香港中文大学／FaceMindチーム 投稿 Quantum Bit | 公式アカウント QbitAI
学習不要、重み不変、語彙表だけをいじって大規模言語モデルを「消毒」できる？
香港中文大学／FaceMindチームがそれを実現した。
ToxPruneという手法で、推論段階で有毒なサブワード（subword）をBPE語彙表から「根こそぎ削除」し、モデルが物理的に汚い言葉を発話できないようにする。
効果はどれほどか？ 汚い言葉を言うよう専門に訓練されたモデルNSFW-3Bにおいて、毒性スコアが0.89から0.13へ直降——ほぼ「口から火を吹く」モデルを一瞬でまともな人間に戻した。
さらに意外なことに、有毒語を削除した後、対話品質は低下せず向上した——BLEU、ROUGE、多様性指標が全面的に改善された。
（論文はACL 2026で発表。）
「汚い言葉モデル」の自己救済
まずこの論文が解決する問題を整理しよう。
ご存知の通り、大規模言語モデルの安全アライメント（RLHFなど）はコストが高く複雑で、個人開発者には手が出せない。より深刻なのは、オープンソースコミュニティに最初から「有毒な」モデルが存在することだ——例えばNSFW-3Bは、言えないコンテンツを生成するよう専門にファインチューニングされている。
こうした「学習済みの悪しきモデル」に対して、従来の安全分類器は無力だ——再生成させてもまた汚い言葉を吐き、無限ループに陥る。
どうするか？
ToxPruneの発想は「シンプルで荒っぽいが極めてエレガント」と言える：
- ステップ1：既存の有毒語彙表（254語の汚い言葉）を用意する；
- ステップ2：トークナイザーでこれらをサブワード（404個のsubword token）に分割する；
- ステップ3：モデルがテキスト生成時に、これらサブワードのサンプリング確率を0に設定する。
これだけで、モデルは各タイムステップで物理的に有毒トークンを選択不可能になる。
例を見れば一目瞭然——
入力：Wow, you need a hobby to get away, like jujitsu or running.NSFW-3B元の出力：My hobbies are f*cking boring. I’m not a f*cking fan of f*cking hobbies.（毒性スコア：0.7）ToxPrune適用後：My hobbies are reading mysteries, driving a truck, and raising children.（毒性スコア：0.0）
同一モデル、同一パラメータ、デコード時に有毒サブワードを剪枝しただけで、出力が「汚い言葉三連発」から「穏やかな日常」へ変わった。
削れば削るほど良い？ 意外な「多様性の副産物」
論文で最も驚きの発見は「消毒」そのものではなく、消毒がもたらした予期せぬ副産物だ。
有毒モデルNSFW-3B上で、剪枝率を25%から100%へ上げると：毒性は持続的に低下するが、BLEU-2/3/4、ROUGE、Distinct指標が全線上昇した。これは何を意味するか？ NSFW-3Bは元々正常な言語モデリング能力を持っていたが、確率分布が有毒語に「占拠」されていた。汚い言葉を削除すると、モデルは意味的に同等だが無毒な代替表現を探すよう強制され、結果として抑制されていた「良い言葉」が活性化されたのだ。
さらに面白いのは、元々無毒なLlama-3.1-6Bでも、ToxPruneが多様性を大幅に向上させること——Distinct-1が0.232から0.323へ、Distinct-2が0.719から0.804へ上昇。著者らは、特定の高頻度サブワードを遮断することで確率分布がより平坦になり、語彙多様性が促進されたと推測している。
人間評価でも同様の結論が得られた：適切性、情報量、エンゲージメント、人間らしさ等の次元でToxPruneが全面勝利し、流暢性と一貫性は完全に維持された。
△AI生成
手法はさらに進化可能
ToxPruneには二つのオプション強化モジュールがある。
一つは言い換えブラックリスト——LLMに有毒語の同義語を自動生成させ、剪枝カバレッジを拡大する。というのも254語の汚い言葉ではNSFW-3Bが生成する有毒語の72%しかカバーできず、漏れがあるためだ。
もう一つは切り捨てホワイトリスト——正常な単語と汚い言葉がサブワードを共有する場合（例：「assassin」に「ass」が含まれる）、ホワイトリストでこれら正常語を誤削除から保護する。
これはToxPruneが単一の固定手法ではなく、動的にカスタマイズ可能なフレームワークであることを意味する。ユーザーは自分のニーズに応じて有毒語彙表を随時更新でき、即席導入、ゼロ学習コストで運用できる。
GPTの生みの親Alec Radfordの新作との衝突：殊途同帰のAI安全哲学
興味深いことに、今年1月、GPTの生みの親Alec Radford（OpenAI元コア研究者、GPT/GPT-2/CLIP第一著者）とスタンフォードのNeil Rathiが共同で論文『Token-Level Data Filteringで能力を形作る』を発表し、同様にトークンレベルの安全介入に着目したが、アプローチは真逆だ。
Radfordチームの主張の核心は：モデルが危険知識を学んだ後に「封印」するのではなく、事前学習段階でトークンレベルのデータフィルタリングを行い、モデルが最初から危険知識を学ぶ機会を持たないようにすることだ。二つの戦略を提案——「損失マスク」（危険トークンは見えるがそこから学習しない）と「トークン除去」（危険トークンを特殊トークンで直接置換）。
結果も同様に衝撃的：18億パラメータモデルで、トークンレベルフィルタリングにより対象分野の学習効率が7000倍低下。より重要なのは、現状最強の機械的忘却アルゴリズムRMUと比較して、Radfordの手法が敵対的ファインチューニングに対して圧倒的な堅牢性を示したこと——攻撃者がRMUを破るのに必要なファインチューニングデータ量の13倍以上が必要だった。
この二つの論文を並べて見ると、非常に興味深い補完関係が見えてくる：
ToxPruneは「推論時に手術」——モデルは既に訓練済みで、出力端で有毒コンテンツを精密に遮断する。すでに悪しき言葉を覚えた人間にスマートマスクを装着し、汚い言葉を口元でフィルタリングするようなもの。利点はゼロコスト、即座に展開可能、動的更新可能。
RadfordのToken Filteringは「事前学習時に手術」——訓練データの源頭で危険知識を切除し、モデルの「脳」にそれら概念を最初から存在させない。幼少期から危険情報に触れさせないように育て、大人になれば自然と知らない状態にするようなもの。利点は根本的に能力を消去でき、敵対的耐性が極めて強い。
一つは対症療法、一つは根治療法；一つは既展開モデルの迅速な修復向け、一つは次世代モデルの安全アーキテクチャ向け；一つはリソース限られた個人開発者向け、一つはOpenAI、Anthropicのような最先端ラボ向け。
二つを組み合わせると、ちょうど纵深防御体系（多層防御システム）を構成する：事前学習層でRadfordの手法で安全な基盤を築き、推論層でToxPruneを最後の防衛線として配置する。
著者たちは何者か？
ToxPruneチーム：
第一著者Hongyuan Adam Lu（陸弘遠）、香港中文大学NLP博士（指導教員：林伟教授）、現FaceMind（顔譜心智）創業者兼CEO。ACL Anthologyで20編以上の論文を発表し、世界モデル、対話生成、機械翻訳、大規模言語モデル安全など複数分野を横断。NAACL、EMNLP、ACLの常連。以前提案したCoD（Chain-of-Dictionary）手法は、ChatGPTの低リソース言語翻訳で最大13倍のchrF++向上を達成し、大きな注目を集めた。
通信著者Wai Lam（林伟）、香港中文大学システム工学・工程管理学科教授、テキストマイニングと機械学習を数十年研究するNLP分野の重鎮、Google Scholar高被引用研究者、NLP・マルチモーダル・世界モデル方向の博士生を多数育成。
Token Filteringチーム：
Alec Radford、1993年生、米国AI研究者。テキサス州Olin College中退後Indicoを共同創業、2016年OpenAI入社、以降GPT（2018）、GPT-2（2019）、CLIP（2021）の第一著者、同時にGPT-3、GPT-4、Whisper、DALL-E、PPOアルゴリズムなど複数のマイルストーンプロジェクトに参画。現在引用数32万超。2024年末OpenAIを離れ独立研究者へ、2025年Mira Murati創業のThinking Machines Lab顧問就任。本年4月には1930年以前のデータのみで訓練したLLM「Talkie」を発表、2026年の世界を尋ねると「ロンドンとニューヨークの間に蒸気船が就航、所要十日」と答えた。
Neil Rathi、スタンフォード大学研究者、Anthropicと協力関係。本論文第一著者としてRadfordと共に、事前学習源頭から危険知識を切除する開創的仕事を完成させた。
その他のポイント
特筆すべきは、ToxPruneの見落とされがちな独自優位性：モデルファイルから有毒サブワードに対応する重みを物理的に削除できることだ。これにより攻撃者がモデルファイルを入手しプロンプトインジェクション攻撃を仕掛けても、削除されたトークンは重みレベルで存在しないため、モデルはそれらを出力できない。
ある意味、これはRadfordの「モデルに最初から学ばせない」哲学と殊途同帰——言いたくないのではなく、言えないのだ。
論文タイトル：Toxic Subword Pruning for Dialogue Response Generation on Large Language Models
論文URL：https://arxiv.org/abs/2410.04155
参考リンク：