Qwen3Guardとは？
Qwen3Guardは、AlibabaのQwenチームによるモデレーション用モデルの一群で、2025年9月にQwen3を土台として公開されました。2つの形があり、それぞれ0.6B、4B、8Bのサイズがあります。Qwen3Guard-Genはプロンプト全体、またはプロンプトと応答を読み、安全性のラベルとカテゴリーを書き出します。Qwen3Guard-Streamは分類用のヘッドを加え、メインのモデルが生成するそばからトークンごとにラベルを付けるので、危険な回答を途中で打ち切れます。
イエスかノーではなく、安全、議論あり、危険の3つのラベルのどれかを返します。議論ありは、害の有無が文脈に左右される内容です。厳格モードでは危険として、緩和モードでは安全として扱います。カテゴリーは、暴力的な内容、暴力を伴わない違法行為、性的な内容、個人情報、自殺と自傷、非倫理的な行為、政治的に敏感な話題、著作権侵害、そして入力のみが対象のジェイルブレイクです。応答のチェックでは、モデルが回答を拒否したかどうかも示します。
モデルはラベル付きのプロンプトと応答119万件（1.19 million）で学習され、119の言語と方言に対応します。重みはApache 2.0で、Hugging Faceではアクセス申請は不要です。8BのGenモデルの直近1か月のダウンロード数は110,997回 です。
Qwen3Guardの料金は？
| プラン | 価格 | 内容 |
|---|---|---|
| Qwen3Guard-Gen | Free | 0.6B、4B、8B。プロンプトか応答の全体 |
| Qwen3Guard-Stream | Free | 0.6B、4B、8B。トークンごと |
Apache 2.0の無料のオープンウェイトで、Hugging Faceではアクセス申請不要、0.6B、4B、8Bのサイズがあり、自前でホストします。Alibaba Cloudはこれを使ったホスト型のAI Guardrailsサービスも提供しています。
Qwen3Guardは使う価値があるか？
Qwen3Guardの強みは言語です。Qwenチームの技術報告では、8BのGenモデルは中国語のプロンプトのベンチマークで平均F1が85.1で、Llama Guard 4 12Bの44.1を上回り、多言語のRTP-LXでは85.0と、相手の41.7を上回ります。英語ではプロンプトで平均90.0、応答で83.9で、WildGuard 7Bの85.8と79.9を上回ります。ただし、Qwenの平均はベンチマークごとに厳格モードと緩和モードの良いほうを採っているので、多少有利に出ています。
実務で効いてくるのは3段階のラベルという設計です。子ども向けの学習アプリと大人向けの小説プラットフ ォームでは、同じ境界的な文章への判断が分かれます。Qwen3Guardなら同じモデルを共有し、議論ありをブロックするかどうかだけを変えればよいのです。
もう1つの注目点はStream版です。生成されるトークンを1つずつ採点し、報告によればGenモデルとの差はF1で約2ポイントです。危険な応答813件では、最初の危険な文を約86.0%の確率で正確に指摘し、推論の過程では約66.8%のケースで最初の128トークン以内に危険な内容を見つけました。代償は組み込みの手間です。Qwen3のトークンIDを読むので、他のモデル系統では出力をトークン化し直す必要があり、vLLMとSGLangでのStreamへの対応はまだ進行中です。
ドキュメントは粗い作りです。READMEの応答モデレーションの例はモデル名が間違っていて、未定義の変数を出力しています。ベンチマークの表はモデルカードに画像としてしかなく、GitHubのリポジトリは2025年10月から変わっていません。モデル自体はしっかりしているので、READMEより報告書を読むつもりでいてください。
真価を発揮する場面
アジアと中南米に利用者がいるメッセージアプリのトラスト・アンド・セーフティチーム
中国語、インドネシア語、スペイン語、ポルトガル語のユーザーのプロンプトとボットの返答をモデレーションする
Qwen3Guard-Gen-4BをvLLMでOpenAI互換のエンドポイントの裏に置き、すべての発言を通します。未成年のアカウントでは議論ありを危険として、それ以外では安全として扱います。
長い回答をストリーミングするQwen3ベースのアシスタントを運用するエンジニア
危険な回答を生成の途中で止める
生成されたトークンIDを1つずつTransformersでQwen3Guard-Streamに渡し、危険と判定されたトークンが出た時点でストリームを閉じます。回答全体を待ってから確認する必要はありません。
強化学習でモデルを訓練する研究者
一律の拒否を評価せずに、安全な回答を評価する
QwenがGen-4BでQwen3-4B-SafeRLを訓練したように、Genの安全性ラベルと拒否の項目を報酬の信号に使います。サイズを小さくすれば報酬モデルの実行コストが下がります。
導入前に確認すること
- 導入
- vllm serve Qwen/Qwen3Guard-Gen-4B --max-model-len 32768（vLLM 0.9.0+またはSGLang 0.4.6.post1+）を実行し、返答のSafetyとCategoriesの行を読み取ります。StreamにはTransformers 4.51+とtrust_remote_codeが必要です。
- 連携
- GenはTransformers、vLLM、SGLangで動き、OpenAI互換のエンドポイントを使えます。Alibaba Cloudのホスト型サービスAI Guardrailsはこれを基にしています。
- データとプライバシー
- 自前ホストなので、文章は自分のハードウェアに残ります。Apache 2.0で商用利用できます。
- 大規模利用時のコスト
- API料金はなく、自分のGPUの費用を払います。0.6Bが最も安く運用できます。Streamのコストは回答の長さにほぼ比例して増えますが、伸びていく回答をGenで繰り返し確かめるとずっと高くつきます。
- 制限
- コンテキスト長は、32,768トークンを使う運用例以外に記載がありません。StreamはQwen3のトークナイザーに縛られます。カテゴリーは固定です。
良い点
- 119の言語と方言。Qwenの報告では中国語と多言語で高い成績
- 安全、議論あり、危険のラベルに厳格と緩和の2モード
- Stream版は生成中にトークンごとにモデレーション
- Apache 2.0、アクセス申請不要、0.6Bから8Bまで
気になる点
- Qwenの平均はベンチマークごとに良いほうのモードを採用
- StreamはQwen3のトークンが必要で、vLLMとSGLangは未対応
- READMEの例に誤りがある
- カテゴリーは固定で、平易な言葉による独自ポリシーは使えない
おすすめの人
多くの言語でチャットやモデルの出力をモデレーションし、安全と危険の間に調整できる中間を持つオープンなモデルが欲しいチーム。
Qwen3Guardの代替
Qwen3Guard：よくある質問
- Qwen3Guardは使う価値があるか？
- 多言語のモデレーションでまず比較の基準になるオープンなガードモデルで、境界的なケースをめぐる議論を省ける「議論あり」のラベルと、書いている最中の回答を確かめるストリーミングモードを備えます。 評価は5点満点中4.3点です。
- Qwen3Guardの料金は？
- Apache 2.0の無料のオープンウェイトで、Hugging Faceではアクセス申請不要、0.6B、4B、8Bのサイズがあり、自前でホストします。Alibaba Cloudはこれを使ったホスト型のAI Guardrailsサービスも提供しています。
- Qwen3Guardの欠点は？
- Qwenの平均はベンチマークごとに良いほうのモードを採用; StreamはQwen3のトークンが必要で、vLLMとSGLangは未対応; READMEの例に誤りがある; カテゴリーは固定で、平易な言葉による独自ポリシーは使えない.
- Qwen3Guardは誰に向いているか？
- 多くの言語でチャットやモデルの出力をモデレーションし、安全と危険の間に調整できる中間を持つオープンなモデルが欲しいチーム。
- チームや本番環境でQwen3Guardを使うと費用はいくらか？
- API料金はなく、自分のGPUの費用を払います。0.6Bが最も安く運用できます。Streamのコストは回答の長さにほぼ比例して増えますが、伸びていく回答をGenで繰り返し確かめるとずっと高くつきます。
- Qwen3Guardは企業データを扱っても安全か？
- 自前ホストなので、文章は自分のハードウェアに残ります。Apache 2.0で商用利用できます。
- Qwen3Guardの代わりになるものは？
- 当サイトでレビューした中で最も近い代替はGranite Guardian 4.1 8B, Shieldstral 1.0 3B 、 gpt-oss-safeguardです。
回答確認日：2026年11月6日
Qwen3Guardの開発元の方へ：この評価をサイトに掲載できます
