세이프티를 '나중에 끼우는 레이어'로 설계하면 반드시 뚫리는 지점이 생긴다. 텍스트 채점과 이미지 채점이 분리되어 있으면, 그 두 가지가 조합될 때 비로소 드러나는 위반은 어느 쪽 레이어도 잡지 못한다. NVIDIA가 공개한 Nemotron 3.5 Content Safety는 그 구조적 허점을 정면으로 겨냥한 설계다.
모델은 Google Gemma 3 4B IT를 기반으로 LoRA 어댑터를 얹어 만들어졌다. 4B 파라미터, 8GB 이상 VRAM이면 실시간 배포가 가능한 크기다. 하지만 사이즈보다 주목할 건 입력 구조다. 유저 프롬프트, 이미지, 어시스턴트 응답 세 가지를 하나의 컨텍스트 윈도우로 받아 통합 판정을 낸다. 처방전 없이 약물 구매를 안내하는 응답과 약국 외관 이미지의 조합처럼, 텍스트와 이미지가 각각 무해하더라도 상호작용에서 위반이 생기는 케이스를 단일 패스에서 감지한다.
이번 릴리즈의 핵심 변화는 커스텀 정책 실행이다. 기존 세이프티 모델은 Aegis 2.0 같은 범용 분류 체계(13개 코어 카테고리 + 10개 서브카테고리)를 고정으로 적용했다. 소아 교육 앱의 비속어 기준, 금융 서비스의 내부 규제 카테고리, DevOps 도구에서 'terminate a process'가 Violence를 트리거하는 오탐 문제—이 모든 맥락은 단일 범용 분류 체계로는 담을 수 없다. Nemotron 3.5는 추론 시점에 자연어 정책 명세를 입력값으로 함께 받아, 모델이 그 정책을 해석하며 판정한다. 파인튜닝 없이 프롬프트 수준에서 카테고리를 억제하거나 조직 전용 카테고리를 추가할 수 있다.
Think 모드는 이 커스텀 정책 실행을 감사 가능하게 만드는 장치다. 판정 이유를 3문장 이내로 요약해 출력하는데, 단순히 CoT를 노출하는 것이 아니라 2단계 파이프라인을 거친다. Qwen 397B로 상세 추론 트레이스를 생성하고, Qwen 80B로 3문장 압축 요약을 만들어 출력 토큰을 줄인다. latency가 우선인 경우 Think 모드를 끄면 Nemotron 3과 동일한 저지연 이진 판정으로 돌아간다. 규제 산업에서 컴플라이언스 감사 로그가 필요한 케이스와 응답 속도가 우선인 케이스를 같은 모델로 커버한다.
언어 커버리지는 명시적 학습 12개 언어(한국어 포함)에 더해, Gemma 3 베이스 모델의 zero-shot 멀티링구얼 전이를 통해 약 140개 언어로 확장된다. 동남아시아어, 스칸디나비아어, 아프리카 소수 언어처럼 학습 데이터가 희박한 시장에서도 별도 파인튜닝 없이 배포할 수 있다는 의미다. 이번 릴리즈에 멀티모달·멀티링구얼 추론 트레이스를 포함한 Safety Dataset을 함께 공개한 것도 주목할 만하다. OSS 세이프티 모델 대부분이 멀티모달 데이터를 라이선스 제약으로 비공개 처리해온 관행에서 이탈해 벤치마크 재현 가능성을 열었다.