Nemotron 3.5 のコンテンツ安全性に関する解説（9 分読了）

[記事一覧に戻る](https://huggingface.co/blog) - Nemotron 3.5 のコンテンツセーフティにおける新機能 1. 統合型マルチモーダル評価 2. グローバル言語対応 3. カスタムポリシーの適用 4. 推論トレース（THINK モード） 5. セーフティデータセット モデルアーキテクチャ 推論 トレーニングデータ ベンチマーク レイテンシ ベンチマークギャップへの対応 はじめに 過去 2 年間で、NVIDIA のコンテンツセーフティスタックは、集中的な英語テキスト分類器から、新しいモダリティ、言語、推論モードに対応する専門モデルのファミリーへと成長しました。2026 年 3 月にリリースされた [Nemotron 3 Content Safety](https://huggingface.co/nvidia/Nemotron-3-Content-Safety) は、4B パラメータの単一モデルにおいて初めてマルチモーダルと多言語機能を統合しました。本日、私たちは [Nemotron 3.5 Content Safety](https://huggingface.co/nvidia/Nemotron-3.5-Content-Safety) をリリースします。これは、その進化を完結させるものであり、マルチモーダル入力、多言語対応、カスタム企業ポリシーの適用、監査可能な推論を単一の推呼出で統合したモデルです。 本記事では、3.5 版における変更点、各新機能の背後にある設計判断、および生産環境のセーフティパイプラインへのモデル統合方法について解説します。 ## Nemotron 3.5 のコンテンツセーフティにおける新機能 ## 1. 統合型マルチモーダル評価 Nemotron 3 は画像理解機能を導入しましたが、Nemotron 3.5 はマルチモーダル統合をさらに深化させました。このモデルは、**ユーザーからのプロンプト、任意の画像、および任意のアシスタントからの応答**を単一のコンテキストウィンドウとして受け取り、結合された入力全体に対して一貫した安全性の判定を下します。これら 3 つを個別に評価するのではなく、すべてを統合して評価することで、マルチモーダル安全シナリオにおけるよく知られたギャップが解消されます。つまり、テキストと画像の間、あるいは要求と応答の間の「相互作用」によって初めて顕在化するポリシー違反も、単一の処理パスで検出できるようになりました。 ## 2. グローバル言語対応 Nemotron 3.5 は、先行モデルと同じく**英語、フランス語、スペイン語、ドイツ語、中国語、日本語、韓国語、アラビア語、ヒンディー語、ロシア語、ポルトガル語、イタリア語**の 12 か国語に対する明示的なトレーニングカバレッジを維持しつつ、Gemma 3 ベースモデルから約 140 か国語にわたる強力なゼロショット汎化能力も継承しています。これは、トレーニングデータが不足している市場（例えば東南アジア諸国の言語、スカンジナビア諸国の言語、リソースが限られたアフリカ諸国の言語など）での展開において、個別のファインチューニングを必要とせずとも、ベースモデルの多言語転移学習の恩恵を受けられることを意味します。 ## 3. カスタムポリシーの実行 これは、Nemotron 3.5 における 3.5 版で最も重要なアーキテクチャ上の追加です。本番環境での運用では、単一の普遍的な安全性分類体系の下で動作することはめったにありません。ヘルスケアプラットフォームは、金融サービス用チャットボット、開発者向けツール IDE、あるいは子供向けの教育アプリとは異なるリスクプロファイルを持っています。Nemotron 3.5 は、入力とともにカスタムポリシー仕様を受け付けます。モデルは、組み込みの分類体系に完全に依存するのではなく、そのポリシーに基づいて推論を行い、最終的な判断を下します。これは、[Nemotron Content Safety Reasoning 4B](https://huggingface.co/nvidia/Nemotron-Content-Safety-Reasoning-4B) で最初に紹介された取り組みを、フルマルチモーダル・多言語設定へと拡張したものです。 ## 4. 推論トレース (THINK モード) Nemotron 3.5 のすべての安全性判断には、オプションの**think mode**(思考モード) を介して監査可能な推論トレースを付随させることができます。これを有効にすると、モデルは最終的な安全/不安全ラベルと、必要に応じて違反したカテゴリを出力する前に、段階的な推論結果を出力します。 ユーザー安全性：不安全 レスポンス安全性：不安全 安全カテゴリ：犯罪計画/自白、規制薬物 レイテンシが主要な制約となる場合、THINK モードを無効化して、Nemotron 3 で利用可能な同じ低遅延の二値判定（バイナリ verdict）に戻すことができます。 ## 5. セーフティデータセット Nemotron 3.5 では、私どものセーフティデータセットを公開します。これは重要なマイルストーンです。なぜなら、ほとんどのオープンソース（OSS）セーフティモデルは、トレーニング用または評価用のデータセットを提供しないことが一般的だからです。この問題は、画像や動画などのアーティファクトが、しばしば制限付きのライセンス条項を持つリソースから派生するマルチモーダル空間において、より深刻になります。Nemotron 3.5 コンテンツセーフティデータセットはマルチモーダルかつ多言語に対応しており、モデルのトレーニングに使用されたセーフティ推論トレース（推論経路）を含んでいます。これらの推論トレースは、[Nemotron Content Safety Reasoning 4B](https://huggingface.co/nvidia/Nemotron-Content-Safety-Reasoning-4B) モデルと同様に、簡潔にするために 2 ステップ方式で生成されました。 ## モデルアーキテクチャ Nemotron 3.5 コンテンツセーフティは、**Google Gemma 3 4B IT**（パラメータ数 40 億）を基盤として構築されており、128K のコンテキストウィンドウ、強力なビジョン・ランゲージ推論能力、広範な多言語カバレッジを提供します。NVIDIA は、このベースモデルに LoRA アダプター（Low-Rank Adaptation：低ランク適応）を適用して微調整を行っており、これによりリアルタイムデプロイが可能な 8GB 以上の VRAM を備えた GPU 上で動作させるのに十分なコンパクトさを保ちつつ、ターゲットを絞ったセーフティ分類機能をインストールしています。 推論インターフェースは 3 つの出力モードをサポートします： **モード 1 — 低遅延二値判定：** ユーザー安全性：安全 レスポンス安全性：不安全 **モード2 — カテゴリ付きの二値判定:** ユーザー安全性：安全 レスポンス安全性：不安全 安全性カテゴリ：暴力、犯罪計画/自白 **モード3 — THINK モード（推論＋判定）:** ユーザー安全性：不安全 レスポンス安全性：不安全 安全性カテゴリ：[カテゴリ] 安全性タクソノミーは、**Aegis 2.0** フレームワークに従います。これは MLCommons の安全性タクソノミーと整合性のある13の主要カテゴリに加え、10の微細なサブカテゴリで構成されています。この整合性により、Aegis タクソノミーデータセット上でベンチマークされた他のオープンおよびクローズド型のガードシステムとの直接比較が可能になります。 ## 推論 推論は、コンテンツ安全性分類におけるスーパーチャージャーです。なぜなら、特にエンタープライズや規制環境における生産用AIシステムにとって、必要な文脈、カスタマイズ性、説明責任を提供するからです。 **カスタムおよび文脈に応じたポリシーの適用を可能にする** 推論により、コンテンツ安全性モデルは、推論時に自然言語で定義されたカスタムかつドメイン固有のポリシーを動的に解釈し、適用することが可能になります。これは、生産環境での展開が単一の普遍的な安全性タクソノミーの下で動作することはめったにないため、必要です。金融サービスチャットボットのリスクプロファイルは、汚語に対する許容度が低い子供向け教育アプリとは異なります。この機能により、以下が可能になります。 - カテゴリの抑制：「プロセスを停止する」というフレーズをDevOpsツールが扱う際に、「暴力」カテゴリのトリガーを防ぐなど、無関係なカテゴリを無効化すること。 - カスタムカテゴリ注入：組織の規制や製品ポリシーに固有のリスクカテゴリを定義する機能。 **監査可能かつ文書化された正当性の提供** 推論トレースは、最終的に安全または不安全という判断を下す前にモデルが段階的に展開したロジックを示します。この文書化された正当性は、以下の目的に役立ちます： - コンプライアンスと監査ログ：規制業界では、コンテンツモデレーションの決定に対する文書化された正当性を求めることが一般的です。 - 人間のレビュー：レビュアーは判断に至った理由を検証し、モデルに系統的なエラーがないかを確認できます。 - ポリシーの反復改善：トレースからは、モデルがエッジケースをどのように解釈しているかが明らかになり、チームはカスタムポリシー言語を反復的に洗練・改善することが可能になります。 **レイテンシ** 推論は遅延を引き起こす可能性がありますが、Nemotron モデルは推論チェーンを簡潔な要約に圧縮することで、出力トークンを制限し効率性を高めています。これは、先行モデル [Nemotron-Content-Safety-Reasoning-4B](https://huggingface.co/nvidia/Nemotron-Content-Safety-Reasoning-4B) で実施されたのと同様の 2 ステッププロセスで行われます。最初のステップでは、Qwen 397B のようなより大規模で強力なモデルを使用して、提供されたプロンプト、画像、および応答に基づいて思考連鎖（chain-of-thought）の推論トレースを生成します。また、推論トレースに誤分類が混入するのを防ぐため、サンプルの正解ラベルも提供しています。2 番目のステップでは、Qwen 80B のような別の大規模モデルを使用して、これらの推論トレースをより簡潔なものにします。具体的には、このモデルに対して元のトレース（1 ステップ目）を書き換えさせ、3 文以内に収まるように指示を出しています。実験によると、生成される推論トレースのほとんどが 3 文以内です。 効率的な推論トレースの最適化により、低遅延のカスタムポリシー適用が可能になります。さらに、推論トレースは専門的なモデレーターモデルを訓練するための貴重なトレーニングシグナルとして機能します。開発者はデュアルモード操作を選択でき、一般的なタスクでは推論を無効化して最小限の遅延を実現するか、複雑なポリシーにはそれを有効にすることができます。 ## トレーニングデータ Nemotron 3.5 の基盤となるデータセットは、Nemotron 3 で使用された多言語・多様なモダリティを融合させたものの進化版であり、推論能力とカスタムポリシー対応機能を強化するための追加要素が含まれています。当社は以下のデータソースを利用しました。 - Nemotron Safety Guard Dataset v3 から取得した多言語テキスト安全性データ。これは、文化的なニュアンスを持つサブセットからサンプリングされ、安全性カテゴリおよび安全/不安全の分割において比例代表制を適用しています。 - NVIDIA によって英語で収集され、12 ヶ国語に翻訳された人間注釈付き多様性データ（multimodal data）。特に重要なのは、トレーニング画像の 99% が合成生成物ではなく実写写真である点です。これは、既存の VLGuard や MM-SafetyBench などの多様性安全性ベンチマークが SDXL で生成された画像に過度に依存し、本番環境のコンテンツに見られる文化的な文脈や敵対的な複雑さを欠いているという既知の弱点に対処するものです。ライセンス制約のためすべての実写画像を公開することはできませんでしたが、Wikimedia からの画像と合成生成物の一部は公開可能です。 - Nemotron VLM Dataset v2 から取得した安全な多様性データ。スキャンされた文書、チャート、論文、図表および関連するクエリを含み、モデルが benign（無害）な専門コンテンツを過剰に検出しないようにしています。 - 大規模な教師モデル（Qwen 397B）によって生成された思考連鎖（chain-of-thought）出力から導き出された推論トレース。これらは Qwen 80B を用いて短縮され、モデルがどのように推論を行うかを教えるために使用されています。 - CantTalkAboutThis データセットから得たトピック追従データには、ヘルスケア、金融、銀行、教育など多様な企業導入シナリオにわたるポリシー仕様と判定のペアが含まれています。 - 合成データは全トレーニングボリュームの約 10% を占め、主に jailbreak パターンの多様化、稀なポリシー違反事例の生成、およびマルチモーダル敵対的ケースの作成に用いられます。 ## ベンチマーク Nemotron 3.5 Content Safety は、VLGuard、MM-SafetyBench、PolyGuard、RTP-LX、Aya Redteaming、XSafety、MultiJail、Aegis、Dynaguardrail、CoSA を含む、多言語・マルチモーダル・カスタムポリシーの安全性ベンチマーク across 評価されました。これらの評価は、企業における安全性のコア課題を反映しています：グローバルな言語、テキストおよび画像入力、ドメイン固有のポリシーにわたって一貫したガードレール（安全装置）を適用しつつ、著しいレイテンシを追加しないことです。 Nemotron 3 は、マルチモーダル有害コンテンツテストで平均精度 84% を達成し、LlamaGuard-4-12B の約半分のレイテンシを示す強力なベースラインを設定しました。Nemotron 3.5 は、このコンパクトな 4B エフィシェンシーを維持しつつ、カスタムポリシーのサポートと推論トレースを追加しています。 多言語かつマルチモーダルな安全性ベンチマーク全体において、Nemotron 3.5 はコンパクトなフットプリントを維持しながらも、有害コンテンツ分類の精度で優れた成果を示しています。これは多くの安全性モデルが英語優先やテキストのみ、あるいは生産パイプラインで繰り返し実行するにはコストが高すぎるという現状があるため、非常に重要です。Nemotron 3.5 は、多言語対応、マルチモーダル分類、カスタムポリシーサポート、低遅延デプロイメントを一つのモデルに統合するように設計されています。 *Figure 1. Nemotron 3.5 Content Safety は、多言語かつマルチモーダルな安全性ベンチマーク全体で優れた有害コンテンツ分類精度を発揮し、評価されたベンチマークセット全体で約 85% の平均値を記録します。* 言語レベルの結果は、なぜグローバルエンタープライズ AI において多言語対応の安全性が重要なのかを示しています。Multilingual Aegis では、Nemotron 3.5 は 12 か国語にわたって有害コンテンツ分類精度で平均 96.5% を達成します。RTP-LX では平均 88.8% で、Aegis と RTP-LX の合計平均は 92.7% となります。この一貫性により、チームは英語のみによるモデレーションや個別の地域別安全性モデルに依存するのではなく、顧客・従業員・パートナー向けワークフロー全体で同じ安全性姿勢を適用できるようになります。 *Figure 2. Nemotron 3.5 Content Safety は、12 か国語における Multilingual Aegis Cultural + Adapted (プロンプト分類) (有害 F1) で有害コンテンツ分類精度の平均が 97% です。* *Figure 3. Nemotron 3.5 Content Safety は、12 か国語における RTPLX (プロンプト分類) (有害 F1) で有害コンテンツ分類精度の平均が 89% です。* 精度だけでは、本番環境におけるガードレールとしては不十分です。安全性モデルはまた、コンテンツが処理される前や返却される前、あるいは下流へルーティングされる前に実行できるほど効率的である必要があります。Nemotron 3.5 Content Safety のコンパクトな 4B デザインは、繰り返しの安全チェックにかかるコストとレイテンシを削減するのに役立ち、多言語かつマルチモーダルなガードレールを実際の AI アプリケーションで実用的なものにしています。 ## レイテンシ デフォルト（THINK モードなし）モードにおけるレイテンシプロファイルは、Nemotron 3 と変わっていません。THINK モードでは推論時間がトレース長に比例して増加しますが、このオーバーヘッドは予測可能であり、同期モデレーションループとは別に予算化できます。例えば、デフォルトモードがリアルタイムの判断を処理する一方で、THINk モードでの評価を監査パイプラインの一部として非同期で実行することで対応可能です。 *図 4. Nemotron 3.5 Content Safety は、代替となるマルチモーダル安全性モデルと比較して、マルチモーダルベンチマークにおいてエンドツーエンドのレイテンシが 3 倍低下しています。* 別の推論型安全性モデルと比較すると、推論機能を有効にした場合、当社のモデルは最大で 50% 少ないトークンを生成し、コストとレイテンシの観点から効率的です。 ## ベンチマークギャップへの対応 マルチモーダル安全性研究における繰り返しのテーマは、既存の評価インフラにおけるギャップです。Nemotron 3.5 の開発においても、広範な文献に記述されているのと同じようなギャップに直面しました： - テキストのみのカバレッジ：最も広く引用される安全性ベンチマーク（WildGuard, XSTest, HarmBench）はテキスト専用です。マルチモーダル性能をテキストベンチマークの結果から推測することはできません。 - 合成画像の品質：現在存在する多モーダルベンチマークの多くは、AI で生成された画像（通常は SDXL）を使用しており、実写写真よりも生産現場におけるコンテンツの難易度を過小評価しています。 - 実写画像のライセンス：ストックフォトのライセンスでは AI データセットへの再配布が禁止されており、研究環境と生産環境の間に構造的なギャップが生じています。 NVIDIA の多モーダルトレーニングデータは、実写画像と文化的にニュアンスのある多言語プロンプトを備えており、モデルトレーニングにおけるこれらのギャップの一部を埋めるために設計されています。評価のためのベンチマークギャップについては、より広範なセーフティ研究コミュニティにとって未解決の問題として残っています。 ## Getting Started Nemotron 3.5 Content Safety は、研究および商用利用のために NVIDIA Open Model License の下で [Hugging Face](https://huggingface.co/nvidia/Nemotron-3.5-Content-Safety) で提供されており、トレーニング用[データセット](https://huggingface.co/datasets/nvidia/Nemotron-3.5-Content-Safety-Dataset)も併せて利用可能です。このモデルは transformers、vLLM、SGLang をサポートしており、事前パッケージ化された GPU 最適化推論マイクロサービスが必要なチーム向けには、build.nvidia.com で本番グレードの [NVIDIA NIM](https://nvcr.io/nim/nvidia/nemotron-3.5-content-safety:2.0.5-variant) として利用できます。 開発者は、[Baseten](https://www.baseten.co/library/nemotron-3-5-content-safety/)、[Eigen AI](https://www.eigenai.com/blog/2026-06-04-eigenai-delivers-day-0-inference-nvidia-nemotron-3-x-family-ultra-asr-content-safety)、[DeepInfra](https://deepinfra.com/nvidia/Nemotron-Content-Safety-3.5)、[OpenRouter](https://openrouter.ai/nvidia/nemotron-3.5-content-safety:free)、[Vultr](https://blogs.vultr.com/nemotron-3-5-content-safety) などの推論プラットフォームを通じて、本モデルにもアクセスできます。 カスタムポリシーワークフローについては、NVIDIA は Claude および Codex と互換性のある [カスタムポリシー生成用のスキル](https://github.com/NVIDIA-NeMo/Nemotron/tree/main/skills/nemotron-policy-generator) を提供しており、さらに [本モデルの使用方法を示すクックブック](https://github.com/NVIDIA-NeMo/Nemotron/tree/main/usage-cookbook/Nemotron-3.5-Content-Safety) も用意されています。カスタムポリシーと推論トレースにより、チームは安全性の挙動をドメイン固有のルールに適応させつつ、意思決定の監査可能性を維持することができます。

Nemotron 3.5 のコンテンツ安全性に関する解説（9 分読了）

背景や根拠まで確認しますか？

調べる

選ぶ

サイト