该基准比较了九种用于提示词注入防护和内容安全的 AI 护栏方案,涵盖小型预训练分类器、零样本分类器、Jev 式决策模型以及 LLM 评审系统。 预训练分类器仍具有很强的竞争力:DeBERTa 在提示词注入检测上的准确率达到 89.01%,中位延迟为 54 毫秒;Granite Guardian 在内容安全方面的准确率达到 80.27%,延迟为 33 毫秒。Qwen3.6-35B 以 89.31% 的准确率取得提示词注入检测最高成绩,而 Jev 以 86.20% 的准确率略微领先内容安全检测。 较新的决策模型也具有竞争力,但在速度、成本和准确率方面并不总是优于传统分类器或 LLM 评审系统。BART-large-mnli 的表现较差,因为其有限的标签无法表达细致的策略要求。Shieldstral 的表现也低于预期,并且对提示词措辞非常敏感。Laya 经过策略调优后,准确率从 57.87% 提升至 75.20%;然而,同一策略却降低了 Jev 的准确率,表明决策模型的提示词具有高度模型特异性。 总体而言,在缺少合适标注数据的情况下,决策模型提供了一种灵活、可复用且由模式驱动的替代方案;但如果有专门的轻量级分类器可用,它们仍是最佳选择。模型选型应依据具体任务的准确率、延迟、基础设施和调优需求,而不应取决于对某种架构的偏爱。
作者评估了 TypeSafe 的 Jev:这是一个低成本“System One”分类器,通过在预训练 Transformer 上附加一个决策头来构建。与自回归大语言模型不同,Jev 会返回带有各选项概率的有类型多选题结果。
在涵盖十种概率分布的一千个基于物理的场景中,Jev 往往能够识别出正确的分布,但其概率校准很差。它的平均总变差误差为 0.518,仅略优于均匀猜测的 0.546。它通常表现得过于尖锐,难以处理逐渐趋近于零的尾部,会给不可能的区间分配概率,并且可能直接利用提示词中明确给出的答案。在公平硬币和骰子问题上,它同样表现得过度自信且存在偏差。
Jev 能够处理相当 advanced 的孤立计算,包括平方根,但会拒绝回答多步骤算术题,并且在追踪十的幂方面尤其困难;单位换算似乎并不是主要问题。作者认为,部分原因在于模型缺少思维链或外部中间存储机制。
这篇文章还警告称,前沿模型可以设计出看似合理的实验,却遗漏致命的实现缺陷——其中一些提示词意外包含了答案,从而把概率校准测试变成了答案抄写测试。
本月目标是让全部 20 亿个 token 都使用 GLM 5.3 Flash,但实际只有 50% 的使用量使用了目标模型。前半段保持在预算内,花费 68 美元,耗电约 4 千瓦时,排放 365 克二氧化碳;由于基础设施容量问题以及大量模型实验,剩余 10 亿个 token 转而使用了其他模型。
最大的一项意外支出是一个快速编码完成的 Wagtail MCP 原型。由于选错了模型,它在一夜之间消耗了 4.5 亿个 token、花费 150 美元,并耗电 5 千瓦时。虽然这个原型做出了有价值的演示,但如果规划得当,类似结果很可能只需约五分之一的成本即可实现。
总体而言,实际耗电量为 35 千瓦时,而目标是 10 千瓦时,因此这次挑战在技术上并不成功,但提供了很多有价值的信息。后续措施包括:持续在本地测量成本、能耗和结果;设定明确的实验预算;更加谨慎地选择原型和模型;采用有明确范围和限制的多智能体工作流;以及持续评估高效的模型。目标是让大多数常规 AI 推理使用一个或两个低成本的 Flash 模型,并以效率和结果为评估标准,而不是只看 token 数量。