도구 호출 언어모델에서 활성화 개입이 안전성을 어디까지 옮기는지 평가하는 프레임워크 PRISM이 2026년 10월 14일 arXiv에 공개됐다. 연구팀은 NF4 양자화 사본의 행동 라벨로 개입 방향을 추정하면 시나리오가 아주 적어도 안정적으로 추정할 수 있다고 밝혔다.
연구팀은 다섯 개 언어에서 NF4 라벨로 구한 방향이 학습에 쓰지 않은 아랍어로 옮겨졌고, 아랍어 데이터로 따로 조정하지 않고도 Llama-3.1-8B의 안전하지 않은 위반이 21.95%p 줄었다고 주장했다. 또 짝지은 무해 활성화를 대응시키는 방식으로 최대 70B 파라미터의 더 큰 모델에도 같은 안전 개입을 옮겼다고 주장했다. 다만 초록은 70B 모델에서 위반이 얼마나 줄었는지는 수치로 제시하지 않는다. 실험 코드와 부속 자료, 기록된 응답을 살펴보는 탐색기도 함께 공개됐다.
연구는 텍스트로는 거절하면서 안전하지 않은 도구 호출을 함께 내놓는 사례가 많다는 기존 문헌에서 출발했다. PRISM은 이런 숨은 취약점을 정밀도, 언어, 모델 규모에 걸쳐 개입이 얼마나 옮겨지는지로 평가한다. 저자들은 양자화된 NF4 라벨과 언어 간 전이 같은 낮은 자원 환경이 모델 정렬의 문제를 드러내고 개선하는 데 유용하다고 주장한다.1
GitHub 저장소에는 논문, 실험 입력, 고정된 적합 산출물, 응답 단위 결과, 분석 코드와 논문에서 평가한 LoRA 어댑터 3종이 들어 있다. 브라우저 탐색기에는 LUMEN 시나리오에 대한 모델 응답 66,304건이 수록돼 있어 기준 응답과 개입 응답을 짝지어 비교하고, 파싱된 도구 호출을 확인할 수 있다. 모델과 프롬프트 언어를 골라 300개 언어 전이 항목을 살피고, 측정된 Validation II 용량 격자를 따라 넘겨 볼 수도 있다. 네이티브 개입, 섀도 개입(원문 shadow), 전이 개입, 수신 모델 고유 개입은 서로 구분해 표시된다. 탐색기는 모델을 실행하거나 새 결과를 만들거나 도구 호출을 실행하지 않는다.
통계 검증은 CPU에서 모델 내려받기, API 키, 외부 판정 모델 호출 없이 make reproduce로 돌아간다. 점검 범위는 주요 효과, 아랍어 전이, BFCL 성능, LoRA, 층 선택, 용량 선택, Llama70B 평가자 패널 전체 등이다. 다만 층 선택 같은 개별 점검은 별도 스크립트로 돌릴 수 있고, 모든 구성 탐침을 다시 적합하려면 make refit을 따로 실행해야 한다. 익명 호스트의 파일 크기 제한은 8MB여서 큰 산출물 8개는 압축 조각으로 저장돼 있고, 실행 시 자동 복원되며 원래 SHA-256 해시를 확인한다.
최종 설정은 하나다. 두 Llama 모델은 BFCL에서 Prompt/Python 방식을 쓰고, Qwen과 Ministral은 고유 도구 인터페이스를 쓴다. Llama70B는 전이 용량 +4/-4, 수신 모델 고유 용량 +8/-4를 쓰며, Validation II의 성능 허용 폭은 5%p다. 저장소에는 기반 모델 체크포인트가 없고 수치 배열만 있으며, 기반 모델과 외부 벤치마크 소프트웨어는 원래의 접근·라이선스 조건을 따른다.
결과는 기록된 자동 라벨을 전제로 하며, 통계를 재현한다고 해서 판정 모델 자체가 독립적으로 검증되는 것은 아니라고 저장소는 밝혔다. 현재 저장소는 익명 심사용 버전 원고에 딸린 것이다.2