Resumo Técnico: GLiGuard: Classificação Condicionada a Esquema para Salvaguardas de LLM

Declaração do Problema

A implantação generalizada de Modelos de Linguagem de Grande Escala (LLMs) exige sistemas de moderação de conteúdo robustos e em tempo real para prevenir a geração de conteúdo prejudicial, ilegal ou enganoso. Os modelos de guarda-chuva mais avançados atuais (por exemplo, LlamaGuard, ShieldGemma, WildGuard) dependem predominantemente de arquiteturas decodificadoras autoregressivas (7B–27B parâmetros). Esses modelos reformulam a classificação de segurança como uma tarefa de geração sequencial de texto. Essa escolha de design introduz ineficiências fundamentais:

1. Alta Latência: A geração de saídas de classificação token a token escala com o comprimento da saída.
2. Baixo Paralelismo: Eles têm dificuldade em avaliar múltiplas dimensões de segurança simultaneamente.
3. Intensidade de Recursos: Empregam bilhões de parâmetros para uma tarefa que é fundamentalmente classificação, não geração.

O artigo postula que reformular a moderação de segurança como um problema de classificação condicionado a esquema, utilizando um codificador bidirecional compacto, pode alcançar precisão competitiva com custos de inferência significativamente reduzidos.

Metodologia

O GLiGuard é um codificador bidirecional condicionado a esquema de 0,3B de parâmetros, adaptado da arquitetura GLiNER2 (Zaratiana et al., 2025). Diferentemente dos guardas autoregressivos que tratam a segurança como geração seguindo instruções, o GLiGuard a trata como uma tarefa de classificação multiplana, onde as definições de tarefa e os significados dos rótulos são codificados diretamente na sequência de entrada.

1. Arquitetura Condicionada a Esquema

A inovação central é a representação de entrada condicionada a esquema. Em vez de codificar cabeças de saída de forma rígida, o modelo recebe, no momento da inferência, uma sequência de tokens linearizada composta por:

• Prefixo do Esquema: Uma sequência estruturada de definições de tarefa ($\tau_k$) e seus rótulos candidatos ($Y_k$).
• Texto de Entrada: O prompt do usuário ou a resposta do modelo a ser moderada.
• Tokens Especiais: [P] (delimitador de tarefa), [L] (prefixo de rótulo) e [SEP] (separador de esquema/texto).

A sequência de entrada é construída como:
$$z = T(\tau_1, Y_1) \dots T(\tau_K, Y_K) \text{ [SEP] } w_1 \dots w_N$$
Onde cada bloco de tarefa $T(\tau_k, Y_k)$ é serializado como [P] $\phi(\tau_k)$ [L] $l_1$ [L] $l_2$ ...

2. Codificação Bidirecional e Extração de Rótulos

A sequência de tokens é processada por um codificador transformador bidirecional pré-treinado (por exemplo, DeBERTa, ModernBERT). As características principais incluem:

• Auto-atenção Completa: O codificador atende bidirecionalmente tanto aos tokens do esquema quanto ao texto de entrada. Isso permite que o modelo construa "representações de texto conscientes de rótulo" e "representações de rótulo conscientes de texto" simultaneamente.
• Embeddings de Rótulo Contextualizados: Os estados ocultos nas posições dos tokens [L] são extraídos. Esses embeddings são informados por todo o texto de entrada e por todos os outros rótulos no esquema, fornecendo contexto rico para a classificação.
• Cabeça de Classificação Compartilhada: Um classificador MLP leve de duas camadas, compartilhado, é aplicado independentemente a cada embedding de rótulo para produzir logits.
  • Tarefas de rótulo único (por exemplo, Segurança, Recusa) usam Softmax.
  • Tarefas de múltiplos rótulos (por exemplo, Categorias de Dano, Estratégias de Jailbreak) usam Sigmoid.

3. Moderação Multi-tarefa Unificada

O GLiGuard suporta quatro tarefas distintas de moderação, que podem ser compostas em um único esquema para uma única passagem forward não autoregressiva:

1. Classificação de Segurança: Classificação binária (Seguro/Inseguro) para prompts e respostas.
2. Detecção de Recusa: Classificação binária (Conformidade/Recusa) para respostas.
3. Classificação de Categoria de Dano: Classificação de múltiplos rótulos em 14 categorias de dano granulares (por exemplo, Violência, PII, Ódio).
4. Detecção de Estratégia de Jailbreak: Classificação de múltiplos rótulos em 11 estratégias de ataque adversarial (por exemplo, Injeção de Prompt, Bypass de Roleplay).

4. Pipeline de Inferência e Regras de Decisão

O pipeline de inferência envolve serialização do esquema, uma única passagem pelo codificador e decodificação paralela. O veredito final de segurança é determinado por regras de decisão rígidas que compõem previsões de tarefas auxiliares:

• Segurança do Prompt: Se o classificador de Segurança prever Inseguro OU se qualquer Categoria de Dano ou Estratégia de Jailbreak (diferente de BENIGNO) for detectada, o veredito é INSEGURO.
• Segurança da Resposta: Se o classificador de Segurança prever Inseguro, o veredito é INSEGURO. No entanto, se uma Recusa for detectada, o veredito é substituído por SEGURO (para evitar penalidades de super-recusa).

Principais Contribuições

1. Arquitetura Condicionada a Esquema: Adaptação do GLiNER2 para moderação, permitindo que blocos de tarefa e rótulo sejam compostos dinamicamente no momento da inferência sem retreinamento ou redesenho de prompt.
2. Framework Unificado Multi-tarefa: Uma única passagem forward que avalia simultaneamente a segurança de prompt/resposta, 14 categorias de dano e 11 estratégias de jailbreak.
3. Precisão Competitiva em Pequena Escala: Demonstrar que um codificador de 0,3B pode permanecer competitivo com guardas baseados em decodificadores de 7B–27B.
4. Eficiência de Inferência: Alcançar latência drasticamente menor e maior vazão devido à natureza não autoregressiva do modelo.

Resultados Experimentais

Os autores avaliaram o GLiGuard em nove benchmarks de segurança estabelecidos (por exemplo, OpenAI Moderation, Aegis 2.0, HarmBench, WildGuardTest) contra seis modelos de guarda autoregressivos mais avançados (variando de 7B a 27B parâmetros).

• Precisão:
  • Prejudicialidade do Prompt: O GLiGuard alcançou um F1 médio de 87,7, dentro de 1,7 pontos da melhor linha de base (PolyGuard-Qwen-7B em 89,4) e superando vários modelos maiores, como LlamaGuard4-12B (82,5) e ShieldGemma-27B (69,6).
  • Prejudicialidade da Resposta: O GLiGuard alcançou um F1 médio de 82,7, o segundo melhor entre os modelos comparados, ficando atrás apenas do Qwen3Guard-8B-Gen (84,1) e superando o WildGuard-7B (82,4).
• Eficiência:
  • Vazão: O GLiGuard entregou até 16,2× maior vazão (133 amostras/s vs. 8,2 amostras/s para um modelo de 8B com tamanho de lote 4).
  • Latência: O GLiGuard alcançou até 17× menor latência (26 ms vs. 426 ms para um modelo de 8B com comprimento de sequência 64).
• Eficiência de Pareto: O modelo ocupa uma região competitiva de Pareto, oferecendo pontuações F1 comparáveis a modelos muito maiores com 23–90× menos parâmetros.

Significado e Alegações

O artigo afirma que codificadores bidirecionais compactos podem aproximar a precisão de modelos de guarda muito maiores, reduzindo drasticamente os custos de inferência. Os autores argumentam que, para moderação de conteúdo, qualidade dos dados, estratégia de treinamento e especialização do modelo são mais críticos do que a escala isolada, conforme evidenciado por modelos maiores (por exemplo, ShieldGemma-27B) tendo desempenho inferior a alternativas menores e especializadas.

O GLiGuard é apresentado como uma solução para ambientes com restrições de latência e memória, permitindo gatekeeping em tempo real sem os gargalos associados à geração autoregressiva. O trabalho sugere que reformular a segurança como um problema de classificação condicionado a esquema é uma alternativa viável e eficiente ao paradigma atual de usar grandes modelos generativos para guardas.

Nota: O artigo reconhece limitações, incluindo sensibilidade a palavras-gatilho de nível superficial em contextos benignos (falsos positivos) e desafios com jailbreaks adversariais embutidos em narrativas ficcionais elaboradas (falsos negativos). Sugere-se trabalho futuro para abordar essas questões específicas de robustez.