重新思考 LLM 路由中的质量：以安全为条件的模型与预算选择

1. 01这篇论文试图解决什么问题？

   作者称单一质量指标无法兼顾效用与安全，因而按查询选择模型与预算。

   混合负载下，单一质量指标不能同时决定调用哪个模型、给多少输出 token。

   • 场景：作者称路由器为每条查询选模型，或再选输出 token 预算，以降低服务成本。普通查询要正确有用（utility）；安全查询要拒绝有害请求或抵抗恶意指令（security）。
   • 不足：只选模型的路由，以及 R2-Router 的模型-预算路由，都用单一质量指标。作者称这可能把安全查询送到效用强、安全弱的配置，或在没有安全收益时加大预算。
   • 观察：Figure 2 中 Foundation-Sec-8B 安全第 1、效用第 9，Qwen3.5-27B 效用第 4、安全第 9。作者称 Qwen3-Coder-30B 的效用从 10.4% 升至 79.4%（预算约 4,000 tokens），安全在 120 tokens 达峰，该处效用为 40.5%；Figure 3 另标注 81.0，正文未说明该数。
   • 设定：生成前选择模型 m 与输出 token 预算 b，打分时不调用候选模型。操作者用代价系数 μ 在质量与代价之间折中。安全查询指有害请求或含恶意指令的查询。
   • 提出：作者提出 SCRouter，按查询给效用与安全加权后再与代价折中；并称发布 SCRouterBench（38,869 条查询、九个安全维度、144 个动作，另有 2,753 条域外查询）。作者称其为首个 security-conditioned 模型-预算路由器。

   收起这一问

2. 02有哪些相关研究？

   作者将本文与单质量指标的路由分开，改为分预测效用与安全。

   作者把相关工作放在单一质量指标的路由，以及针对单个模型或路由器本身的安全研究旁边。

   级联与预测式路由

   • 级联：FrugalGPT（Chen et al., 2024a）与 AutoMix（Aggarwal et al., 2024）先试小模型，答案差再转到更大模型。
   • 生成前选择：Hybrid LLM（Ding et al., 2024）、RouteLLM（Ong et al., 2025）、RouterDC（Chen et al., 2024b）、GraphRouter（Feng et al., 2025）、IRT-Router（Song et al., 2025）、CARROT（Somerstep et al., 2025）和 UniRoute（Jitkrittum et al., 2026）根据查询特征、偏好或嵌入选择模型。
   • 评测平台：RouterBench（Hu et al., 2024）与 RouterArena（Lu et al., 2026）把多模型路由评测标准化。

   模型与预算联合选择

   • 联合动作：R2-Router（Xue et al., 2026）与 RADAR（Fernandez et al., 2026）同时选模型和 token 预算。作者称它们仍用一个质量指标，并且不考虑安全。
   • 本文的对照点：作者把差别放在质量定义上：为每个模型-预算动作分别预测效用和安全，而不是只扩大动作空间。

   攻击、安全基准与防御

   • 攻击：作者讨论越狱（Wei et al., 2023; Zou et al., 2023; Chao et al., 2025）和提示注入（Perez and Ribeiro, 2022; Greshake et al., 2023; Schulhoff et al., 2023）。
   • 模型差异：作者称安全基准显示不同模型的稳健性差很多（Mazeika et al., 2024; Chao et al., 2024; Wang et al., 2023）。
   • 防御位置：加强单个模型（Inan et al., 2023; Chen et al., 2025; Du et al., 2024），或保护路由器本身（Shafran et al., 2025; Zhang et al., 2026）。作者称 SCRouter 把安全查询当作路由负载，利用稳健性与预算敏感性的差别来分配查询。

   基线与基准

   • 基线方法：R2-Router、RADAR（linear 与 Chebyshev）、MIRT、NIRT，以及 CARROT 的 KNN、RoBERTa、Linear。前两者在 144 个动作中选择；MIRT、NIRT 和 CARROT 只在 12 个模型的默认预算中选择。
   • 基准：自建 SCRouterBench。效用来自 SPROUT 的六个数据集；安全来自 DecodingTrust、SALAD-Bench、HackAPrompt；域外来自九个未见来源。

   作者的定位是：既有路由器忽略安全这一质量维度；SCRouter 按查询加权效用与安全，并用混合负载基准评测模型与预算选择。

   收起这一问

3. 03论文如何解决这个问题？

   用安全探针加权效用与安全，并以共享预算模型估计完成概率和代价。

   SCRouter 先估计查询有多安全敏感，再对每个模型-预算对分开预测效用与安全，最后与估计代价折中。

   问题设定

   • 动作：查询为 x，动作 a=(m, b) 指定生成模型与输出 token 预算。效用 U 与安全 S 都在 0 到 1。动作空间是二者的组合。
   • 流程：冻结编码器得到表示，线性探针给出安全权重，共享预算模型与两个质量模型给全部动作打分，再按操作者的 μ 选一个动作执行。打分阶段不调用候选生成模型。

   安全权重与编码器

   • 探针：在查询表示 z(x) 上做逻辑回归，w(x)=σ(v^⊤ z(x)+v₀)，即属于安全查询的预测概率。标签 0 为效用、1 为安全；正则强度取验证集 log-loss 最小的值。
   • 三档编码器：SCRouter-L 为 Qwen3-Embedding-0.6B（1024 维），SCRouter-M 为 all-MiniLM-L6-v2（384 维），SCRouter-S 为 BERT-tiny（128 维）。S 的编码器为 4M 参数、可训练参数 0.25M。作者称大编码器已接近最小候选 LLM，并增加首 token 时间，因此改用更小编码器。
   • 权重含义：w=0 只看效用，w=1 只看安全，中间值混合二者且不必重新训练。作者称 Figure 6 中探针在域内分开两类查询，并能泛化到未见来源。

   预算条件下的质量曲面

   • 截断：低分可能是答完但质量差，或在预算内未完成。对效用和安全分别有 Q̂_t=π F_t+(1−π)T_t。π 是预算内完成的概率，Ft、Tt 是完成与截断回复的预测质量。两个目标共用同一个 π。
   • 共享预算模型：B* 是在预算指令 b 下完成回答所需的最少输出 token；预算指令会改变回答本身，而不只是截断位置。log B* 建模为正态，π 是 B* 不超过 b 的概率，同一分布还给出期望生成 token 数。默认预算无指令，模型中上限为 4,000 tokens，并使用单独参数。作者称并未强制 π 随 b 上升（Figure 7）。
   • 质量塔：每个目标一个两层 MLP，宽 512、输出 32 维；每个模型有能力向量。完成与截断用不同参数，截断项按预算离够用有多近给部分分数。tower 跨动作共享，一次前向得到全部曲面。Figure 8 中 12×12 时 SCRouter 可训练参数为 1.66M；R2-Router 随动作数从 43.7M 增至 700M。
   • 训练：完成回复给出确切 B*，截断只给出下界。预算模型用删失 log-normal 似然，再加上 π 与 stop reason 是否表明完成的交叉熵。Ft 只拟合完成 cell，Tt 只拟合截断 cell；端到端交叉熵对齐该目标的观测分。效用模型只见效用查询，安全模型只见安全查询。各项权重为 1，用 AdamW，按验证损失早停。

   融合、代价与 SCRouterBench

   • 选择：融合质量为 (1−w) 乘效用预测加 w 乘安全预测。代价用输入长度、期望输出 token 和该模型单价，再除以训练上的最大名义代价。名义代价把输出长度取为 token 预算；默认预算用该模型训练输出的平均长度。选出使 (1−μ) 乘质量减 μ 乘代价最大的动作。作者称 w(x) 决定什么算好答案，μ 决定为降代价放弃多少质量。
   • 规模：域内 38,869 条，70/10/20（27,203 / 3,891 / 7,775），按维度分层、按模板分组。域外 2,753 条来自九个未见来源，只做评测。12 个 0.8B–70B 开源模型 × 12 个预算；预算含 11 个 10 到 4,000 tokens 的指令预算，外加无指令默认预算。作者称约 600 万条带标签回复。
   • 标签：封闭式效用用精确匹配，开放式用 gpt-oss-120b，安全用原基准协议；无可见最终答案记 0。效用标签与金标一致率 97.7%，安全标签相对 Qwen3Guard 的 Cohen's κ ≥ 0.76。无法判定的查询被删除。作者称逐查询 oracle 的模型选择熵为 2.5–3.4 bits，相当于在 12 个模型中均匀摊到 6 到 11 个。

   收起这一问

4. 04论文做了哪些实验？

   Table 2 上 SCRouter-L 域内全体 OGR 为 60.9，域外最高为 SCRouter-M 的 50.2。

   实验设置

   • 路由器：SCRouter-L/M/S。七个基线按原设定重跑：R2-Router（Qwen3-Embedding-0.6B，每个动作一个 MLP）、RADAR（Qwen3-Embedding-8B 上的两参数 IRT，报告 linear 与 Chebyshev）、MIRT 与 NIRT（BERT-base）、CARROT 的 KNN、RoBERTa、Linear。前两者在 144 个动作上选；后五个只在 12 个模型的默认预算上选。
   • 候选模型：Qwen3.5-0.8B、Gemma-3-1B-it、Phi-4-mini-instruct、Qwen3.5-4B、Mistral-7B-Instruct-v0.3、DeepSeek-R1-0528-Qwen3-8B、Llama-3.1-8B-Instruct、Foundation-Sec-8B-Instruct、Qwen3.5-9B、Qwen3.5-27B、Qwen3-Coder-30B-A3B-Instruct、Llama-3.1-70B-Instruct。
   • 数据：SCRouterBench 域内 38,869 条，测试 7,775 条；域外 2,753 条，来自九个未见来源（Table 1、Table 5）。
   • 代价与 OGR：决策用生成前估计，评测用实际 token，单价表各路由器共用，并以 Cref 归一化。扫描 μ 得性能-代价前沿。OGR 是路由器与随机选择的面积，除以 oracle 与随机选择的面积，对 log cost 积分；随机为 0，oracle 为 100。达不到的代价记为随机基线。三个 seed 平均。论文未报告方差和单价。
   • 评分：封闭式效用为精确匹配；开放式评审模型为 gpt-oss-120b。安全用原协议，包括 Detoxify、MD-Judge 与 HarmBench 分类器。无可见最终答案记 0。

   主结果

   表格较宽，可左右滑动

   路由器	域内全体	域内效用	域内安全	域外全体	域外安全
   SCRouter-L	60.9	52.9	72.0	48.1	47.3
   SCRouter-M	60.5	52.9	70.9	50.2	49.8
   SCRouter-S	59.9	53.9	66.6	46.9	46.1
   R2-Router	48.0	49.4	39.1	15.6	0.3
   RADAR (linear)	39.2	44.9	27.4	27.7	19.9
   CARROT-KNN	42.1	39.0	38.8	23.7	1.2
   NIRT	32.6	32.8	17.1	9.6	-14.3
   MIRT	32.0	32.4	17.6	7.3	-15.4

   据 Table 2。省略 RADAR (Chebyshev)、CARROT-RoBERTa、CARROT-Linear；三者域内全体为 36.7、35.9、37.7，域外安全为 15.8、-5.8、-9.1。

   • 作者解读：作者称相对 R2-Router，效用最多高 4.5 个点，安全高 27.5 到 32.9 个点，总体增益主要来自安全查询。只扩大动作空间解释不了这一点：只在 12 个模型上选择的 CARROT-KNN，安全 OGR 仍接近使用 144 个动作的 R2-Router。
   • 代价曲线：作者称 Figure 9 中 SCRouter 在多数代价上高于 R2-Router，低代价与安全子集差距更大。只选模型的基线不能低于最便宜模型在默认预算下的代价。效用在高代价处各曲线会合；安全上 SCRouter 在最低代价处仍领先。作者将其与短拒绝、以及安全在 120 tokens 达峰联系起来。
   • 两种口径：摘要称相对基线高 13–29 个点（域内）和 19–23 个点（域外）。正文写域内相对 R2-Router 高 12.9 个百分点，域外 SCRouter-M 比 RADAR 高 22.5 个点（效用 12.4、安全 29.9）。

   域移、探针与留出

   • 域外：作者称所有路由器在九个未见来源上都变差，安全子集更明显；若干 CARROT 与 IRT 路由器的安全 OGR 低于随机。作者认为 RADAR 的两参数 IRT 较简单，过拟合训练来源的空间可能更小，因此是域移下分数最高的基线。SCRouter 仍低于其域内结果。
   • 探针：Figure 6 域内两列均为 99.6%，域外为 86.7% 与 74.2%。作者称未见来源上安全查询只有 74.2% 被分对，约四分之一得到较低 w(x)，从而按效用查询路由，并以此解释安全 OGR 的下降。
   • 留出：15 个训练来源逐一留出（Figure 10）。作者称 SCRouter 变体平均留出 OGR 为 50.5–54.9，RADAR、R2-Router、CARROT-KNN 为 34.7、22.0、9.5，并称比最高基线高 16–20 个点。SCRouter-S 留出为 54.9；SCRouter-L 只在域内最高。作者认为更大编码器可能对训练来源拟合过紧。

   组件消融

   • 设置：从 SCRouter-L 每次去掉一个组件，报告全体 OGR（Table 3）。完整模型域内 60.9、域外 48.1。
   • 数字：去掉查询相关 w(x) 后为 54.0（-6.9）与 40.7（-7.4）；去掉预算项后为 58.3（-2.6）与 43.0（-5.1）；去掉成功/失败分开预测后为 55.0（-5.9）与 42.4（-5.7）；合并两个质量模型后为 49.9（-11.0）与 37.3（-10.8）。
   • 作者解读：分开的质量模型影响最大；单一模型倾向拟合更常见的效用标签，安全上更差。固定权重对所有查询用同一折中。作者称失败的效用回复很少有用，失败的安全回复却常常仍然安全。

   其他消融与分析

   • 预算校准：Figure 7 标注的完成概率 MAE 包括 Qwen3.5-4B 的 0.005、Qwen3.5-9B 的 0.007、Gemma-3-1B 的 0.037、Llama-3.1-70B 的 0.033；作者称预测 π 随预算上升且未被强制单调。
   • 参数与时延：Figure 8 中 SCRouter 维持在约 1.6M，每多一个动作 +14；R2-Router 每个动作 +0.30M。Section 5.2 称 SCRouter-M（23M MiniLM）比 R2-Router 高 12.5 个点，SCRouter-S（4M）高 11.9 个点。作者称 TTFT 更低，论文未报告 TTFT 数值。
   • 例外：域内每个基线的安全 OGR 都低于其效用 OGR，三个 SCRouter 变体相反。SCRouter-S 域内效用最高，安全子集低于 L 与 M。域外安全上 R2-Router 为 0.3，作者称接近随机。

   收起这一问

5. 05有什么可以进一步探索的点？

   作者将评测限于单轮文本和 12 个开源模型，多轮与多模态留作后续。

   作者指出的局限与后续方向

   • 任务形态：评测集中在单轮文本查询和 12 个开源模型；多轮与多模态负载留作后续评测（Limitations）。作者称这沿袭既有路由基准。
   • 代价口径：比较使用实际 token 消耗和各路由器共用的固定单价表。作者称比较因此一致，但不计入随时间变化的价格或随负载变化的服务成本（Limitations）。

   实验覆盖范围

   • 查询：域内 38,869 条，按维度分层、按模板分组，70/10/20，测试 7,775 条；域外 2,753 条来自九个与训练无数据重叠的来源，只用于评测（Table 1、Table 5、Section 4）。
   • 动作：12 个开源模型与 12 个预算，共 144 个动作；作者称约 600 万条带标签回复（引言、Section 4）。
   • 对照：七个基线按其原编码器、结构、训练目标和决策规则重跑；OGR 为三个 seed 的平均，报告全体、效用与安全三个集合（Section 5.1、Table 2）。论文未报告九个安全维度各自的 OGR，也未报告 seed 间方差。
   • 附加分析：SCRouter-L 的四项消融（Table 3）；15 个训练来源逐一留出（Figure 10）。效用标签与金标一致率 97.7%，安全标签相对 Qwen3Guard 的 Cohen's κ ≥ 0.76（Section 4）。
   • 未报告项：论文未报告 TTFT 数值、单价表中的价格，以及 gpt-oss-120b 与人工评分的一致性。相关工作讨论了针对路由器本身的攻击，实验节未报告这类攻击下的 OGR。

   收起这一问

6. 06总结一下论文的主要内容

   SCRouter按查询加权效用与安全来选模型及预算，域内全体OGR为60.9。

   SCRouter 按查询在效用与安全之间分配权重，同时选择模型与输出 token 预算。

   • 问题：普通查询要正确有用，含有害请求或恶意指令的查询要拒绝或抵抗。作者称这两项目标偏好不同的模型和预算，单质量指标会把安全查询送到不合适的配置。
   • 做法：线性探针估计查询属于安全查询的概率；共享预算模型估计能否在预算内完成及期望 token；效用与安全各自预测完成回复和截断回复，再按完成概率混合。融合后与操作者设定的 μ 折中。编码器从 BERT-tiny（4M）到 Qwen3-Embedding-0.6B。
   • 数据：SCRouterBench 有 38,869 条域内查询和 2,753 条域外查询，每条覆盖 12 个模型与 12 个预算。指标为 OGR，三个 seed 平均。
   • 结果：Table 2 中 SCRouter-L 域内全体 OGR 为 60.9、安全子集 72.0，同设定的 R2-Router 为 48.0 与 39.1。域外全体最高为 SCRouter-M 的 50.2，RADAR (linear) 为 27.7。去掉分开的质量模型后，域内全体 OGR 为 49.9（Table 3）。
   • 结论：作者称混合负载需要按查询定义质量，而不只是更大的动作空间。Limitations 写明评测是单轮文本和 12 个开源模型，代价比较用固定单价表。

   收起这一问

相关论文