文章总结： SingGuard是蚂蚁集团提出的策略自适应多模态LLM安全护栏模型家族，通过动态推理机制解决固定分类体系和单一推理模式的局限性。该系统支持快、混合、慢三种推理档位，可将当前激活政策作为运行时输入实现逐条规则核对，在6大基准家族35个数据集上取得最佳平均F1分数。研究还发布了包含56340个样本的SingGuard-Bench评测集，涵盖80多类细粒度风险和动态规则场景。 综合评分： 85 文章分类： AI安全,解决方案,技术标准,安全建设,安全工具
【论文速读】| SingGuard：一种具有动态推理功能的策略自适应多模态LLM防护机制
原创
知识分享者 知识分享者
安全极客
2026年6月30日 17:50 北京
在小说阅读器读本章
去阅读
基本信息
原文标题：SingGuard: A Policy-Adaptive Multimodal LLM Guardrail with Dynamic Reasoning
原文作者：Yichen Bai, Liangbo He, Zongyi Li, Bingyan Liao, Shenglin Yin 等（SingGuard Team）
作者单位：蚂蚁集团 AI 安全实验室（AI Security Lab, Ant Group / Inclusion AI）
关键词：多模态大模型、安全护栏、策略自适应、动态推理、快慢思考、强化学习、视觉语言模型（VLM）
原文链接：https://arxiv.org/abs/2606.22873
开源代码：https://github.com/inclusionAI/Sing-Guard
论文要点
论文简介：随着视觉语言模型（VLM）被大规模部署到消费级助手、医疗、金融、企业决策等高风险场景，”安全护栏（Guardrail）”已经从可选项变成了必选项。然而，现有护栏要么只覆盖单一模态、要么死守一套固定的有害分类体系，难以应对”同样的内容在不同产品、不同地区、不同业务阶段需要不同判定结果”的真实部署。
本文提出 SingGuard，一个面向多模态对话的策略自适应护栏模型家族。它把”当前激活的政策”当作运行时输入，让模型逐条核对内容与规则，并同时输出”安全标签 + 触发的具体规则”。为了在效率与可解释性之间取得平衡，SingGuard 支持快、混合、慢三种推理档位，从直接判定一路过渡到逐条规则的深度审议，并通过”快慢解耦”的强化学习进行训练。
作者还构建了 SingGuard-Bench，包含 56,340 个样本、80 多类细粒度风险、覆盖多模态问答、对抗攻击、动态规则四大维度的综合评测集。在 6 大基准家族、35 个底层数据集上，SingGuard 全部拿下最佳平均 F1；在动态策略场景下，跟从政策的准确率从 0.6465 提升至 0.7415。
研究目的：解决”固定分类体系”和”单一推理模式”这两道现有多模态护栏的天花板。具体目标包括：让一套护栏模型能够在不重新训练的前提下，跟着部署方的安全政策”换皮即用”；既能在低延迟场景给出秒级判定，也能在审计、灰区、新规等复杂场景给出”逐条规则有据可查”的深度推理；并通过统一的训练目标与数据管线，让 2B/4B/8B 三个尺寸都能稳定迁移到多模态问答、回答审核、跨语言、跨模态隐含意图等复杂任务。
研究贡献：论文的贡献围绕”模型—训练—数据—评测”四条线展开。
第一，提出 SingGuard，一种面向多模态问答和助手响应审核的策略自适应视觉语言护栏模型家族，首次在统一的运行时政策接口下完成跨模态、跨语种、跨任务的护栏部署。
第二，设计了一种灵活的”快—慢”推理体系：快模式直接给出标签、混合模式根据置信度自适应早退、慢模式逐条规则深度审议，同时配合”快慢解耦”的强化学习目标，让初始快判不再”锚定”后续推理，从而在动态规则场景下也能由慢推理纠偏。
第三，发布 SingGuard-Bench，一个覆盖有害召回、良性敏感精度、攻击鲁棒、模态组合、关键词覆盖、推理深度、跨语种安全和动态规则的综合护栏评测集，特别引入了”图像安全但文本安全、组合起来却不安全”这种跨模态隐含意图样本。
第四，在 6 大基准家族、35 个底层数据集上达成最佳平均 F1，并在动态策略下显著提高跟从规则的能力。
背景与动机
视觉语言模型已经走入了千行百业，但它带来的安全表面也在几何级扩张：风险可能出现在用户的多模态请求里、模型生成的回答里，甚至潜伏在”图像和文本各自无害、组合在一起却暗藏意图”的隐含合成里。更棘手的是，可适用的政策本身就在变化——同一句话在儿童产品里要拦截、在专业医疗咨询里却需要放行；同一张图在欧洲市场需要打码、在另一片市场可能不算敏感；产品上线初期保守、成熟之后又会逐步放宽。这意味着一个”可生产部署”的护栏不能只把模型当成”固定标签分类器”，必须让它学会”看着运行时给出来的政策办事”。
现有路线已经做了不少有价值的尝试。以 Llama Guard、WildGuard、Qwen3Guard 为代表的文本护栏在固定分类体系下表现强劲；Llama Guard 3 Vision、LlavaGuard、GuardReasoner-VL 等多模态护栏把审核能力扩展到了图像；YuFeng-XGuard、SafeGuard-VL 等近期工作则开始探讨”策略自适应”。然而这些工作要么仍在固定标签空间内打转，要么只覆盖较窄的视觉审核场景，要么把”推理”做成”无论简单复杂都跑长链思考”的一刀切——既增加成本，又在常规样本上几乎不带来收益。论文敏锐地指出：高吞吐审核里大多数样本其实判定明确，直接给标签就够了；只有在政策刚改、灰区样本、跨模态隐含意图等场景下，”慢推理”才真正能发挥作用。
正是带着这两条观察——”策略要能动态适配”以及”推理深度要按需调用”——SingGuard 把自己定位成一个既能 0.43 秒出结果、也能花 7 秒做规则级深度审议的多档位护栏家族，并通过开源模型与基准把这一思路具象化。
任务定义与策略体系
SingGuard 把策略自适应安全分类形式化为指令跟随任务。每条样本由三元组 x = (q, I, a) 描述，其中 q 是用户的查询、I 是零张或多张图像、a 是助手的回答，这样可以同时覆盖纯文本审核、图像审核、图文组合审核、回答级审核以及”查询—回答”对的联合审核。在此之上，模型接收一个激活政策 P = {r₁, …, rₙ}，输出 (y, z, c)：y 是安全或不安全的总判定，z 是可选的策略对照推理轨迹，c 是最终触发的规则标题或”Safe”。
更关键的是，最终标签必须以当前激活的规则集为准，而不是模型自己”记忆里”的固定分类。这意味着：如果激活政策没有覆盖某个风险，那么哪怕样本在传统分类体系下属于不安全类别，也可能被合理地标记为安全；反过来，新引入的规则必须被严格执行。这种”政策即输入”的接口为后续的所有训练、推理、评测都奠定了同一个底层语义。
为给护栏一个稳定且可扩展的”出厂分类法”，作者设计了一个三层分层安全分类体系：8 个一级风险维度、27 个二级类别、80 多种细粒度风险类型，覆盖色情、犯罪与公共安全、不道德行为、网络安全与信息操纵、Agent 安全、政治敏感、动物虐待以及良性内容八大方向。这个分类体系是默认政策，但更重要的是它的边界是”软”的——部署方可以在推理时把它扩展、收窄、重写，甚至直接追加全新的领域规则（健康、金融、法律建议、隐私等），无需重新训练。
数据构造
SingGuard 的训练语料由四类互补数据共同支撑，全部对齐到上述统一分类体系：一是重标注后的开源安全数据，用于打底覆盖；二是政策驱动的合成数据，用来补长尾和跨模态盲区；三是动态规则数据，用来逼模型”看当前规则做判断”；四是链式推理（CoT）监督，用来教模型逐条核对规则。最终语料包含约 250 万条文本样本和 60 万条多模态样本，其中超过 100 万条带有 CoT 推理轨迹。
在开源数据这一层，作者搭建了一条 LLM 驱动的重标注流水线，先把不同来源的标签统一映射到自家分类体系，再交给独立的 LLM/MLLM 评审复核。对没有标签的数据和模糊样本，则用 Qwen3.5-397B-A17B、KIMI-K2.6、GLM4.5V 等多模型联合投票，并通过 L0（二分类一致性）和 L1（细粒度类别一致性）两级校验。多模型一致性 + 二级校验的组合让标注精度在内部人工验证集上超过 0.9。
在合成数据这一层，论文提出”政策驱动的合成 + 二次校验”管线：先把分类体系拆解到细粒度叶子节点，再围绕每个节点提取关键词，由红队越狱模型生成有害样本、由对齐模型生成对照的良性样本与安全回答，并组合出”图安全/文不安全、图不安全/文安全、图文皆不安全、图文皆安全但组合不安全”的多种模态极性。多语言部分则把中英文核心数据扩展到更多语种，并用同一政策再次复核语义保真度。
最具特色的是动态规则数据。作者构造了同一份内容在不同激活政策下的”政策视图”：完整规则、子集规则、单条规则、合并/重写规则，再叠加规则呈现方式上的变体（全文规则、摘要、仅标题、动态编号字母等），强迫模型放弃对”规则顺序、类别名”的依赖。更进一步，他们通过扩展规则范围、增加豁免条款、收紧或放宽边界、调整证据要求和规则优先级，构造出 unsafe→unsafe、unsafe→safe、safe→unsafe、safe→safe 四种”政策漂移”对照样本，让模型必须以当前规则文本为准重新计算标签。除了对老规则做编辑，作者还会让教师 LLM 直接生成”分类体系之外的新规则”——比如”在体育场景禁止某类行为””在医疗咨询里限制某类断言”——并由验证模型审查其流畅性、非重复性、可泛化性和适用性，确保最终接受的样本满足”激活规则匹配 + 重标签一致 + 答案可解析”三重一致性。这一整套机制就是让模型学会”按当前规则办事”，而不是”按记忆里的分类办事”。
最后的 CoT 数据则在前述三类基础上做规模化补充，超过 100 万条推理样本。教师在更详细的提示下，逐条规则给出”命中 / 未命中 / 不适用”的判断与证据，并在所有规则都没有命中后才能得到”safe”结论。所有 CoT 数据要通过结构校验、用语规范化、CoT 一致性、答案一致性等多道关卡才能进入训练集。
快—慢推理与训练范式
SingGuard 的训练分两阶段。第一阶段是”政策条件下的冷启动 SFT”。所有样本被规范成统一的输出语法：开头先吐一个 safe/unsafe 决策 token，再在 字段里给出触发规则标题；对于慢模式样本，则额外在中间插入
第二阶段是”快慢解耦的 DAPO 强化学习”。论文犀利地指出 SFT 留下的一个隐患：模型一旦吐出第一个 safe/unsafe token，后面的推理段往往沦为”为这个 token 找理由”，而不是独立核对政策。这种”锚定效应”在动态规则场景里尤其致命——明明规则改了，模型却仍然按老分类输出。作者的处理方式很巧妙：在采样一组 G 条候选回答后，奖励仍然由完整慢格式答案决定（0.8 × 二分类对错 + 0.2 × 细粒度规则匹配），但在更新策略时，对每条响应的第一个 token 施加 prefix mask，把它从 advantage 和 policy gradient 损失中剔除。这样一来，第一个快判 token 仍然作为”低延迟前缀”被生成，但不再被强化学习直接奖惩；后续
针对 2B 这种参数受限的小模型，论文还引入了在线策略蒸馏（On-Policy GKD）。2B 学生先按统一语法采样自己的回答，冻结的 8B 教师在学生写出的前缀上给出 token 级目标分布，学生用前向 KL + 反向 KL 的双向蒸馏目标进行对齐。由于蒸馏目标来自学生自己的生成轨迹，训练数据天然贴合学生在推理时的真实分布，能让小模型学会”在动态规则、边界豁免、长尾类别上修复弱推理”，而不是单纯模仿教师的漂亮文本。
部署阶段，三种推理模式共用同一组训练字段。快模式直接吐出开头决策和 ，对应在线大流量审核；慢模式把初始决策当成临时结论，在
SingGuard-Bench 基准
衡量护栏从来不是简单的二分类 F1。现有多模态安全基准在”政策条件评测”上几乎是空白——绝大多数数据集都用固定标签，无法检验模型”是否真的跟着新规则走”；许多基准还缺乏良性敏感样本，让一个”过度拦截型”的模型也能拿到漂亮分数；跨模态隐含意图、关键词级覆盖、对抗变换等真实场景的关键挑战，也很少被系统性考察。
SingGuard-Bench 正是冲着这些空白而来。它包含 56,340 条样本，覆盖 40,663 张单图样本、13,677 条多模态样本和 2,000 条动态规则样本；按统一分类体系拆出 80 多种细粒度风险，涵盖底线视觉风险、常规图文风险、良性敏感反例、对抗变换攻击和跨模态隐含意图样本。整套基准围绕四个互补的评测轴展开：样本类型（对抗攻击、直接有害、良性敏感、动态规则）、风险类别与关键词覆盖、攻击方法（跨模态隐含意图、Typography、Patch Shuffle 等）、动态政策（每条样本配匹配规则与不匹配规则）。
构建管线遵循”关键词生成—数据补全—质量过滤”三步走。先用 LLM 为每个叶子规则生成种子关键词，再通过知识图谱进行多轮联想以扩大覆盖，然后用关键词在现有安全数据和公开网络上挖掘样本，对缺口类别进行定向补全。所有数据都经过多模型一致性筛查、标签一致性、类别一致性和解释一致性校验。动态规则部分则由多模型共同提出匹配/不匹配规则，并交叉验证规则不与基础分类体系重复、样本确实落在或不落在规则范围内，最终形成 unsafe→unsafe、unsafe→safe、safe→unsafe、safe→safe 四种政策漂移配置，每类各 500 条，把”非匹配动态规则”当成干扰项考验模型抗误判能力。关键词池本身也很硬核——78 个叶子节点共 2,124 个关键词，中英文一一对齐，去重后保留约 1,842 个英文与 1,857 个中文关键词，其中 11.1% 的跨节点重叠是有意为之，反映”社工库、人肉搜索、PUA”等概念天然跨越多个风险类别的现实。
实验结果
实验沿着六条互补轴线展开：多模态查询—回答安全、纯图像安全、文本查询安全、文本回答安全、多语种安全、动态策略适应。前五条形成”静态分类视图”，每条样本有固定标签，按数据集报二分类 F1 和宏平均；最后一条采用”政策跟从视图”，按规则集决定标签并报准确率。对比基线既包括 Qwen3Guard、YuFeng-XGuard、GuardReasoner、Llama Guard、WildGuard、ShieldGemma、GraniteGuardian 等开源护栏，也覆盖 Qwen3-VL、LlamaGuard3-Vision、LlamaGuard4、GuardReasoner-VL、ShieldGemma 2、LlavaGuard、LLaVAShield 等多模态选手，外加 Gemini3-Pro 与 GPT-5.1 作为闭源前沿参考。
在多模态查询—回答安全上，SingGuard-8B 以 0.9092 的宏平均 F1 拿下榜首，领先最强开源基线 LLaVAShield（0.8842）和闭源 GPT-5.1（0.8349）；SingGuard-2B/4B 也分别拿到 0.8924/0.8945，从能力曲线上整体把开源前沿向前推了一段。论文特别指出：MMDS-Q（查询）与 MMDS-R（回答）之间的差距很能说明问题——弱基线如 LlamaGuard3-Vision、Qwen3-VL-4B 从查询到回答会掉 15–30 分，而 SingGuard 保持在 7 分以内，证明它的政策条件监督真正同时迁移到了”意图检测”和”助攻检测”。
在纯图像安全上，SingGuard-4B 以 0.9141 的平均 F1 居首，2B/8B 也以 0.9029/0.9099 紧随其后，全部超过最强开源基线 GuardReasoner-VL（0.8570）和两款闭源前沿。值得一提的是，原本在文本上很强的护栏在纯图像上往往大幅崩盘——LlamaGuard3-Vision 在武器检测上 F1 只有 0.0025，在暴力上只有 0.1875；这反过来佐证了”平衡训练图像子集”的必要性。
在文本查询安全上，SingGuard-8B 的平均 F1 0.8740 同样领先；在文本回答安全上，SingGuard-4B 以 0.8799 居首，2B/8B 紧随。在多语种安全上，SingGuard-8B 在查询侧 0.8872、回答侧 0.8988 双双登顶；尤其在 RTP-LX 这种现实多语种毒性数据上，Qwen3Guard-loose、WildGuard 等基线从英语到非英语会掉 15–35 分，而 SingGuard-8B 仍能拿到 0.8941。
最值得拿出来说的是动态策略评测。在 Qwen3-VL-8B 上，safe→unsafe 这一最严苛的”新规生效”场景准确率只有 0.3800，平均也仅 0.6465；SingGuard-slow 把 safe→unsafe 拉到 0.5700、平均拉到 0.7415；SingGuard-hybrid 则在保留低延迟的同时拿到 0.7383。论文进一步用消融实验拆解：相比 SFT，慢模式 RL 在图像、多模态、动态政策三条线上全面提升，最高拿到 0.7415 的动态策略准确率；快模式仅花 0.43 秒/样本就能保留大部分安全性能；混合模式则在 0.67 秒/样本的预算下兼顾两端。2B 在线策略蒸馏（OPD）则把 2B 学生在四大评测家族上的平均分从 0.8631 抬升到 0.8840，说明教师的广义安全行为可以稳定迁移进小模型，而不必牺牲部署成本。
讨论与局限
从结果来看，SingGuard 印证了三个判断。第一，”会跟规则走”的能力是真实存在并且可以训练出来的——动态策略评测里近 10 个百分点的提升说明，护栏不必再靠”记忆固定分类”硬扛，而可以把激活规则当成一等公民。第二，”快—慢两档共存 + 解耦优化”是个值得借鉴的范式——同一个模型在同一套训练语法下就能服务高吞吐线和审计线，部署方可以在 0.43 秒和 7.28 秒之间自由切换。第三，”良性敏感样本与跨模态隐含意图”是检验真功夫的硬试金石——MMDS-Q/R 的稳定性、Hateful Memes 的天花板效应、SafeBench/JailBreakV 的过拟合症状都在反复提醒社区：单看一个聚合分数容易被”过度拦截”或”模板背诵”骗到。
作者也很坦诚地列出了局限。一是判定质量本质上依赖部署方写出来的政策本身，模糊、不完整或自相矛盾的规则仍会导致跨产品、跨地区的不一致；二是 SingGuard-Bench 虽然覆盖广，但无法穷尽现实世界长尾安全政策与快速演化的滥用模式，高风险场景仍需要持续的基准更新与人工复核；三是合成数据和模型辅助标注虽然过了多模型一致性筛查，仍无法完全消除教师偏置、标注瑕疵或与真实流量分布的偏移；四是混合模式依赖 token 级置信度判断早退，在分布漂移下校准可能不够精准。作者把”更强的置信度校准、更广泛的人工评测、面向政策条件护栏的不确定性透明化报告”列为后续方向。
结论
SingGuard 想回答一个朴素但棘手的问题：如何让护栏在多模态、多语种、政策动辄变更的真实部署里，既快又准、还能解释？它的答案是一整套”政策即输入 + 三档推理 + 快慢解耦 RL”的组合拳：把激活政策当成运行时一等公民，让模型逐条核对规则；让快、混合、慢三档共享同一套训练语法，部署阶段按预算切换；用解耦的强化学习避免初始快判锚定后续推理，并辅以在线策略蒸馏把能力压进小模型。
在 6 大基准家族、35 个底层数据集上的最佳平均 F1，以及动态策略下从 0.6465 到 0.7415 的飞跃，验证了这套思路的有效性。但论文真正的价值或许不在排行榜，而在它清晰地讲明了一件事——只学会”识别风险”是不够的，部署中的护栏还必须学会”判断风险是否落在当前激活政策之内”并据此节制自己的拦截冲动。在动辄一套政策跑遍全球的 VLM 应用浪潮里，这种”会看政策办事”的克制，可能比单纯追求更高的召回率更接近真正可用的安全。
-End-
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全极客 知识分享者 知识分享者《【论文速读】| SingGuard：一种具有动态推理功能的策略自适应多模态LLM防护机制》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论