Resumen Técnico: SafePyramid

Planteamiento del Problema

Las actuales salvaguardas de los Grandes Modelos de Lenguaje (LLM) dependen predominantemente de taxonomías de riesgo predefinidas (por ejemplo, categorías fijas como "Privacidad", "Fraude" o "Contenido Sexual") para clasificar las interacciones entre el usuario y el modelo. Si bien este paradigma es efectivo para la seguridad general, carece de la flexibilidad necesaria para aplicaciones del mundo real donde los estándares de seguridad varían significativamente entre organizaciones, jurisdicciones y casos de uso específicos (por ejemplo, la política de seguridad juvenil de una plataforma de videos cortos frente a las reglas anti-trampas de un foro de videojuegos).

El escenario emergente de la salvaguarda de políticas en contexto aborda esto permitiendo que las salvaguardas ejecuten políticas de seguridad proporcionadas explícitamente en el contexto durante la inferencia, en lugar de depender de priors de riesgo estáticos y preentrenados. Sin embargo, evaluar esta capacidad sigue siendo un desafío inexplorado. Los benchmarks existentes se centran en el seguimiento de instrucciones generales, la seguridad de taxonomía fija o carecen de la granularidad para diagnosticar fallos específicos en la ejecución de políticas. No existe un marco sistemático para evaluar si las salvaguardas pueden:

1. Ejecutar de manera fiable políticas de seguridad arbitrarias proporcionadas en el contexto.
2. Resolver dependencias complejas entre reglas (por ejemplo, excepciones y condiciones).
3. Adaptarse a marcos de políticas novedosos que introducen nuevos conceptos y terminología.

Metodología: SafePyramid

Para abordar estas brechas, los autores presentan SafePyramid, un benchmark jerárquico diseñado para evaluar sistemáticamente la salvaguarda de políticas en contexto. El benchmark se construye mediante un riguroso pipeline de múltiples etapas que involucra a LLMs de frontera (Grok-4.1, GPT-5.4, Gemini-3.1-Pro, Claude-Opus-4.6) para la generación, seguido de validación entre modelos y revisión por parte de expertos humanos.

Composición del Conjunto de Datos

SafePyramid comprende:

• 1,000 conversaciones de múltiples turnos a través de 10 dominios de seguridad (Integridad Académica, Moderación de Contenido, Infraestructura Crítica, Difamación, Discriminación, Fraude, Propiedad Intelectual, Privacidad, Contenido Sexual, Asesoría Especializada).
• 3,000 políticas específicas de aplicación, sumando un total de 61,699 reglas de lenguaje natural distintas.
• Tres Niveles de Dificultad (Diseño Jerárquico):
  • L0 (Comprensión de Reglas Individuales): Evalúa la capacidad de determinar si se viola una sola regla. Incluye Reglas Decisivas (claramente activadas o no) y Reglas Distractoras (temáticamente relacionadas pero no activadas).
  • L1 (Resolución de Dependencias de Reglas): Extiende L0 introduciendo Reglas de Excepción (que anulan reglas base bajo condiciones específicas) y Reglas Condicionales (que endurecen las reglas base o crean nuevas violaciones bajo condiciones específicas). Este nivel pone a prueba la capacidad del modelo para manejar la lógica interdependiente.
  • L2 (Adaptación a Marcos de Políticas Novedosos): Extiende L1 reescribiendo la estructura de la política subyacente utilizando conceptos y terminología totalmente ficticios (inspirados en CL-Bench). Esto obliga a los modelos a aprender y aplicar el marco de la política desde cero sin depender de priors de seguridad preentrenados o conocimientos legales del mundo real.

Protocolos de Evaluación

El benchmark soporta dos modos de evaluación:

1. Evaluación por Política: El modelo lee la política completa y la conversación para predecir el conjunto completo de reglas violadas. Este es el escenario principal para los LLMs de frontera.
2. Evaluación por Regla: El modelo evalúa una regla objetivo a la vez, agregando decisiones binarias. Esto está diseñado para modelos de salvaguarda ajustados (fine-tuned) con interfaces de salida fijas.

Métricas:

• Tasa de Coincidencia de Reglas (RMR): Mide el porcentaje de casos donde el conjunto de reglas violadas predicho coincide con la verdad de campo dentro de un umbral de tolerancia ($\tau$). La métrica principal es el RMR promedio sobre $\tau \in \{0.7, 0.8, 0.9, 1.0\}$.
• Tasa de Desacuerdo de Reglas (RDR): Una métrica de promedio micro que cuantifica el número total de errores a nivel de regla (falsos positivos y falsos negativos) en relación con el total de reglas involucradas.

Resultados Clave

Los autores evaluaron 10 LLMs de frontera y 5 modelos de salvaguarda configurables por política en SafePyramid. Los resultados resaltan limitaciones significativas en los sistemas actuales:

• Rendimiento General: Incluso el modelo con mejor desempeño, GPT-5.5, logra una coincidencia exacta (RMR@1.0) en solo el 54.0% de los casos de L0, el 35.3% de los casos de L1 y el 12.9% de los casos de L2.
• Progresión de la Dificultad: Existe una caída monotónica de rendimiento de L0 a L2 en todos los modelos. La caída de L0 a L1 indica que el manejo de dependencias de reglas (excepciones/condiciones) es un cuello de botella importante. La mayor caída hacia L2 sugiere que la adaptación a marcos novedosos es un desafío aún más severo.
• Limitaciones de los Modelos de Salvaguarda: Los modelos de salvaguarda configurables por política (por ejemplo, GPT-OSS-Safeguard) se comportan competitivamente en L0, pero su rendimiento colapsa en L1 y L2, lo que sugiere que aún no están diseñados para la ejecución de políticas completas con dependencias complejas.
• Análisis de Errores:
  • Errores en L0: Dominados por Reglas Decisivas, a menudo debido al "emparejamiento de pistas superficiales" (surface-cue matching), donde los modelos no logran distinguir entre un chatbot que respalda un comportamiento y uno que atribuye una opinión a un tercero.
  • Errores en L1: Se desplazan hacia las Reglas de Excepción, donde los modelos frecuentemente activan excesivamente las excepciones basándose en coincidencias parciales de palabras clave sin verificar todas las condiciones de activación.
  • Errores en L2: Involucran cada vez más las Reglas Condicionales. Los modelos luchan por distinguir entre la regla condicional misma (un modificador) y la regla base que modifica, tratando a menudo la condicional como una violación en sí misma cuando se introducen marcos novedosos.
• Estrategias de Mitigación:
  • Evaluación por Regla: Descomponer la tarea en clasificación por regla mejora significamente el rendimiento para modelos de salvaguarda más pequeños (por ejemplo, GPT-OSS-Safeguard-120B mejoró de un 23.6% a un 52.4% de RMR promedio), indicando que la composición de la política completa es un cuello de botella.
  • Harnesses Agénticos: El uso de flujos de trabajo agénticos (por ejemplo, Codex, Claude Code) para descomponer la tarea y verificar pasos intermedios mejora el rendimiento, particularmente en L1 y L2, sugiriendo que el razonamiento explícito y la verificación ayudan con la resolución de dependencias.
  • Esfuerzo de Razonamiento: Aumentar el esfuerzo de razonamiento (por ejemplo, esfuerzo "xhigh" en GPT-5.5) produce ganancias marginales en L0 pero mejoras sustanciales en L1 y L2, confirmando que la resolución de dependencias complejas requiere un mayor presupuesto computacional.

Significancia y Contribuciones

El artículo realiza cuatro contribuciones principales:

1. Formulación del Problema: Define formalmente la salvaguarda de política en contexto como una tarea donde las salvaguardas deben identificar violaciones de seguridad utilizando especificaciones de política proporcionadas en el contexto, yendo más allá de las taxonomías de riesgo fijas.
2. Identificación de Capacidades: Identifica y aísla tres capacidades críticas requeridas para este escenario: comprensión de reglas individuales, resolución de dependencias de reglas y adaptación a marcos de políticas novedosos.
3. Introducción de Benchmark: Presenta SafePyramid, un benchmark jerárquico de tres niveles exhaustivo que contiene 1,000 conversaciones, 3,000 políticas y 61,699 reglas, construido con un riguroso control de calidad.
4. Evidencia Empírica: Proporciona una evaluación extensa que muestra que los modelos de vanguardia actuales están lejos de ser salvaguardas de política en contexto fiables, particularmente cuando se enfrentan a dependencias de reglas y marcos novedosos.

Los autores concluyen que el campo debe ir más allá de la simple clasificación de riesgos hacia una ejecución de políticas explícita, auditable y adaptable. Los hallazgos sugieren que las salvaguardas más fuertes probablemente requerirán una mejor descomposición de políticas, organización del contexto y mecanismos de verificación a nivel de regla, aprovechando potencialmente los flujos de trabajo agénticos. SafePyramid sirve como una herramienta de diagnóstico para rastrear el progreso en estas áreas.