Guardrails

Guardrails แปลตรงตัวว่า "ราวกั้น" คือกลไกความปลอดภัยที่วางคั่นระหว่างผู้ใช้กับ llm เปรียบเหมือนราวกันตกริมถนนภูเขา: มันไม่ได้ทำให้รถขับเก่งขึ้น แต่กันไม่ให้ตกเหวเวลาพลาด ในระบบ AI ราวกั้นนี้ทำงานสองทิศทาง คือตรวจข้อความขาเข้าจากผู้ใช้ก่อนส่งถึง model และตรวจคำตอบขาออกก่อนส่งกลับถึงผู้ใช้ งานที่ guardrails ทำได้ เช่น บล็อกเนื้อหารุนแรง ปิดกั้นหัวข้อที่องค์กรไม่อยากให้ระบบพูดถึง ปิดบังข้อมูลส่วนบุคคล (PII) และดักจับ hallucination ก่อนที่คำตอบมั่วจะไปถึงมือลูกค้า

เครื่องมือจริงในตลาดช่วยให้เห็นภาพชัดขึ้น ฝั่ง open source มี NeMo Guardrails ของ nvidia : toolkit ที่ให้นักพัฒนาเขียน "programmable guardrails" เป็นชั้นควบคุมคั่นระหว่างโค้ดแอปกับ LLM โดยแบ่ง rail เป็น 5 ประเภท ได้แก่ input rails (ปฏิเสธหรือแก้ข้อความผู้ใช้ เช่น mask ข้อมูลอ่อนไหว) · dialog rails (คุมทิศทางบทสนทนา) · retrieval rails (กรองข้อมูลที่ดึงมาในระบบ rag) · execution rails (คุมการเรียกใช้ action ภายนอก) · output rails (กรองคำตอบของโมเดลก่อนส่งออก) ทั้งหมดเขียนด้วยภาษา config ชื่อ Colang และมีกลไกตรวจจับ jailbreak กับป้องกัน prompt-injection ด้วย ส่วนฝั่งบริการคลาวด์ เช่น Amazon Bedrock Guardrails ให้ตั้งค่าสำเร็จรูปได้เลย: content filters กรองเนื้อหาอันตรายทั้งข้อความและภาพ รวมถึงกันการโจมตีแบบ prompt attack · denied topics กำหนดหัวข้อต้องห้ามของแอป · word filters บล็อกคำหยาบหรือแม้แต่ชื่อคู่แข่ง · sensitive information filters สำหรับบล็อกหรือ mask ข้อมูลส่วนบุคคล · และ contextual grounding checks ที่เช็กว่าคำตอบอิงกับแหล่งข้อมูลจริงหรือไม่ เพื่อจับ hallucination

คนทำงานยุค AI ควรรู้จักคำนี้เพราะมันเปลี่ยนวิธีตั้งคำถามในองค์กร เวลา chatbot ของบริษัทปฏิเสธไม่ตอบบางเรื่อง นั่นมักไม่ใช่ "โมเดลโง่" แต่เป็น guardrails ที่ทีมจงใจตั้งไว้ และสำหรับคนวางนโยบาย AI คำถามว่า "ปล่อยให้ระบบ AI คุยกับลูกค้าแล้วจะคุมยังไง" คำตอบส่วนใหญ่ไม่ได้อยู่ที่การเลือกโมเดล แต่อยู่ที่การออกแบบ guardrails รอบตัวมัน

ตัวอย่างจากบทสนทนาจริง

ฝ่ายการตลาด: ลองถามบอทหลังบ้านของเราว่าคู่แข่งตั้งราคาเท่าไหร่ มันไม่ยอมตอบ ทั้งที่ถาม ChatGPT ข้างนอกยังตอบเลย สรุปบอทเราด้อยกว่าหรือเปล่าคะ

ทีม AI: ไม่เกี่ยวกับความฉลาดของโมเดลครับ นั่นคือ guardrails ที่เราตั้งไว้เอง บอทตัวนี้ถูกกำหนด denied topics ไม่ให้พูดถึงคู่แข่งและเรื่องราคา เพื่อกันความเสี่ยงทางกฎหมาย ถ้าฝั่งธุรกิจอยากให้ตอบได้ เราปรับ config ของ guardrails ได้เลยโดยไม่ต้องเปลี่ยนโมเดล

ระวังสับสนกับ

• system-prompt : เป็นข้อความคำสั่งที่ "ขอ" ให้โมเดลทำตัวตามที่กำหนด ซึ่งโมเดลอาจถูกหลอกให้ฝ่าฝืนได้ ส่วน guardrails เป็นระบบกรองแยกต่างหากที่ทำงานนอกตัวโมเดล ต่อให้โมเดลถูกหลอกสำเร็จ คำตอบก็ยังถูกชั้นกรองนี้ดักไว้อีกชั้น
• alignment : คือการทำให้ตัวโมเดลเองมีพฤติกรรมปลอดภัยตั้งแต่ขั้นตอน training ฝังอยู่ในเนื้อโมเดล ส่วน guardrails เป็นเกราะภายนอกที่เพิ่มเข้ามาตอนใช้งานจริง องค์กรปรับแต่งเองได้โดยไม่ต้องแตะโมเดลเลย