F1 auf HarmBench) und übertrifft statische Sicherheitsvorkehrungen sowie dynamische Baselines, die bei Änderungen des Richtlinienraums an Leistung verlieren.

5. Bedeutung und Behauptungen

Die Arbeit behauptet, dass LPG eine praktische Brücke zwischen schnellen statischen Klassifikatoren und langsamen, aber ausdrucksstarken richtlinienbasierten Sicherheitsvorkehrungen schlägt. Ihre primäre Bedeutung liegt im Nachweis, dass latente Kompression ein tragfähiger Mechanismus für dynamisches Richtlinien-Schließen ist.

Indem sie die Abwägung von Oberflächentokens in kontinuierliche latente Zustände verlagert, die durch entscheidungsrelevante Semantiken überwacht werden, erreicht LPG:

1. Dynamische Anpassungsfähigkeit: Die Fähigkeit, beliebige, benutzergelieferte Richtlinien ohne Nachtraining durchzusetzen.
2. Auditierbarkeit: Urteile sind explizit an verletzte Normen verankert, was Transparenz ermöglicht.
3. Echtzeit-Tauglichkeit: Die Latenzreduktion macht richtlinienbewusstes Schließen für Streaming-Anwendungen (z. B. Chatbots, Agenten-Tool-Nutzung) praktikabel, bei denen explizites CoT zu langsam ist.

Die Autoren positionieren diese Arbeit als einen Schritt hin zu „latenter Compliance-Schlussfolgerung" und deuten an, dass jedes KI-System, das eine Laufzeit-Compliance mit natürlichen Sprachregeln erfordert, von dieser Architektur profitieren kann. Sie stellen fest, dass sich die Prinzipien, obwohl das aktuelle Design auf Sicherheitsmoderation fokussiert ist, auf regulatorische Compliance und die Durchsetzung von Unternehmensrichtlinien erstrecken.