Resumen Técnico: HaloGuard 1.0

1. Planteamiento del Problema

Los Modelos de Lenguaje Extensos (LLMs) están transitando de interfaces de chat a flujos de trabajo agénticos, expandiendo las superficies de ataque y aumentando el costo de los fallos de seguridad. Aunque existen salvaguardas existentes, estas enfrentan una "frontera crítica de Falsos Positivos (FP) / Falsos Negativos (FN)". El desafío principal no es detectar prompts obviamente dañinos, sino distinguir entre la intención dañina y los casos de uso legítimos que comparten el mismo vocabulario sensible a la seguridad (por ejemplo, discusiones educativas sobre armas, ciberseguridad defensiva o análisis histórico de la violencia).

Los modelos de guardia de pesos abiertos actuales suelen depender de taxonomías toscas o conjuntos de datos de moderación recolectados que reflejan las políticas de etiquetado de la fuente en lugar de las políticas de despliegue del objetivo. Esto conduce a dos modos de fallo específicos:

1. Sobre-refutación (Alta FPR): Bloqueo de prompts benignos que son léxicamente similares a los dañinos (por ejemplo, bloquear una solicitud de "cómo fabricar gas cloro" para una clase de historia).
2. Daño omitido (Alta FNR): Fallo en la detección de la intención dañina oculta tras un encuadre adversarial o en idiomas distintos al inglés donde los límites de decisión están desequilibrados.

Además, muchos conjuntos de datos sintéticos carecen de "negativos difíciles" (hard negatives): prompts benignos que son estructural y léxicamente cercanos a los dañinos, pero que difieren solo en la intención.

2. Metodología

HaloGuard 1.0 introduce un enfoque de Clasificador de Entrada Constitucional, cambiando el etiquetado de datos recolectados por el uso de una constitución en lenguaje natural como la especificación generativa para todo el corpus de entrenamiento.

2.1 El Marco Constitucional

En lugar de una taxonomía plana, el sistema utiliza una Constitución de HaloGuard jerárquica que comprende:

• 46 Políticas Constitucionales: 29 de contenido dañino y 17 de contenido inofensivo compartido.
• 2,940 Subcategorías: La unidad atómica para la generación de datos y la contabilidad de cobertura.
• Niveles de Riesgo: Cuatro niveles (Crítico, Alto, Moderado, Sensible) que dictan la amplitud del límite inofensivo y las estrategias de composición de datos.

La constitución define explícitamente no solo los comportamientos prohibidos, sino también los usos adyacentes legítimos (por ejemplo, análisis forense, apoyo a víctimas, revisión legal) para cada categoría dañina.

2.2 Pipeline de Datos Sintéticos

El corpus de entrenamiento (1.26M de registros) se genera sintéticamente basado en la constitución, empleando varios mecanismos clave:

• Contrafácticos Pareados: Para cada subcategoría dañina, se genera un espejo benigno 1:1. Estos pares mantienen fijos el tema y el vocabulario adyacente al daño mientras invierten la intención (por ejemplo, de "cómo construir una bomba" a "análisis histórico del ataque con gas sarín de Tokio en 1995"). Esto obliga al modelo a aprender la intención en lugar de atajos de palabras clave.
• Diseño de Inofensividad de Dos Niveles:
  • Datos de Límite de Inofensividad: Ejemplos seguros locales a la constitución que se sitúan cerca de límites dañinos específicos (apuntando a FPs de frontera).
  • Datos de Inofensividad Compartida: Ejemplos ampliamente benignos (por ejemplo, escritura creativa, conocimiento general) para anclar el modelo contra FPs base.
• Generación Anclada al Estilo: Los prompts se generan anclándolos a registros del mundo real (provenientes de fuentes como WildGuard, Aegis y ToxicChat) para evitar que el modelo aprenda artefactos sintéticos.
• Aumento de Superficie: Incluye superposiciones de patrones de ataque (juego de roles, división de carga útil) y transformaciones deterministas (codificaciones, formateo) aplicadas tanto a los lados dañinos como benignos para asegurar la robustez contra la ofuscación.

2.3 Materialización Multilingüe

El pipeline se extiende a 46 idiomas a través de seis grupos tipológicos. Crucialmente, trata el lenguaje como una forma de superficie en lugar de una señal adversarial.

• Generación Equilibrada: Tanto los prompts dañinos como los benignos son traducidos, asegurando el equilibrio de clases por idioma.
• Preservación del Registro: Un proceso de dos etapas preserva el registro de origen (tono, formalidad) para evitar que el modelo asocie scripts específicos con puntuaciones de seguridad.
• Puertas de Calidad: Incluye la detección de la refutación semántica (para capturar las refutaciones del modelo en la traducción) y la verificación de preservación de la intención.

2.4 Arquitectura del Modelo

HaloGuard 1.0 se lanza como dos clasificadores generativos basados en Qwen3.5:

• HaloGuard 1.0-0.8B: Optimizado para filtrado en línea de baja latencia.
• HaloGuard 1.0-4B: Optimizado para una mayor capacidad y mejor discriminación de fronteras.
  Ambos modelos son entrenados mediante la predicción autoregresiva del siguiente token para emitir etiquetas atribuidas a la constitución (por ejemplo, UNSAFE + Cyber) en lugar de usar una cabeza de clasificación fija.

3. Contribuciones Clave

1. Primer Clasificador Constitucional de Pesos Abiertos: A diferencia de los Clasificadores Constitucionales (CC) previos que eran sistemas cerrados, HaloGuard 1.0 es la primera implementación desplegable de pesos abiertos del paradigma CC, utilizando una constitución para impulsar la generación de datos sintéticos.
2. Taxonomía de Grano Fino: Una taxonomía de 2,940 subcategorías que sirve como unidad de generación, permitiendo la construcción de negativos difíciles precisos y un diagnóstico de fallos exacto, superando con creces las ~14 categorías planas de las salvaguardas abiertas anteriores.
3. Construcción de Datos Centrada en la Frontera: El uso sistemático de contrafácticos pareados y datos de inofensividad de dos niveles apunta específicamente a la frontera FP/FN, separando los errores de frontera de los errores base.
4. Cobertura Multilingüe Equilibrada: Un pipeline que genera datos dañinos/benignos equilibrados en 46 idiomas, tratando el lenguaje como una forma de superficie para evitar correlaciones espurias entre el script y las puntuaciones de seguridad.
5. Endurecimiento Continuo: Se integra un protocolo de red teaming adversarial siempre activo para actualizar continuamente la guardia contra ataques de nivel de contenido y agénticos.

4. Resultados

Evaluado a través de siete benchmarks de seguridad de prompts (OpenAI Moderation, Aegis, Aegis 2.0, ToxicChat, SimpleSafetyTests, HarmBench, WildGuardTest):

• Rendimiento:
  • HaloGuard 1.0-0.8B: Logra un F1 promedio de 90.9, superando a baselines de hasta 27B de parámetros (ej. ShieldGemma, PolyGuard-Qwen) utilizando ~30 veces menos parámetros. Mantiene una Tasa de Falsos Positivos (FPR) de 4.3% y una Tasa de Falsos Negativos (FNR) de 9.5%.
  • HaloGuard 1.0-4B: Logra un F1 promedio de 92.1, con un FPR de 3.5% y un FNR de 7.7%, demostrando una mejor precisión y exhaustividad (recall).
• Análisis de Benchmarks: Los modelos muestran una fuerza particular en benchmarks que involucran toxicidad conversacional y prompts adversariales (ToxicChat, WildGuard), donde los atajos de palabras clave suelen causar fallos en otros modelos.
• Métricas Denotadas (De-noised): Tras una adjudicación estructurada de los fallos de los benchmarks, los autores encontraron que el 51.5% de los aparentes Falsos Negativos eran en realidad errores de etiquetado del benchmark (prompts benignos etiquetados incorrectamente como dañinos). El FNR denotado para el modelo 0.8B cae a 3.1%, lo que sugiere que la tasa real de daño omitido es significativamente menor de lo que indican los benchmarks brutos.
• Rendimiento Multilingüe: Los modelos logran una generalización sólida en el benchmark PolyGuardPrompts (86.1 F1 para 0.8B, 88.0 F1 para 4B), aunque la sobre-refutación (FPR) sigue siendo un desafío para los grupos de lenguas índicas y del sudeste asiático debido a una cobertura de seguridad más delgada en los datos de entrenamiento.

5. Significación y Reivindicaciones

El artículo afirma que HaloGuard 1.0 establece un nuevo estado del arte para las salvaguardas de entrada de pesos abiertos, demostrando que un modelo más pequeño (0.8B) puede superar a baselines significativamente más grandes (hasta 27B) cuando los datos de entrenamiento se construyen alrededor de una frontera constitucional de grano fino.

La significación central reside en el cambio de la detección de palabras clave a la discriminación de la intención. Al tratar la constitución como una especificación generativa en lugar de una lista estática de etiquetas, los autores demuestran que es posible construir un conjunto de datos que enseñe explícitamente al modelo a distinguir entre solicitudes dañinas y discusiones seguras de temas sensibles.

Los autores enfatizan que la guardia es una primera capa de defensa diseñada para situarse junto a otras mecanismos de seguridad (moderación de salida, permisos de herramientas, revisión humana). Expresan explícitamente que el lanzamiento actual se centra en la clasificación de entrada y aún no cubre el monitoreo de respuestas o los trazos de ejecución agéntica, posicionando este trabajo como un paso fundacional hacia una arquitectura de defensa en profundidad integral. El lanzamiento de la constitución y el pipeline sintético permite a la comunidad auditar, reproducir y extender la frontera de seguridad, yendo más allá de la moderación de "caja negra".