LatentGuard、安全推論を連続状態へ圧縮し、クリティカルパスを268.56テキストtokenから1.60潜在tokenに削減

推論能力を備えた安全性ガードモデルは通常、まずリスク分析を生成し、その後で入力または出力を許可するかどうかを決定する。こうした明示的な根拠は、複雑なケースの判断や監査に役立つ一方、リクエストのたびに数百個の追加tokenをデコードする必要がある。すべてのモデル呼び出しの前後に置かれるコンテンツ審査レイヤーにとって、これはレイテンシ、GPU使用量、サービスコストの直接的な増加につながる。

LatentGuardは、安全性推論をテキスト空間の外へ移すことを試みている。まず、タスクに整合したテキスト形式の根拠を使ってモデルを訓練し、その後、段階的なカリキュラムによって推論を連続的な潜在状態へ徐々に圧縮する。最終的には、その状態から安全性判定を直接予測する。単に根拠を省略する方式とは異なり、このフレームワークには分離された補助デコーダーも用意されている。通常のリクエストでは起動せず、監査や抜き取り検査の際にのみ潜在表現を簡潔な審査資料へ変換する。この分離により、オンラインのクリティカルパスでは低コストを追求しながら、事後検証のためのインターフェースを維持できる。

論文によると、LatentGuard-8Bの平均加重F1は84.91で、GuardReasoner-8Bの83.95を上回った。一方、クリティカルパスにおける推論量は、平均268.56個の生成済み根拠tokenから1.60個の潜在推論tokenへ削減された。著者らはさらに、監査デコーダーのaudit utilityスコアとして85.75を報告している。この結果が再現可能であれば、コンテンツフィルターは「完全な根拠」と「低レイテンシの分類器」のどちらか一方を選ぶ必要がなくなる可能性がある。特に、高スループットのモデルゲートウェイや、エージェントによるツール利用の認可レイヤーに適している。

ただし、連続状態そのものが本質的に解釈可能なわけではない。監査用テキストも別の生成器によって生成されるため、実際の判定根拠を忠実に反映しているとは限らない。導入側はさらに、分布外攻撃、混合言語、長いコンテキスト、新種のjailbreakに対する性能を確認し、実機上でのレイテンシとメモリ削減効果を測定する必要がある。論文は公開weightやコードもまだ提供していないため、現時点では既存のガードサービスをそのまま置き換えられる成熟したコンポーネントではなく、有望なアーキテクチャ上の成果と捉えるべきだ。