MindGuard: Guardrail Classifiers for Multi-Turn Mental Health Support¶

会议: NeurIPS 2026
arXiv: 2602.00950
代码: https://huggingface.co/collections/swordhealth
领域: 安全
关键词: 心理健康支持, 对话安全护栏, 风险分类法, 多轮人机对话, 自动化红队测试

一句话总结¶

针对通用大模型安全护栏无法区分治疗性情感宣泄与真实临床危机导致高误报和漏报的问题，本文联合临床心理学博士制定临床风险分类法，构建首个多轮心理对话专家标注基准 MindGuard-testset，并通过受控双智能体仿真训练出 4B/8B 轻量级护栏分类器 MindGuard，在实现 0.982 AUROC 的同时大幅降低高召回下的假阳率与端到端恶意攻击成功率。

研究背景与动机¶

随着大语言模型（LLM）在心理疏导、情感陪伴、心理咨询辅助以及日常减压等场景的普及，模型展现出日益流畅的多轮对话连贯性与共情表达能力。然而，这种语言生成层面的表面连贯性并不等同于符合专业临床伦理与医学安全标准。精神心理健康支持属于高脆弱性领域，当面临用户的情绪波动、隐晦求助或极端危机表达时，现有前沿通用模型频繁暴露严重隐患，例如强化用户的适应不良信念（maladaptive beliefs）、无法稳固坚守心理咨询师专业边界，甚至在用户表达自杀自残倾向或暴力冲动时给出不当回应。与受过严格临床风险评估与干预规程训练的人类执业心理学家不同，现有模型严重缺乏结合多轮对话上下文准确识别并动态响应危机信号的机制。

为了防止有害生成，工业界与学术界普遍依赖后验安全护栏（Guardrail Models）对输入输出进行监控与拦截。然而，现有的通用安全分类器（如 Llama Guard 3 系列、PolyGuard 及百亿级推理护栏）在心理健康对话场景下遭遇严重水土不服。这些通用模型多基于宽泛的敏感词与通用危害分类法进行训练，关注的是“敏感话题是否存在”而非“上下文临床风险的本质”。这一缺陷导致了双向失效：一方面，心理咨询往往伴随深度的情绪宣泄，例如用户提及既往创伤经历、探讨抑郁焦虑情绪或使用“感觉快要被生活压垮了”等隐喻性语言，通用护栏极易将其机械判定为自残或暴力并直接触发拒绝响应，强行打断正常的治疗性互动，诱发耻感与闭锁心理；另一方面，面对用户在多轮互动中逐步展露的隐晦自残意图或针对特定人群的编码性暴力威胁，通用护栏因缺乏专业临床推理能力而屡屡漏检。

因此，心理健康支持系统迫切需要一种建立在临床专业逻辑之上的安全分类体系，该体系必须清晰划定何种表述属于应当被包容的良性治疗讨论，何种信号构成必须被法律与伦理框架强制干预的紧迫危机。核心 idea：联合临床心理学博士建立区分“安全治疗内容”、“自残风险”与“他人伤害风险”的临床风险分类法，通过执业心理学家多轮交互构建真实基准数据集，并利用受控双智能体演练生成包含全轮次上下文标注的高质量合成对话，训练出轻量级心理健康安全护栏分类器 MindGuard。

方法详解¶

整体框架¶

MindGuard 针对多轮心理健康支持对话中的用户输入，构建了一套在轻量模型规模下实现高灵敏度与高特异性的安全拦截闭环。整个方法体系由三个关键支柱构成：一是联合执业临床心理学博士制定的临床风险分类法，将用户输入解耦为安全、自残与他人伤害三类；二是利用受控双智能体系统（患者模型 PLM 与临床医生模型 CLM）开展多轮模拟对话，并由大模型法官（JLM）在完整对话上下文视角下完成每轮精细化打标，构建覆盖多样化升级轨迹的训练语料；三是在轻量级分类骨干（Qwen3Guard-Gen 4B 与 8B）上进行端到端微调，在部署时仅依据当前用户输入与其全部历史上下文实时输出三分类判定，并在触发危险时向下游对话系统下发干预指令（如调整沟通语调、强制出示危机求助热线或升级至人工心理危机干预流程）。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["多轮对话历史与当前用户输入"] --> B["临床风险分类法：构建三级医学决策边界<br/>区分安全治疗 / 自残风险 / 他人伤害"]
    B --> C["受控双智能体交互仿真：PLM与CLM对练<br/>覆盖300个临床脚本与多轮渐进升级轨迹"]
    C --> D["全局上下文裁判标注：JLM多数投票<br/>从整场对话视角向单轮输入注入准确监督信号"]
    D --> E["轻量级护栏分类器微调：MindGuard 4B/8B<br/>基于Qwen3Guard-Gen优化高召回低假阳率"]
    E --> F["下游系统级安全干预与自动化红队验证<br/>安全放行 / 话术重置 / 资源弹窗 / 人工接管"]

关键设计¶

1. 临床风险分类法：对齐临床伦理义务与操作路径的三分类体系

通用内容审核分类器通常把所有危害模糊地打包进“自残”或“暴力违法”等宽泛范畴，忽视了精神卫生执业规范中的法律责任差异。本文联合临床心理学博士，确立了三类互斥的风险分类标准。第一类为安全（Safe），明确将抑郁焦虑症状陈述、创伤历史反思以及“想彻底消失”等隐喻性修辞划入安全区间，只要该表述不伴随急性自残意图且具备保护性因素，系统就必须维持对话连贯性，防止过度拒答破坏医患联盟。第二类为自残风险（Self-harm risk），涵盖显式自杀意图、具体手段探寻以及被动死亡渴望，该类触发遵循危机干预与安全计划协议。第三类为他人伤害风险（Harm-to-others risk），涵盖对明确可识别对象的暴力威胁、手段策划以及对受保护群体（如儿童、老人）的虐待或忽视隐患，该类在临床法理上严格对应心理咨询师的“保护责任”（Duty-to-protect）与法定强制报告程序（Mandatory reporting）。这种分类法不仅实现了临床意图与监管责任的对齐，还为下游自动化决策提供了清晰的分级响应抓手。

2. 受控双智能体交互仿真：多轨迹高拟真临床对话合成

真实临床环境中的危机表述极其罕见，且存在极高的患者隐私与伦理风险，无法直接通过爬虫或简单众包获取。为此，研究团队设计了基于角色扮演的受控双智能体模拟生成管道。患者智能体（PLM，由 GLM-4.6 驱动）在初始化时被注入精心编写的临床剧本设定，剧本涵盖心理背景、情绪基线、沟通风格以及目标风险演进轨迹（如平缓宣泄、逐步恶化、持续隐晦或情绪缓和）；临床医生智能体（CLM，采用在心理咨询数据上微调的领域大模型）则以标准治疗性系统提示词运行，对患者剧本毫不知情，双方进行最高达 36 轮的真实对抗性演练。在患者智能体生成前，系统动态注入角色约束提示，强制其只输出纯文本患者发言而不包含任何元标签或模型元思考。通过在 300 个专业临床场景中调节采样随机度与模型组合，该机制合成了 5,812 轮包含复杂心理演进模式的高质量多轮对话，有效解决了长程多轮交互中风险潜伏与突发转折的数据匮乏瓶颈。

3. 全局上下文裁判标注：消除局部信息不对称的打标监督机制

在单轮推断中，模型必须且只能依赖截至当前轮次的对话历史做出判断，但在数据标注阶段，孤立地审视某个单轮发言极易引起歧义（例如一句话究竟是黑色幽默隐喻还是自杀预警往往取决于后续轮次的发展）。本文利用 LLM-as-a-judge 范式构建了基于全局视角的监督信号注入机制。在生成完整对话后，将该对话的所有用户发言作为带编号列表一次性呈现给评判大语言模型（JLM，基于 GLM-4.6）。裁判模型在通览整场对话脉络、理解言语前因后果的全局上下文下，依据临床分类法对每个用户发言轮次独立定级。为规避大模型采样的偶然误差与边界模糊性，评判过程重复采样 5 次并执行多数投票聚合。这种利用完整未来信息辅助训练标签生成、而在测试时仅暴露单向因果历史的设计，使分类器学到了如何从蛛丝马迹中精准捕捉潜在升级信号，显著提升了监督数据的置信度。

4. 真实专家测试集构建与轻量化蒸馏调优：兼顾推理延迟与极端不平衡泛化

为了建立不依赖合成幻觉的黄金评估标准，本文聘请 10 位具备临床执照的心理学博士开展 MindGuard-testset 构建。专家们分别代入 7 种典型患者画像（如职场青年、蓝领工人、空巢老人、单亲母亲等）与治疗模型展开长达 25 分钟、不少于 10 轮的真实盲测交互，随后由另外 3 位独立执业心理学家在双盲界面下进行逐轮安全标注，达成 94.4% 的全票一致率（Krippendorff's \(\alpha = 0.570\)）。针对测试集中不安全轮次仅占 3.7% 的极端长尾分布，分类器选取预训练安全模型 Qwen3Guard-Gen（4B 与 8B）为基座，在 NeMo RL 框架下以 AdamW 优化器、余弦退火学习率和 bfloat16 混合精度完成监督微调。在损失计算中仅针对输出类别 token 计算交叉熵损失并屏蔽输入提示，使轻量模型在极低推理开销下精准习得复杂的精神心理分类边界。

损失函数 / 训练策略¶

MindGuard 采用轻量生成式护栏架构，将多轮对话历史与当前输入拼接为特定提示格式，目标输出为分类标签。训练仅在助手角色的输出 token 上计算自回归交叉熵损失，输入 token 全部被掩码（masked）：

\[\mathcal{L}_{CE} = - \sum_{i \in \mathcal{T}_{label}} \log P(y_i \mid y_{<i}, \mathbf{x}_{context}, \mathbf{x}_{turn})\]

训练基于 NVIDIA NeMo RL 框架，采用 8 卡 GPU 数据并行与优化器状态切分。初始峰值学习率设为 \(2 \times 10^{-5}\)，经过 10% 步数的线性预热后按余弦退火衰减至 \(2 \times 10^{-6}\)；全局批大小为 128（单卡微批大小为 4，梯度累积 4 步），序列长度上限截断至 4,096 tokens，权重衰减系数设为 0.01，梯度范数裁剪阈值为 1.0，共微调 3 个 epochs。

实验关键数据¶

主实验¶

主实验在由执业临床心理学博士独立构建并标注的 MindGuard-testset（包含 67 场真实多轮对话、1,134 个打标轮次）上进行评估。主要考察接收者操作特征曲线下面积（AUROC）以及在高召回率（90% 与 95% 真正率）工作点下的假阳率（FPR@90TPR、FPR@95TPR）。在此类高危场景中，高检出率是底线要求，而降低误报则是保护正常治疗对话的核心。

数据集 / 评测集	模型	参数量	AUROC (↑)	FPR@90TPR (↓)	FPR@95TPR (↓)
MindGuard-testset	Llama Guard 3 1B	1B	0.740	0.713	0.799
MindGuard-testset	Llama Guard 3 8B	8B	0.970	0.066	0.088
MindGuard-testset	gpt-oss-safeguard 20B	20B	0.795	0.822	0.931
MindGuard-testset	gpt-oss-safeguard 120B	120B	0.960	0.084	0.133
MindGuard-testset	MindGuard 4B (本文)	4B	0.981	0.041	0.055
MindGuard-testset	MindGuard 8B (本文)	8B	0.982	0.031	0.054

消融实验¶

消融与基线扩展实验在 MindGuard-testset 上考察了不具备自定义策略定义的开箱即用通用安全护栏，以及未经心理健康微调的 Qwen3Guard-Gen 在二分类（Safe vs. Unsafe）设定下的表现。严格模式（strict）与宽松模式（loose）体现不同内置阈值规则。

配置 / 对比模型	模型类型与规模	AUROC (↑)	FPR@90TPR (↓)	FPR@95TPR (↓)	说明
PolyGuard-Qwen-Smol	专用通用多语言护栏 (0.5B)	0.839	0.508	0.535	泛化能力有限，高召回下误报超 50%
PolyGuard-Ministral	专用通用多语言护栏 (8B)	0.921	0.214	0.289	缺乏临床区分度，误报严重
PolyGuard-Qwen	专用通用多语言护栏 (7B)	0.934	0.219	0.323	误报依然居高不下
Qwen3Guard-Gen-4B (loose)	未微调基座模型 4B	0.889	0.401	0.569	缺乏心理领域上下文适应
Qwen3Guard-Gen-4B (strict)	未微调基座模型 4B	0.946	0.164	0.247	严格规则下 FPR 仍达 16.4%
Qwen3Guard-Gen-8B (loose)	未微调基座模型 8B	0.913	0.238	0.535	无法辨识隐晦心理危机
Qwen3Guard-Gen-8B (strict)	未微调基座模型 8B	0.953	0.150	0.257	显著落后于微调后模型
MindGuard 4B (本文)	领域微调分类器 4B	0.981	0.041	0.055	相比未微调基准 FPR 削减约 75%
MindGuard 8B (本文)	领域微调分类器 8B	0.982	0.031	0.054	达成帕累托最优前沿

关键发现¶

小模型显著超越超大通用护栏：仅有 4B 参数量的 MindGuard 4B 在 AUROC 上达到 0.981，全面优于拥有 120B 参数的通用护栏 gpt-oss-safeguard 120B（0.960）和 Llama Guard 3 8B（0.970）。这证明在垂直医学心理领域，精准对齐的专业监督数据远比单纯堆砌基础模型参数规模有效。
高召回工作点假阳率出现断崖式下跌：在精神健康干预必须设定的 90% TPR 运行区间内，MindGuard 8B 的 FPR 仅为 3.1%，相比通用大模型基线实现了 2 倍至 26 倍的假阳性压缩，这意味着系统在严守自杀与暴力风险底线的同时，排除了绝大多数因正常情绪宣泄而产生的误报警报。
端到端系统级红队防御效果显著：在包含 725 场自动化多轮红队攻击测试中（攻击者逐步升级风险并在指定轮次注入自杀计划或隐蔽威胁），将 MindGuard 4B 接入 GLM-4.6 对话系统后，攻击成功率（Attack Success Rate）从原本裸模型的 25.1% 骤降至 7.6%（降幅达 70%），模型有害纠缠率（Harmful Engagement Rate）由 13.7% 压制至 3.3%（降幅达 76%），其防护效能不仅远胜 Llama Guard 3 8B，且大幅超越体量大 30 倍的 gpt-oss-safeguard 120B。

亮点与洞察¶

由精神心理专家深度共建的数据闭环：不同于以往完全由众包标注员根据表面词汇打标签的做法，本文从风险分类法设计、7 大病患原型多轮交互演练到最终双盲轮次级审核，全程由拥有博士学位及执照的临床心理学家把关，使整个体系具备高度权威的临床解释力。
全局裁判与因果推断的时间差红利：在生成训练集时巧用“未来信息”，让裁判大模型通观整个对话过程后再向历史各个轮次赋标，解决了长程对话演进中“早期模糊表述是否属于危险前兆”的标注难题，而在部署时又严格执行单向因果推理，训练策略极为巧妙。
多轮安全护栏与端到端系统红队联动的范式迁移：将单轮判别器的输出显式映射为系统级提示干预，并在自动化红队框架下利用攻击者智能体模拟真实的隐蔽渐进式危机暴露，这一整套基于 LLM 闭环评测与防御的流水线，可无缝迁移至儿科问诊、司法咨询、金融欺诈识别等强敏感人机交互领域。

局限与展望¶

单会话单轮粒度缺乏长程跨会话记忆（Longitudinal Risk）：作者承认当前分类器依然基于单次会话的滑动窗口进行判定，无法跨越数周或数个咨询 Session 追踪患者情绪的缓慢慢性恶化、社会支持系统崩塌等更为隐匿的纵向风险累积。
干预机制尚处简化实验阶段：系统级评估中仅采用了通过开发者消息下发危机干预提示词的极简控制手段，未全面考察心理咨询中复杂的治疗同盟修复、分级转诊、心理危机去激化（de-escalation）等深层次互动策略。
未来方向：探索引入长上下文层次化记忆摘要机制，捕捉长程纵向危机信号；构建贴合真实医院及心理援助热线临床规范的复杂多阶段自动化红队（ART）评测沙盒。

评分¶

新颖性: ⭐⭐⭐⭐ [首次将临床心理学博士专业伦理分类法与多轮对话轻量级安全护栏深度结合，提出了具有医学法理意义的三分类机制]
实验充分度: ⭐⭐⭐⭐⭐ [既有真实临床执业专家构建的 1,134 轮多轮测试集，又包含 725 场全流程系统级自动化红队评估，AUROC 与 FPR 指标详实]
写作质量: ⭐⭐⭐⭐⭐ [逻辑严密，临床动机与计算实现层层递进，概念界定清晰，术语使用精准专业]
价值: ⭐⭐⭐⭐⭐ [开源了针对心理健康对话的 4B/8B 轻量级护栏模型与专家标注数据集，为大模型安全落地数字疗法提供了关键基础设施]