技術要約: YuFeng-XGuard

問題提起

大規模言語モデル（LLM）が実世界のアプリケーションに導入されるにつれ、安全ガードレールは現在の能力と実用的なデプロイメントニーズとの間の決定的なギャップに直面している。既存のソリューションは、主に粗粒度な分類スキームや事後的なルールベースのフィルタリングに依存している。これらのアプローチは、主に以下の3つの制限に苦しんでいる：

1. 解釈性の欠如: これらは、推論プロセスを公開することなく、不透明なバイナリラベルやスカラー値を出力するため、失敗分析や監査を困難にしている。
2. 柔軟性の欠如: リスク定義がモデルパラメータ内に暗黙的にエンコードされているため、微細なシナリオへの汎用性が制限され、コストのかかる再学習なしにはポリシーの調整ができない。
3. 効率性と有効性のトレードオフ: 高精度な推論はしばしば禁止的な推論レイテンシを招き、一方で低レイテンシのモデルは説明の深さを犠牲にする。

本論文は、安全ガードレールが単なる補助的な分類タスクから、多次元的なリスク認識、構造化された出力、および動的な適応能力を備えた推論中心のシステムへと進化しなければならないと主張している。

メソドロジー

YuFeng-XGuardは、Qwen3アーキテクチャ上に構築された推論中心のガードレールモデルファミリーであり、8Bのフルキャパシティ・バリアントと0.6Bの軽量ディスティル（蒸留）バリアントが利用可能である。そのメソドロジーは、以下の4つの主要な柱によって定義される：

1. 推論中心の構造化されたリスク認識

バイナリ分類の代わりに、モデルは以下の要素からなる構造化された出力を生成する：

• 明示的なリスクカテゴリ: 統一されたタクソノミー（分類体系）からマッピングされる。
• 設定可能な信頼度スコア: 最初のデコードされたトークンの確率から導出される。
• 自然言語による説明: 背後にある推論プロセスを明らかにするオプションの根拠。

学習目的は、**「分類してから説明する（classify-then-explain）」**パラダイムに従う。モデルは、分類トークン（$y_{cls}$）とその後の推論文字列（$y_{reason}$）の結合確率を最大化するように訓練され、モデルの決定が自身の正当化理由と論理的に整合するように設計されている。

2. 階層的推論パラダイム

レイテンシと解釈性の間の緊張関係を解決するために、YuFeng-XGuardは2段階の推論メカニメントを採用している：

• ステージ1（即時決定）: モデルはリスクカテゴリを表す単一のトークンを生成する。このトークンの確率が信頼度スコアとして機能し、低レイテンシでの即時の安全性判断を可能にする。
• ステージ2（オンデマンド推論）: より深い分析が必要な場合（例：監査目的）、生成は継続され、完全な自然言語による説明を出力する。これにより、システムはリアルタイムで効率的に動作しながら、詳細な属性特定能力を保持することができる。

3. 動的ポリシー（DP）メカニズム

モデルは、リスク認識（テキストが何を意味するか）とポリシー適用（製品が何をブロックしたいか）を分離している。

• 実行時の適応性: オペレーターは推論時に動的ポリシー指示（$P_{dyn}$）を注入することで、再学習なしに新しいカテゴリの追加、範囲の拡張、または定義の絞り込みを行うことができる。
• 学習戦略: カウンターファクチュアル（反事実的）および変化するポリシー規則に従うようにモデルを教えるために、3段階のパイプライン（ポリシー変異、レスポンス精緻化、および一貫性フィルタリング）を用いた合成データセットが構築された。

4. データキュレーションとタクソノミー

• タクソノミー: モデルは、9つの主要なリスク次元と28の細分化されたカテゴリ（犯罪、ヘイトスピーチ、身体的/精神的健康、過激主義など）をカバーする厳格な4レベルの階層システムであるS-Evalタクソノミーを採用している。
• データ構築: 学習コーパス（2.8Mサンプル）は、公開ベンチマークとカスタムの多言語パイプラインを組み合わせている。コードスイッチングやコードミックスの学習モードを採用することで、言語混合や「英語中心」の推論パターンに対処している。
• 品質管理: アノテーターと検証者の2段階のアノテーションパイプラインを持つ「LLM-as-a-Judge」フレームワークにより、高品質なラベルと推論トレースを保証している。

主な貢献

本論文は、4つの主要な貢献を概説している：

1. 構造化されたリスク認識: ガードレールを、不透明な予測から、実行可能でデバッグ可能かつ監査に適した構造化された出力（カテゴリ、信頼度、根拠）へと再定式化した。
2. 階層的推論: 最初のトークンによる即時のリスク決定と、詳細な推論のためのオプションの継続をサポートする統一された生成フレームワークを提供し、速度と深さのために別々のモデルを用意する必要性を排除した。
3. 動的ポリシー（DP）: ポリシーの反復をモデルの再学習から切り離し、推論時の指示を通じて安全性ポリシーを調整できる実行時メカニズム。
4. マルチスケール・オープンモデル: 8Bモデルと0.6Bのディスティル・バリアントをリリース。両者は、高い効率性と有効性のトレードオフを維持しながら、多様なベンチマークにおいて最先端（SOTA）の性能を達成している。

実験結果

YuFeng-XGuardは、LlamaGuard、WildGuard、PolyGuard、Nemotron、ShieldGemmaを含む、現代的なガードレールの包括的なスイートに対して、4つの次元で評価された：

• 一般的な安全性分類: 8Bバリアントは、プロンプトおよびレスポンス分類の双方のベンチマーク（Aegis、SEval、XSTestなど）において、最も高い平均F1スコアを達成した。0.6Bバリアントは、多くのカテゴリにおいて大幅に大きなモデル（4Bや8Bの競合モデル）を上回った。
• 多言語の堅牢性: モデルは25の類型的に多様な言語にわたって高い精度を示し、プロンプトおよびレスポンス分類の両方でトップティアの平均F1スコアを達成し、クロスリンガルなタスクにおいてShieldGemmaやLlamaGuardを上回った。
• 敵対的耐性: 攻撃ベンチマーク（StrongReject、BreakShell）において、YuFeng-XGuardは最高または2番目に高い平均F1スコアを達成し、ジェイルブレイク（脱獄）試行に対する強力な防御力を示した。
• 安全な補完（過剰ブロック）: 建設的なレスポンスを通過する能力をテストするために設計されたSEval2.0ベンチマークにおいて、YuFeng-XGuardは最高のF1スコアを達成し、有害なコンテンツと有益でヘルプフルなコンテンツを区別する優れた能力を示した。
• 動的ポリシーの有効性: eコマースのモデレーションや適応的なポリシー範囲をシミュレートしたカスタムベンチマークにおいて、YuFeng-XGuardはそれぞれ0.91および0.75のF1スコアを達成し、より大きなモデル（例：GPT-OSS-SafeGuard-20B）を上回り、推論オーバーヘッドを伴わずに非常に大きな「思考型」モデル（Qwen3-32B-Thinking）の性能に匹敵した。

アブレーション研究: 著者らは、推論を整列させるための強化学習（GRPO）を調査した。GRPOは「説明してから分類する（explain-then-classify）」精度を向上させたが、主要な「分類してから説明する（classify-then-explain）」低レイテンシモードに対しては、わずかな改善にとどまった。その結果、最終的なリリースは堅牢な教師あり微調整（SFT）戦略に依存している。

重要性と主張

本論文は、現在のガードレールの解釈性、柔軟性、および意思決定の効率性における限界に対処することにより、YuFeng-XGuardを安全性インフラストラクチャの重要な進歩として位置づけている。

• フィルターからシステムコンポーネントへ: 著者らは、YuFeng-XGuardが安全性ガードレールのパラダイムを、単純で不透明なフィルターから、動的で解釈可能かつメンテナンス可能なシステムコンポーネントへと転換させると主張している。
• 実行可能なインテリジェンス: 構造化されたリスクカテゴリと信頼度スコアを提供することで、モデルはダウンストリームのシステムが、バイナリのブロック/許可の決定に頼るのではなく、きめ細かな閾値設定とポリシーオーケストレーションを実行できるようにする。
• 機敏なリスク管理: 動的ポリシーフレームワークにより、組織は新たな脅威や特定のビジネス要件に対して即座に適応でき、コストのかかる遅いモデルの再学習サイクルへの依存を排除できる。
• アクセシビリティ: フルキャパシティと軽量モデルの両方をリリースすることで、本研究は、高い安全基準を維持しながら、高スループットのプロダクション環境からリソース制約のあるエッジケースまで、幅広いデプロイメントシナリオをサポートすることを目指している。

著者らは、トレーニングで見られなかった新しい敵対的攻撃に対する潜在的な脆弱性、トレーニングコーパスから継承された社会的バイアス、および動的ポリシーメカニズムに対する明確なユーザー指示への依存といった限界を認めている。彼らは、これらの課題に対処するために、継続的なレッドチーミングとモニタリングを行うことを約束している。