PolicyShiftGuard: ポリシー適応型画像ガードレールのベンチマークと改善

要旨

画像ガードレールは通常、固定された安全ポリシーの下で訓練・評価され、安全性を画像の固有の特性として暗に扱っている。しかし、実際のデプロイ環境は異なる。同じ画像がある製品では許可され、別の製品では制限され、ポリシー境界が変更されると新たに不許可となる場合がある。本研究では、ポリシー適応型画像ガードレールについて検討する。これは、モデルが現在提供されているポリシーに違反しているか否かを判断し、未見のポリシー定義に対しても汎化しなければならないタスクである。我々は、265枚の画像に対する2,000個のポリシー識別インスタンスからなる包括的ベンチマーク「PolicyShiftBench」を導入する。各画像は平均7.55個のポリシー条件付きプロンプトとペアになっており、モデルが画像レベルの安全性事前知識に依存するのではなく、アクティブなポリシーに適応するかどうかをテストする。さらに、ランダム化ポリシーSFT（RP-SFT）と境界ペアポリシー適応（BP-Adapt）を組み合わせた2段階訓練法で学習する、コンパクトなポリシー条件付きガードレール「PolicyShiftGuard」を提案する。BP-Adaptは、同一画像かつ同一リスクカテゴリに対して、標準ラベル教師あり学習と、ブロックポリシーと通過ポリシーを分離するペアワイズ比較損失を用いて、対応するプロンプトを訓練する。実験により、既存のVLMや専用ガードレールはポリシーシフト下で脆弱であるのに対し、PolicyShiftGuardはポリシー感受性の性能を大幅に向上させることが示された。7BモデルはPolicyShiftBenchにおいて76.9の平均F1スコアと72.1の平均PSSを達成し、UnSafeBenchおよびSafeEditBenchへの転移も良好であり、簡潔な出力形式によりレイテンシとパフォーマンスのトレードオフを改善する。アブレーション研究により、通過／ブロック境界ペアの一致が安定したポリシー適応に不可欠であることが確認された。

English

Image guardrails are typically trained and evaluated under a fixed safety policy, implicitly treating safety as an intrinsic property of an image. Real deployments are different: the same image may be allowed in one product, restricted in another, and newly disallowed when a policy boundary changes. We study policy-adaptive image guardrailing, where a model must decide whether an image violates the currently supplied policy and generalize to held-out policy definitions. We introduce PolicyShiftBench, a comprehensive benchmark with 2,000 policy-discriminative instances over 265 images, where each image is paired with 7.55 policy-conditioned prompts on average to test whether models adapt to the active policy rather than relying on image-level safety priors. We then propose PolicyShiftGuard, a compact policy-conditioned guardrail trained with a two-stage training recipe that combines Randomized Policy SFT (RP-SFT) with Boundary-Pair Policy Adaptation (BP-Adapt). BP-Adapt trains matched prompts for the same image and risk category using standard label supervision and a pairwise comparison loss that separates blocking policies from passing policies. Experiments show that existing VLMs and specialized guardrails remain brittle under policy shifts, while PolicyShiftGuard substantially improves policy-sensitive performance. The 7B model achieves SOTA performance of 76.9 Avg. F1 and 72.1 Avg. PSS on PolicyShiftBench, transfers well to UnSafeBench and SafeEditBench, and improves the latency-performance trade-off with a concise output format. Ablations confirm that matched pass/block boundary pairs are essential for stable policy adaptation.