تُصدر IBM نماذج Granite المصممة لمقاومة حقن التعليمات

أصدر فريق Granite التابع لـ IBM نموذجين لغويين تجريبيين في 12 نوفمبر 2026، دُرِّبا على الفصل بين التعليمات الموثوقة والبيانات غير الموثوقة. وتفيد IBM بأن نسختَي المعاينة ذاتَي 3B و8B تفادتا هجمات أكثر بنسبة 47% مقارنةً بأفضل نموذج حدودي اختبرته على معيار OPI.

ضُبط النموذجان، Granite-4.1-3B-LLMON-preview وGranite-4.1-8B-LLMON-preview، ضبطًا دقيقًا انطلاقًا من نقاط تحقق أساسية لنموذج Granite 4.1، بدلًا من نماذج التعليمات التي طُرحت. ويحمل كلاهما ترخيص Apache 2.0، وهما مخصصان للاستكشاف والتقييم، لا للاستخدام الإنتاجي. ويستند هذا العمل إلى ورقة بحثية عن لغة LLMON، التي قُدِّمت للمرة الأولى في 23 مارس 2026.

تصبح التعليمات مراجع صريحة

LLMON، اختصارًا لـLLM Object Notation ويُنطق «ليمون»، هي لغة ترميز شبيهة بـXML لوصف بنية المطالبة للنموذج. وتُخصَّص كتل يمكن الإشارة إلى كل منها على حدة للتعليمات والمستندات وتعريفات الأدوات والمتطلبات والاستجابات. وتحدد كتلة التنفيذ التعليمة المطلوب تشغيلها، والمدخلات والمتطلبات المنطبقة، والموضع الذي ينبغي أن تذهب إليه الإجابة؛ أما المحتوى الذي لا يرتبط بها فيبقى ضمن السياق من دون أن تستدعيه تلك الكتلة.

يتمثل الهدف الأمني في التصدي لحقن التعليمات غير المباشر، حيث تُخفى تعليمة خبيثة داخل مستند مسترجع أو استجابة أداة أو بيانات يقدّمها المستخدم. وتُدرَّب النماذج على اعتبار التعليمات التي يُوصَل إليها عبر كتلة تنفيذ تعليمات موثوقة وواجبة الاتباع، في حين تقرأ المواد التي يُوصَل إليها بوصفها مدخلات ولا تطيعها. وتُحجز الرموز الخاصة المحددة للفواصل البنيوية، كما يُختار معرّف كل كتلة، المؤلف من حرفين، من مجموعة ثابتة من الرموز الأحادية؛ لذا يتطلب كل عنوان رمزين دائمًا.

لا يكتب المطورون عادةً تلك الشيفرة الترميزية بأنفسهم. ويمكنهم تسمية أجزاء من قائمة عادية messages واستدعاؤها apply_chat_template؛ ويعرض القالب المرفق LLMON مع الحفاظ على الأدوار المألوفة للنظام والمستخدم والمساعد. ويوفر مستودع LLMON المصاحب أدوات لتحويل JSON دون فقدان البيانات، وأدوات لعرض المحادثات، وأمثلة، فيما يعرض توضيح مرتبط بالانتباه بصريًا كيفية توزيع الانتباه على كتل التعليمات والمدخلات والكتل غير المرتبطة.

يستهدف التدريب الهجمات غير المباشرة

تصف ورقة بحثية عن التدريب اللاحق، قُدِّمت في 28 أكتوبر 2026، مجموعة بيانات منظَّمة تضم 4.6 مليار رمز، وتشمل بيانات عامة وبيانات للتوليد المعزز بالاسترجاع واستدعاء الأدوات. وتضيف أمثلة المُشتِّتات تعليمات متنافسة وبيانات غير ذات صلة تظل دون الإشارة إليها، بينما تبقى الاستجابة المستهدفة بلا تغيير. ويستخدم هذا النهج الضبط الدقيق الخاضع للإشراف والتعلم المعزز دون تعديل بنية النموذج.

ثم تستخدم وصفة التدريب خمس مراحل متتابعة من التعلم بالتعزيز، تغطي الاستدلال متعدد المجالات، والمواءمة مع التغذية الراجعة البشرية، ومعايرة المعرفة والرياضيات، تليها مرحلة تحسين التفضيلات المباشر على 1,000 زوج من التفضيلات، جرى توليدها من استجابات النموذج نفسه لمحاولات الحقن. وتنشأ قاعدة الامتيازات الناتجة عن هذا التخطيط المتعلَّم، لا عن حاجز وقائي مضاف.

يُدرج معيار OPI الحقن في بيانات مهام معالجة اللغة الطبيعية التقليدية. وتقيس IBM المتانة بطرح معدل نجاح الهجوم من واحد، أي نسبة الهجمات التي لا ينفذ فيها النموذج التعليمة المحقونة.

وتفيد ورقة التدريب اللاحق، على نحو منفصل، بأن معدلات نجاح الهجمات في تقييمات الحقن غير المباشر انخفضت من 53%–100% إلى 0.02%–5.6%، مع الحفاظ على القدرات العامة. وتتعلق مقارنات المعايير المعلنة بحالات الحقن غير المباشر الثابتة، لا بالهجمات التكيفية التي تتطور على امتداد عدة أدوار في المحادثة، والتي لا تزال مجالًا نشطًا للعمل.

نتائج القدرات العامة

توضح بطاقة النموذج 8B أن الهدف في المهام العامة هو تحقيق التكافؤ مع Granite 4.1 Instruct، لكن النتائج متفاوتة: إذ تبلغ نتيجة GPQA للنسخة التجريبية 35.05 مقابل 41.96 لنموذج التعليمات، ونتيجة DeepMind Math هي 70.86 مقابل 80.07، وBigCodeBench هي 44.04 مقابل 35.00، وMMLU هي 74.20 مقابل 73.84. ويضع هذا النمط الإصدار في إطار اختبار المطالبات المنظّمة ومقاومة الحقن، لا ترقية موحدة للقدرات.

يمكن أيضًا تكييف LLMON مع المفردات المتخصصة في مجالات بعينها. وتعرض IBM وسومًا مخصصة وضبطًا دقيقًا للمحوّلات استنادًا إلى مسارات مرجعية في ScienceWorld، حيث يؤدي النموذج المدرّب ألعابًا لم يسبق له الاطلاع عليها ويكتب الإجراء التالي باستخدام المفردات الجديدة. أما Mellea، وهي مكتبة أعلى مستوى، فتحوّل استدعاءات النموذج فيها تلقائيًا إلى LLMON، فلا يحتاج مستخدمو التطبيقات إلى رؤية لغة الترميز الأساسية.

يمنح هذا الإصدار المطورين وسيلة عملية لقياس سلوك الربط الصريح للتنفيذ في سير العمل المعتمد على الاسترجاع واستخدام الأدوات. أما في عمليات النشر الحساسة، فيبقى السؤال مفتوحًا حول ما إذا كانت قاعدة الامتيازات المتعلَّمة تصمد خارج نطاق الاختبارات المعلنة؛ وتحذر بطاقات النماذج من أنها ليست ضمانة مفروضة، وينبغي ألا تكون خط الدفاع الوحيد للوكيل.