LMSM: Linuxセキュリティモジュールに着想を得たLLMセキュリティフレームワーク

要旨

大規模言語モデル（LLM）は、多層防御を備えてデプロイされることが増えているが、悪意のあるプロンプトは依然としてそれらを迂回し得る。解釈可能性手法は、生成経路に沿ったモデル内部のシグナルを明らかにし、強制の判断材料とすることができるが、これらのシグナル自体はセキュリティ制御ではない。安全性のためにこれらを適応させるデプロイメントは、通常、各シグナルを独自の校正、ポリシーロジック、介入コードに結合するため、新たなアーティファクトごとに共有防御を強化する代わりに統合作業が発生する。我々は、Linuxセキュリティモジュール（LSM）の背後にある分離の考え方をLLMサービングに適応させたセキュリティフレームワークである言語モデルセキュリティモジュール（LMSM）を提案する。LMSMでは、選択されたセキュリティバックエンドが校正済みのエビデンスを提示し、バージョン管理されたポリシーが信頼されたリクエストごとのコンテキストに基づいてアクティブなルールを評価し、独立したゲートがバッファリングされた出力のリリースを承認する。この設計は、仲介の正確性とポリシーの有効性を分離し、リクエスト処理や強制を再構築することなくバックエンド、ルール、スケジュールの変更を可能にする。我々のプロトタイプは、この分離が実際に機能することを示している。Hugging Face Transformersと継続バッチ処理を行うvLLMでは、同じ基盤が、アーティファクトに基づくスパースオートエンコーダ（SAE）およびトランスコーダーのデプロイメントとタスク適合型のデンスプローブをホストし、スケジューラのチャーン下でもリクエスト固有の決定を維持し、リクエストごとに複数のルールを選択的に強制・合成する。Qwen3-4Bでは、LMSM-CheckpointがHarmBenchの攻撃成功率を39.20%から3.32%に低減し、XSTestの誤拒否率は2.40%から4.40%に上昇したが、32のアクティブシーケンスで監視作業を行わない同等のサービング経路のスループットの98.14%を維持した。LMSMは、解釈可能性とモデル内部解析の進展に、実行時強制への共通の経路を提供する。

English

Large language models (LLMs) are increasingly deployed with layered defenses, yet malicious prompts can still bypass them. Interpretability methods can expose model-internal signals along the generation path that could inform enforcement, but these signals are not security controls by themselves. Deployments that adapt them for safety typically couple each signal to its own calibration, policy logic, and intervention code, so each new artifact creates integration work instead of strengthening a shared defense. We present Language Model Security Modules (LMSM), a security framework that adapts the separation behind Linux Security Modules (LSM) to LLM serving. In LMSM, a selected security backend exposes calibrated evidence, a versioned policy evaluates active rules over trusted per-request context, and a separate gate authorizes buffered output release. This design separates mediation correctness from policy effectiveness, and it allows backend, rule, or schedule changes without rebuilding request handling or enforcement. Our prototype shows the separation working in practice: with Hugging Face Transformers and continuously batched vLLM, the same substrate hosts artifact-backed sparse autoencoder (SAE) and transcoder deployments and task-fitted dense probes, preserves request-specific decisions under scheduler churn, and selectively enforces and composes multiple rules per request. On Qwen3-4B, LMSM-Checkpoint reduces HarmBench attack success rate from 39.20% to 3.32%, with XSTest false refusals rising from 2.40% to 4.40%, while retaining 98.14% of the throughput of a matched serving path that performs no monitoring work at 32 active sequences. LMSM gives advances in interpretability and model-internal analysis a common path to runtime enforcement.