💬 NLP

AERIC: Anticipatory Hidden-State Monitoring for Implicit Harmful Dialogue

Dit artikel introduceert AERIC, een lichtgewicht framework voor het bewaken van verborgen toestanden binnen dezelfde doorloop dat impliciete schadelijke dialogen in real-time voorspelt en onderdrukt met minimale latentie- overhead, en dat op belangrijke benchmarks aanzienlijk beter presteert dan bestaande streaming-beveiligingsmechanismen.

Oorspronkelijke auteurs: Jihyung Park, Saleh Afroogh, Junfeng Jiao

Gepubliceerd 2026-05-26

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Jihyung Park, Saleh Afroogh, Junfeng Jiao

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een live nieuwsuitzending bekijkt. Meestal wachten veiligheidsredacteuren tot de verslaggever zijn zin heeft voltooid, lezen het volledige script en beslissen dan: "Oh nee, dat was gevaarlijk!" Tegen die tijd zijn de schadelijke woorden echter al naar het publiek uitgezonden.

Andere veiligheidstools proberen mee te luisteren terwijl de verslaggever spreekt, maar ze moeten vaak de uitzending onderbreken, de woorden door een aparte, zware computer sturen en dan pas beslissen of het veilig is. Dit vertraagt alles en veroorzaakt ongemakkelijke vertragingen.

AERIC is een nieuwe, lichtgewicht veiligheidstool die op een andere manier werkt. Het wacht niet tot de woorden voltooid zijn en het pauzeert niet om een tweede computer om hulp te vragen. In plaats daarvan fungeert het als een super-attentieve copiloot die direct naast het brein van de verslaggever zit terwijl deze denkt en spreekt.

Hieronder wordt uitgelegd hoe AERIC werkt, opgesplitst in eenvoudige concepten:

1. De "Zelfde-Pas" Copiloot

De meeste veiligheidstools zijn als een aparte beveiligingswachter die moet stoppen en een tas moet controleren nadat je door de deur bent gelopen. AERIC is als een beveiligingswachter die zich al binnen het gebouw bevindt en direct naast je meeloopt.

Hoe het werkt: Terwijl de AI antwoord woord voor woord genereert, leest AERIC de "verborgen gedachten" (interne data) die de AI op dit moment heeft. Het laat de AI niet stoppen of opnieuw nadenken; het observeert gewoon het interne proces in real-time.
Het voordeel: Het is ongelooflijk snel. De studie vond dat het gebruik van AERIC de AI slechts ongeveer 2% vertraagt, terwijl andere veiligheidstools het tot bijna 80% kunnen vertragen.

2. Het Voorspellen van de "Afdwaling" Voordat het Gebeurt

Het moeilijkste deel van veiligheid is het opsporen van "impliciete" schade. Dit is wanneer een AI beleefd en behulpzaam klinkt, maar het gesprek langzaam naar iets gevaarlijks leidt (zoals het geven van slecht medisch advies of het aanmoedigen van zelfverminking).

De Analogie: Stel je een auto voor die over een weg rijdt. Een normale wachter wacht tot de auto crasht om te zeggen: "Dat was een crash!" AERIC is als een sensor die ziet dat de auto begint te afdrijven naar de rand van een afgrond voordat hij er daadwerkelijk overheen gaat.
Hoe het werkt: AERIC kijkt naar de interne trajectorie van de AI. Het stelt gelijktijdig drie vragen:
1. Toekomstig Gevaar: "Gaat de AI binnen de volgende paar woorden iets slechts zeggen?"
2. Ondersteuningscontrole: "Is de AI op dit moment daadwerkelijk behulpzaam en veilig, zelfs als het onderwerp intens is?" (Dit voorkomt dat de tool in paniek raakt wanneer de AI over ernstige maar veilige onderwerpen praat).
3. Afdraai-controle: "Is het huidige pad van de AI anders dan wat een veilig antwoord zou zijn voor deze specifieke vraag?"

3. Het "Gladde" Alarm Systeem

Als een veiligheidstool "GEVAAR!" schreeuwt op het moment dat het één risicovol woord ziet, kan het de AI stoppen met het geven van een perfect goed antwoord.

De Analogie: Denk aan de beslissingsregel van AERIC als een volumeknop in plaats van een lichtschakelaar. Het schakelt niet gewoon om; het draait het volume van het "risicosignaal" langzaam op naarmate de AI blijft afdrijven.
Hoe het werkt: Het gebruikt een wiskundige gladmakende techniek (een Exponentiële Glijdend Gemiddelde). Als de AI begint te afdrijven naar schade, stijgt het "risicovolume" langzaam. Pas wanneer het luid genoeg wordt, zegt het systeem: "Stop met genereren." Hierdoor kan de AI veilige, behulpzame zinnen zonder onderbreking afmaken.

Wat de Studie Eigenlijk Vond

De onderzoekers testten deze "copiloot" op twee verschillende AI-modellen (Qwen en Gemma) en vergeleken het met de beste bestaande veiligheidstools.

Beter in het opsporen van verborgen gevaar: Bij tests met lastige, beleefd klinkende maar schadelijke adviezen, slaagde AERIC er beter in om gevaarlijke antwoorden hoger te rangschikken dan veilige antwoorden, vergeleken met de huidige top-tools.
Het eerder opsporen: Wanneer aan de AI werd gevraagd schadelijke inhoud te genereren, kon AERIC de generatie veel eerder stoppen (na minder woorden) dan de andere tools. Dit betekent dat er minder schadelijke woorden aan de gebruiker worden getoond.
Lichtgewicht: Het is klein. Het deel van de software dat leert en beslissingen neemt, heeft slechts 387 aanpasbare getallen (parameters). Het is zo klein dat het nauwelijks gewicht toevoegt aan het systeem.

De Conclusie

AERIC bewijst dat je een veiligheidssysteem kunt bouwen dat problemen voorspelt door de interne gedachten van de AI in real-time te lezen, zonder de tekst te hoeven stoppen en opnieuw te verwerken. Het fungeert als een snel, vroegtijdig waarschuwingssignaal dat subtiele, verborgen gevaren kan opsporen voordat ze zichtbaar worden voor de gebruiker, terwijl het systeem tegelijkertijd bijna op volle snelheid blijft draaien.

Opmerking: De studie benadrukt dat AERIC een signaal is, geen volledige oplossing. Het vertelt het systeem "Stop, dit ziet er riskant uit", maar het bepaalt niet precies wat het systeem daarna moet doen (zoals de gebruiker blokkeren, een verhelderende vraag stellen of overschakelen naar een veilige modus). Dat deel blijft nog steeds een aparte uitdaging.

Technische Samenvatting: AERIC – Anticipatieve Monitoring van Verborgen Toestanden voor Impliciete Schadelijke Dialoog

1. Probleemstelling

Huidige veiligheidssystemen voor Large Language Models (LLM) staan voor twee distincte uitdagingen:

Timing: Bestaande veiligheidsmaatregelen zijn doorgaans het sterkst bij het beoordelen van volledig voltooide tekst. Streaming-implementaties vereisen echter veiligheidsbeslissingen over gedeeltelijke generaties om vroege ingreep mogelijk te maken. Huidige "streaming"-bewakers vertrouwen vaak op aanvullende forward passes over groeiende tekstvoorvoegsels, wat latentie-bottlenecks creëert, of ze wachten tot de tekst voldoende expliciet wordt om te classificeren, en reageren pas nadat de onveilige trajecten al zichtbaar zijn.
Impliciete Schadelijkheid: Schadelijkheid wordt vaak niet aangegeven door openlijk toxische sleutelwoorden. In dialoog- en adviescontexten kan onveilig gedrag covert, contextgevoelig of impliciet zijn in het verloop van een antwoord (bijvoorbeeld beleefd maar aanmoedigend tot zelfverwonding). Oppervlakkige tekstanalyse of voorkeuren voor de top-volgende token detecteren deze drift naar onveilige gebieden vaak niet voordat de inhoud expliciet wordt.

Het artikel adresseert het strengere doel van anticipatieve monitoring in dezelfde pass: het detecteren van impliciete schadelijke drift tijdens decoding met uitsluitend de interne verborgen toestanden van de generator, zonder een aanvullende forward pass door het basismodel of een aparte generatieve bewaker aan te roepen.

2. Methodologie: AERIC

De auteurs introduceren AERIC (Anticipatory Evidence and Residual Inference for Continuations), een lichtgewicht monitor die verborgen toestanden leest die worden geproduceerd tijdens gewone decoding. Het systeem opereert onder een "same-pass"-beperking, wat betekent dat het uitsluitend grootheden gebruikt die beschikbaar zijn vanuit het huidige decode-traject ( $h_t$ , prompt-samenvatting $p$ , en eerdere monitorwaarden).

Kerncomponenten

AERIC combineert drie lineaire scalair-koppen die zijn getraind op verborgen toestanden geprojecteerd naar een 128-dimensionale representatie:

Future-Hazard Kop ( $f_t$ ):
- Doel: Voorspelt of een schadelijke voortzetting binnen een korte horizon op het punt staat te beginnen.
- Mechanisme: Gebruikt onset-bewuste supervisie (van FineHarm) om voorvoegsels te labelen op basis van de nabijheid tot de index van schadelijk begin ( $o$ ). Het vraagt of het huidige traject dichtbij staat om een schadelijke toestand binnen te gaan, in plaats van of het zichtbare voorvoegsel al onveilig is.
- Formule: $f_t = w_f^\top \tilde{h}_t + b_f$
Support Kop ( $c_t$ ):
- Doel: Modelleert tegenbewijs voor veilige, begrenste, ondersteunende of de-escalatoire voortzettingen om over-triggeren op emotioneel intense maar passende reacties te voorkomen.
- Mechanisme: Getraind op veilige, ondersteunende of begrenste voortzettingen (positieve klasse) versus onmiddellijke of post-onset onveilige voortzettingen (negatieve klasse).
- Formule: $c_t = w_c^\top \tilde{h}_t + b_c$
Prompt-geconditioneerde Residukop ( $r_t$ ):
- Doel: Meet onveilige drift ten opzichte van veilig gedrag voor hetzelfde prompt-type.
- Mechanisme: In plaats van naïeve prompt-subtractie, leert het de residurichting van gekoppelde veilige en onveilige voortzettingen die op prompt-niveau zijn gepaard. Het scoort of de verborgen-toestandstrajectie is afgeweken naar een onveilige richting ten opzichte van veilig gedrag voor die specifieke promptcontext.
- Formule: $r_t = w_r^\top (h_t - p) + b_r$ , getraind met een pairwise ranking loss om ervoor te zorgen dat onveilige residualen hoger scoren dan veilige.

Beslissingsregel

De ruwe per-token score ( $g_t$ ) combineert deze signalen:
$g_t = f_t - \alpha c_t + \beta r_t$
waarbij $\alpha$ onderdrukking door support-bewijs regelt en $\beta$ de bijdrage van residuale drift regelt.

Voor online monitoring wordt de ruwe score gladgestreken met een Exponentiële Moving Average (EMA):
$m_t = \lambda g_t + (1 - \lambda)m_{t-1}$
Een generatie wordt gemarkeerd als $m_t \geq \tau$ . Dit zorgt ervoor dat de beslissing voorvoegsel-meetbaar en stabiel is.

Efficiëntie

De standaard lineaire monitor is extreem klein en bevat slechts 387 traineerbare kopparameters (3 koppen × 129 parameters elk). De totale opgeslagen artifactgrootte is ongeveer 6,1 MiB voor Qwen3-8B en 3,8 MiB voor Gemma-4-E4B-it.

3. Belangrijkste Bijdragen

Same-Pass Beperking: Demonstreert dat een lichtgewicht monitor impliciete schadelijke drift kan anticiperen door interne verborgen toestanden te lezen zonder aanvullende forward passes door het basismodel te vereisen.
Impliciete Schade Transfer: Toont aan dat expliciete schadelijke supervisie (FineHarm, Anthropic HH-RLHF) kan worden hergebruikt om impliciete schadelijke dialoog te detecteren via een combinatie van hazard-voorspelling, support-gevoelige onderdrukking en prompt-geconditioneerde residuscooring.
Architectuur: Introduceert een specifieke drie-kop architectuur (Future-Hazard, Support, Paired Residual) die is toegespitst op de faalmodi van impliciete schade (covert drift, emotionele intensiteit, context-afhankelijkheid).
Kalibratiestrategie: Stelt een bron-zijde veilig-budgetregel voor (het maximaliseren van triggerdekking terwijl de safe-trigger-ratio wordt beperkt tot $\leq$ 10%) voor prompt-level trigger benchmarks.

4. Experimentele Resultaten

Gebalanceerde Impliciete-Schade Benchmarks

Geëvalueerd op DiaSafety (conversatiegericht) en Harmful Advice (adviesgericht) met Qwen3-8B en Gemma-4-E4B-it.

Prestatie: AERIC presteert beter dan de sterkste native streaming-baseline, Qwen3Guard-Stream-4B, en antwoord-niveau bewakers (ShieldGemma-9B, WildGuard).
- DiaSafety: AUROC verbeterd van 0,6830 (Qwen3Guard) naar 0,7143 (AERIC).
- Harmful Advice: AUROC verbeterd van 0,8219 (Qwen3Guard) naar 0,8582 (AERIC).
Ablatie: De "Support"-kop boekte de grootste winst op Harmful Advice (het hanteren van assertieve maar begrenste begeleiding), terwijl de "Residual"-kop de uiteindelijke lift boekte op DiaSafety (het hanteren van conversatie-verbijsteringen).

Prompt-Level Trigger Benchmarks

Geëvalueerd op HarmBench DirectRequest en SocialHarmBench onder een bron-zijde 10% veilig-trigger-budget.

Vroege Triggering: AERIC presteert aanzienlijk beter dan baselines bij het triggeren voordat de schadelijke inhoud volledig blootgelegd is.
- HarmBench (Qwen): Trigger@64 bereikte 0,6438 (vs. 0,1063 voor Qwen3Guard).
- SocialHarmBench (Gemma): Trigger@64 bereikte 0,7363 (vs. 0,2962 voor Qwen3Guard).
Retentie: De monitor hield gemiddeld 23,53 tot 41,86 antwoordtokens tegen voordat blootstelling.

Rekenkundige Overhead

Latentie: Op een vast-generatie benchmark verhoogde AERIC de gemiddelde latentie met slechts 2,34%.
Vergelijking: Dit is drastisch lager dan Qwen3Guard-Stream-4B (79,40% toename), geprefixeerde ShieldGemma-9B (158,73%) en geprefixeerde WildGuard (216,74%).

5. Betekenis en Claims

Het artikel claimt dat expliciete schadelijke supervisie kan overdragen naar impliciete schadelijke monitoring onder een strikte "geen-extra-forward-pass"-beperking.

Praktisch Pre-Exposure Signaal: AERIC biedt een praktisch, laag-latentie risicosignaal dat schadelijke drift kan anticiperen voordat de inhoud op het oppervlak expliciet wordt, zelfs tegen sterke native streaming-bewakers.
Systeem-efficiëntie: Het demonstreert dat veiligheidssignalen kunnen worden afgeleid van interne representaties om real-time monitoring te ondersteunen met verwaarloosbare overhead (ongeveer 2% toename in latentie).
Bescheiden Scope: De auteurs stellen expliciet dat AERIC een online risicosignaal is, geen compleet interventiebeleid. De downstream beslissing (bijvoorbeeld generatie stoppen, verhelderende vragen stellen of routeren) blijft een open systeemprobleem. Het artikel claimt niet het probleem van valse weigeringen op te lossen of het optimale interventiebeleid te definiëren, maar eerder om een efficiëntere en anticipatievere detectiemethode te bieden dan huidige state-of-the-art bewakers.