GLiGuard: 고효율 소형 언어 모델로 AI 안전 확장

AI 에이전트가 단순 챗봇에서 웹을 탐색하고 코드를 실행할 수 있는 자율적인 존재로 전환함에 따라 LLM 배포의 위험 프로파일이 변화했습니다. 이제 위험은 단순히 공격적인 텍스트에 국한되지 않고 실제 세계의 피해를 방지하는 데 있습니다. 이러한 위험을 완화하기 위해 개발자들은 가드레일—사용자와 모델 사이에 위치하여 악의적인 프롬프트와 유해한 응답을 필터링하는 안전 레이어—에 의존합니다.

역사적으로 최첨단(SOTA) 가드레일 모델은 대형 디코더 전용 트랜스포머 아키텍처 위에 구축되었습니다. 유연하지만, 이러한 모델은 안전 모더레이션을 텍스트 생성 작업으로 취급하여 상당한 지연 시간과 비용을 초래합니다. Pioneer AI는 GLiGuard를 출시함으로써 이 비효율성을 해결했으며, 3억 파라미터 모델이 효과적인 안전 모더레이션에 수십억 파라미터가 필요하지 않음을 증명하도록 설계되었습니다.

디코더 기반 가드레일의 병목 현상

대부분의 현재 가드레일 모델(예: LlamaGuard 또는 ShieldGemma)은 자동회귀 방식으로 작동합니다. 표준 LLM이 채팅 응답을 생성하는 방식과 유사하게, 토큰 하나씩 안전 판정을 생성합니다. 이 접근 방식에는 세 가지 주요 단점이 있습니다:

  1. 순차 지연: 생성이 순차적으로 이루어지기 때문에 본질적으로 분류보다 느립니다.
  2. 계산 비용: 7B에서 27B 파라미터에 이르는 모델은 상당한 GPU 자원을 필요로 하며, 프로덕션에서 규모를 확장하는 데 비용이 많이 듭니다.
  3. 누적 지연: 안전 모더레이션은 종종 여러 차원을 확인해야 합니다(예: 이것이 탈옥인가? PII가 있는가? 증오 발언인가?). 디코더 모델에서는 이러한 평가가 보통 순차적으로 수행되어, 추가적인 안전 기준마다 지연이 누적됩니다.

새로운 접근법: 모더레이션을 분류로 재구성

GLiGuard는 작은 인코더 기반 아키텍처를 활용함으로써 디코더 전용 추세에서 벗어납니다. 안전 상태를 설명하는 텍스트 응답을 생성하는 대신, GLiGuard는 모더레이션을 텍스트 분류 문제로 재구성합니다.

입력 텍스트와 작업 정의(라벨)를 함께 인코딩함으로써, 모델은 단일 전방 패스에서 모든 안전 라벨을 동시에 점수화할 수 있습니다. 이는 다섯 가지 다른 안전 차원을 평가하는 데 걸리는 시간이 하나를 평가하는 시간과 동일함을 의미합니다.

네 가지 동시 모더레이션 작업

  • Safety Classification: 들어오는 프롬프트와 나가는 응답 모두에 적용되는 이진 검사(안전/비안전).
  • Jailbreak Strategy Detection: 프롬프트 인젝션, 역할극 우회, 사회공학 등 11가지 특정 전략을 식별합니다. 감지된 전략은 즉시 프롬프트를 비안전으로 표시합니다.
  • Harm Category Detection: 폭력, 성적 콘텐츠, PII 노출, 저작권 위반 등 14가지 카테고리로 분류합니다. 하나의 입력으로 여러 카테고리가 동시에 트리거될 수 있습니다.
  • Refusal Detection: 모델이 요청을 이행했는지 거부했는지 판단합니다. 이는 모델이 안전한 프롬프트를 거부하는 '과도한 거부'를 측정하고 '잘못된 이행'을 감지하는 데 중요합니다.

성능: 정확도 vs. 효율성

GLiGuard를 검증하기 위해 Pioneer AI는 LlamaGuard4(12B), ShieldGemma(27B), NemoGuard(8B) 등을 포함한 여섯 개 주요 디코더 기반 가드 모델과 비교 테스트를 수행했습니다.

정확도 벤치마크

경쟁 모델보다 23배에서 90배 작음에도 불구하고, GLiGuard의 정확도는 현재 SOTA와 비교할 만합니다:

  • Prompt Classification: 평균 F1 점수 87.7을 달성했으며, 최고 모델(PolyGuard-Qwen)보다 1.7점만 뒤처집니다.
  • Response Classification: 평균 F1 82.7을 달성했으며, Qwen3Guard-8B에 이어 두 번째입니다.
  • Competitive Edge: LlamaGuard4-12B와 ShieldGemma-27B를 능가했으며, 안전에 필요한 분류 능력이 훨씬 더 컴팩트한 아키텍처에 구현될 수 있음을 보여줍니다.

속도 및 처리량

인코더 기반 모델로의 아키텍처 전환은 단일 NVIDIA A100 GPU에서 극적인 효율성 향상을 가져옵니다:

  • Throughput: 배치 크기 4에서 133 vs. 8.2 샘플/초로, 최대 16.2배 높은 처리량을 달성했습니다.
  • Latency: 시퀀스 길이 64에서 26ms vs. 426ms로, 최대 16.6배 낮은 지연 시간을 보였습니다.

학습 및 배포

GLiGuard는 인간이 주석을 단 데이터(WildGuardTrain 데이터셋)와 GPT-4가 생성한 합성 데이터를 혼합하여 학습되었습니다. 독성 발언과 폭력 사이의 미세한 구분과 같은 초기 학습 어려움을 해결하기 위해 팀은 Pioneer를 사용해 추가적인 합성 엣지 케이스를 생성했습니다.

이 모델은 AdamW 옵티마이저를 사용해 GLiNER2-base-v1 체크포인트를 20 epoch 동안 미세 조정하여 개발되었습니다.

결론

에이전시 AI를 구축하는 개발자에게 가드레일은 선택 사항이 아니라 필수 인프라입니다. 그러나 대형 디코더 모델의 지연 페널티는 사용자 경험에 마찰을 일으키는 경우가 많습니다. GLiGuard는 생성에서 분류로 전환함으로써, 개발자들이 계산 오버헤드의 일부만으로도 SOTA 수준의 안전 모더레이션을 달성할 수 있음을 보여줍니다.

Apache 2.0 라이선스로 Hugging Face Hub에 제공되는 GLiGuard는 대규모 인프라 투자가 필요 없이 팀이 고성능 안전 레이어를 배포할 수 있는 실용적이고 오픈소스인 경로를 제공합니다.

Sources