技術概要：AERIC – 潜在的有害対話のための予期的隠れ状態モニタリング

1. 問題定義

現在の大規模言語モデル（LLM）の安全性システムは、2 つの明確な課題に直面しています：

1. タイミング: 既存の安全策は、通常、完全に生成されたテキストを判断する際に最も強力です。しかし、ストリーミング展開では、早期介入を可能にするために、部分的な生成に対して安全性の決定を下す必要があります。現在の「ストリーミング」ガードは、成長するテキスト接頭辞に対する追加のフォワードパスに依存して遅延ボトルネックを生み出したり、テキストが十分に明示的になって分類可能になるまで待ってから、すでに unsafe な軌跡が可視化された後に反応したりします。
2. 潜在的有害性: 有害性は、明白な有毒なキーワードによって示されることがよくありません。対話や助言の文脈では、不安全な行動は隠蔽され、文脈に依存するか、応答の軌跡において潜在的である可能性があります（例：丁寧だが自傷を促すような言動）。表面レベルのテキスト分析やトップネクストトークンの選好は、コンテンツが明示的になる前に、この unsafe な領域への漂移を検出することに失敗することが多いです。

本論文は、ベースモデルや個別の生成ガードによる追加のフォワードパスを呼び出すことなく、デコーディング中に生成器の内部隠れ状態のみを使用して潜在的有害な漂移を検出するという、より厳格な目標である予期的同一パスモニタリングに取り組みます。

2. 手法：AERIC

著者は、通常のデコーディング中に生成された隠れ状態を読み取る軽量モニターであるAERIC（Anticipatory Evidence and Residual Inference for Continuations）を導入します。このシステムは「同一パス」制約の下で動作し、現在のデコード軌跡から利用可能な量（$h_t$、プロンプト要約 $p$、および以前のモニター値）のみを使用します。

コアコンポーネント

AERIC は、128 次元表現に投影された隠れ状態で訓練された 3 つの線形スカラーヘッドを組み合わせます：

1. Future-Hazard Head（$f_t$）:

   • 目的: 短期的な視野内で有害な継続が開始しようとしているかどうかを予測します。
   • メカニズム: FineHarm からのオンセット認識監督を使用して、有害なオンセットインデックス（$o$）への近接性に基づいて接頭辞にラベルを付けます。これは、可視化された接頭辞がすでに unsafe かどうかではなく、現在の軌跡が有害な状態に入りつつあるかどうかを問うものです。
   • 数式: $f_t = w_f^\top \tilde{h}_t + b_f$

2. Support Head（$c_t$）:

   • 目的: 感情的に激しいが適切な応答に対する過剰なトリガーを防止するため、安全で、限定され、支持的、または緊張緩和的な継続に対する反証をモデル化します。
   • メカニズム: 安全で支持的、または限定された継続（正クラス）対、差し迫ったまたはオンセット後の unsafe な継続（負クラス）で訓練されます。
   • 数式: $c_t = w_c^\top \tilde{h}_t + b_c$

3. Prompt-Conditioned Residual Head（$r_t$）:

   • 目的: 同じ プロンプトタイプに対する安全な行動に対する unsafe な漂移を測定します。
   • メカニズム: 単純なプロンプトの減算ではなく、プロンプトレベルでペアリングされた安全かつ unsafe な継続から残差方向を学習します。特定のプロンプト文脈における安全な行動に対して、隠れ状態の軌跡が unsafe な方向に逸脱したかどうかをスコアリングします。
   • 数式: $r_t = w_r^\top (h_t - p) + b_r$。ペアランキング損失を用いて訓練され、unsafe な残差が安全な残差よりも高いスコアになるようにします。

決定則

トークンごとの生スコア（$g_t$）は、これらの信号を組み合わせます：
$$g_t = f_t - \alpha c_t + \beta r_t$$
ここで、$\alpha$ は支持証拠による抑制を制御し、$\beta$ は残差漂移の寄与を制御します。

オンラインモニタリングでは、生スコアを**指数移動平均（EMA）**を使用して平滑化します：
$$m_t = \lambda g_t + (1 - \lambda)m_{t-1}$$
$m_t \geq \tau$ の場合、生成はフラグ付けされます。これにより、決定が接頭辞で測定可能かつ安定していることが保証されます。

効率性

デフォルトの線形モニターは非常に小さく、387 個の学習可能ヘッドパラメータ（3 つのヘッド × 各 129 パラメータ）のみを含みます。保存されたアートの総サイズは、Qwen3-8B で約 6.1 MiB、Gemma-4-E4B-it で 3.8 MiB です。

3. 主要な貢献

• 同一パス制約: 軽量モニターが、ベースモデルを通じた追加のフォワードパスを必要とせずに、内部隠れ状態を読み取ることで潜在的有害な漂移を予期できることを実証しました。
• 潜在的有害性の転移: 明示的有害監督（FineHarm、Anthropic HH-RLHF）が、危害予測、支持感応型抑制、プロンプト条件付き残差スコアリングの組み合わせを通じて、潜在的有害対話の検出に転用可能であることを示しました。
• アーキテクチャ: 潜在的有害の失敗モード（隠蔽された漂移、感情的強度、文脈依存性）に特化した、特定の 3 ヘッドアーキテクチャ（Future-Hazard、Support、Paired Residual）を導入しました。
• 較正戦略: プロンプトレベルのトリガーベンチマークに対して、ソースサイドの安全予算ルール（トリガーカバレッジを最大化しつつ、安全トリガー率を $\leq$ 10% に制約する）を提案しました。

4. 実験結果

バランスの取れた潜在的有害ベンチマーク

Qwen3-8B および Gemma-4-E4B-it を使用して、DiaSafety（対話型）とHarmful Advice（助言指向）で評価しました。

• 性能: AERIC は、最も強力なネイティブストリーミングベースラインであるQwen3Guard-Stream-4Bおよび応答レベルのガード（ShieldGemma-9B、WildGuard）を上回りました。
  • DiaSafety: AUROC は 0.6830（Qwen3Guard）から0.7143（AERIC）に向上しました。
  • Harmful Advice: AUROC は 0.8219（Qwen3Guard）から0.8582（AERIC）に向上しました。
• アブレーション: 「Support」ヘッドは、Harmful Advice において最大の gains を提供しました（断定的だが限定されたガイダンスの処理）。「Residual」ヘッドは、DiaSafety において最終的な向上を提供しました（対話的な交絡因子の処理）。

プロンプトレベルのトリガーベンチマーク

ソースサイドの 10% 安全トリガー予算の下で、HarmBench DirectRequestおよびSocialHarmBenchで評価しました。

• 早期トリガー: AERIC は、有害なコンテンツが完全に露呈する前にトリガーする点で、ベースラインを大幅に上回りました。
  • HarmBench（Qwen）: Trigger@64 は0.6438に達しました（Qwen3Guard の 0.1063 対）。
  • SocialHarmBench（Gemma）: Trigger@64 は0.7363に達しました（Qwen3Guard の 0.2962 対）。
• 保持: モニターは、露呈前に平均 23.53 から 41.86 トークンの回答を保持することに成功しました。

計算オーバーヘッド

• 遅延: 固定生成ベンチマークにおいて、AERIC は平均遅延をわずか**2.34%**増加させました。
• 比較: これは、Qwen3Guard-Stream-4B（79.40% 増加）、プレフィックス化された ShieldGemma-9B（158.73%）、プレフィックス化された WildGuard（216.74%）と比較して劇的に低いです。

5. 意義と主張

本論文は、厳格な「追加フォワードパスなし」制約の下で、明示的有害監督が潜在的有害モニタリングに転移可能であると主張しています。

• 実用的な事前露呈シグナル: AERIC は、コンテンツが表面上で明示的になる前に有害な漂移を予期できる、実用的で低遅延のリスクシグナルを提供します。これは、強力なネイティブストリーミングガードに対しても機能します。
• システム効率: 安全性シグナルが内部表現から導出され、実質的なオーバーヘッド（遅延増加約 2%）でリアルタイムモニタリングをサポートできることを実証しました。
• 限定的な範囲: 著者は明示的に、AERIC はオンラインリスクシグナルであり、完全な介入ポリシーではないと述べています。下流の決定（例：生成の停止、明確化質問の要求、ルーティング）は、未解決のシステム問題のままです。本論文は、偽拒否の問題を解決したり、最適な介入ポリシーを定義したりすることを主張するものではなく、現在の最先端ガードよりも効率的で予期的な検出メカニズムを提供することを目的としています。