LMSM：把 Linux 安全模块思路引入大模型运行时防护

导语

大模型安全防护往往不是缺少检测信号，而是缺少一套能把信号稳定接入在线服务的工程机制。模型可解释性研究可以沿生成路径发现内部状态，但这些状态本身并不会自动成为安全控制。实际部署时，团队通常要为每一种探针、自动编码器或其他解释性产物分别编写校准、策略和干预代码，导致安全能力难以复用，也增加了替换组件的成本。

来自新加坡国立大学的研究团队提出 LMSM（Language Model Security Modules），尝试用类似 Linux Security Modules（LSM）的分层方式解决这一问题。

核心要点

• 证据与控制分离：安全后端负责提供经过校准的模型内部证据；策略层依据版本化规则和可信的请求上下文作出判断；独立的门控组件决定是否释放经过缓冲的输出。
• 模块可以替换：同一运行时底座能够承载基于稀疏自编码器（SAE）、transcoder 的模型产物，也能接入针对任务训练的 dense probe。更换证据后端、规则或调度方案，不必重写请求处理和执行逻辑。
• 面向连续批处理：原型覆盖 Hugging Face Transformers 和持续批处理的 vLLM。论文强调，即使调度器重新组织请求，系统仍能保留请求级安全决策，而不是把不同请求的状态混在一起。
• 支持选择性组合：策略可以针对单个请求选择性启用规则，并组合多条规则，避免所有请求都经过同样强度的干预。

实验结果与边界

在 Qwen3-4B 上，LMSM-Checkpoint 将 HarmBench 攻击成功率从 39.20% 降到 3.32%；与此同时，XSTest 误拒绝率由 2.40% 增至 4.40%。在 32 个活跃序列下，与不执行监控工作的匹配服务路径相比，系统保留了 98.14% 的吞吐。这个结果说明，运行时安全监控不一定要以显著牺牲服务效率为代价，但误拒绝的上升也提示策略校准仍然重要。

意义与影响

LMSM 的价值不在于提出一种新的单独检测器，而在于定义了“检测证据—策略决策—输出执行”的共同接口。这样一来，解释性研究产生的新信号可以先作为后端接入，再由独立策略决定如何使用，降低从实验原型走向在线防护的集成门槛。

不过，模块化框架并不会自动解决证据质量、阈值选择或策略覆盖范围问题。论文结果来自特定模型、基准和原型实现，能否迁移到更多模型、攻击类型及更复杂的生产负载，仍需进一步验证。更现实的意义是，LMSM 为持续演进的模型内部安全方法提供了一条较稳定的运行时落地路径。

来源：Hugging Face Daily Papers