現在の言語モデルには2つの安全性課題がある。害が発生する前にリスクを早期に検出しなければならないこと、そして害が明示的な毒性テキストではなく暗黙的に現れる場合があることである。既存の応答レベルガードは完成したテキストの判定に優れており、ネイティブなストリーミングガードはよりトークン単位に近づいているが、どちらの設定でも、軽量な監視器が生成器自身の内部軌跡から暗黙的な有害な偏りを予測できるかどうかは未解決である。本研究では、予測的同一パス監視（same-pass monitoring）を研究する。これは、安全監視器が通常の復号中に生成される隠れ状態を読み取ることはできるが、ベースモデルに追加のフォワードパスを呼び出してはならないという設定である。
研究者らは、暗黙的な有害対話のための転移指向の隠れ状態手法であるAERICを提案する。AERICは、短期危険予測（short-horizon hazard forecasting）、サポート感応抑制（support-sensitive suppression）、およびプロンプト条件付き残差スコアリング（prompt-conditioned residual scoring）を組み合わせ、同一パスの指数移動平均決定ルールの下で動作する。デフォルトの線形監視器はわずか387の訓練可能なヘッドパラメータしか持たず、非常に軽量である。
実験では、AERICはバランスの取れたベンチマークにおいて既存手法を大幅に上回った。Qwen3GuardStream-4Bと比較して、AERICはDiaSafetyでAUROCを0.6830から0.7143に、Harmful Adviceで0.8219から0.8582に改善した。プロンプトレベルのトリガーベンチマークでは、ソース側の安全バジェットルールによってAERICのしきい値を調整し、セーフトリガー率を最大10%に制限しながらトリガーカバレッジを最大化する。このルールの下で、HarmBench DirectRequestでのtrigger@64は0.6438（Qwen）および0.4656（Gemma）、SocialHarmBenchでは0.6849（Qwen）および0.7363（Gemma）に達し、平均して23.53から41.86の回答トークンを差し控えた。
効率面では、HarmBench DirectRequestとSocialHarmBenchを統合した63の有害プロンプト固定生成ベンチマーク（Qwen3-8B使用）において、AERICは平均レイテンシをわずか2.34%増加させたのに対し、Qwen3Guard-Stream-4Bは79.40%増加させた。この結果は、AERICが高い検出性能を維持しながら、極めて低い計算オーバーヘッドでリアルタイムの安全監視を実現できることを示している。