IBM lancerer Granite-modeller, der er designet til at modstå promptinjektion

IBMs Granite-team lancerede to eksperimentelle sprogmodeller den 12. november 2026, trænet til at skelne mellem betroede instruktioner og data, der ikke er betroede. IBM oplyser, at forhåndsvisningerne af modellerne med 3B og 8B parametre undgik 47 % flere angreb end den bedste frontiermodel, som virksomheden testede på OPI-benchmarken.

De to modeller, Granite-4.1-3B-LLMON-preview og Granite-4.1-8B-LLMON-preview, blev finjusteret med udgangspunkt i Granite 4.1-basismodellerne frem for de lancerede instruct-modeller. Begge er udgivet under Apache 2.0-licensen og er beregnet til udforskning og evaluering, ikke til produktion. Arbejdet bygger videre på artiklen om LLMON-sproget, der først blev indsendt den 23. marts 2026.

Instruktioner bliver til eksplicitte referencer

LLMON, en forkortelse for LLM Object Notation, der udtales »lemon«, er et XML-lignende opmærkningssprog til at beskrive promptens struktur for en model. Instruktioner, dokumenter, værktøjsdefinitioner, krav og svar placeres i blokke, der kan adresseres hver for sig. En udførelsesblok angiver, hvilken instruktion der skal køres, hvilke input og krav der gælder, og hvor svaret skal placeres; indhold, der ikke er bundet til blokken, forbliver i konteksten uden at blive kaldt af den.

Sikkerhedsmålet er indirekte promptinjektion, hvor en ondsindet instruktion skjules i et hentet dokument, et værktøjssvar eller data fra brugeren. Modellerne trænes til at behandle instruktioner, der nås via en udførelsesblok, som autoritative, mens materiale, der nås som input, læses i stedet for at blive fulgt. Strukturelle skilletegn er reserverede specialtokens, og hvert to tegn langt blok-id vælges fra et fast sæt af enkelttokens, så en adresse altid koster to tokens.

Udviklere skriver normalt ikke selv den opmærkning. De kan navngive dele af en almindelig messages liste og kalde apply_chat_template; den medfølgende skabelon genererer LLMON og bevarer de velkendte roller for system, bruger og assistent. Det tilhørende LLMON-arkiv indeholder tabsfri JSON-konvertering, værktøjer til gengivelse af chats og eksempler, mens en tilknyttet opmærksomhedsdemonstration visualiserer, hvordan opmærksomheden fordeles på instruktions-, input- og ubundne blokke.

Træningen retter sig mod indirekte angreb

En artikel om eftertræning, indsendt den 28. oktober 2026, beskriver et struktureret korpus på 4,6 milliarder tokens, der omfatter data til generelle formål, retrieval-augmented generation og værktøjskald. Eksempler med afledningsdata tilføjer konkurrerende instruktioner og irrelevante data, som forbliver uden referencer, mens målsvaret ikke ændres. Metoden bruger superviseret finjustering og forstærkningslæring uden at ændre modelarkitekturen.

Træningsopskriften bruger derefter fem sekventielle faser med forstærkningslæring, der dækker ræsonnement på tværs af flere domæner, tilpasning efter menneskelig feedback, kalibrering af viden og matematik, efterfulgt af direkte præferenceoptimering på 1.000 præferencepar, der er genereret ud fra modellens egne svar på forsøg på injektion. Den resulterende privilegieregel stammer fra dette indlærte layout og ikke fra en tilføjet sikkerhedsforanstaltning.

OPI placerer injektionen i dataene fra klassiske NLP-opgaver. IBM måler robusthed som én minus angrebenes succesrate: andelen af angreb, hvor modellen ikke udfører den injicerede instruktion.

Artiklen om eftertræning rapporterer særskilt, at succesraterne for angreb i evalueringer af indirekte injektion falder fra 53 %–100 % til 0,02 %–5,6 %, samtidig med at de generelle evner bevares. De annoncerede sammenligninger af benchmarkresultater vedrører statiske indirekte injektioner, ikke adaptive angreb, der udvikler sig over flere chatbeskeder, og som fortsat er et aktivt forskningsområde.

Resultater for generelle evner

Modelkortet for 8B-modellen angiver, at målet for generelle opgaver er at matche Granite 4.1 Instruct, og resultaterne er blandede: GPQA-resultatet er 35,05 for forhåndsvisningen mod 41,96 for instruct-modellen, DeepMind Math-resultatet er 70,86 mod 80,07, BigCodeBench-resultatet er 44,04 mod 35,00, og MMLU-resultatet er 74,20 mod 73,84. Det mønster placerer lanceringen som en afprøvning af struktureret prompting og modstandsdygtighed over for injektion snarere end som en generel forbedring af modellens evner.

LLMON kan også tilpasses fagspecifikke ordforråd. IBM demonstrerer brugerdefinerede tags og adapterfinjustering på referencetransskripter fra ScienceWorld, hvor den trænede model spiller spil, den ikke har set under træningen, og skriver sin næste handling med det nye ordforråd. Mellea, et bibliotek på højere niveau, konverterer automatisk sine modelkald til LLMON, så brugere af applikationer ikke behøver at se den underliggende opmærkning.

Lanceringen giver udviklere en konkret måde at måle, hvordan eksplicit binding af udførelse fungerer i arbejdsgange med informationssøgning og værktøjer. For følsomme anvendelser er det stadig et åbent spørgsmål, om den indlærte privilegierregel holder uden for de rapporterede tests; modelkortene advarer om, at reglen ikke er en håndhævet garanti og ikke bør være en agents eneste forsvar.