기술 요약: GLiGuard: LLM 안전 장치를 위한 스키마 조건부 분류

문제 제기

대규모 언어 모델 (LLM) 의 광범위한 배포는 유해, 불법 또는 오해의 소지가 있는 콘텐츠 생성을 방지하기 위한 견고하고 실시간 콘텐츠 조정 시스템의 필요성을 부각시킵니다. 현재 최첨단 가드레일 모델 (예: LlamaGuard, ShieldGemma, WildGuard) 은 주로 자기회귀 디코더 아키텍처(7B~27B 파라미터) 에 의존합니다. 이러한 모델들은 안전 분류를 순차적 텍스트 생성 작업으로 재구성합니다. 이러한 설계 선택은 다음과 같은 근본적인 비효율성을 초래합니다:

1. 높은 지연 시간: 토큰 단위로 분류 출력을 생성하는 방식은 출력 길이에 따라 확장됩니다.
2. 낮은 병렬성: 여러 안전 차원을 동시에 평가하는 데 어려움을 겪습니다.
3. 높은 리소스 소비: 본질적으로 생성이 아닌 분류인 작업에 수십억 개의 파라미터를 사용합니다.

본 논문은 안전 조정을 스키마 조건부 분류 문제로 재구성하고 컴팩트한 양방향 인코더를 사용하면 추론 비용을 크게 줄이면서도 경쟁력 있는 정확도를 달성할 수 있다고 주장합니다.

방법론

GLiGuard 는 GLiNER2 아키텍처 (Zaratiana 등, 2025) 를 기반으로 한 0.3B 파라미터 스키마 조건부 양방향 인코더입니다. 안전을 지시 따르기 생성으로 취급하는 자기회귀 가드와 달리, GLiGuard 는 작업 정의와 레이블 의미론이 입력 시퀀스에 직접 인코딩되는 다면 분류 작업으로 안전을 취급합니다.

1. 스키마 조건부 아키텍처

핵심 혁신은 스키마 조건부 입력 표현입니다. 출력 헤드를 하드 코딩하는 대신, 모델은 추론 시 다음으로 구성된 선형화된 토큰 시퀀스를 입력받습니다:

• 스키마 접두사: 작업 정의 ($\tau_k$) 와 해당 후보 레이블 ($Y_k$) 의 구조화된 시퀀스.
• 입력 텍스트: 조정 대상 사용자 프롬프트 또는 모델 응답.
• 특수 토큰: [P](작업 구분자), [L](레이블 접두사), [SEP](스키마/텍스트 구분자).

입력 시퀀스는 다음과 같이 구성됩니다:
$$z = T(\tau_1, Y_1) \dots T(\tau_K, Y_K) \text{ [SEP] } w_1 \dots w_N$$
여기서 각 작업 블록 $T(\tau_k, Y_k)$는 [P] $\phi(\tau_k)$ [L] $l_1$ [L] $l_2$ ... 로 직렬화됩니다.

2. 양방향 인코딩 및 레이블 추출

토큰 시퀀스는 사전 훈련된 양방향 트랜스포머 인코더 (예: DeBERTa, ModernBERT) 에 의해 처리됩니다. 주요 특징은 다음과 같습니다:

• 전체 자기 주의 (Full Self-Attention): 인코더는 스키마 토큰과 입력 텍스트 모두를 양방향으로 주시합니다. 이를 통해 모델은 동시에 "레이블 인지 텍스트 표현"과 "텍스트 인지 레이블 표현"을 구축할 수 있습니다.
• 맥락화된 레이블 임베딩: [L] 토큰 위치의 숨은 상태가 추출됩니다. 이러한 임베딩은 전체 입력 텍스트와 스키마 내의 모든 다른 레이블에 의해 영향을 받아 분류를 위한 풍부한 맥락을 제공합니다.
• 공유 분류 헤더: 경량의 공유 2 층 MLP 분류기가 각 레이블 임베딩에 독립적으로 적용되어 로짓을 생성합니다.
  • 단일 레이블 작업(예: 안전, 거부) 은 Softmax 를 사용합니다.
  • 다중 레이블 작업(예: 유해 카테고리, 탈옥 전략) 은 Sigmoid 를 사용합니다.

3. 통합 다중 작업 조정

GLiGuard 는 네 가지 고유한 조정 작업을 지원하며, 이를 단일 스키마로 구성하여 단일 비자기회귀 순전파로 수행할 수 있습니다:

1. 안전 분류: 프롬프트 및 응답에 대한 이진 분류 (안전/불안전).
2. 거부 감지: 응답에 대한 이진 분류 (준수/거부).
3. 유해 카테고리 분류: 14 가지 세분화된 유해 카테고리 (예: 폭력, PII, 혐오) 로의 다중 레이블 분류.
4. 탈옥 전략 감지: 11 가지 적대적 공격 전략 (예: 프롬프트 인젝션, 역할극 우회) 로의 다중 레이블 분류.

4. 추론 파이프라인 및 결정 규칙

추론 파이프라인은 스키마 직렬화, 단일 인코더 통과, 병렬 디코딩을 포함합니다. 최종 안전 판정은 보조 작업의 예측을 구성하는 하드 결정 규칙에 의해 결정됩니다:

• 프롬프트 안전: 안전 분류기가 '불안전'으로 예측하거나, BENIGN 외의 유해 카테고리 또는 탈옥 전략이 감지되면 판정은 불안전입니다.
• 응답 안전: 안전 분류기가 '불안전'으로 예측하면 판정은 불안전입니다. 그러나 거부가 감지되면 판정은 안전으로 재정의됩니다 (과도한 거부 패널티를 방지하기 위함).

주요 기여

1. 스키마 조건부 아키텍처: GLiNER2 를 조정 작업에 적용하여 추론 시 재학습이나 프롬프트 재설계 없이 동적으로 작업 및 레이블 블록을 구성할 수 있도록 함.
2. 통합 다중 작업 프레임워크: 프롬프트/응답 안전, 14 가지 유해 카테고리, 11 가지 탈옥 전략을 동시에 평가하는 단일 순전파.
3. 소규모에서의 경쟁력 있는 정확도: 0.3B 인코더가 7B~27B 디코더 기반 가드와 경쟁력 있는 성능을 유지함을 입증.
4. 추론 효율성: 모델의 비자기회귀 특성으로 인해 지연 시간이 극적으로 감소하고 처리량이 증가함.

실험 결과

저자들은 GLiGuard 를 6 개의 최첨단 자기회귀 가드 모델 (7B~27B 파라미터 범위) 과 비교하여 9 개의 확립된 안전 벤치마크 (예: OpenAI Moderation, Aegis 2.0, HarmBench, WildGuardTest) 에서 평가했습니다.

• 정확도:
  • 프롬프트 유해성: GLiGuard 는 평균 F1 점수 87.7을 기록하여 최상위 베이스라인 (89.4 점의 PolyGuard-Qwen-7B) 과 1.7 포인트 차이였으며, LlamaGuard4-12B(82.5) 와 ShieldGemma-27B(69.6) 등 더 큰 모델들을 능가했습니다.
  • 응답 유해성: GLiGuard 는 평균 F1 점수 82.7을 기록하여 비교 모델 중 두 번째로 좋았으며, Qwen3Guard-8B-Gen(84.1) 에 이어 WildGuard-7B(82.4) 를 능가했습니다.
• 효율성:
  • 처리량: GLiGuard 는 최대 16.2 배 높은 처리량(배치 크기 4 일 때 8B 모델의 8.2 샘플/초 대비 133 샘플/초) 을 달성했습니다.
  • 지연 시간: GLiGuard 는 최대 17 배 낮은 지연 시간(시퀀스 길이 64 일 때 8B 모델의 426ms 대비 26ms) 을 달성했습니다.
• 파레토 효율성: 이 모델은 23~90 배 적은 파라미터로 훨씬 더 큰 모델과 비교 가능한 F1 점수를 제공하는 파레토 경쟁력 영역을 차지합니다.

중요성 및 주장

본 논문은 컴팩트한 양방향 인코더가 추론 비용을 극적으로 줄이면서도 훨씬 더 큰 가드 모델의 정확도에 근접할 수 있다고 주장합니다. 저자들은 콘텐츠 조정의 경우 규모 자체보다 데이터 품질, 훈련 전략, 모델 전문화가 더 중요하다고 논증하며, 이는 ShieldGemma-27B 와 같은 더 큰 모델이 더 작고 전문화된 대안보다 성능이 낮게 나타나는 것으로 입증됩니다.

GLiGuard 는 지연 시간 및 메모리 제약 환경을 위한 솔루션으로 제시되며, 자기회귀 생성과 관련된 병목 현상 없이 실시간 게이트키킹을 가능하게 합니다. 이 연구는 안전을 스키마 조건부 분류 문제로 재구성하는 것이 대형 생성 모델을 가드레일에 사용하는 현재 패러다임에 대한 실현 가능하고 효율적인 대안임을 시사합니다.

참고: 본 논문은 선의의 맥락에서 표면적 유발 단어에 대한 민감성 (위양성) 과 정교한 허구적 내러티브에 포함된 적대적 탈옥에 대한 어려움 (위음성) 을 포함한 한계를 인정합니다. 향후 연구는 이러한 특정 견고성 문제를 해결할 것으로 제안됩니다.