DT-Guard: 4B-Parameter-Modell übertrifft 8B-Guardrails durch Trennung von Reasoning-Supervision und Inferenzgeschwindigkeit

Sicherheits-Guardrails für Sprachmodelle stehen vor einem dauerhaften architektonischen Dilemma: Systeme, die explizit über Sicherheitsentscheidungen nachdenken, sind robust aber langsam, während schnelle Klassifikatoren zwar effizient, aber anfällig gegenüber sorgfältig formulierten Angriffen sind. In Produktionsumgebungen begrenzt dieser Trade-off die Anwendung – entweder werden Durchsatz oder Robustheit geopfert. DT-Guard, entwickelt von einem Forschungsteam aus 15 Autoren, bietet eine Lösung, die keinen Kompromiss zwischen diesen beiden Optionen erfordert.

Das grundlegende Problem bestehender Sicherheits-Guardrails

Bisherige Ansätze lassen sich in zwei Kategorien mit einem klaren Trade-off einteilen. CoT-basierte Guardrails generieren explizites Reasoning darüber, warum ein bestimmter Prompt oder eine Antwort schädlich oder harmlos ist – hohe Robustheit und Angriffsresistenz, aber die Latenz bei der Generierung von Chain-of-Thought-Text ist für Produktionsumgebungen mit hohem Durchsatz inakzeptabel.

Direkte Klassifikatoren haben diese Kostspielligkeit nicht: Sie produzieren ein binäres oder kategorisches Label ohne Zwischenschritte, was sie viel schneller macht. Gleichzeitig internalisieren sie keinen Sicherheits-Reasoning-Kontext, was sie anfällig für Prompts macht, die die Formulierung sorgfältig variieren, um erlernte Muster zu umgehen. Beide Ansätze teilen dasselbe grundlegende Problem: Explizites Reasoning und niedrige Latenz schließen sich in einer einzigen Architektur gegenseitig aus.

Warum Reasoning-Supervision im Training, aber nicht bei der Inferenz?

DT-Guard trennt diese beiden Anforderungen nach der Ausführungsphase. Das Training verwendet Chain-of-Thought-Supervision: Dem Modell werden detaillierte Reasoning-Trajektorien über Sicherheitsbewertungen gezeigt – mit der Absicht, dass das Modell Muster sicherheitsbezogenen Denkens internalisiert, nicht nur lernt, Eingaben auf Labels abzubilden. Die Inferenz gibt dann nur strukturierte Safety-Labels aus, ohne expliziten CoT-Text zu generieren.

Das ist konzeptionell verwandt mit der Wissens-Destillation, angewendet auf den Reasoning-Prozess statt auf die Parameterverteilung. Das Modell lernt durch Training, wie man über Sicherheit nachdenkt, und wendet das erlernte Wissen direkt bei der Klassifikation ohne sichtbare Zwischenschritte an. Das Ergebnis ist ein Guardrail, der die Robustheit des CoT-Ansatzes mit der Latenz des direkten Klassifikators besitzt – das erste Feld, das keine Wahl zwischen diesen zwei Dimensionen trifft.

Progressiver Entscheidungspfad und RG-PHO-Optimierung

Die Sicherheitsbewertung in DT-Guard ist keine einstufige Flat-Klassifikation, sondern eine strukturierte Sequenz von drei Ebenen: Intent → Category → Safety. Das Modell bewertet zunächst die Absicht hinter der Anfrage oder der generierten Antwort, kategorisiert dann die Risikoart und trifft schließlich die Sicherheitsentscheidung. Jede Ebene liefert Kontext, der die nächste präzisiert, was Ansätze übertrifft, die direkt zum binären Sicherheitslabel springen.

Für die Identifikation schwieriger Trainingsbeispiele wird RG-PHO (Rollout-Guided Progressive Hard-Case Optimization) eingesetzt. Das System generiert mehrere Rollouts für dieselbe Anfrage und nutzt Inkonsistenz zwischen Rollouts – Fälle, in denen verschiedene Rollouts unterschiedliche Labels liefern – als Signal zur Identifizierung von Beispielen, bei denen das Modell unsicher ist. Diese Beispiele erhalten im Training verstärkten Fokus, was die Robustheit bei Grenz- und ambivalenten Fällen systematisch verbessert, die typischerweise für Sicherheitssysteme am schwierigsten sind.

Ergebnisse mit dem 4-Milliarden-Parameter-Modell

DT-Guard wurde auf einem Benchmark evaluiert, der beide Richtungen der Sicherheitsbewertung testet – Bewertung von Nutzeranfragen und Bewertung von Modellantworten. Ergebnisse mit einem Modell von nur 4B Parametern:

• Prompt-seitige F1: 0,886 – Präzision bei der Erkennung schädlicher Prompts
• Antwort-seitige F1: 0,870 – Präzision bei der Erkennung schädlicher Antworten
• Dual-Side-Durchschnitts-F1: 0,878

Besonders bedeutsam ist, dass diese Ergebnisse mit einem Modell mit 4B Parametern erzielt werden, das 8B-Baseline-Modelle übertrifft, die für Sicherheitsaufgaben angepasst wurden. Dieses Verhältnis legt nahe, dass die Internalisierung von Reasoning-Supervision im Training den Kapazitätsnachteil bei den Parametern ausgleicht – Wissen über Sicherheits-Reasoning komprimiert sich effizienter in Parameter als es mit der Modellgröße beim Standard-Training wächst.

Für die Produktion hat das konkrete Implikationen. Ein Guardrail-System mit niedrigerer Latenz und geringeren Rechenanforderungen kann aggressiver in die Pipeline integriert werden – beispielsweise bei jedem API-Aufruf ohne spürbaren Einfluss auf den Durchsatz. Größere, langsamere Guardrails werden aufgrund der Kosten oft selektiv eingesetzt, was Teile des Systems ungeschützt lässt. DT-Guard senkt diese Kosten auf ein Niveau, bei dem vollständige Abdeckung auch wirtschaftlich gerechtfertigt ist. Die Kombination aus niedriger Latenz, hoher Genauigkeit und kleinerem Modell macht es zum ersten Guardrail, der alle drei Produktionsanforderungen ohne Kompromisse erfüllt.