guardrails

Guardrails to warstwa kontroli wokół modelu językowego, która sprawdza pytania trafiające do modelu i odpowiedzi, które z niego wychodzą, oraz ogranicza, o czym i w jaki sposób aplikacja może rozmawiać. Autorzy zestawu NeMo Guardrails opisują je jako określony sposób kontrolowania wyjścia modelu, na przykład unikanie tematów uznanych za szkodliwe albo trzymanie się ustalonej ścieżki dialogu ^[2]. W polskich tekstach nazwa zostaje po angielsku albo jest spolszczana na „guardraile”; NASK opisuje ten sam mechanizm jako model, który działa jako filtr i sprawdza, co mówi duży model językowy ^[5]. Guardrails zmniejszają ryzyko, ale nie zastępują kontroli uprawnień w kodzie aplikacji ^[1].

Jak działa

Guardrails działają obok modelu, a nie w nim. Twórcy NeMo Guardrails odróżniają zabezpieczenia wbudowane w model na etapie treningu, na przykład przez dopasowanie (alignment), od szyn programowalnych dodawanych w czasie działania aplikacji ^[2]. Te drugie są definiowane przez twórcę aplikacji, niezależne od użytego modelu i czytelne dla człowieka ^[2].

Najczęstszy układ to dwa punkty kontroli: przed modelem i za nim. Llama Guard, model opisany w pracy z grudnia 2023 roku, klasyfikuje zarówno prompty użytkownika, jak i odpowiedzi modelu według taksonomii ryzyk bezpieczeństwa ^[3]. To model Llama2-7b dostrojony na zebranym zbiorze danych; jego kategorie można dopasować do konkretnego zastosowania ^[3]. Układ pokazuje schemat poniżej.

RYS. 1Guardrails przed modelem i za nim

Filtr jest zwykle klasyfikatorem, który zwraca decyzję „przepuść” albo „zablokuj” z określoną pewnością. Security Bez Tabu zwraca uwagę, że gdy różnica między tymi ocenami jest niewielka, guardrail znajduje się blisko granicy decyzyjnej, a drobna zmiana promptu może odwrócić wynik ^[7].

Rodzaje

Guardrails różnią się miejscem kontroli i tym, co sprawdzają.

Filtrem mogą być reguły, na przykład listy słów i wyrażenia regularne, osobny model klasyfikujący albo kolejny duży model w roli oceniającego. NASK w lipcu 2025 roku przedstawił PL-Guard: polski zbiór testowy i model HerBERT-PL-Guard zbudowany na architekturze BERT, przeznaczony do wykrywania szkodliwych treści po polsku, w tym mowy nienawiści, dezinformacji i niebezpiecznych porad ^[5]. Według NASK wyspecjalizowane, dostrojone modele BERT wypadły w badaniu lepiej od znacznie większych systemów uniwersalnych ^[5].

W WordPressie

Na stronach WordPress modele językowe pracują we wtyczkach czatu, asystentach redakcyjnych i agentach obsługujących panel. Guardrails w takich wtyczkach to najczęściej filtr moderacji dostawcy modelu albo instrukcja w prompcie systemowym, która każe odmawiać określonych tematów. Ta druga forma jest najsłabsza. OWASP zaznacza, że prompt systemowy nie powinien być traktowany jako tajemnica ani jako mechanizm bezpieczeństwa, a ujawnienie kryteriów filtrowania ułatwia ich obejście ^[1]. Problem opisuje hasło system prompt leakage.

Twarda granica leży w kodzie. Abilities API, wprowadzone w WordPressie 6.9, rejestruje funkcje wtyczek, motywów i rdzenia w formie czytelnej dla agentów AI ^[8]. Każda zdolność ma permission_callback, który sprawdza uprawnienia użytkownika przed wykonaniem, a zdolność nie trafia do REST API, dopóki programista nie ustawi meta.show_in_rest na true ^[8]. Taki warunek działa niezależnie od tego, co model „postanowi”, i odpowiada klasycznej weryfikacji uprawnień we wtyczce.

// ilustracja: zdolność dostępna tylko dla redaktorów i wyżej
'permission_callback' => function () {
    return current_user_can( 'edit_others_posts' );
},

Ograniczenia

Guardrails da się obejść. Hackett i współautorzy przetestowali w 2025 roku sześć systemów wykrywania prompt injection i jailbreaku, w tym Azure Prompt Shield firmy Microsoft i Prompt Guard firmy Meta ^[4]. Wstrzykiwanie znaków oraz techniki kontradyktoryjnego uczenia maszynowego pozwalały ominąć wykrywanie przy zachowaniu działania ataku, w niektórych przypadkach ze skutecznością do 100% ^[4]. Autorzy pokazali też, że atakujący może zwiększyć skuteczność wobec systemu typu czarna skrzynka, korzystając z rankingu ważności słów policzonego na własnym, lokalnym modelu ^[4].

Drugim ograniczeniem są pomyłki w drugą stronę. Filtr ustawiony zbyt ostro odrzuca zwykłe pytania, co przypomina fałszywy alarm (false positive) w systemach wykrywania włamań. Filtr ustawiony łagodnie przepuszcza więcej ataków. Trzecim ograniczeniem jest zmiana warunków. NIST zaleca regularny przegląd guardrails bezpieczeństwa, zwłaszcza gdy system generatywny działa w nowych okolicznościach, łącznie z ponowną oceną powodów, dla których uznano go za bezpieczny do wdrożenia ^[6].

Dobre praktyki

• Warstwy zamiast jednego filtra. Security Bez Tabu zaleca wielowarstwową walidację zamiast pojedynczego klasyfikatora, monitorowanie decyzji o niskiej pewności i regularne testy typu AI red teaming ^[7].
• Kontrola poza modelem. OWASP zaleca, by rozdzielenie uprawnień i autoryzacja działały deterministycznie poza modelem i nigdy nie były mu delegowane ^[1]. To zastosowanie zasady najmniejszych uprawnień.
• Brak sekretów w prompcie. Klucze API i dane dostępowe należy trzymać poza instrukcjami, do których model ma dostęp ^[1]; ich miejsce opisuje zarządzanie sekretami.
• Filtr wyjścia dla danych. Klasyfikacja odpowiedzi, a nie tylko pytań ^[3], pozwala zatrzymać ujawnienie informacji wrażliwych (sensitive information disclosure), zanim odpowiedź dotrze do użytkownika.
• Wąski zakres narzędzi. Guardrail nie powstrzyma agenta, który ma zbyt szerokie możliwości działania; ten problem opisuje hasło excessive agency.

Historia i przykłady

NeMo Guardrails. Zestaw NeMo Guardrails, opisany w pracy zgłoszonej 16 października 2023 roku, jest otwartym narzędziem do dodawania programowalnych szyn do systemów konwersacyjnych opartych na modelach językowych ^[2].

Llama Guard. Praca o Llama Guard została zgłoszona 7 grudnia 2023 roku; autorzy udostępnili wagi modelu i zachęcili badaczy do jego dalszego rozwijania ^[3].

PL-Guard. NASK opublikował informację o PL-Guard 3 lipca 2025 roku; według instytutu HerBERT-PL-Guard osiągnął najwyższą odporność w testach na celowo zmodyfikowane dane wejściowe ^[5].