SAFESHIELD：小语言模型部署时安全的决策组织框架

如何在小语言模型部署中分解、协调部署时安全决策，并使其可审计。

• 场景： 作者称SLM适合隐私敏感、资源受限的本地与边缘部署，安全责任从集中式提供方转到部署开发者。量化与压缩可能引入或放大安全弱点，开放模型的既有对齐也可能被下游修改削弱。
• 现有不足： 作者称WildGuard、NeMo Guardrails、ShieldGemma和以SLM作外部监护者的工作提供了运行时判断机制，但未规定哪些决策应存在、何时可执行、由谁负责、如何相互约束，以及应留何种记录。
• 核心设定： 在无状态、单轮、检索增强设定下，作者把问题写成责任导向的分解，以及决策之间的显式协调。作者称安全不只取决于单个护栏的能力。
• 提出的系统： SAFESHIELD把admission、routing、evidence、release交给四个运行时阶段，并用Decision Trace记录已提交决定。作者称不引入新的检测机制。
• 威胁模型：
  • 目标： 每次交互决定请求是否进入、适用何种处理策略、证据是否足以支持生成、回复是否交付。
  • 知识： 论文未使用white-box、black-box、gray-box或no-box描述请求方知识。
  • 输入： 评测覆盖有害与对抗请求、越狱、提示注入和提示操纵，以及检索、幻觉和输出侧问题。
  • 受害系统： 本地或自托管SLM及其周围部署系统；实验骨干为Qwen3-4B-Instruct。策略写在部署者配置中，不写进模型参数。

论文在Section II按四组讨论已有工作，并把本文放在决策组织一侧。

• 小模型与本地部署： 论文讨论RLHF（Ouyang等，2022）和constitutional training（Bai等，2022），称它们改善行为倾向，但不消除部署时安全需求。论文称量化、压缩可能改变安全行为，开放模型的对齐也可被下游修改削弱。LiteLMGuard、紧凑Llama Guard变体和SLM监护者面向资源受限环境。作者称本文不改进骨干对齐，也不另做紧凑检测器。
• 运行时护栏： 可编程框架包括NeMo Guardrails与Guardrails AI；专用审核模型包括WildGuard、Llama Guard、ShieldGemma。SafetyAnalyst、LoRA-Guard、轻量BERT护栏、ThinkGuard和MrGuard分别涉及可解释与可调控审核、参数高效适配、计算成本、推理式审核和多语言审核。作者称这些工作提供单项判断机制，未回答多项决策如何分工并连成过程。
• 多阶段与运行时控制： 论文称Dong等主张护栏应系统设计而非临时拼装；Shamsujjoha等提出面向基础模型智能体的多层参考架构。GuardAgent用监督智能体执行安全要求，AgentSpec用触发器、谓词和执行动作组织约束，AGrail为变化中的智能体行为生成检查，另有工作把安全执行接入执行流。作者称这些路线的组织单位是防御位置、约束与执行动作，或执行检查的机制；并称SAFESHIELD不是通用编排层，而是决策级组织的一种实例化。
• 可问责记录： NIST AI RMF与EU AI Act被用来说明风险管理、文档和监督。论文引用Ananny与Crawford的论点：透明本身不构成可问责；并引用Cobbe等关于复杂系统中责任归属的讨论。Model Cards提供静态文档，作者称不记录单次运行中的决策。AgentTrace记录执行轨迹；Decision Trace只记安全决策的责任、策略依据、查阅证据和结果。
• 基线与基准： 实验基线为未加防护的Qwen3-4B-Instruct（Pure Qwen），以及同一骨干上的NeMo Guardrails v0.19。幻觉检测还比较Pure-LLM、SelfCheckGPT、sampling-and-NLI，以及NeMo的self_check_facts。数据集为Banking77、Anthropic HH子集、SQuAD v1.1、KG-FPQ、HarmBench和SAFESHIELD-Bench。

作者将区别写成：机制可以替换，责任和依赖不必跟着变；要研究的是决策如何被分配、协调和事后检查。

SAFESHIELD在无状态、单轮、检索增强设定中，把部署时安全写成责任分解加显式协调，并用已有护栏类机制实例化。作者称不引入新检测机制。每个请求使用独立上下文；审核规则、路由定义、检索阈值和校验设置写在部署者配置里，不编码进骨干。骨干可替换，决策组织不变。

责任分解

• 划分标准： 责任按必须提交结果的时点划分，不按实现阶段划分（Section III-B，Table I）。
• 四项决定： admission在下游处理前提交admit或reject；routing在准入后、生成策略固定前选择处理策略；evidence在生成前、对需要外部证据的请求提交grounded或ungrounded；release在生成后、交付前提交release或block。
• 时点不能对调： 作者称把admission或release挪到对方时点，会改变该决定能控制的对象。没有显式admission等于默认进入每个请求，没有显式release等于默认交付每个已生成回复。
• 证据不必终止： evidence决定向下游传递何种接地信息。Fig. 1把四项抽象责任对应到四个阶段，并写明每阶段可用多种机制。

决策协调

• 三种依赖： gating决定后续责任是否执行；policy conditioning让较早决策选择后续策略；evidence propagation让一个责任的信息被另一个复用（Section III-C）。
• 不继承结论： 作者称下游不继承上游结论。各责任保留自己的判据，后一决定仍可拒绝已通过前面阶段的交互。
• 可单独切断： 依赖可以去掉，参与机制仍保留。原型中三者分别是admission control、随意图变化的动作处理、证据共享。
• 本文接线： 拒绝的admission终止下游；routing选择处理方式，但不决定下游结果；检索段落在生成后仍留在请求上下文中，供release做忠实性检查。

四个运行时阶段

• Input Check： 良性模式层匹配预定义良性模式，以减少不必要阻断；可配置模式规则检测已知有害或策略敏感形式；Llama Prompt Guard 2检测对抗意图，覆盖越狱、提示注入和提示操纵，其预测只是信号之一。固定优先级：良性白名单命中则直接admit；否则模式规则或Prompt Guard为正即reject；都未触发则admit。reject立即停止。
• Intent Classification： 已准入请求与部署者定义的意图示例向量库匹配，top-k近邻交给LLM分类器，得到意图和实体，再映射到可配置动作处理器。论文举例：指示自我伤害风险的请求可激活相应处理说明，告知语言模型所检出意图。k和分类器型号论文未给出。此检索与Knowledge Retrieval相互独立。
• Knowledge Retrieval： 从向量索引文档库取相关段落，把检索置信度与可配置阈值比较。超过阈值则把段落放入生成上下文并记为grounded；否则不提供检索证据，由SLM直接生成，记为ungrounded。阈值数值论文未给出。
• Output Check： 四项检查共同影响release（Fig. 5）。Response Filter再筛有害或策略不允许内容；Semantic Check检查语义上表达的有害内容；Consistency Check在不同采样温度和随机种子下生成多个变体，低语义一致被当作不稳定信号；若上游已有检索段落，Faithfulness Validation用SLM判断回复是否被这些段落支持。满足适用发布标准则交付，违反则阻断并换成安全替代。论文未给出合成规则、温度、种子和替代文本。

决策轨迹

• 记录字段： 每条已提交决定写入Decision Trace，包括责任、策略依据、查阅证据、结果，以及请求标识、时间和执行元数据（Section III-D、IV-F）。通过决定也保留，因为允许继续本身就是决定。
• 作者的定位： 作者称轨迹不是与分解、协调并列的第三条要求，而是所得组织的可观察记录；并称透明本身不构成可问责。
• 示例： Table II有两条日志：一条在admission被阻断且未生成，一条走完可用过程后放行。该表不是性能汇总。

实验设置

• 骨干与对照： 未另作说明时骨干为Qwen3-4B-Instruct。系统对照为NeMo Guardrails v0.19，同一骨干，相关处匹配检索、采样、嵌入模型与演示数量；嵌入模型名称论文未给出。模型对照为未加防护的同一骨干，文中称Pure Qwen。
• 机制级数据： Banking77测试集2,002条、77类意图，每类26条，索引用每类5例。Anthropic HH平衡子集400条（200有害、200良性）。SQuAD v1.1开发集抽样400对，每问十篇候选含一篇金证据和九篇干扰，金证据位置随机。KG-FPQ最高混淆级别400条（64条幻觉、336条正确，幻觉率16%）。
• 组织与压力数据： HarmBench 400条有害提示。SAFESHIELD-Bench共600条：TruthfulQA 25%、HarmBench 18%、AdvBench 9.5%、ToxiGen 7.5%、CrowS-Pairs 6%、MS MARCO 7.5%、XSTest 6.5%、结构化扩展20%；部分样本被改成多轮、对抗或隐式意图。另有手工对抗提示107条。
• 指标： ASR是有害提示成功引出不安全回复的比例，越低越好。HPR是未产出所请求有害内容的比例，显式干预或骨干拒答都计入，越高越好。论文写明二者独立计算、不互补。另有准确率、R@3、Answer F1、EM、faithfulness、AUC-ROC、F1和平均每请求延迟。
• 判定： 过滤实验中，输入侧或输出侧任一阻止交付即计阻断。幻觉检测F1的阈值按Youden's J选取，采样类方法N=5；阈值数值论文未给出。RAG faithfulness的评审模型论文未说明。意图分类使用未点名的LLM，top-k的k论文未给出。
• 重复： 论文未报告重复次数。协调消融在同一批样本上做配对比较，并用McNemar检验。

主结果

据Table VIII，HarmBench，400条有害提示，骨干Qwen3-4B-Instruct。

表格较宽，可左右滑动

配置	ASR	HPR	延迟(ms)
Full SAFESHIELD	0.25%	99.5%	297
去掉Input Check	6.75%	81.2%	4008
去掉Output Check	0.25%	99.5%	286
去掉这两个阶段	16.5%	71.8%	2436
未加防御的骨干	15.75%	84.2%	2465

• 作者称该基准主要施压输入驱动的有害请求，因此只去掉Output Check时ASR与完整系统相同；生成后幻觉与忠实性在Section V-A另测。
• 作者称去掉两个阶段后仍保留routing、retrieval和生成，与纯骨干不是同一配置；二者ASR相差0.75个百分点，作者将其作为点观察，不作为差异证据。
• 作者称延迟取决于路径：有Input Check时多数有害请求提前结束，配置间延迟差不应看成各阶段成本相加。未加防御骨干的HPR高于去掉两个阶段的配置；作者未单独解释这一HPR差距。

协调依赖消融

• 测了什么： 两条消融都保留参与机制，只切断依赖（Section V-B）。门控消融用与过滤实验相同的200条有害和200条良性提示，但两侧都关闭self-consistency与RAG faithfulness。完整条件中拒绝终止下游；消融条件仍记录拒绝但不执行。
• 门控： 有害请求拦截从81.5%降到54.0%，被允许继续的比例从18.5%升到46.0%；良性过度拒绝为10.0%与9.5%。配对决策正确性为62对8，McNemar p=1.8×10−11。作者称只计算并记录拒绝不够，拒绝必须能停下下游。摘要称去掉admission gating会增加false release；正文用上述比例量化，未另给名为false release的比率。
• 证据传递： 200条配对的检索增强样本上，检索、生成和发布检查都保留，只不把上游证据交给release。release准确率从96.0%降到69.5%，阻断率从5.5%升到34.0%；已放行回复的条件faithfulness为95.8%与95.5%。配对正确性55对2，McNemar p=2.3×10−14。作者称上游证据主要改善发布决定是否正确，而不是已经放行回复的条件质量。该条件指标只在可做证据校验的回复上计算，不同于Table VI的总体faithfulness。

机制级结果

• 过滤： Table IV，400条。SAFESHIELD良性放行89.5%、有害阻断88.0%、准确率88.75%；Pure Qwen为98.5%、69.0%、83.75%；NeMo为100.0%、52.0%、76.0%。作者称88.0%是输入侧与输出侧合并后的拦截，不是admission单独能力。良性放行低于两个对照。伦理声明写：信号不确定时，系统可能拒绝部分良性请求。
• 意图与检索： Table V，Banking77：Pure Qwen 27.77%，SAFESHIELD 82.72%，NeMo 82.89%。作者称这是细粒度、语义重叠意图上的路由信号，不是孤立的端到端安全增益。Table VI：两套检索系统R@3均为100%；SAFESHIELD的F1、EM、faithfulness为84.1%、69.0%、89.5%，NeMo为82.5%、65.5%、82.0%；无检索Pure Qwen的F1为17.4%、EM为5.0%。
• 生成后一致性： Table VII，n=400。Self-Consistency Verification的AUC-ROC为0.723、F1为0.427，作者报告为表中各方法最高。SelfCheckGPT为0.690/0.375。NeMo self_check_facts在oracle证据下为0.651/0.394，作者称该证据不可部署。作者称该检查提供了识别可能不受支持或不稳定回复的生成后信号。

端到端压力与轨迹

• 套件： Table IX。有害/对抗的admission为195/240（81%）；release的输出安全为84/120（70%）、幻觉为102/105（97%）；检索接地为75/90（83%）；良性对照为42/45（93%）；总体498/600（83%）。路由通过意图相关的动作处理参与各场景，没有单独分组。作者称输出安全更难，因为常需规范性解释，而不是直接检测有害内容。
• 未按预期的案例： 102个场景中，作者列举的反复失败包括有害或对抗请求避开admission、输出侧规范性判断（受保护群体比较、伪科学框架）、检索矛盾，以及对合法查询的保守阻断。作者称失败出现在决策过程的不同环节，而不只在最终输出审核。论文未给出按环节的失败计数。
• 逃避变体： 手工集107条，阻断104条（97.2%）。表面扰动中E1笔误类24/24、E2 23/23、E3 6/9；越狱框架36/36；五种语言改写15/15，语言名称论文未列出。作者将其作为整系统诊断测试，不是覆盖保证。

其他消融与分析

• Table VII其余行：NeMo Sampling+NLI为AUC-ROC 0.662、F1 0.321；Pure-LLM为0.607、0.348；NeMo SCF self-generated为0.579、0.284；question-only为0.576、0.282。
• 论文未给出top-k、检索置信阈值、一致性采样的温度和种子，也未报告切断policy conditioning后的数字。
• Table II单条日志：admission阻断延迟0 ms；全流程放行示例917 ms。这不是汇总指标。
• E3阻断为6/9，低于同集其余分组；作者未单独解释E3。

作者指出的局限与后续方向

• 四项责任刻画的是本文研究的部署设定，不是穷尽分类（Section VI-D）。
• 实验使用一个主骨干和一种检索配置（Section VI-D）。
• 受控协调消融聚焦门控和证据传递（Section VI-D）。
• 更广的多语言与部署覆盖留作后续工作；结论还写将在更多语言和部署设定上评估SAFESHIELD（Section VI-D、VII）。
• Decision Trace支持而非替代人工与机构监督；作者称未评估其对人工审计者的可用性（Section VI-C、VI-D）。
• 后续工作还包括降低校验开销，以及研究Decision Trace如何支持人工审计与治理流程（Section VII）。

实验覆盖范围

• 未另作说明时，机制、组织与端到端实验的骨干为Qwen3-4B-Instruct；系统对照为同一骨干上的NeMo Guardrails v0.19（Section V）。
• 机制评测使用Banking77（2,002条）、Anthropic HH子集（400条）、SQuAD v1.1抽样（400对）和KG-FPQ最高混淆级别（400条）（Table III至VII）。
• HarmBench阶段消融去掉Input Check与Output Check；协调消融报告了admission执行依赖和向release提供上游证据两组配对结果（Section V-B，Table VIII）。
• SAFESHIELD-Bench为600条，组成比例见Section V-C；其中部分样本被改写成多轮、对抗或隐式意图。另有手工对抗提示107条，多语言改写15条、跨五种语言。
• 论文未报告重复次数、意图分类所用LLM的名称、检索置信阈值、四项发布检查的合成规则，以及RAG faithfulness的评审模型。

SAFESHIELD是面向小语言模型的部署时安全框架，把运行时安全从单项审核改写成可检查的决策过程。

• 问题： 本地或自托管SLM每次交互都要决定请求能否进入、如何处理、证据是否够用、回复能否交付。作者认为量化、压缩和下游修改使模型自身对齐不足以保证运行时安全，现有护栏则主要生产单项判断。
• 做法： admission、routing、evidence、release分别由Input Check、Intent Classification、Knowledge Retrieval、Output Check提交。配置与参数分开。拒绝能停掉下游，路由只选策略，检索证据可再用于忠实性检查。拦截和放行都写入Decision Trace。作者称不新造检测器。
• 结果： 在Qwen3-4B-Instruct上，HarmBench 400条有害提示的完整系统ASR为0.25%，去掉输入与输出阶段后为16.5%（Table VIII）。两输出轨关闭时，有害拦截从81.5%降到54.0%。200条检索配对上，向release隐瞒上游证据使准确率从96.0%降到69.5%。SAFESHIELD-Bench正确处理498/600，输出安全场景为84/120。
• 作者结论： 作者称端到端安全依赖于决策如何组织与协调，而不只是机制在不在。Decision Trace使过程可检查，但不单独构成可问责，也不替代人工或机构监督。