arXiv cs.CL· Ashmiya Lenin, Navaneeth Sangameswaran, Preetham S·· 10 小时前AI 评分44
HaloGuard 2.0：开源权重的中文多语言响应安全输出护栏
HaloGuard 2.0: An Open-Weights Constitutional Output Guard for Multilingual Response Safety
AI 导读
HaloGuard 2.0 是一个开放权重的流式输出护栏，对每个响应 token 单次前向传播给出安全/不安全概率，可在确认有害时中断流。其 0.8B 版本在六个英文响应安全基准上宏 F1 达 83.6（较 72.8 提升），误报减少 38%，参数量比最强全响应护栏少 5-10 倍，并高出最强流式护栏 Qwen3Guard-Stream-4B 2.6 分。
正文 · AI 翻译
摘要：输入防护决定请求能否到达模型，但永远看不到模型说了什么。生成过程中出现的危害——因为越狱通过了输入层，或一个良性请求逐渐偏离到操作细节——只在输出侧可见，且只在 token 到达时可见。我们提出 HaloGuard 2.0，一个开放权重的流式输出防护，它在单次前向传播中为每个响应 token 分配安全/不安全概率，因此部署方一旦确认危害即可停止流。该防护复用 HaloGuard 1.0（我们的输入防护）的宪法来组织一个 478,532 条响应的训练语料，并从响应开始变得有害的位置起对每个 token 进行监督。我们发现，在常规形态数据上训练的防护会学到一种流式特有的捷径：它判断的是提示而非响应，并且只能正确处理 13.9% 的匹配安全/不安全响应对。我们通过第二阶段在 106,043 条围绕基础防护自身失败模式构建的反事实响应上进行纠正，并发布基础模型与纠正模型的等权平均。在六个英语响应安全基准上，HaloGuard 2.0-0.8B 达到 83.6 的宏 F1（在决策规则搜索的留出半集上为 83.3），高于 72.8，假阳性减少 38%。它以少 5-10 倍的参数匹配最强的全响应防护，并比最强的流式防护 Qwen3Guard-Stream-4B 高 2.6 分。在 PolyGuardMix 上训练的多语言变体 HaloGuard 2.0-Poly-0.8B 在 17 种语言的 PolyGuardPrompts 响应标签上达到 83.1 F1，比最强基线高 5.0 分。在一块 H100 上，当审核 64 条并发响应时，该防护每条流每 token 的成本为 0.37 ms。两个防护均通过 HaloGuard 1.0 的每周红队协议持续加固，此处扩展到了输出层。
| 评论： | 23 页，6 幅图，16 张表 |
| 主题： | 计算与语言（cs.CL）；密码学与安全（cs.CR） |
| ACM 分类： | I.2.7 |
| 引用为： | arXiv:2611.02134 [cs.CL] |
| （或 arXiv:2611.02134v1 [cs.CL] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2611.02134 由 DataCite 颁发的 arXiv DOI（待注册） |
提交历史
来自：Ashmiya Lenin [查看电子邮件]
[v1]
2026 年 11 月 1 日星期日 19:09:12 UTC（181 KB）
来源：arXiv cs.CL · arxiv.org