💻 computer science

GLiNER Guard: Unified Encoder Family for Production LLM Safety and Privacy

GLiNER Guard (GLiGuard) es una familia de codificadores unificada que realiza simultáneamente la clasificación de seguridad y la detección de información de identificación personal en una sola pasada hacia adelante, ofreciendo una alternativa de alto rendimiento, baja latencia y rentable a los moderadores autorregresivos tradicionales para sistemas de LLM en producción.

Autores originales: Bogdan Minko, Sabrina Sadiekh, Evgeniy Kokuykin

Publicado 2026-05-08

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Bogdan Minko, Sabrina Sadiekh, Evgeniy Kokuykin

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que gestionas una ciudad digital masiva y bulliciosa donde las personas (usuarios) conversan con robots gigantes y superinteligentes (LLMs) para obtener respuestas, escribir historias o resolver problemas. Antes de que estas conversaciones lleguen a los grandes robots, deben pasar por un puesto de control de seguridad.

Este puesto de control tiene dos funciones muy importantes:

Guardia de Seguridad: Detener a los malos intentos de hackear el sistema, engañar al robot o decir cosas ofensivas.
Guardia de Privacidad: Detectar y ocultar secretos personales como números de tarjetas de crédito, direcciones de hogar o números de teléfono antes de que se filtren.

El Problema: El "Gigante Lento" vs. el "Olfateador Rápido"

Hasta ahora, los planificadores de la ciudad tenían que elegir entre dos tipos de guardias, y ninguno era perfecto:

Los Gigantes Lentos (Modelos Autoregresivos): Son como guardias de seguridad gigantes y altamente educados que leen cada palabra de una solicitud cuidadosamente, pensando profundamente en el contexto. Son increíblemente precisos para detectar cosas malas, pero son lentos y costosos de contratar. Si tienes millones de personas intentando entrar a la ciudad cada segundo, contratar suficientes de estos gigantes para revisar a todos llevaría a la ciudad a la bancarrota y causaría atascos masivos.
Los Olfateadores Rápidos (Codificadores Ligeros): Son como perros rápidos y entrenados que olfatean olores específicos (como "palabras tóxicas" o "direcciones de correo electrónico"). Son rápidos y baratos, pero son de mente estrecha. Podrían pasar por alto un truco astuto o no detectar un secreto personal complejo porque no están "pensando" lo suficientemente profundo.

La Solución: El "Super-Olfateador" (Guardia GLiNER)

Los autores de este artículo, HiveTraceLab, construyeron un nuevo tipo de guardia llamado Guardia GLiNER (GLiGuard). Imagínalo como un super-olfateador que también puede pensar como un detective, todo en un solo paquete.

En lugar de contratar a un gigante lento y a un olfateador rápido (lo que requiere dos verificaciones separadas), GLiGuard realiza ambas tareas en un solo paso, relámpago.

Así es como lo construyeron:

El Cerebro: Tomaron un cerebro inteligente y compacto (basado en un modelo llamado GLiNER2) y lo enseñaron a buscar dos cosas a la vez: "¿Es esta solicitud peligrosa?" y "¿Contiene esto un secreto?".
Las Variantes: Construyeron tres versiones de este guardia para diferentes necesidades:
1. El Guardia Compacto (Uni/Bi-Encoder): Una versión diminuta y superrápida diseñada para manejar multitudes masivas. Es tan eficiente que puede revisar a casi 200 personas por segundo en un solo chip de computadora, con casi cero retraso.
2. El Guardia Omni: Una versión ligeramente más grande y más inteligente. Es un poco más lenta que la compacta, pero es mejor entendiendo situaciones complejas y puede adaptarse a reglas nuevas y extrañas sin necesidad de ser reentrenada desde cero.

Los Resultados: Velocidad Encuentra Inteligencia

El artículo probó estos nuevos guardias en una ciudad simulada (usando puntos de referencia como Aegis y StrongReject) y encontró algunas cosas impresionantes:

Velocidad: El Guardia Compacto es un demonio de la velocidad. En un chip de computadora potente (un A100), procesó solicitudes 1.6 veces más rápido que el mejor guardia ligero anterior, manteniendo la "latencia de cola" (el tiempo que tardan las solicitudes más lentas) por debajo de 1 segundo.
Precisión: Aunque es pequeño, es sorprendentemente fuerte. En las pruebas de seguridad, la versión "Omni" obtuvo puntuaciones más altas que modelos mucho más grandes y lentos. Demostró que no necesitas un "gigante" de 20 mil millones de parámetros para atrapar a la mayoría de los actores maliciosos; un "olfateador" inteligente de 200 millones de parámetros hace el trabajo perfectamente para la primera línea de defensa.
Privacidad: No solo detuvo palabras malas; encontró exitosamente secretos personales (como nombres y direcciones) en el texto, demostrando que puede reemplazar la necesidad de un "escáner de privacidad" separado.

La Estrategia: La Ciudad "Por Niveles"

El artículo sugiere una forma inteligente de gestionar esta ciudad: Usar GLiGuard como la puerta principal.

Dado que GLiGuard es tan rápido y barato, puedes ponerlo frente a todos. Atrapa a los malos obvios y oculta los secretos obvios instantáneamente.

Si GLiGuard no está seguro sobre una solicitud (quizás es un mensaje complicado, largo o multilingüe), puede pasar esa solicitud específica a un "Gigante Lento" (un modelo de IA más grande) para una segunda mirada más profunda.
De esta manera, solo pagas el precio caro por los casos difíciles, mientras que el guardia rápido y barato maneja el 99% del tráfico.

El Nuevo Mapa (PII-Bench)

Para demostrar sus habilidades de privacidad, los autores también crearon un nuevo mapa llamado PII-Bench. Es una prueba diseñada específicamente para ver qué tan bien un guardia puede encontrar secretos personales en conversaciones en idioma ruso. Descubrieron que su nuevo guardia era excelente en esto, especialmente cuando se combinaba con verificadores de reglas simples (como un corrector ortográfico para números de teléfono).

Resumen

En resumen, GLiNER Guard es un guardia de seguridad práctico y todo en uno para sistemas de IA. Resuelve el viejo compromiso entre velocidad y seguridad ofreciendo un modelo que es lo suficientemente rápido para manejar millones de solicitudes pero lo suficientemente inteligente para detectar violaciones de seguridad y secretos personales en una sola mirada. Permite a las empresas mantener sus sistemas de IA seguros y privados sin quebrar el banco ni ralentizar a sus usuarios.

Resumen Técnico: GLiNER Guard (GLiGuard)

Declaración del Problema

Los sistemas de Modelos de Lenguaje Grandes (LLM) en producción enfrentan una compensación crítica entre la calidad de la moderación de seguridad y la eficiencia operativa. Las barreras de seguridad (guardrails) más avanzadas actuales son predominantemente modelos autoregresivos (por ejemplo, LlamaGuard, WildGuard, ShieldGemma). Si bien estos modelos ofrecen una moderación de alta calidad y robustez frente a prompts adversarios, sus costos de inferencia y latencias hacen que su implementación "siempre activa" a escala sea prohibitivamente costosa. Por el contrario, los modelos basados en codificadores ligeros son significativamente más rápidos, pero típicamente sufren de un alcance limitado (por ejemplo, detectar solo inyección de prompts o toxicidad binaria) y carecen de la capacidad para realizar tareas de extracción estructurada como la detección de Información de Identificación Personal (PII).

Además, los pipelines de producción a menudo dependen de arquitecturas fragmentadas, desplegando modelos separados para la moderación de seguridad y la detección de PII. Esta separación aumenta la complejidad del pipeline, la sobrecarga de mantenimiento y la latencia acumulada. El artículo aborda la siguiente pregunta: ¿Puede un codificador unificado compacto proporcionar una protección de primera etapa eficiente que combine una fuerte calidad de moderación con funcionalidad multi-tarea (clasificación de seguridad y detección de PII) en una única unidad desplegable?

Metodología

Los autores introducen GLiNER Guard (GLiGuard), una familia de codificadores unificados construida sobre la arquitectura GLiNER2. A diferencia de las barreras de seguridad autoregresivas que generan tokens de texto, GLiGuard realiza la clasificación de seguridad y la extracción de PII a nivel de span en una sola pasada hacia adelante sin decodificación.

Variantes de Arquitectura

El artículo propone tres variantes orientadas al despliegue:

Uni-Codificador Compacto (147M parámetros): Sigue el diseño estándar de GLiNER2 donde el texto de entrada y las etiquetas del esquema se concatenan y procesan con atención bidireccional completa. Esto ofrece una rica interacción texto-etiqueta, pero requiere volver a codificar las etiquetas para cada solicitud.
Bi-Codificador de Pesos Compartidos (145M parámetros): Codifica el texto y las etiquetas por separado en un espacio de incrustación compartido. Crucialmente, las representaciones de las etiquetas son independientes del texto de entrada, lo que permite que se precalculen y almacenen en caché. Esta variante está optimizada para escenarios con taxonomías de políticas grandes, fijas o específicas de inquilinos.
GLiNER Guard Omni (209M parámetros): Inicializado a partir de GLiNER2 Multi en lugar de entrenado desde cero. Esta variante preserva capacidades más amplias de transferencia en dominios generales mientras añade supervisión específica de barreras de seguridad, haciéndola adecuada para despliegues que requieren esquemas personalizados o una cobertura de tareas más amplia.

Estrategia de Entrenamiento

Todas las variantes se entrenan con 467,273 ejemplos multi-tarea utilizando una división de entrenamiento/validación de 95/5. La mezcla de entrenamiento incluye hasta seis señales de supervisión simultáneas:

Extracción de spans (NER)
Clasificación de seguridad
Detección de ataques adversarios
Categorización de contenido dañino
Reconocimiento de intención
Clasificación de tono

El conjunto de datos combina conjuntos de datos públicos de seguridad (por ejemplo, Aegis 2.0, WildGuardMix) con datos internos de seguridad en idioma ruso y corpus sintéticos de PII. Cabe destacar que la mezcla de entrenamiento está dominada por tareas de clasificación, siendo las anotaciones de PII a nivel de span menos frecuentes debido a la escasez de datos.

Contribuciones Clave

Arquitectura de Barrera Unificada: La introducción de GLiGuard, un solo codificador capaz de realizar clasificación de seguridad y detección de PII simultáneamente, reemplazando la necesidad de pilas separadas de moderación y NER.
Variantes Optimizadas para Producción: El desarrollo de variantes compactas de uni- y bi-codificador específicamente ajustadas para servicio de alto rendimiento, incluido un diseño de bi-codificador de pesos compartidos que soporta el almacenamiento en caché de etiquetas para un despliegue escalable.
GLiNER Guard Omni: Una variante más grande que demuestra un rendimiento de transferencia mejorado y una generalización más amplia mientras mantiene una fuerte calidad de moderación.
PII-Bench: El lanzamiento de una nueva referencia a nivel de span para evaluar la detección de PII en pipelines de extremo a extremo. Esta referencia se centra en datos en idioma ruso (debido a la falta de recursos públicos) e incluye 1,810 ejemplos verificados por humanos a través de 13 tipos de entidades y 9 dominios, distinguiendo entre la extracción cruda del modelo y el rendimiento completo del pipeline (incluyendo el post-procesamiento basado en reglas).
Evaluación Orientada a Producción: Una evaluación exhaustiva que cubre la calidad de la moderación, la detección de PII, la generalización zero-shot y la eficiencia de servicio bajo condiciones de carga realistas.

Resultados

Calidad de Moderación de Seguridad

GLiGuard logra resultados competitivos en referencias públicas de seguridad (Aegis 2.0, StrongReject, PolyGuard) a pesar de su tamaño compacto:

GLiGuard Omni logra el mejor resultado general de codificador con un F1 promedio de 76.9, superando a GLiNER2 Multi (66.6) y GLiClass (64.9).
En la moderación a nivel de prompt (Aegis 2.0), las variantes compactas alcanzan 80.2 F1, superando a LlamaGuard 3 (77.2) y Llama 4 Guard (71.5), y acercándose a WildGuard (81.5).
En StrongReject, el uni-codificador alcanza 98.5 F1 y Omni alcanza 99.7 F1.
Eficiencia de Parámetros: Todas las variantes de GLiGuard lideran el conjunto de comparación en eficiencia normalizada por parámetros ( $F1_{avg} / \log_2 P$ ), con Omni logrando una puntuación de 2.78.

Detección de PII

El artículo distingue entre la extracción cruda del modelo y el rendimiento completo del pipeline:

Extracción Cruda: GLiNER2 Multi y Omni muestran fuertes capacidades de extracción cruda para entidades dependientes del contexto como nombres.
Rendimiento del Pipeline: Después de integrar componentes basados en reglas y fusión de spans, las variantes compactas de GLiGuard logran resultados finales superiores en el pipeline. El uni-codificador alcanza 75.7 F1 en la extracción de NOMBRE, superando a GLiNER2 Multi (60.6) por 15.1 puntos. El bi-codificador logra el mejor resultado en DIRECCIÓN con 68.7 F1.
Esto demuestra que el modelo unificado maneja efectivamente las entidades dependientes del contexto que los sistemas basados en reglas pasan por alto, mientras que el pipeline maneja las entidades estructuradas.

Eficiencia de Servicio

Evaluado en una sola GPU NVIDIA A100 bajo agrupación dinámica:

Rendimiento: Los modelos compactos alcanzan 193 solicitudes/seg (ONNX TensorRT) con una latencia P99 por debajo de 1 segundo.
Comparación: Esto representa un rendimiento 1.6× mayor que GLiNER2 Multi (122.6 RPS) y supera significativamente a los moderadores autoregresivos (por ejemplo, WildGuard en 1.3 RPS).
Latencia: El bi-codificador alcanza 0.019 segundos por solicitud, en comparación con 0.744 segundos para WildGuard.
Estabilidad: GLiGuard mantuvo una tasa de error del 0% en todos los backends probados, mientras que GLiNER2 Multi exhibió una tasa de error del 12.95% bajo carga PyTorch.

Generalización

Especialización vs. Transferencia: Los uni- y bi-codificadores compactos están altamente especializados en tareas de seguridad y muestran una generalización pobre a tareas no relacionadas con la seguridad (por ejemplo, 0.08 de precisión en Banking77).
Transferencia de Omni: La variante Omni retiene una capacidad significativa de transferencia zero-shot de su inicialización en GLiNER2 Multi, logrando 0.74 de precisión en SST-2 y 0.59 en Banking77, lo que la hace adecuada para despliegues que requieren soporte de esquemas más amplio.

Significado y Afirmaciones

El artículo posiciona a GLiNER Guard como un nivel medio práctico para sistemas de seguridad de LLM. Argumenta que los entornos de producción no necesitan elegir exclusivamente entre clasificadores débiles y estrechos y moderadores autoregresivos costosos y de alta latencia.

Moderación "Siempre Activa" Rentable: GLiGuard ofrece una alternativa de bajo costo para la filtración de primera etapa "siempre activa", capaz de manejar tráfico de alto volumen con latencia inferior a un segundo.
Simplificación del Sistema: Al unificar la clasificación de seguridad y la detección de PII, reduce la complejidad del pipeline y la sobrecarga operativa.
Arquitectura por Niveles: Los autores reconocen que los modelos autoregresivos más grandes aún mantienen ventajas en la moderación a nivel de respuesta y el razonamiento multilingüe. En consecuencia, proponen una arquitectura por niveles donde GLiGuard maneja el tráfico rutinario, y los casos inciertos o complejos se escalan a moderadores más potentes basados en LLM (demostrado mediante una estrategia de cascada que mejora el F1 mientras reduce las tasas de llamadas a LLM).

El trabajo concluye que las barreras de seguridad de codificadores unificados son una base viable para los sistemas de seguridad modernos, equilibrando velocidad, costo y capacidad multi-tarea sin depender exclusivamente de soluciones costosas basadas únicamente en LLM.