記事一覧に戻る

過去2年間で、NVIDIAのコンテンツセーフティスタックは、英語テキスト分類器から、モダリティ、言語、推論モードの新しい領域にそれぞれ対応した専門モデルのファミリーへと成長しました。2026年3月にリリースされたNemotron 3 Content Safetyは、初めて4Bパラメータの単一モデルにマルチモーダルおよび多言語機能を統合しました。本日リリースされるNemotron 3.5 Content Safetyは、その発展を完成させるものです。マルチモーダル入力、多言語対応、カスタムエンタープライズポリシーの適用、および監査可能な推論を1回の推論呼び出しで統合する単一モデルです。

本記事では、3.5での変更点、各新機能の背景にある設計判断、および本モデルを本番環境のセーフティパイプラインに統合する方法について説明します。

Nemotron 3.5 Content Safetyの新機能

1. 統合マルチモーダル評価

Nemotron 3は画像理解を導入しました。Nemotron 3.5はマルチモーダル統合をさらに深化させています。本モデルは、ユーザープロンプト、オプションの画像、およびオプションのアシスタント応答を単一のコンテキストウィンドウとして受け取り、結合された入力に対して一貫したセーフティ判定を生成します。3つすべてを独立してスコアリングするのではなく、一緒に評価することで、マルチモーダルセーフティシナリオにおけるよく知られたギャップを解消します。テキストと画像の相互作用、またはリクエストと応答の間でしか現れないポリシー違反を、1回の処理で検出できるようになりました。

2. グローバル言語カバレッジ

Nemotron 3.5は、前モデルと同様に英語、フランス語、スペイン語、ドイツ語、中国語、日本語、韓国語、アラビア語、ヒンディー語、ロシア語、ポルトガル語、イタリア語の12言語に対する明示的なトレーニングカバレッジを維持しつつ、Gemma 3ベースモデルから約140言語にわたる強力なゼロショット汎化能力を引き継いでいます。これにより、トレーニングデータが少ない市場（東南アジア言語、スカンジナビア言語、リソースの少ないアフリカ言語など）への展開において、別途ファインチューニングを行うことなく、ベースモデルの多言語転移の恩恵を受けることができます。

3. カスタムポリシー適用

これはNemotron 3に対する3.5の最も重要なアーキテクチャ上の追加機能です。本番環境の展開では、単一の普遍的なセーフティ分類体系で運用されることは稀です。ヘルスケアプラットフォームは、金融サービスチャットボット、開発者向けIDE、または子供向け教育アプリとは異なるリスクプロファイルを持っています。Nemotron 3.5は、入力とともにカスタムポリシー仕様を受け入れます。本モデルは、組み込みの分類体系に完全に依存するのではなく、そのポリシーに基づいて判定を生成します。この機能は、Nemotron Content Safety Reasoning 4Bで初めて導入された機能を、マルチモーダル・多言語のフルセットに拡張したものです。

4. 推論トレース（THINKモード）

Nemotron 3.5のすべてのセーフティ判定は、オプションのthink modeを介して監査可能な推論トレースを伴うことができます。有効化すると、本モデルは最終的なsafe / unsafeラベルと、オプションで違反カテゴリを返す前に、ステップバイステップの推論を出力します。

<think>
The user prompt asks for guidance on acquiring a controlled substance without a prescription.
The assistant response provides specific sourcing steps and references an online marketplace.
This interaction violates the Criminal Planning/Confessions and Controlled Substances categories.
The image (a pharmacy exterior) provides locational context but does not alter the verdict.
</think>

User Safety: unsafe
Response Safety: unsafe
Safety Categories: Criminal Planning/Confessions, Controlled Substances

レイテンシが主な制約となる場合は、THINKモードを無効化して、Nemotron 3で利用可能な低レイテンシのバイナリ判定に戻すことができます。

5. セーフティデータセット

Nemotron 3.5では、セーフティデータセットを公開します。これは重要なマイルストーンです。なぜなら、ほとんどのOSSセーフティモデルは一般的にトレーニングセットや評価セットを提供しないためです。この問題は、画像や動画などのアーティファクトがライセンス条件の厳しいリソースから派生することが多いマルチモーダル領域で特に深刻です。Nemotron 3.5 Content Safety Datasetはマルチモーダルで多言語対応であり、本モデルのトレーニングに使用されたセーフティ推論トレースを含んでいます。これらの推論トレースは、Nemotron Content Safety Reasoning 4Bモデルと同様に、簡潔になるよう2ステップで生成されました。

モデルアーキテクチャ

Nemotron 3.5 Content Safetyは、Google Gemma 3 4B IT（4Bパラメータ）を基盤として構築されており、128Kのコンテキストウィンドウ、強力なビジョン言語推論、および幅広い多言語カバレッジを提供します。NVIDIAは、LoRAアダプタでこのベースをファインチューニングし、ターゲットを絞ったセーフティ分類動作を追加しながら、8GB以上のVRAMを搭載したGPUでのリアルタイム展開に十分なコンパクトさを維持しています。

推論インターフェースは3つの出力モードをサポートしています。

モード1 — 低レイテンシバイナリ判定:

User Safety: safe
Response Safety: unsafe

モード2 — カテゴリ付きバイナリ判定:

User Safety: safe
Response Safety: unsafe
Safety Categories: Violence, Criminal Planning/Confessions

モード3 — THINKモード（推論＋判定）:

<think>
[step-by-step reasoning trace]
</think>

User Safety: unsafe
Response Safety: unsafe
Safety Categories: [categories]

セーフティ分類体系は、Aegis 2.0フレームワークに従っています。MLCommonsセーフティ分類体系に整合した13のコアカテゴリに加え、10のきめ細かなサブカテゴリを含みます。この整合性により、Aegis分類体系データセットでベンチマークされた他のオープンおよびクローズドガードシステムと直接比較できます。

推論

推論はコンテンツセーフティ分類の強力な機能です。なぜなら、エンタープライズおよび規制された環境における本番AIシステムに必要な文脈、カスタマイズ、および説明責任を提供するからです。

カスタムおよび文脈に応じたポリシー適用を可能にする

推論により、コンテンツセーフティモデルは、推論時に自然言語で定義されたカスタムでドメイン固有のポリシーを動的に解釈し適用することができます。これは、本番環境の展開では単一の普遍的なセーフティ分類体系で運用されることが稀であるため必要です。金融サービスチャットボットは、冒涜に対する許容度が低い可能性のある子供向け教育アプリとは異なるリスクプロファイルを持っています。この機能は以下をサポートします。

  • カテゴリ抑制: DevOpsツールが「terminate a process」というフレーズを扱う場合に「violence」カテゴリのトリガーを防止するなど、関連性のないカテゴリを無効化。
  • カスタムカテゴリの注入: 組織の規制または製品ポリシーに固有の独自のリスクカテゴリを定義。

監査可能で文書化された正当性の提供

推論トレースは、最終的なsafeまたはunsafeの判定を下す前に、モデルのステップバイステップの論理を示します。この文書化された正当性は、いくつかの目的を果たします。

  • コンプライアンスおよび監査ログ: 規制産業では、コンテンツモデレーションの決定に対する文書化された正当性がしばしば必要とされます。
  • 人間によるレビュー: レビュアーは、体系的なモデルのエラーを特定するために、判定が下された理由を監査できます。
  • ポリシーの反復: トレースは、モデルがエッジケースをどのように解釈するかを明らかにし、チームがカスタムポリシー言語を反復的に洗練・改善することを可能にします。

レイテンシ

推論はレイテンシを増加させる可能性がありますが、Nemotronモデルは推論チェーンを簡潔な要約に凝縮することで出力トークンを制限し、効率を向上させています。これは前モデルNemotron-Content-Safety-Reasoning-4Bで行われたものと同様の2ステッププロセスで行われます。最初のステップでは、Qwen 397Bのようなより大きく強力なモデルを使用して、提供されたプロンプト、画像、および応答に基づいてchain-of-thought推論トレースを生成します。また、サンプルのground-truthラベルを提供し、推論トレースに誤分類が混入するのを防ぎます。ステップ2では、Qwen 80Bのような別の大規模モデルを使用して、これらの推論トレースをより簡潔にします。このモデルには、元のトレース（ステップ1）を3文以内に収まるように言い換えるよう具体的に指示します。我々の実験によると、生成される推論トレースのほとんどは3文以内です。

効率的な推論トレースの最適化により、低レイテンシのカスタムポリシー適用が可能になります。さらに、推論トレースは、専門のモデレーターモデルをトレーニングするための貴重なトレーニング信号として利用できます。開発者はデュアルモードの運用を選択でき、一般的なタスクでは推論を無効にして最小限のレイテンシを実現し、複雑なポリシーでは有効にすることができます。

トレーニングデータ

Nemotron 3.5を駆動するデータセットは、Nemotron 3に使用されたマルチモーダル・多言語ブレンドの進化形であり、推論およびカスタムポリシー機能向けの追加が含まれています。以下のデータソースを使用しました。

  • 多言語テキストセーフティデータ: Nemotron Safety Guard Dataset v3から、文化的にニュアンスのあるサブセットからサンプリングされ、セーフティカテゴリおよびsafe/unsafe分割にわたる比例表現を確保。
  • 人間が注釈付けしたマルチモーダルデータ: NVIDIAが英語で収集し、12言語に翻訳。重要な点として、トレーニング画像の99%は実写写真であり、合成生成ではありません。これは、マルチモーダルセーフティベンチマークの状況における既知の弱点を直接的に解消するものです。VLGuardやMM-SafetyBenchのような既存のデータセットは、生産コンテンツの文化的質感や敵対的複雑性に欠けるSDXL生成画像に大きく依存しています。これらの実写画像のすべてをライセンス制約により公開することはできませんでしたが、Wikimediaおよび合成生成からの画像のサブセットを公開することができます。
  • セーフなマルチモーダルデータ: Nemotron VLM Dataset v2から、スキャンされた文書、チャート、論文、および図表と関連するクエリをカバーし、モデルが良性のプロフェッショナルコンテンツを過剰にフラグ付けしないようにします。
  • 推論トレース: 大規模な教師モデル（Qwen 397BおよびQwen 80Bで短縮）によって生成されたchain-of-thought出力を基に、モデルに推論方法を教えるために使用。
  • トピック追従データ: CantTalkAboutThisデータセットから、さまざまなエンタープライズ展開シナリオ（ヘルスケア、金融、銀行、教育など）にわたるポリシー仕様/判定ペアで構成。
  • 合成データ: 総トレーニング量の約10%を占め、主にjailbreakパターンの多様化、レアなポリシー違反例の生成、およびマルチモーダルな敵対的ケースの生成に使用。

ベンチマーク

Nemotron 3.5 Content Safetyは、VLGuard、MM-SafetyBench、PolyGuard、RTP-LX、Aya Redteaming、XSafety、MultiJail、Aegis、Dynaguardrail、CoSAなどの多言語、マルチモーダル、およびカスタムポリシーセーフティベンチマークで評価されました。これらの評価は、グローバル言語、テキストおよび画像入力、およびドメイン固有のポリシーにわたって一貫したガードレールを、大きなレイテンシを追加することなく適用するという、エンタープライズセーフティの中核的な本番課題を反映しています。

Nemotron 3は、マルチモーダル有害コンテンツテストで平均84%の精度を達成し、LlamaGuard-4-12Bの約半分のレイテンシで強力なベースラインを設定しました。Nemotron 3.5は、このコンパクトな4B効率を維持しながら、カスタムポリシーサポートおよび推論トレースを追加しています。

多言語およびマルチモーダルセーフティベンチマークにおいて、Nemotron 3.5はコンパクトなフットプリントを維持しながら、強力な有害コンテンツ分類精度を提供します。これは、多くのセーフティモデルが英語優先、テキストのみ、または本番パイプラインで繰り返し実行するにはコストがかかりすぎるという理由で重要です。Nemotron 3.5は、多言語カバレッジ、マルチモーダル分類、カスタムポリシーサポート、および低レイテンシ展開を1つのモデルに統合するように設計されています。

figure1

図1. Nemotron 3.5 Content Safetyは、多言語およびマルチモーダルセーフティベンチマークにおいて強力な有害コンテンツ分類精度を提供し、評価されたベンチマークセット全体で平均約85%を達成しています。

言語レベルの結果は、グローバルエンタープライズAIにとって多言語セーフティが重要である理由を強調しています。Multilingual Aegisでは、Nemotron 3.5は12言語で平均96.5%の有害コンテンツ分類精度を達成しています。RTP-LXでは平均88.8%で、AegisとRTP-LXを合わせた平均は92.7%です。この一貫性により、チームは英語のみのモデレーションや地域ごとの別々のセーフティモデルに頼ることなく、顧客、従業員、およびパートナー向けのワークフロー全体に同じセーフティ姿勢を適用できます。

figure2 図2. Nemotron 3.5 Content Safetyは、Multilingual Aegis Cultural + Adapted（プロンプト分類）（harmful-f1）で12言語にわたって平均97%の有害コンテンツ分類精度を達成しています。

figure3 図3. Nemotron 3.5 Content Safetyは、RTPLX（プロンプト分類）（harmful-f1）で12言語にわたって平均89%の有害コンテンツ分類精度を達成しています。

精度だけでは本番環境のガードレールには不十分です。セーフティモデルは、コンテンツが処理、返却、または下流にルーティングされる前に実行できるほど効率的である必要があります。Nemotron 3.5 Content Safetyのコンパクトな4B設計は、繰り返されるセーフティチェックのコストとレイテンシを削減し、多言語およびマルチモーダルガードレールを現実世界のAIアプリケーションで実用的かつ実現可能なものにします。

レイテンシ

レイテンシプロファイルは、デフォルト（THINKなし）モードではNemotron 3から変更されていません。THINKモードはトレースの長さに比例して推論時間を追加しますが、このオーバーヘッドは予測可能であり、同期モデレーショーループとは別に予算化できます。たとえば、監査パイプラインの一部としてTHINKモードの評価を非同期で実行し、デフォルトモードでリアルタイムの決定を処理する、といった方法です。

figure4 図4. Nemotron 3.5 Content Safetyは、マルチモーダルベンチマークにおいて、代替のマルチモーダルセーフティモデルと比較して3倍低いエンドツーエンドレイテンシを達成しています。

別の推論セーフティモデルと比較して、本モデルは推論有効時に最大50%少ないトークンを生成し、コストとレイテンシの観点で効率的です。

ベンチマークギャップへの対応

マルチモーダルセーフティ研究における繰り返しのテーマは、既存の評価基盤のギャップです。Nemotron 3.5の開発も、幅広い文献で文書化されているのと同じギャップに直面しました。

  • テキストのみのカバレッジ: 最も広く引用されているセーフティベンチマーク（WildGuard、XSTest、HarmBench）はテキストのみです。マルチモーダル性能はテキストベンチマークの結果から推測できません。
  • 合成画像の品質: 存在するほとんどのマルチモーダルベンチマークは、実写写真ではなくAI生成画像（通常はSDXL）を使用しており、実際の生産コンテンツの難易度を過小評価しています。
  • 実写画像のライセンス: ストックフォトのライセンスはAIデータセットへの再配布を禁止しており、研究と生産条件の間の構造的なギャップを生み出しています。

NVIDIAのマルチモーダルトレーニングデータ（実写画像および文化的にニュアンスのある多言語プロンプトを含む）は、モデルトレーニングのためのこれらのギャップの一部を埋めるように設計されています。評価のためのベンチマークギャップは、幅広いセーフティ研究コミュニティにとって依然として未解決の問題です。

はじめに

Nemotron 3.5 Content Safetyは、研究および商用利用のためのNVIDIA Open Model Licenseの下で、Hugging Faceで利用可能であり、トレーニングデータセットも提供されています。transformers、vLLM、およびSGLangをサポートし、事前パッケージ化されたGPU最適化推論マイクロサービスを必要とするチーム向けに、build.nvidia.com上で本番グレードのNVIDIA NIMとして利用可能です。

開発者はまた、Baseten、Eigen AI、DeepInfra、OpenRouter、およびVultrを含む推論プラットフォームを通じてモデルにアクセスできます。

カスタムポリシーワークフロー向けに、NVIDIAはClaudeおよびCodex互換のカスタムポリシー生成用スキルと、モデルの使用方法を示すクックブックを提供しています。カスタムポリシーおよび推論トレースは、ドメイン固有のルールにセーフティ動作を適応させながら、決定を監査可能な状態に保つのに役立ちます。

}