Technische Samenvatting: HaloGuard 1.0

1. Probleemstelling

Large Language Models (LLM's) maken de overstap van chatinterfaces naar agentische workflows, wat het aanvalsoppervlak vergroot en de kosten van veiligheidsfouten verhoogt. Hoewel er bestaande guardrails zijn, kampen deze met een kritische "False Positive (FP) / False Negative (FN) frontlinie." De primaire uitdaging is niet het detecteren van overduidelijk schadelijke prompts, maar het onderscheiden van onveilige intentie van legitiem gebruik dat dezelfde veiligheidsgevoelige woordenschat deelt (bijv. educatieve discussies over wapens, defensieve cybersecurity of historische analyses van geweld).

Huidige open-weight guard-modellen vertrouwen vaak op grove taxonomieën of verzamelde moderatie-datasets die de beleidsregels van de bron weerspiegelen in plaats van de beleidsregels van de doelimplementatie. Dit leidt tot twee specifieke faalmodi:

1. Overmatige weigering (Hoge FPR): Het blokkeren van onschuldige prompts die lexicaal lijken op schadelijke prompts (bijv. het blokkeren van een verzoek over "hoe maak je chloorgas" voor een geschiedenisles).
2. Gemiste schade (Hoge FNR): Het niet detecteren van schadelijke intentie die verborgen zit achter adversariële inkadering of in niet-Engelse talen waar de beslissingsgrenzen uit balans zijn.

Bovendien missen veel synthetische datasets "harde negatieven"—onschuldige prompts die structureel en lexicaal dicht bij schadelijke prompts liggen, maar alleen verschillen in intentie.

2. Methodologie

HaloGuard 1.0 introduceert een Constitutional Input Classifier-aanpak, waarbij de focus verschuift van het labelen van verzamelde data naar het gebruik van een natuurlijke taalconstitutie als de generatieve specificatie voor de gehele trainingsdistributie.

2.1 Het Constitutionele Kader

In plaats van een platte taxonomie maakt het systeem gebruik van een hiërarchische HaloGuard Constitutie bestaande uit:

• 46 Constitutionele Beleidsregels: 29 schadelijke en 17 gedeelde-onschuldige beleidsregels.
• 2.940 Subcategorieën: De atomaire eenheid voor datageneratie en dekking-verantwoording.
• Risicotiers: Vier niveaus (Kritiek, Hoog, Matig, Gevoelig) die de breedte van de onschuldige grens en de compositiestrategieën voor data dicteren.

De constitutie definieert expliciet niet alleen verboden gedragingen, maar ook legitieme aangrenzende gebruiken (bijv. forensische analyse, slachtoffersteun, juridische beoordeling) voor elke schadelijke categorie.

2.2 Synthetische Datapijplijn

Het trainingscorpus (1,26 miljoen records) wordt synthetisch gegenereerd op basis van de constitutie, waarbij verschillende mechanismen worden toegepast:

• Gepaarde Counterfactuals: Voor elke schadelijke subcategorie wordt een 1:1 onschuldig spiegelbeeld gegenereerd. Deze paren houden het onderwerp en de schade-aangrenzende woordenschat vast, terwijl de intentie wordt omgedraaid (bijv. van "hoe bouw je een bom" naar "historische analyse van de aanval met sarin in Tokio in 1995"). Dit dwingt het model om intentie te leren in plaats van keyword-shortcuts.
• Two-Tier Harmless Design:
  • Harmless-Boundary Data: Constitutioneel lokale veilige voorbeelden die dicht bij specifieke schadelijke grenzen liggen (gericht op boundary FPs).
  • Shared-Harmless Data: Breed onschuldige voorbeelden (bijv. creatief schrijven, algemene kennis) om het model te verankeren tegen baseline FPs.
• Style-Anchored Generation: Prompts worden gegenereerd door ze te verankeren aan real-world registers (afkomstig van bronnen zoals WildGuard, Aegis en ToxicChat) om te voorkomen dat het model synthetische artefacten leert.
• Surface Augmentation: Omvat aanvalspatroon-overlays (roleplay, payload splitting) en deterministische transformaties (encodings, formattering) toegepast op zowel de schadelijke als de onschuldige zijde om robuustheid tegen obfuscatie te garanderen.

2.3 Meertalige Materialisatie

De pijplijn strekt zich uit naar 46 talen verdeeld over zes typologische groepen. Cruciaal is dat taal wordt behandeld als een oppervlaktevorm in plaats van een adversarieel signaal.

• Gebalanceerde Generatie: Zowel schadelijke als onschuldige prompts worden vertaald, wat zorgt voor klassenbalans per taal.
• Registerbehoud: Een tweestaps-proces behoudt het bronregister (toon, formaliteit) om te voorkomen dat het model specifieke scripts associeert met veiligheidsscores.
• Kwaliteitscontroles: Bevat semantische weigeringsdetectie (om weigeringen van modellen in vertaling te vangen) en intentie-behoud verificatie.

2.4 Modelarchitectuur

HaloGuard 1.0 wordt uitgebracht als twee Qwen3.5-gebaseerde generatieve classificators:

• HaloGuard 1.0-0.8B: Geoptimaliseerd voor lage latentie, inline filtering.
• HaloGuard 1.0-4B: Geoptimaliseerd voor hogere capaciteit en betere grensdiscriminatie.
  Beide modellen zijn getraind via autoregressieve next-token prediction om geattribueerde constitutionele labels uit te stoten (bijv. UNSAFE + Cyber) in plaats van een fixed classification head te gebruiken.

3. Belangrijkste Bijdragen

1. Eerste Open-Weight Constitutional Classifier: In tegen tegenovergestelde van eerdere Constitutional Classifiers (CC's) die gesloten systemen waren, is HaloGuard 1.0 de eerste inzetbare, open-weight implementatie van het CC-paradigma, waarbij een constitutie de synthetische datageneratie aanstuurt.
2. Fijnmazige Taxonomie: Een taxonomie van 2.940 subcategorieën die dient als de eenheid van generatie, wat de constructie van nauwe harde negatieven en precieze foutdiagnose mogelijk maakt, wat de ~14 platte categorieën van eerdere open guards ver overtreft.
3. Grensorientatie van Dataconstructie: Het systematisch gebruik van gepaarde counterfactuals en two-tier harmless data richt zich specifiek op de FP/FN-frontlinie, waarbij het onderscheid maakt tussen boundary-fouten en baseline-fouten.
4. Gebalanceerde Meertalige Dekking: Een pijplijn die gebalanceerde schadelijke/onschuldige data genereert over 46 talen, waarbij taal als een oppervlaktevorm wordt behandeld om spookcorrelaties tussen scripts en veiligheidsscores te vermijden.
5. Continue Verharding: Een altijd actief adversarieel red-teaming protocol is geïntegreerd om de guard continu bij te werken tegen content-niveau en agentische aanvallen.

4. Resultaten

Geëvalueerd over zeven prompt-veiligheid benchmarks (OpenAI Moderation, Aegis, Aegis 2.0, ToxicChat, SimpleSafetyTests, HarmBench, WildGuardTest):

• Prestaties:
  • HaloGuard 1.0-0.8B: Behaalt een gemiddelde F1 van 90,9, waarmee het baselines tot 27B parameters (bijv. ShieldGemma, PolyGuard-Qwen) verslaat terwijl het ~30x minder parameters gebruikt. Het behoudt een False Positive Rate (FPR) van 4,3% en een False Negative Rate (FNR) van 9,5%.
  • HaloGuard 1.0-4B: Behaalt een gemiddelde F1 van 92,1, met een FPR van 3,5% en een FNR van 7,7%, wat een verbeterde precisie en recall aantoont.
• Benchmark Analyse: De modellen tonen bijzondere kracht op benchmarks die gaan over conversationele toxiciteit en adversariële prompts (ToxicChat, WildGuard), waar keyword-shortcuts vaak fouten veroorzaken in andere modellen.
• Gedenoised Metrics: Na een gestructureerde adjudicatie van benchmark-fouten, ontdekten de auteurs dat 51,5% van de schijnbare False Negatives eigenlijk benchmark-mislabels waren (onschuldige prompts die onterecht als schadelijk waren gelabeld). De gedenoised FNR voor het 0.8B model daalt naar 3,1%, wat suggereert dat de werkelijke gemiste schade-rate van het model aanzienlijk lager is dan ruwe benchmarks aangeven.
• Meertalige Prestaties: De modellen bereiken een sterke generalisatie op de PolyGuardPrompts benchmark (86,1 F1 voor 0.8B, 88,0 F1 voor 4B), hoewel overmatige weigering (FPR) een uitdaging blijft voor Indic en Zuidoost-Aziatische taalgroepen vanwege een dunnere veiligheidsdekking in de trainingsdata.

5. Betekenis en Claims

Het artikel beweert dat HaloGuard 1.0 een nieuw state-of-the-art punt vestigt voor open-weight input guards, en bewijst dat een kleiner model (0.8B) een aanzienlijk grotere baseline (tot 27B) kan verslaan wanneer de trainingsdata rond een fijnmazige constitutionele grens is geconstrueerd.

De kernbetekenis ligt in de verschuiving van keyword detectie naar intentie discriminatie. Door de constitutie te behandelen als een generatieve specificatie in plaats van een statische lijst met labels, demonstreren de auteurs dat het mogelijk is om een dataset te construeren die het model expliciet leert om onderscheid te maken tussen onveilige verzoeken en veilige discussies over gevoelige onderwerpen.

De auteurs benadrukken dat de guard een eerste-laag verdediging is, ontworpen om naast andere veiligheidsmechanismen (output moderatie, tool permissie, menselijke review) te fungeren. Ze stellen expliciet dat de huidige release zich richt op input classificatie en nog geen respons monitoring of agentische executietraces dekt, waarmee ze dit werk positioneren als een fundamentele stap naar een uitgebreide, defense-in-depth veiligheidsarchitectuur. De release van de constitutie en de synthetische pijplijn stelt de gemeenschap in staat om de veiligheidsgrens te auditeren, te reproduceren en uit te breiden, waardoor men verder gaat dan "black box" moderatie.