💻 computer science

GLiNER Guard: Unified Encoder Family for Production LLM Safety and Privacy

GLiNER Guard (GLiGuard) é uma família de codificadores unificados que realiza simultaneamente classificação de segurança e detecção de informações pessoais identificáveis (PII) em uma única passagem de avanço, oferecendo uma alternativa de alta vazão, baixa latência e custo reduzido aos moderadores autoregressivos tradicionais para sistemas de LLM em produção.

Autores originais: Bogdan Minko, Sabrina Sadiekh, Evgeniy Kokuykin

Publicado 2026-05-08

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Bogdan Minko, Sabrina Sadiekh, Evgeniy Kokuykin

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você administra uma cidade digital massiva e movimentada, onde pessoas (usuários) conversam com robôs gigantes e superinteligentes (LLMs) para obter respostas, escrever histórias ou resolver problemas. Antes que essas conversas alcancem os grandes robôs, elas precisam passar por um posto de segurança.

Este posto de segurança tem duas funções muito importantes:

Guarda de Segurança: Impede que bandidos tentem hackear o sistema, enganar o robô ou dizer coisas ofensivas.
Guarda de Privacidade: Identifica e oculta segredos pessoais, como números de cartão de crédito, endereços residenciais ou números de telefone, antes que sejam vazados.

O Problema: O "Gigante Lento" vs. o "Cheirador Rápido"

Até agora, os planejadores da cidade tinham que escolher entre dois tipos de guardas, e nenhum era perfeito:

Os Gigantes Lentos (Modelos Autoregressivos): São como guardas de segurança gigantes e altamente educados que leem cada palavra de uma solicitação cuidadosamente, pensando profundamente no contexto. Eles são incrivelmente precisos ao detectar coisas ruins, mas são lentos e caros de contratar. Se você tem milhões de pessoas tentando entrar na cidade a cada segundo, contratar gigantes suficientes para verificar todos deixaria a cidade em falência e causaria congestionamentos massivos.
Os Cheiradores Rápidos (Codificadores Leves): São como cães treinados e rápidos que farejam odores específicos (como "palavras tóxicas" ou "endereços de e-mail"). Eles são rápidos e baratos, mas são estreitos de mente. Podem perder um truque inteligente ou falhar ao identificar um segredo pessoal complexo porque não estão "pensando" profundamente o suficiente.

A Solução: O "Super-Cheirador" (GLiNER Guard)

Os autores deste artigo, a HiveTraceLab, criaram um novo tipo de guarda chamado GLiNER Guard (GLiGuard). Pense nele como um super-cheirador que também pensa como um detetive, tudo em um único pacote.

Em vez de contratar um gigante lento e um cheirador rápido (o que exigiria duas verificações separadas), o GLiGuard realiza ambas as funções em uma única passagem relâmpago.

Veja como eles o construíram:

O Cérebro: Eles pegaram um cérebro inteligente e compacto (baseado em um modelo chamado GLiNER2) e ensinaram-no a procurar duas coisas ao mesmo tempo: "Esta solicitação é perigosa?" e "Isso contém um segredo?".
As Variantes: Eles construíram três versões deste guarda para necessidades diferentes:
1. O Guarda Compacto (Uni/Bi-Encoder): Uma versão minúscula e super-rápida projetada para lidar com multidões massivas. É tão eficiente que pode verificar quase 200 pessoas por segundo em um único chip de computador, com atraso quase zero.
2. O Guarda Omni: Uma versão ligeiramente maior e mais inteligente. É um pouco mais lenta que a compacta, mas é melhor em entender situações complexas e pode se adaptar a novas e estranhas regras sem necessidade de re-treinamento do zero.

Os Resultados: Velocidade encontra Inteligência

O artigo testou esses novos guardas em uma cidade simulada (usando benchmarks como Aegis e StrongReject) e encontrou algumas coisas impressionantes:

Velocidade: O Guarda Compacto é um demônio da velocidade. Em um chip de computador poderoso (um A100), ele processou solicitações 1,6 vezes mais rápido que o melhor guarda leve anterior, mantendo a "latência de cauda" (o tempo que as solicitações mais lentas levam) abaixo de 1 segundo.
Precisão: Mesmo sendo pequeno, é surpreendentemente forte. Em testes de segurança, a versão "Omni" obteve pontuação superior a modelos muito maiores e mais lentos. Provou-se que você não precisa de um "gigante" de 20 bilhões de parâmetros para pegar a maioria dos bandidos; um "cheirador" inteligente de 200 milhões de parâmetros faz o trabalho perfeitamente para a primeira linha de defesa.
Privacidade: Não apenas parou palavras ruins; encontrou com sucesso segredos pessoais (como nomes e endereços) no texto, provando que pode substituir a necessidade de um "scanner de privacidade" separado.

A Estratégia: A Cidade "Em Camadas"

O artigo sugere uma maneira inteligente de administrar esta cidade: Use o GLiGuard como o portão principal.

Como o GLiGuard é tão rápido e barato, você pode colocá-lo na frente de todos. Ele pega os bandidos óbvios e oculta os segredos óbvios instantaneamente.

Se o GLiGuard estiver incerto sobre uma solicitação (talvez seja uma mensagem complicada, longa ou multilíngue), ele pode passar essa solicitação específica para um "Gigante Lento" (um modelo de IA maior) para uma segunda e mais profunda verificação.
Dessa forma, você paga o preço caro apenas pelos casos difíceis, enquanto o guarda rápido e barato lida com 99% do tráfego.

O Novo Mapa (PII-Bench)

Para provar suas habilidades de privacidade, os autores também criaram um novo mapa chamado PII-Bench. É um teste especificamente projetado para ver quão bem um guarda consegue encontrar segredos pessoais em conversas em língua russa. Eles descobriram que seu novo guarda era excelente nisso, especialmente quando combinado com verificadores de regras simples (como um corretor ortográfico para números de telefone).

Resumo

Em resumo, o GLiNER Guard é um guarda de segurança prático e tudo-em-um para sistemas de IA. Ele resolve o antigo compromisso entre velocidade e segurança, oferecendo um modelo que é rápido o suficiente para lidar com milhões de solicitações, mas inteligente o suficiente para detectar violações de segurança e segredos pessoais em um único olhar. Permite que as empresas mantenham seus sistemas de IA seguros e privados sem quebrar o banco ou atrasar seus usuários.

Resumo Técnico: GLiNER Guard (GLiGuard)

Declaração do Problema

Os sistemas de Produção de Modelos de Linguagem de Grande Escala (LLM) enfrentam um compromisso crítico entre a qualidade da moderação de segurança e a eficiência operacional. As barreiras de segurança (guardrails) mais avançadas atuais são predominantemente modelos autoregressivos (por exemplo, LlamaGuard, WildGuard, ShieldGemma). Embora esses modelos ofereçam moderação de alta qualidade e robustez contra prompts adversariais, seus custos de inferência e latências tornam a implantação "sempre ativa" (always-on) em escala proibitivamente cara. Por outro lado, modelos leves baseados em codificadores são significativamente mais rápidos, mas geralmente sofrem de escopo restrito (por exemplo, detectar apenas injeção de prompt ou toxicidade binária) e carecem da capacidade de realizar tarefas de extração estruturada, como a detecção de Informações Pessoalmente Identificáveis (PII).

Além disso, pipelines de produção frequentemente dependem de arquiteturas fragmentadas, implantando modelos separados para moderação de segurança e detecção de PII. Essa separação aumenta a complexidade do pipeline, a sobrecarga de manutenção e a latência cumulativa. O artigo aborda a seguinte questão: Um codificador unificado e compacto pode fornecer proteção eficiente de primeira etapa que combine forte qualidade de moderação com funcionalidade de múltiplas tarefas (classificação de segurança e detecção de PII) em uma única unidade implantável?

Metodologia

Os autores introduzem o GLiNER Guard (GLiGuard), uma família de codificadores unificados construída sobre a arquitetura GLiNER2. Diferentemente das barreiras de segurança autoregressivas que geram tokens de texto, o GLiGuard realiza classificação de segurança e extração de PII em nível de span em uma única passagem forward, sem decodificação.

Variantes de Arquitetura

O artigo propõe três variantes orientadas para implantação:

Uni-Codificador Compacto (147M parâmetros): Segue o design padrão do GLiNER2, onde o texto de entrada e os rótulos do esquema são concatenados e processados com atenção bidirecional completa. Isso oferece interação rica entre texto e rótulo, mas requer a recodificação dos rótulos para cada solicitação.
Bi-Codificador de Pesos Compartilhados (145M parâmetros): Codifica texto e rótulos separadamente em um espaço de incorporação compartilhado. Crucialmente, as representações dos rótulos são independentes do texto de entrada, permitindo que sejam pré-calculadas e armazenadas em cache. Esta variante é otimizada para cenários com taxonomias de políticas grandes, fixas ou específicas de inquilinos.
GLiNER Guard Omni (209M parâmetros): Inicializado a partir do GLiNER2 Multi em vez de ser treinado do zero. Esta variante preserva capacidades mais amplas de transferência de domínio geral, enquanto adiciona supervisão específica de barreiras de segurança, tornando-a adequada para implantações que exigem esquemas personalizados ou cobertura de tarefas mais ampla.

Estratégia de Treinamento

Todas as variantes são treinadas em 467.273 exemplos de múltiplas tarefas usando uma divisão de 95/5 entre treinamento e validação. A mistura de treinamento inclui até seis sinais de supervisão simultâneos:

Extração de span (NER)
Classificação de segurança
Detecção de ataques adversariais
Categorização de conteúdo prejudicial
Reconhecimento de intenção
Classificação de tom

O conjunto de dados combina conjuntos de dados públicos de segurança (por exemplo, Aegis 2.0, WildGuardMix) com dados internos de segurança em língua russa e corpora sintéticos de PII. Notavelmente, a mistura de treinamento é dominada por tarefas de classificação, com anotações de PII em nível de span sendo menos frequentes devido à escassez de dados.

Contribuições Principais

Arquitetura Unificada de Barreira de Segurança: A introdução do GLiGuard, um único codificador capaz de realizar classificação de segurança e detecção de PII simultaneamente, substituindo a necessidade de pilhas separadas de moderação e NER.
Variantes Otimizadas para Produção: O desenvolvimento de variantes compactas de uni- e bi-codificador especificamente ajustadas para atendimento de alta vazão, incluindo um design de bi-codificador de pesos compartilhados que suporta cache de rótulos para implantação escalável.
GLiNER Guard Omni: Uma variante maior que demonstra desempenho de transferência aprimorado e generalização mais ampla, mantendo forte qualidade de moderação.
PII-Bench: O lançamento de um novo benchmark em nível de span para avaliar a detecção de PII em pipelines de ponta a ponta. Este benchmark foca em dados em língua russa (devido à falta de recursos públicos) e inclui 1.810 exemplos verificados por humanos em 13 tipos de entidades e 9 domínios, distinguindo entre extração bruta do modelo e desempenho completo do pipeline (incluindo pós-processamento baseado em regras).
Avaliação Orientada para Produção: Uma avaliação abrangente cobrindo qualidade de moderação, detecção de PII, generalização zero-shot e eficiência de atendimento sob condições de carga realistas.

Resultados

Qualidade de Moderação de Segurança

O GLiGuard alcança resultados competitivos em benchmarks públicos de segurança (Aegis 2.0, StrongReject, PolyGuard), apesar de seu tamanho compacto:

O GLiGuard Omni alcança o melhor resultado geral de codificador com um F1 médio de 76,9, superando o GLiNER2 Multi (66,6) e o GLiClass (64,9).
Na moderação em nível de prompt (Aegis 2.0), as variantes compactas atingem 80,2 F1, superando o LlamaGuard 3 (77,2) e o Llama 4 Guard (71,5), e aproximando-se do WildGuard (81,5).
No StrongReject, o uni-codificador atinge 98,5 F1 e o Omni atinge 99,7 F1.
Eficiência de Parâmetros: Todas as variantes do GLiGuard lideram o conjunto de comparação em eficiência normalizada por parâmetro ( $F1_{avg} / \log_2 P$ ), com o Omni alcançando uma pontuação de 2,78.

Detecção de PII

O artigo distingue entre extração bruta do modelo e desempenho completo do pipeline:

Extração Bruta: O GLiNER2 Multi e o Omni mostram fortes capacidades de extração bruta para entidades dependentes de contexto, como nomes.
Desempenho do Pipeline: Após a integração de componentes baseados em regras e mesclagem de spans, as variantes compactas do GLiGuard alcançam resultados finais superiores no pipeline. O uni-codificador atinge 75,7 F1 na extração de NOME, superando o GLiNER2 Multi (60,6) em 15,1 pontos. O bi-codificador alcança o melhor resultado para ENDEREÇO com 68,7 F1.
Isso demonstra que o modelo unificado lida efetivamente com entidades dependentes de contexto que sistemas baseados em regras perdem, enquanto o pipeline lida com entidades estruturadas.

Eficiência de Atendimento

Avaliado em uma única GPU NVIDIA A100 com agrupamento dinâmico (dynamic batching):

Vazão: Os modelos compactos atingem 193 solicitações/segundo (ONNX TensorRT) com latência P99 abaixo de 1 segundo.
Comparação: Isso representa uma vazão 1,6× maior que o GLiNER2 Multi (122,6 RPS) e supera significativamente moderadores autoregressivos (por exemplo, WildGuard em 1,3 RPS).
Latência: O bi-codificador atinge 0,019 segundos por solicitação, comparado a 0,744 segundos para o WildGuard.
Estabilidade: O GLiGuard manteve uma taxa de erro de 0% em todos os backends testados, enquanto o GLiNER2 Multi exibiu uma taxa de erro de 12,95% sob carga PyTorch.

Generalização

Especialização vs. Transferência: Os uni- e bi-codificadores compactos são altamente especializados para tarefas de segurança e mostram pouca generalização para tarefas não relacionadas à segurança (por exemplo, 0,08 de precisão no Banking77).
Transferência do Omni: A variante Omni retém capacidade significativa de transferência zero-shot de sua inicialização no GLiNER2 Multi, alcançando 0,74 de precisão no SST-2 e 0,59 no Banking77, tornando-a adequada para implantações que exigem suporte de esquema mais amplo.

Significado e Alegações

O artigo posiciona o GLiNER Guard como um nível intermediário prático para sistemas de segurança de LLM. Ele argumenta que ambientes de produção não precisam escolher exclusivamente entre classificadores fracos e restritos e moderadores autoregressivos caros e de alta latência.

Moderação "Sempre Ativa" Custo-Efetiva: O GLiGuard oferece uma alternativa de baixo custo para filtragem de primeira etapa "sempre ativa", capaz de lidar com tráfego de alto volume com latência subsegundo.
Simplificação do Sistema: Ao unificar classificação de segurança e detecção de PII, reduz a complexidade do pipeline e a sobrecarga operacional.
Arquitetura em Níveis: Os autores reconhecem que modelos autoregressivos maiores ainda possuem vantagens na moderação em nível de resposta e no raciocínio multilíngue. Consequentemente, propõem uma arquitetura em níveis onde o GLiGuard lida com tráfego rotineiro, e casos incertos ou complexos são escalonados para moderadores mais fortes baseados em LLM (demonstrado por meio de uma estratégia em cascata que melhora o F1 enquanto reduz as taxas de chamada de LLM).

O trabalho conclui que barreiras de segurança de codificador unificado são uma base viável para sistemas de segurança modernos, equilibrando velocidade, custo e capacidade de múltiplas tarefas sem depender exclusivamente de soluções caras baseadas apenas em LLM.