技術要約：デプロイされた安全性分類器のためのオンライン・シフト検出および共形適応

問題定義

安全性分類器は、大規模言語モデル（LLM）とユーザーの間の重要な防御層として機能するが、これらは定常性の仮定（将来の入力分布が較正時の分布と類似しているという仮定）の下で動作している。この仮定は、敵対的な適応、有機的な言語ドリフト、多言語のコードスイッチング、および構成的攻撃によって崩壊する。主な失敗モードは「サイレント」である。すなわち、グラウンドトゥルース（正解ラベル）がリアルタイムで利用できない場合、分類器の精度が大幅に低下（例：95%から80%へ）しても、エラー信号が発生しない。オフライン評価によって問題が検出される頃には、システムは数日間あるいは数週間にわたり信頼性の低い決定を下し続けている可能性がある。

本論文は、以下の2つの核心的な課題に取り組む：

1. 検出（Detection）: 多様なシフトタイプおよび分類器アーキテクチャにおいて、制御された誤報率（False Alarm Rate）を維持しながら、オンラインで分布シフトを検出する方法。
2. 適応（Adaptation）: シフト検出後に、新しいラベル付きデータを必要とせずに、共形予測（Conformal Prediction）を用いた重み付き共形予測を用いてカバレッジ保証を回復させる方法。

手法

システムアーキテクチャ

提案されるシステムは、分類器の出力（入力テキスト $x_t$、不安全クラスの確率 $s_t$、および中間層の表現 $r_t$）を観察するオンラインモニターである。これは主に2つのコンポーネントで構成される：

1. シフト検出器（Shift Detector）: 入力分布が変化した際にアラームを発生させるスライディングウィンドウ型の検出器。
2. 共形棄却層（Conformal Abstention Layer）: アラーム発生時に、目標とするエラー率（$\epsilon = 0.1$）を維持するために決定閾値を適応させるダウンストリーム層。

検出メカニズム

システムは2つの検出チャネルを評価する：

• コルモゴロフ–スミルノフ（KS）検出器: 分類器スコアの周辺分布を追跡する。最近のスコアのスライディングウィンドウを保持し、較正時に確立された凍結された参照累積分布関数（CDF）に対して、一標本KS統計量を計算する。
• 最大平均偏差（MMD）検出器: スライディングウィンドウ内の埋め込みベクトルとガウスカーネルを用いて、分類器の埋め込みの幾何学的構造を追跡する。

較正およびアラーム論理:
モニタリングホライゾンにおける誤報率（FAR）を制御するために、システムはヌルシミュレーションによる経験的較正を採用する。スライディングウィンドウに対して保守的になりすぎる可能性のある理論的境界（Hoeffdingなど）のみに頼るのではなく、システムは50個の負の制御ストリーム（イン分布データのみ）を実行し、観測された最大統計量の97パーセンタイルをアラーム閾値として決定する。

共形適応

シフトを検出すると、システムは重み付き共形予測層を起動する。

• 密度比推定: 分類器の埋め込みを用いたロジスティック回帰により、ソース（較正）分布とターゲット（シフト後）分布の間の密度比 $w_i = p_{target}(x_i) / p_{source}(x_i)$ を推定する。
• 重み付き分位点: 非適合度スコアの重み付き分位点として共形閾値を再計算する。
• 安定性: 重みは安定性を確保するために $[1/C, C]$（ここで $C=10$）にクリップされる。

実験設計

著者らは、事前登録された要因解析評価を実施した：

• 分類器 (4種): DeBERTa-v3-large, Text-Moderation (DeBERTa-v3-base), Llama Guard 3, ShieldGemma。
• シフト条件 (5種): パラフレーズ（言い換え）、コードスイッチ、構成的攻撃、テンポラル（実際の最新のジェイルブレイク）、および敵対的サフィックス（GCG最適化）。
• パラメータ: 20個のランダムシード、2種類のウィンドウサイズ (100, 200) を用い、合計800の実験セルを作成。

主な結果

1. 検出性能 (RQ1)

• 全体的な有効性: システムは86.6%の有効検出率（693/800セル）を達成し、平均検出レイテンシは（ウィンドウサイズ100において）39.5ステップであった。経験的な誤報率は、分類器間で2%から10%の範囲であった。
• 交差作用（Crossover Interaction）: 分類器アーキテクチャとシフトタイプの間に有意な相互作用作用が観察された：
  • エンコーダー（DeBERTa, Text-Moderation）: 自然なシフト（パラフレーズ、構成的攻撃）を迅速に（24–35ステップ）検出したが、敵対的サフィックスには苦戦した（最大36.6ステップ）。
  • デコーダー（Llama Guard, ShieldGemma）: 敵対的サフィックスを迅速に（26–28ステップ）検出したが、パラフレーズには時間がかかった（64–67ステップ）。
• グラウンドトゥルース・レジーム: 検出は3つのレジーム（合成的な発生、実際のテンポラル・ジェイルブレイク、および敵対的成功シナリオ）において維持された。
  • 敵対的成功ケース: GCGサフィックスがDeBERTaの分類を正常に反転させた特定のレジームにおいて、シフトはDeBERTaには検出不可能であった（スコアがセーフ領域に移動し、参照分布と区別できなくなったため）が、非ターゲットの分類器（Llama Guard）では検出可能であった（同じ入力がより危険に見えるため）。これは、クロス分類器による異常検知が、敵対的回避に対する「カナリア」として機能し得ることを示唆している。

2. 共形適応 (RQ2)

• 密度比の崩壊（Density-Ratio Collapse）: 決定的な失敗モードが特定された。4つの分類器のうち3つ（Text-Moderation, Llama Guard, ShieldGemma）において、高次元の埋め込み空間におけるロジスティック回帰が完全な線形分離を達成した。これにより、すべての重要度ウェイトがクリッピングフロア（$1/C = 0.1$）に強制され、実効サンプルサイズ（ESS）が約300となり（実質的な再重み付けが行われず）、カバレッジの回復は無視できるレベル（$\le +0.10$）となった。
• DeBERTaの例外: DeBERTaのみが、意味のある回復を実現した。ただし、その有効性はシフトタイプによって異なった：
  • パラフレーズ: ESS=46, 回復=+39 パーセントポイント (pp)。
  • テンポラル: ESS=88, 回復=+16 pp。
  • 敵対的サフィックス: ESS=206, 回復=+2 pp（崩壊に近い状態）。
• 次元削減による救済: 密度比推定の前に埋め込みを32次元に削減するPCAを適用することで、完全な分離が打破された。これにより、生成モデルのカバレッジが回復した：Llama Guardはテンポラル・シフトに対して+33 pp、ShieldGemmaは+21 ppを回復した。

3. 分散分解 (RQ3)

検出レイテンシに関する二元配置分散分析（Two-way ANOVA）の結果、単一の要因が支配的ではないことが明らかになった：

• 分類器: $\eta^2 = 0.243$
• シフトタイプ: $\eta^2 = 0.237$
• 相互作用 (分類器 $\times$ シフト): $\eta^2 = 0.185$
• 残差: $\eta^2 = 0.335$
  すべての要因は統計的に有意であった（$p < 0.001$）。これは、検出の困難さが分類器とシフトタイプの特定の組み合わせによって決定されることを示しており、分類器ごとのモニタリングプロファイルが必要であることを示唆している。

意義と主張

本論文は、多様なシフト条件下におけるLLM安全性分類器の対象を絞った経験的研究を提供し、一般的なモニタリングフレームワークが見落としがちな失敗モードを明らかにしている。主な貢献は以下の通りである：

1. 密度比崩壊の診断: 生成的安全性分類器の埋め込みにおいて、ロジスティック回帰が完全な分離を達成し、データ駆動型の再重み付けを無効にするという特定の失敗モードを特定した。次元削減（PCA）が、このようなアーティファクトに対する診断および救済策として必要であることを示している。
2. アーキテクチャ $\times$ シフトの相互作用: 検出レイテンシは分類器やシフト単独の特性ではなく、それらの相互作用の特性であることを明らかにした。エンコーダーとデコーダーは、自然なシフトと敵対的なシフトに対して相反する感度を示し、「普遍的なモニタリング構成」という概念に異議を唱えている。
3. クロス分類器異常検能: ターゲットとなる分類器に対する敵対的攻撃が、その分類器自体には不十分な分布シグナルしか生成しない場合でも、アーキテクチャの異なる他の分類器には異常として現れることを示し、クロス分類器のスコアシフトによる検出が可能であることを示した。
4. 運用のトレードオフ: KS（スライディングウィンドウ）検出器と信頼系列（Confidence Sequence/増大ウィンドウ）検出器の比較は、デプロイメントにおけるトレードオフを浮き彫りにした。KSは強いシグナルに対して高速な検出を提供するが、CSは弱く混合の激しいシフト（例：30%の汚染に対してKSは43%の検出率に対し、CSは97%の検出率）に対して優れた検出能力を提供する。

著者らは、分類器の選択もシフトタイプも、単独では検出の困難さを決定するものではないと結論付けている。効果的なモニタリングには、特定のシフト相互作用を考慮した分類器ごとのプロファイルが必要であり、共形適応戦略は、高次元埋め込みにおける次元誘起の分離アーティファクトを考慮しなければならない。