💻 computer science

GLiNER Guard: Unified Encoder Family for Production LLM Safety and Privacy

GLiNER Guard(GLiGuard) 는 단일 순전파로 안전 분류와 개인 식별 정보(Pii) 감지를 동시에 수행하는 통합 인코더 계열로, 생산용 LLM 시스템의 기존 자기회귀형 중재자 대비 높은 처리량, 낮은 지연 시간, 비용 효율적인 대안을 제공합니다.

원저자: Bogdan Minko, Sabrina Sadiekh, Evgeniy Kokuykin

게시일 2026-05-08

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Bogdan Minko, Sabrina Sadiekh, Evgeniy Kokuykin

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

거대한 활기찬 디지털 도시를 운영한다고 상상해 보세요. 이곳에서 사람 (사용자) 들은 거대하고 초지능적인 로봇 (LLM) 과 대화하여 답변을 얻거나, 이야기를 쓰거나, 문제를 해결합니다. 이러한 대화들이 거대한 로봇에게 도달하기 전에 보안 검문소를 통과해야 합니다.

이 검문소는 두 가지 매우 중요한 역할을 수행합니다:

안전 수호자: 해킹 시도, 로봇 속임수, 또는 악의적인 발언을 시도하는 나쁜 세력을 막습니다.
개인정보 수호자: 유출되기 전에 신용카드 번호, 집 주소, 전화번호와 같은 개인 비밀을 찾아내어 숨깁니다.

문제: "느린 거인" 대 "빠른 후각견"

지금까지 도시 계획가들은 두 가지 유형의 경비원 사이에서 선택해야만 했으며, 어느 것도 완벽하지 않았습니다:

느린 거인들 (자기회귀 모델): 이들은 요청의 모든 단어를 신중하게 읽고 문맥을 깊이 있게 고려하는 거대하고 고학력 경비원들과 같습니다. 나쁜 것을 포착하는 데는 놀라울 정도로 정확하지만, 고용하는 데는 느리고 비용이 많이 듭니다. 매초 수백만 명의 사람들이 도시 입구를 시도한다면, 모두를 검사할 만큼 충분한 거인들을 고용하는 것은 도시를 파산시키고 막대한 교통 체증을 초래할 것입니다.
빠른 후각견들 (가벼운 인코더): 이들은 특정 냄새 (예: "유해한 단어" 또는 "이메일 주소") 를 맡아내는 빠르고 훈련된 개들과 같습니다. 빠르고 저렴하지만, 시야가 좁습니다. 그들은 깊은 사고를 하지 않기 때문에 교묘한 속임수를 놓치거나 복잡한 개인 비밀을 찾아내지 못할 수 있습니다.

해결책: "슈퍼 후각견" (GLiNER Guard)

이 논문의 저자인 HiveTraceLab 은 **GLiNER Guard (GLiGuard)**라는 새로운 종류의 경비원을 개발했습니다. 이는 한 패키지로 탐정처럼 생각할 수 있는 슈퍼 후각견이라고 생각하세요.

느린 거인과 빠른 후각견을 모두 고용하는 것 (두 가지 별도의 검사가 필요함) 대신, GLiGuard 는 단일한 번의 번개 같은 통과로 두 가지 역할을 모두 수행합니다.

그들이 이를 구축한 방법은 다음과 같습니다:

두뇌: 그들은 GLiNER2 라는 모델에 기반한 스마트하고 컴팩트한 두뇌를 가져와 "이 요청이 위험한가?"와 "이것에 비밀이 포함되어 있는가?"라는 두 가지를 동시에 찾도록 가르쳤습니다.
변형: 그들은 서로 다른 필요에 따라 이 경비원의 세 가지 버전을 구축했습니다:
1. 컴팩트 경비원 (Uni/Bi-인코더): 대규모 군중을 처리하도록 설계된 작고 초고속 버전입니다. 단일 컴퓨터 칩에서 거의 지연 없이 초당 약 200 명을 검사할 정도로 효율적입니다.
2. 오미 경비원: 약간 더 크고 더 똑똑한 버전입니다. 컴팩트 버전보다 약간 느리지만 복잡한 상황을 이해하는 데 더 뛰어나며, 처음부터 다시 학습할 필요 없이 새로운 이상한 규칙에 적응할 수 있습니다.

결과: 속도와 지능의 만남

이 논문은 시뮬레이션된 도시 (Aegis 와 StrongReject 와 같은 벤치마크 사용) 에서 이 새로운 경비원들을 테스트하여 다음과 같은 인상적인 결과들을 발견했습니다:

속도: 컴팩트 경비원은 속도 괴물입니다. 강력한 컴퓨터 칩 (A100) 에서 이전의 가장 뛰어난 가벼운 경비원보다 1.6 배 더 빠르게 요청을 처리하면서도 "테일 지연" (가장 느린 요청이 걸리는 시간) 을 1 초 미만으로 유지했습니다.
정확도: 작지만 놀라울 정도로 강력합니다. 안전 테스트에서 "오미" 버전은 훨씬 크고 느린 모델들보다 높은 점수를 받았습니다. 대부분의 나쁜 행위자를 잡기 위해 200 억 파라미터의 "거인"이 필요하지 않다는 것이 입증되었습니다; 2 억 파라미터의 똑똑한 "후각견"이 첫 번째 방어선으로서 충분히 일을 해냅니다.
개인정보 보호: 나쁜 단어만 막은 것이 아니라, 텍스트에서 개인 비밀 (이름과 주소 등) 을 성공적으로 찾아내어 별도의 "개인정보 스캐너"의 필요성을 대체할 수 있음을 입증했습니다.

전략: "계층화"된 도시

이 논문은 이 도시를 운영하는 현명한 방법을 제안합니다: GLiGuard 를 주요 게이트로 사용하세요.

GLiGuard 는 매우 빠르고 저렴하기 때문에 모든 사람 앞에 배치할 수 있습니다. 이는 명백한 나쁜 세력을 잡고 명백한 비밀을 즉시 숨깁니다.

만약 GLiGuard 가 어떤 요청에 대해 불확실하다면 (아마도 까다롭고 길거나 다국어 메시지일 수 있음), 해당 특정 요청을 더 깊은 두 번째 검토를 위해 "느린 거인" (더 큰 AI 모델) 에게 전달할 수 있습니다.
이렇게 하면 어려운 사례들에 대해서만 비싼 비용을 지불하고, 빠르고 저렴한 경비원이 트래픽의 99% 를 처리하게 됩니다.

새로운 지도 (PII-Bench)

개인정보 보호 능력을 입증하기 위해 저자들은 PII-Bench라는 새로운 지도도 만들었습니다. 이는 경비원이 러시아어 대화에서 개인 비밀을 얼마나 잘 찾아낼 수 있는지 보기 위해 특별히 설계된 테스트입니다. 그들은 새로운 경비원이 특히 간단한 규칙 검사기 (전화번호를 위한 맞춤법 검사기와 같은) 와 결합되었을 때 이 분야에서 탁월함을 발견했습니다.

요약

간단히 말해, GLiNER Guard는 AI 시스템을 위한 실용적인 올인원 보안 경비원입니다. 이는 수백만 개의 요청을 처리할 만큼 빠르면서도 안전 위반과 개인 비밀을 한 번의 훑음으로 포착할 만큼 똑똑한 모델을 제공함으로써 속도와 안전 사이의 오래된 트레이드오프를 해결합니다. 이는 기업들이 사용자의 속도를 늦추거나 돈을 낭비하지 않고도 AI 시스템을 안전하고 사적으로 유지할 수 있게 합니다.

기술 요약: GLiNER Guard(GLiGuard)

문제 정의

생산 환경의 대규모 언어 모델(LLM) 시스템은 안전성 조정 품질과 운영 효율성 사이에서 치명적인 트레이드오프에 직면해 있습니다. 현재 최첨단 가드레일 (guardrails) 은 주로 자동회귀 모델 (예: LlamaGuard, WildGuard, ShieldGemma) 입니다. 이러한 모델들은 고품질의 조정과 적대적 프롬프트에 대한 견고성을 제공하지만, 추론 비용과 지연 시간이 "상시 (always-on) 대규모 배포"를 prohibitively expensive(부당하게 비싸게) 만듭니다. 반면, 경량 인코더 기반 모델은 훨씬 빠르지만 일반적으로 범위가 좁고 (예: 프롬프트 인젝션 또는 이진 독성만 감지) 개인 식별 정보 (PII) 감지와 같은 구조화된 추출 작업을 수행할 능력이 부족합니다.

또한, 생산 파이프라인은 종종 안전 조정과 PII 감지를 위한 별도의 모델을 배포하는 분산된 아키텍처에 의존합니다. 이러한 분리는 파이프라인 복잡성, 유지보수 오버헤드, 누적 지연 시간을 증가시킵니다. 본 논문은 다음과 같은 질문에 답합니다: 강력한 조정 품질과 다중 작업 기능 (안전 분류 및 PII 감지) 을 단일 배포 가능한 단위로 결합하는 효율적인 1 단계 보호를 제공할 수 있는 컴팩트한 통합 인코더가 존재할 수 있는가?

방법론

저자들은 GLiNER2 아키텍처를 기반으로 구축된 통합 인코더 패밀리인 GLiNER Guard(GLiGuard) 를 소개합니다. 텍스트 토큰을 생성하는 자동회귀 가드레일과 달리, GLiGuard 는 디코딩 없이 단일 순전파 (forward pass) 에서 안전 분류와 스패너 (span-level) PII 추출을 수행합니다.

아키텍처 변형

본 논문은 배포 지향적인 세 가지 변형을 제안합니다:

컴팩트 유니 - 인코더 (147M 파라미터): 표준 GLiNER2 설계를 따르며, 입력 텍스트와 스키마 레이블을 연결하고 완전 양방향 어텐션으로 처리합니다. 이는 풍부한 텍스트 - 레이블 상호작용을 제공하지만, 모든 요청마다 레이블을 다시 인코딩해야 합니다.
공유 가중치 바이 - 인코더 (145M 파라미터): 텍스트와 레이블을 별도의 공유 임베딩 공간으로 인코딩합니다. 핵심적으로 레이블 표현은 입력 텍스트와 독립적이므로 사전 계산 및 캐싱이 가능합니다. 이 변형은 대규모 고정 또는 테넌트별 정책 분류 체계가 필요한 시나리오에 최적화되어 있습니다.
GLiNER Guard Omni(209M 파라미터): 처음부터 훈련하는 것이 아니라 GLiNER2 Multi에서 초기화됩니다. 이 변형은 가드레일 특정 감독을 추가하면서도 더 넓은 일반 도메인 전이 능력을 유지하여 커스텀 스키마나 광범위한 작업 범위가 필요한 배포에 적합합니다.

훈련 전략

모든 변형은 95/5 훈련/검증 분할을 사용하여 467,273 개의 다중 작업 예제로 훈련됩니다. 훈련 혼합물은 최대 6 가지의 동시 감독 신호를 포함합니다:

스패너 추출 (NER)
안전 분류
적대적 공격 감지
유해 콘텐츠 분류
의도 인식
톤 분류

데이터셋은 공개 안전 데이터셋 (예: Aegis 2.0, WildGuardMix) 과 내부 러시아어 안전 데이터 및 합성 PII 코퍼스를 결합합니다. 주목할 점은 훈련 혼합물이 분류 작업이 지배적이며, 데이터 부족으로 인해 스패너 수준의 PII 주석이 상대적으로 드물다는 것입니다.

주요 기여

통합 가드레일 아키텍처: 안전 분류와 PII 감지를 동시에 수행할 수 있는 단일 인코더인 GLiGuard 의 도입으로, 별도의 조정 및 NER 스택의 필요성을 대체합니다.
생산용 최적화 변형: 레이블 캐싱을 지원하여 확장 가능한 배포를 가능하게 하는 공유 가중치 바이 - 인코더 설계를 포함하여, 고처리량 서빙을 위해 특별히 튜닝된 컴팩트한 유니 및 바이 - 인코더 변형의 개발.
GLiNER Guard Omni: 개선된 전이 성능과 광범위한 일반화를 유지하면서 강력한 조정 품질을 보여주는 더 큰 변형.
PII-Bench: 엔드 - 투 - 엔드 파이프라인에서 PII 감지를 평가하기 위한 새로운 스패너 수준 벤치마크 출시. 이 벤치마크는 공개 자원 부족으로 인해 러시아어 데이터에 초점을 맞추며, 13 개 엔티티 유형과 9 개 도메인에 걸쳐 1,810 개의 인간 검증 예제를 포함합니다. 이는 원시 모델 추출과 규칙 기반 후처리를 포함한 전체 파이프라인 성능을 구분합니다.
생산 지향 평가: 현실적인 부하 조건 하에서 조정 품질, PII 감지, 제로샷 일반화, 및 서빙 효율성을 포괄하는 종합 평가.

결과

안전 조정 품질

GLiGuard 는 컴팩트한 크기에도 불구하고 공개 안전 벤치마크 (Aegis 2.0, StrongReject, PolyGuard) 에서 경쟁력 있는 결과를 달성합니다:

GLiGuard Omni는 평균 F1 76.9로 최고의 전체 인코더 결과를 달성하여 GLiNER2 Multi(66.6) 와 GLiClass(64.9) 를 능가합니다.
프롬프트 수준 조정 (Aegis 2.0) 에서 컴팩트 변형은 80.2 F1에 도달하여 LlamaGuard 3(77.2) 와 Llama 4 Guard(71.5) 를 상회하고 WildGuard(81.5) 에 근접합니다.
StrongReject 에서 유니 - 인코더는 98.5 F1에, Omni 는 99.7 F1에 도달합니다.
파라미터 효율성: 모든 GLiGuard 변형은 파라미터 정규화 효율성 ( $F1_{avg} / \log_2 P$ ) 비교 세트에서 선두를 차지하며, Omni 는 2.78의 점수를 기록합니다.

PII 감지

본 논문은 원시 모델 추출과 전체 파이프라인 성능을 구분합니다:

원시 추출: GLiNER2 Multi 와 Omni 는 이름과 같은 문맥 의존적 엔티티에 대해 강력한 원시 추출 능력을 보여줍니다.
파이프라인 성능: 규칙 기반 구성 요소와 스패너 병합을 통합한 후, 컴팩트한 GLiGuard 변형은 우수한 최종 파이프라인 결과를 달성합니다. 유니 - 인코더는 NAME 추출에서 75.7 F1에 도달하여 GLiNER2 Multi(60.6) 보다 15.1 포인트 더 높은 성능을 보입니다. 바이 - 인코더는 68.7 F1로 가장 강력한 ADDRESS 결과를 달성합니다.
이는 통합 모델이 규칙 기반 시스템이 놓치는 문맥 의존적 엔티티를 효과적으로 처리하는 반면, 파이프라인이 구조화된 엔티티를 처리함을 보여줍니다.

서빙 효율성

동적 배칭 하에서 단일 NVIDIA A100 GPU 에서 평가됨:

처리량: 컴팩트 모델은 ONNX TensorRT 로 **초당 193 개 요청 (193 requests/sec)**에 도달하며 P99 지연 시간이 1 초 미만입니다.
비교: 이는 GLiNER2 Multi(122.6 RPS) 보다 1.6 배 높은 처리량을 의미하며, 자동회귀 조정기 (예: WildGuard 의 1.3 RPS) 보다 훨씬 뛰어납니다.
지연 시간: 바이 - 인코더는 요청당 0.019 초를 달성하는 반면, WildGuard 는 0.744 초입니다.
안정성: GLiGuard 는 테스트된 모든 백엔드에서 0% 오류율을 유지한 반면, GLiNER2 Multi 는 PyTorch 부하 하에서 12.95% 오류율을 보였습니다.

일반화

전문화 vs 전이: 컴팩트한 유니 및 바이 - 인코더는 안전 작업에 매우 특화되어 있어 비안전 작업 (예: Banking77 에서 0.08 정확도) 에 대한 일반화가 poor(부족) 합니다.
Omni 의 전이: Omni 변형은 GLiNER2 Multi 초기화에서 상당한 제로샷 전이 능력을 유지하여 SST-2 에서 0.74 정확도와 Banking77 에서 0.59 정확도를 달성하여 더 넓은 스키마 지원이 필요한 배포에 적합합니다.

중요성 및 주장

본 논문은 GLiNER Guard 를 LLM 안전 시스템의 실용적인 중간 계층으로 위치시킵니다. 생산 환경은 약하고 좁은 분류기와 비싸고 지연 시간이 긴 자동회귀 조정기 사이에서 exclusively(전적으로) 선택할 필요가 없다고 주장합니다.

비용 효율적인 상시 조정: GLiGuard 는 초단위 지연 시간으로 대량 트래픽을 처리할 수 있는 "상시" 1 단계 필터링을 위한 저비용 대안을 제공합니다.
시스템 단순화: 안전 분류와 PII 감지를 통합함으로써 파이프라인 복잡성과 운영 오버헤드를 줄입니다.
계층형 아키텍처: 저자들은 더 큰 자동회귀 모델이 응답 수준 조정과 다국어 추론에서 여전히 우위를 점한다고 인정합니다. 따라서 GLiGuard 가 일상적인 트래픽을 처리하고, 불확실하거나 복잡한 사례는 더 강력한 LLM 기반 조정기로 에스컬레이션하는 계층형 아키텍처를 제안합니다 (F1 을 개선하면서 LLM 호출률을 줄이는 캐스케이드 전략을 통해 입증됨).

이 연구는 통합 인코더 가드레일이 비싼 LLM 전용 솔루션에만 의존하지 않고 속도, 비용, 다중 작업 능력을 균형 있게 조화시키는 현대 안전 시스템의 실현 가능한 기반임을 결론짓습니다.