Résumé Technique : YuFeng-XGuard

Problématique

À mesure que les grands modèles de langage (LLM) sont déployés dans des applications réelles, les garde-fous de sécurité font face à un écart critique entre les capacités actuelles et les besoins de déploiement pratique. Les solutions existantes reposent principalement sur des schémas de classification à grain grossier ou sur un filtrage post-hoc basé sur des règles. Ces approches souffrent de trois limitations primaires :

1. Manque d'interprétabilité : Elles produisent des étiquettes binaires opaques ou des scores scalaires sans exposer le processus de raisonnement, rendant l'analyse des échecs et l'audit difficiles.
2. Inflexibilité : Les définitions de risques sont encodées implicitement dans les paramètres du modèle, ce qui limite la généralisation à des scénarios nuancés et empêche les ajustements de politique sans un réentraînement coûteux.
3. Compromis Efficacité-Efficience : Un raisonnement de haute fidélité entraîne souvent une latence d'inférence prohibitive, tandis que les modèles à faible latence sacrifient la profondeur explicative.

L'article soutient que les garde-fous de sécurité doivent évoluer, passant de simples tâches de classification auxiliaires à des systèmes centrés sur le raisonnement, capables d'une perception des risques multidimensionnelle, de sorties structurées et d'une adaptabilité dynamique.

Méthodologie

YuFeng-XGuard est une famille de modèles de garde-fous centrés sur le raisonnement, construite sur l'architecture Qwen3, disponible en une variante pleine capacité de 8B et une variante légère distillée de 0,6B. La méthodologie est définie par quatre piliers fondamentaux :

1. Perception des Risques Structurée et Centrée sur le Raisonnement

Au lieu d'une classification binaire, le modèle génère des sorties structurées comprenant :

• Catégories de Risques Explicites : Cartographiées à partir d'une taxonomie unifiée.
• Scores de Confiance Configurables : Dérivés de la probabilité du premier jeton décodé.
• Explications en Langage Naturel : Des rationales optionnelles exposant le processus de raisonnement sous-jacent.

L'objectif d'entraînement suit un paradigme « classifier puis expliquer ». Le modèle est entraîné pour maximiser la probabilité jointe du jeton de classification ($y_{cls}$) et de la chaîne de raisonnement suivante ($y_{reason}$), garantissant que les décisions du modèle sont logiquement cohérentes avec ses propres justifications.

2. Paradigme d'Inférence à Niveaux

Pour résoudre la tension entre latence et interprétabilité, YuFeng-XGuard emploie un mécanisme d'inférence en deux étapes :

• Étape 1 (Décision Instantanée) : Le modèle génère un jeton unique représentant la catégorie de risque. La probabilité de ce jeton sert de score de confiance, permettant des décisions de sécurité immédiates à faible latence.
• Étape 2 (Raisonnement à la Demande) : Si une analyse plus approfondie est requise (par exemple, pour l'audit), la génération se poursuit pour produire l'explication complète en langage naturel. Cela permet au système de fonctionner efficacement en temps réel tout en conservant la capacité d'attribution détaillée.

3. Mécanisme de Politique Dynamique (DP)

Le modèle découple la perception du risque (ce que le texte implique) de l'application de la politique (ce que le produit souhaite bloquer).

• Adaptabilité au Runtime : Les opérateurs peuvent injecter des instructions de politique dynamique ($P_{dyn}$) au moment de l'inférence pour ajouter de nouvelles catégories, étendre les portées ou restreindre les définitions sans réentraînement.
• Stratégie d'Entraînement : Un jeu de données synthétique a été construit via un pipeline à trois étapes (Mutation de la Politique, Raffinement de la Réponse et Filtrage de Cohérence) pour apprendre au modèle à adhérer à des règles de politique contre-factuelles et changeantes.

4. Curation des Données et Taxonomie

• Taxonomie : Le modèle adopte la taxonomie S-Eval, un système hiérarchique rigoureux à quatre niveaux couvrant 9 dimensions de risque majeures et 28 catégories subdivisées (ex: Crimes, Discours de Haine, Santé Physique/Mentale, Extrémisme).
• Construction des Données : Le corpus d'entraînement (2,8M d'échantillons) combine des benchmarks publics avec un pipeline multilingue personnalisé. Il traite le mélange de langues et les schémas de raisonnement « centrés sur l'anglais » en employant des modes d'entraînement en code-switching et code-mixing.
• Contrôle Qualité : Un cadre « LLM-as-a-Judge » avec un pipeline d'annotation à deux étapes (annotateur et vérificateur) garantit des étiquettes et des traces de raisonnement de haute qualité.

Principales Contributions

L'article présente quatre contributions primaires :

1. Perception des Risques Structurée : Reformulation des garde-fous, passant de prédictions opaques à des sorties structurées (catégorie, confiance, rationale) qui sont actionnables, débogables et auditables.
2. Inférence à Niveaux : Un cadre génératif unifié supportant des décisions de risque instantanées via le premier jeton, avec une continuation optionnelle pour un raisonnement détaillé, éliminant le besoin de modèles distincts pour la vitesse et la profondeur.
3. Politique Dynamique (DP) : Un mécanisme au runtime qui permet d'ajuster les politiques de sécurité via des instructions au moment de l'inférence, découplant l'itération de la politique du réentraînement du modèle.
4. Modèles Ouverts Multi-échelles : La publication d'un modèle 8B et d'une variante distillée de 0,6B, tous deux atteignant des performances de pointe (SOTA) sur divers benchmarks tout en maintenant des compromis efficacité-efficience élevés.

Résultats Expérimentaux

YuFeng-XGuard a été évalué par rapport à une suite complète de garde-fous contemporains (incluant LlamaGuard, WildGuard, PolyGuard, Nemotron et ShieldGemma) sur quatre dimensions :

• Classification de Sécurité Générique : La variante 8B a obtenu les scores F1 moyens les plus élevés sur les benchmarks de classification de prompt et de réponse (ex: Aegis, SEval, XSTest). La variante 0,6B a surpassé de manière significative des modèles beaucoup plus grands (ex: concurrents 4B et 8B) dans de nombreuses catégories.
• Robustesse Multilingue : Le modèle a démontré une grande précision à travers 25 langues typologiquement diverses, atteignant des scores F1 moyens de premier plan tant pour la classification de prompt que de réponse, surpassant des modèles comme ShieldGemma et LlamaGuard dans les tâches translingues.
• Résilience Adversaire : Sur les benchmarks d'attaque (StrongReject, BreakShell), YuFeng-XGuard a obtenu les scores F1 moyens les plus élevés et les deuxièmes plus élevés, démontant une forte défense contre les tentatives de jailbreaking.
• Complétion Sûre (Sur-blocage) : Sur le benchmark SEval2.0, conçu pour tester la capacité à produire des réponses constructives, YuFeng-XGuard a obtenu les scores F1 les plus élevés, indiquant une capacité supérieure à distinguer le contenu nuisible du contenu bénin et utile.
• Efficacité de la Politique Dynamique : Dans des benchmarks personnalisés simulant la modération de l'e-commerce et des portées de politiques adaptatives, YuFeng-XGuard a atteint des scores F1 de 0,91 et 0,75 respectivement, surpassant des modèles plus grands (ex: GPT-OSS-SafeGuard-20B) et égalant la performance de modèles de « réflexion » beaucoup plus vastes (Qwen3-32B-Thinking) sans l'overhead d'inférence associé.

Étude d'Ablation : Les auteurs ont étudié l'apprentissage par renforcement (GRPO) pour aligner le raisonnement. Bien que le GRPO ait amélioré la précision de « l'explication-puis-classification », il n'a offert que des gains marginaux pour le mode principal de « classification-puis-explication » à faible latence. Par conséquent, la version finale repose sur la stratégie robuste de Fine-Tuning Supervisé (SFT).

Signification et Revendications

L'article positionne YuFeng-XGuard comme une avancée significative dans l'infrastructure de sécurité en répondant aux limites des garde-fous actuels en termes d'interprétabilité, de flexibilité et d'efficience décisionnelle.

• Du Filtre au Composant Système : Les auteurs affirment que YuFeng-XGuard déplace le paradigme des garde-fous de sécurité, de simples filtres opaques vers des composants de système dynamiques, interprétables et maintenables.
• Intelligence Actionnable : En fournissant des catégories de risques structurées et des scores de confiance, le modèle permet aux systèmes en aval d'effectuer un seuillage fin et une orchestration de politique plutôt que de compter sur des décisions binaires de blocage/autorisation.
• Gestion de Risque Agile : Le cadre de Politique Dynamique permet aux organisations de s'adapter instantanément aux menaces émergentes et aux exigences métier spécifiques, supprimant la dépendance aux cycles de réentraînement de modèles coûteux et lents.
• Accessibilité : En publiant à la fois un modèle à pleine capacité et une variante légère, ce travail vise à soutenir un large éventail de scénarios de déploiement, des environnements de production à haut débit aux cas limites à ressources contraintes, tout en maintenant des standards de sécurité élevés.

Les auteurs reconnaissent des limitations, notamment une vulnérabilité potentielle aux attaques adverses inédites non vues lors de l'entraînement, les biais sociétaux hérités du corpus d'entraînement, et la dépendance à des instructions utilisateur claires pour le mécanisme de politique dynamique. Ils s'engagent à poursuivre le red-teaming et la surveillance pour relever ces défis.