Introducing gpt-oss-safeguard
OpenAI & ROOST, 2025
Анонс, отчет, инструкция, веса

Некоторое время назад OpenAI выпустила в опен-сорс свои guardrail-модели (побольше и поменьше) под названием gpt-oss-safeguard, базирующиеся на gpt-oss-20B и 120B. В отличие от уже имеющихся цензоров вроде Llama Guard, ShieldGemma и недавнего Qwen3Guard, данные модели не только как Qwen3Guard поддерживают проверку на соответствие сразу нескольким политикам-категориям недопустимого контента (multi-policy), но и позволяют пользователю самому задавать политики прямо в промпте – хоть запрет на обсуждение арчлинукса, хоть недопустимость утверждения, что коты лучше собак.

Достигается это принципом обучения: OpenAI не раскрывают практически никаких деталей, но намекают, что на пост-трейнинге LLM с помощью RL учат не разрешать/запрещать промпты и ответы с конкретными рисками, а имитировать работу разметчика, который должен оценивать допустимость текстов по рубрикатору, в результате чего модель получает скорее навык как модерировать, нежели конкретные представления о рисках. Это дает пользователю гораздо больше свободы, но накладывает на него ответственность по созданию четкого и подробного руководства по модерации. OpenAI предоставляет подробную инструкцию по промптингу, в которой описывает, как именно писать политики (в частности, рекомендует все же использовать только одну категорию за раз и не писать больше 10000 токенов). В multi-policy-режиме модель гард побольше обгоняет (или равна в случае с ToxicChat) по качеству даже gpt-5. Сравнений с другими моделями-цензорами, к сожалению, нет, хотя OpenAI и признают, что на конкретных категориях специализированный классификатор, как правило, даст лучшее качество.

Основной минус, конечно, это использование reasoning-модели как базы – это практически исключает применение данных гардов в онлайн-режиме, что не мешает, разумеется, использовать их асинхронно, отправлять в них запросы на допроверку в случае сомнений у быстрого классификатора (так, кстати, делают и OpenAI со своим закрытым reasoning-гардом со скучным названием Safety Reasoner) или использовать его для условного threat-хантинга по историческим логам. Вторым нюансом является отсутствие каких-либо указаний на перформанс на разных языках (да и вообще отчет не радует подробностью), но особых причин не работать на, скажем, русскоязычных текстах, придумать не получается. В целом, при правильном применении, такая модель может стать хорошим и, главное, гибким дополнением к имеющимся инструментам безопасности.