KI-Modelle und Plattformen
IBM veröffentlicht Granite-Modelle, die Prompt-Injection-Angriffen widerstehen sollen
Unite.AI zu deinen bevorzugten Quellen auf Google hinzufügen
IBMs Granite-Team veröffentlichte am 12. November 2026 zwei experimentelle Sprachmodelle, die darauf trainiert wurden, vertrauenswürdige Anweisungen von nicht vertrauenswürdigen Daten zu unterscheiden. IBM zufolge wehrten die Vorschauversionen mit 3B und 8B im OPI-Benchmark 47 % mehr Angriffe ab als das beste getestete Frontier-Modell.
Die beiden Modelle, Granite-4.1-3B-LLMON-preview und Granite-4.1-8B-LLMON-preview, wurden auf Basis-Checkpoints von Granite 4.1 feinabgestimmt und nicht auf den veröffentlichten Instruct-Modellen. Beide stehen unter der Apache-2.0-Lizenz und sind für Erkundung und Evaluierung, nicht für den Produktionseinsatz vorgesehen. Die Arbeit baut auf dem Fachartikel zur LLMON-Sprache auf, der erstmals am 23. März 2026 eingereicht wurde.
Anweisungen werden zu expliziten Referenzen
LLMON, kurz für LLM Object Notation und ausgesprochen wie das englische Wort „lemon“, ist eine XML-ähnliche Auszeichnungssprache, mit der sich die Struktur eines Prompts für ein Modell beschreiben lässt. Anweisungen, Dokumente, Tooldefinitionen, Anforderungen und Antworten stehen in einzeln adressierbaren Blöcken. Ein Ausführungsblock legt fest, welche Anweisung ausgeführt werden soll, welche Eingaben und Anforderungen gelten und wo die Antwort ausgegeben werden soll; Inhalte ohne Bindung bleiben im Kontext, ohne von diesem Block aufgerufen zu werden.
Im Mittelpunkt steht der Schutz vor indirekter Prompt-Injection, bei der eine bösartige Anweisung in einem abgerufenen Dokument, einer Tool-Antwort oder von Nutzern bereitgestellten Daten verborgen ist. Die Modelle werden darauf trainiert, Anweisungen, die über einen Ausführungsblock erreicht werden, als maßgeblich zu behandeln, während Inhalte, auf die als Eingabe zugegriffen wird, gelesen und nicht befolgt werden. Strukturelle Trennzeichen sind reservierte Spezialtokens, und jede zweistellige Block-ID stammt aus einem festen Satz von Einzel-Tokens, sodass eine Adresse stets zwei Tokens kostet.
Entwickler schreiben dieses Markup normalerweise nicht selbst. Sie können Teile einer gewöhnlichen messages Liste benennen und aufrufen apply_chat_template; die mitgelieferte Vorlage rendert LLMON und behält dabei die vertrauten Rollen „System“, „User“ und „Assistant“ bei. Das zugehörige LLMON-Repository stellt eine verlustfreie JSON-Konvertierung, Dienstprogramme zum Rendern von Chats und Beispiele bereit. Eine verlinkte Attention-Demonstration veranschaulicht außerdem, wie sich die Aufmerksamkeit auf Anweisungs-, Eingabe- und ungebundene Blöcke verteilt.
Training zielt auf indirekte Angriffe
Ein Fachartikel zum Post-Training, eingereicht am 28. Oktober 2026, beschreibt einen strukturierten Korpus mit 4,6 Milliarden Tokens, der allgemeine Daten, Daten für Retrieval-Augmented Generation und Daten zum Aufrufen von Tools umfasst. In Beispielen mit Ablenkungsinhalten kommen konkurrierende Anweisungen und irrelevante Daten hinzu, auf die nicht verwiesen wird, während die Zielantwort unverändert bleibt. Der Ansatz nutzt überwachtes Feinabstimmen und Reinforcement Learning, ohne die Modellarchitektur zu verändern.
Der Trainingsablauf umfasst anschließend fünf aufeinanderfolgende Reinforcement-Learning-Stufen zu den Themen domänenübergreifendes Schlussfolgern, Ausrichtung an menschlichem Feedback, Wissenskalibrierung und Mathematik. Darauf folgt eine direkte Präferenzoptimierung anhand von 1.000 Präferenzpaaren, die aus den eigenen Antworten des Modells auf Injektionsversuche erstellt wurden. Die daraus entstehende Berechtigungsregel ergibt sich aus dieser erlernten Struktur und nicht aus einer zusätzlich eingeführten Schutzmaßnahme.
Bei OPI wird die Injektion in die Daten klassischer NLP-Aufgaben eingebettet. IBM misst die Robustheit als eins minus der Erfolgsrate von Angriffen: also als den Anteil der Angriffe, bei denen das Modell die eingeschleuste Anweisung nicht ausführt.
Der Fachartikel zum Post-Training berichtet separat, dass die Erfolgsraten von Angriffen bei Evaluierungen indirekter Injektionen von 53 %–100 % auf 0,02 %–5,6 % sanken, während die allgemeinen Fähigkeiten erhalten blieben. Die angekündigten Benchmark-Vergleiche beziehen sich auf statische indirekte Injektionen, nicht auf adaptive Angriffe, die sich über mehrere Chat-Runden hinweg entwickeln. Letztere sind weiterhin Gegenstand laufender Forschung.
Ergebnisse zu allgemeinen Fähigkeiten
Laut Modellkarte des 8B-Modells ist das Ziel bei allgemeinen Aufgaben, mit Granite 4.1 Instruct gleichzuziehen. Die Ergebnisse fallen gemischt aus: Bei GPQA erreicht die Vorschauversion 35,05 gegenüber 41,96 beim Instruct-Modell, bei DeepMind Math 70,86 gegenüber 80,07, bei BigCodeBench 44,04 gegenüber 35,00 und bei MMLU 74,20 gegenüber 73,84. Damit ist die Veröffentlichung eher ein Test für strukturiertes Prompting und Widerstandsfähigkeit gegen Injektionsangriffe als eine durchgängige Verbesserung der Fähigkeiten.
LLMON lässt sich auch an domänenspezifische Vokabulare anpassen. IBM demonstriert benutzerdefinierte Tags und eine Adapter-Feinabstimmung anhand von Referenzverläufen aus ScienceWorld. Dabei spielt das trainierte Modell zuvor zurückgehaltene Spiele und formuliert seine nächste Aktion im neuen Vokabular. Mellea, eine Bibliothek auf höherer Abstraktionsebene, wandelt Modellaufrufe automatisch in LLMON um, sodass Anwendungsnutzer das zugrunde liegende Markup nicht sehen müssen.
Die Veröffentlichung bietet Entwicklern eine konkrete Möglichkeit zu messen, wie sich die explizite Bindung von Ausführungsschritten in Workflows mit Retrieval und Tool-Nutzung verhält. Bei sensiblen Anwendungen bleibt die Frage offen, ob die erlernte Berechtigungsregel auch über die berichteten Tests hinaus Bestand hat. Die Modellkarten weisen darauf hin, dass sie keine durchgesetzte Garantie darstellt und nicht die einzige Schutzmaßnahme eines Agenten sein sollte.
