WEBVTT

1
00:00:00.300 --> 00:00:05.540
设想有人求助：自己笔记本上的应用反复重启。

2
00:00:06.280 --> 00:00:12.900
“停止失控进程”需要上下文，但示例完全是无害电脑求助。

3
00:00:13.860 --> 00:00:19.600
有用澄清保留排障目标，并说明应保留未保存工作。

4
00:00:20.340 --> 00:00:25.180
它不应虚构不同目标，也不应自动拒绝合法请求。

5
00:00:26.320 --> 00:00:32.040
原创示例不是攻击提示、真实防护预测或测量的改写结果。

6
00:00:32.680 --> 00:00:38.580
它引出 IntentionReasoner 将请求评估与选择性有用改写相连的尝试。

7
00:00:39.200 --> 00:00:46.820
专用防护模型先分析请求，结合上下文考虑无害方面与潜在风险。

8
00:00:47.800 --> 00:00:53.680
随后输出结构化安全标签，并在适用时生成改写请求。

9
00:00:54.800 --> 00:01:00.560
源方法把阶段结合起来，而非让改写独立于安全判断。

10
00:01:01.820 --> 00:01:07.620
推断标签并不等于确定知道文字之外的真实意图。

11
00:01:08.660 --> 00:01:14.920
笔记本示例中的自身设备与排障背景，是需要保留的信息。

12
00:01:16.260 --> 00:01:22.060
防护旨在帮助下游助手，而非替换用户请求的含义。

13
00:01:22.767 --> 00:01:29.667
论文实际有四级分类，在两个端点之间区分两种边界类别。

14
00:01:30.647 --> 00:01:38.307
完全无害指明确无害请求；边界无害允许潜在误用或误解。

15
00:01:39.347 --> 00:01:47.587
边界有害指高风险或意图模糊情况；完全有害指明确有害请求。

16
00:01:48.747 --> 00:01:53.767
两种边界标签不可互换，因为其改写优先级不同。

17
00:01:55.007 --> 00:02:00.687
画面仅显示类别名与无害示例，不包含可操作有害内容。

18
00:02:01.667 --> 00:02:07.007
明确四个标签，避免把方法误表示成简单三分类器。

19
00:02:07.813 --> 00:02:14.813
两种无害标签主要改进清晰度与信息量，同时保留请求含义。

20
00:02:15.433 --> 00:02:22.693
边界有害改写重点降低潜在风险，避免过度拒绝原请求。

21
00:02:23.593 --> 00:02:29.993
完全有害请求被拒绝，不改写成保留明确有害目标的指令。

22
00:02:30.833 --> 00:02:35.873
虚构笔记本澄清属于无害示例，不演示改写危险内容。

23
00:02:36.833 --> 00:02:43.573
方法也可只对所选边界标签改写，不修改每个输入请求。

24
00:02:44.393 --> 00:02:49.933
这些选择性变体有自己的效率取舍，不应混用默认评估设置。

25
00:02:50.673 --> 00:02:57.853
构建监督语料去重后约有十六万三千条独特请求。

26
00:02:58.913 --> 00:03:05.593
结构化标注提供推理轨迹、安全标签和冷启动改写示例。

27
00:03:06.953 --> 00:03:13.353
随后在线强化学习使用多个组成项，而非单一笼统质量奖励。

28
00:03:14.453 --> 00:03:21.733
组成项包括输出格式、标签分类、改写安全性、效用与长度。

29
00:03:22.673 --> 00:03:28.873
效用旨在奖励有帮助的变化，同时保留原请求的语义一致性。

30
00:03:29.913 --> 00:03:35.513
训练奖励指导模型，但不认证每个未来安全决定都正确。

31
00:03:36.200 --> 00:03:43.740
检测评估覆盖六个数据集，比较 F1、攻击成功率与过度拒绝率。

32
00:03:44.820 --> 00:03:49.700
总体指标合并评估样本，以考虑数据集大小差异。

33
00:03:50.840 --> 00:03:56.840
过度拒绝计数被此方法标为完全有害、触发拒绝的无害请求。

34
00:03:58.220 --> 00:04:04.460
论文使用方法特定安全规则，比较二元防护时需保留指标定义。

35
00:04:05.400 --> 00:04:11.640
独立越狱实验有自己的协议和攻击成功值，与检测表不同。

36
00:04:12.820 --> 00:04:18.580
接下来的数值对应表二检测评估，不是通用部署安全保证。

37
00:04:19.160 --> 00:04:25.580
被评估变体使用对应的 Qwen2.5-Instruct 基础模型。

38
00:04:26.540 --> 00:04:32.260
十五亿参数变体在检测表报告 F1 为九十七点零。

39
00:04:33.280 --> 00:04:38.620
七十亿参数变体在同一报告评估下为九十九点四。

40
00:04:39.680 --> 00:04:45.660
其攻击成功率为百分之一点二，报告过度拒绝率为零点零。

41
00:04:46.680 --> 00:04:52.400
较小行报告攻击成功率百分之二点六，过度拒绝率百分之一点八。

42
00:04:53.460 --> 00:05:00.540
零报告值描述评估样本与舍入，不保证所有场景都零拒绝。

43
00:05:01.120 --> 00:05:08.000
改写需保留合法任务，同时让请求更清楚或安全，才有价值。

44
00:05:08.880 --> 00:05:14.980
笔记本示例仍是排查反复重启应用，并保留请求者的工作。

45
00:05:15.780 --> 00:05:22.120
改变主题或添加无依据目标，不是忠实澄清原请求。

46
00:05:23.300 --> 00:05:29.320
源结果也报告：更强下游模型的改写收益可能有限或略负。

47
00:05:30.240 --> 00:05:36.200
这支持选择性使用，而非假设每次改写对所有助手同样有益。

48
00:05:37.320 --> 00:05:42.320
因此，路由决定与改写质量仍是需要分别检查的两件事。

49
00:05:42.867 --> 00:05:50.327
回到原请求：决定是否及如何改写之前，需要理解上下文。

50
00:05:51.047 --> 00:05:58.367
IntentionReasoner 将意图分析、四级标签和选择性改写结合到防护接口。

51
00:05:59.327 --> 00:06:06.267
明确无害目标改写后应仍可识别，不被笼统回答掩盖。

52
00:06:07.067 --> 00:06:12.247
同时，基准安全指标不能变成完美认知或普遍保护的主张。

53
00:06:12.967 --> 00:06:19.887
有用的区分是解释请求、选择路径，以及生成忠实有用改写。

54
00:06:20.707 --> 00:06:26.587
即使流程在评估中表现有希望，每个阶段仍需自己的证据与范围。