Η IBM κυκλοφορεί μοντέλα Granite σχεδιασμένα να αντέχουν σε επιθέσεις έγχυσης προτροπών

Η ομάδα Granite της IBM κυκλοφόρησε δύο πειραματικά γλωσσικά μοντέλα στις 12 Νοεμβρίου 2026, εκπαιδευμένα να διαχωρίζουν τις αξιόπιστες οδηγίες από τα μη αξιόπιστα δεδομένα. Η IBM αναφέρει ότι οι εκδόσεις προεπισκόπησης 3B και 8B απέκρουσαν 47% περισσότερες επιθέσεις από το καλύτερο μοντέλο αιχμής που δοκίμασε στη δοκιμασία OPI.

Τα δύο μοντέλα, τα Granite-4.1-3B-LLMON-preview και Granite-4.1-8B-LLMON-preview, βελτιστοποιήθηκαν με πρόσθετη εκπαίδευση πάνω σε βασικά σημεία ελέγχου του Granite 4.1 και όχι στα μοντέλα οδηγιών που είχαν κυκλοφορήσει. Και τα δύο διατίθενται με άδεια Apache 2.0 και προορίζονται για διερεύνηση και αξιολόγηση, όχι για παραγωγική χρήση. Η εργασία βασίζεται στη δημοσίευση για τη γλώσσα LLMON, η οποία υποβλήθηκε για πρώτη φορά στις 23 Μαρτίου 2026.

Οι οδηγίες γίνονται ρητές αναφορές

Το LLMON, συντομογραφία του LLM Object Notation και προφέρεται «λέμον», είναι μια γλώσσα σήμανσης παρόμοια με την XML, η οποία περιγράφει τη δομή μιας προτροπής σε ένα μοντέλο. Οι οδηγίες, τα έγγραφα, οι ορισμοί εργαλείων, οι απαιτήσεις και οι απαντήσεις τοποθετούνται σε μπλοκ με διακριτές διευθύνσεις. Ένα μπλοκ εκτέλεσης προσδιορίζει ποια οδηγία πρέπει να εκτελεστεί, ποιες είσοδοι και απαιτήσεις ισχύουν και πού πρέπει να δοθεί η απάντηση· το περιεχόμενο που δεν έχει συσχετιστεί με κάποιο μπλοκ παραμένει στο πλαίσιο, χωρίς να καλείται από αυτό.

Στόχος ασφάλειας είναι η έμμεση έγχυση προτροπών, κατά την οποία μια κακόβουλη οδηγία κρύβεται μέσα σε ένα ανακτημένο έγγραφο, μια απάντηση εργαλείου ή δεδομένα που παρέχει ο χρήστης. Τα μοντέλα εκπαιδεύονται να αντιμετωπίζουν ως έγκυρες τις οδηγίες στις οποίες παραπέμπει ένα μπλοκ εκτέλεσης, ενώ το υλικό στο οποίο παραπέμπει μια είσοδος διαβάζεται, αλλά δεν υπακούεται. Τα δομικά διαχωριστικά είναι δεσμευμένα ειδικά διακριτικά, ενώ κάθε αναγνωριστικό μπλοκ δύο χαρακτήρων επιλέγεται από ένα σταθερό σύνολο διακριτικών ενός token, ώστε κάθε διεύθυνση να κοστίζει πάντα δύο tokens.

Οι προγραμματιστές συνήθως δεν γράφουν οι ίδιοι αυτή τη γλώσσα σήμανσης. Μπορούν να ονομάσουν μέρη μιας συνηθισμένης messages λίστας και να καλέσουν apply_chat_template· το συνοδευτικό πρότυπο αποδίδει το LLMON, διατηρώντας τους οικείους ρόλους συστήματος, χρήστη και βοηθού. Το συνοδευτικό αποθετήριο LLMON παρέχει μετατροπή JSON χωρίς απώλειες, εργαλεία απόδοσης συνομιλιών και παραδείγματα, ενώ μια συνδεδεμένη επίδειξη προσοχής οπτικοποιεί τον τρόπο με τον οποίο κατανέμεται η προσοχή ανάμεσα στα μπλοκ οδηγιών, εισόδου και μη συσχετισμένου περιεχομένου.

Η εκπαίδευση στοχεύει τις έμμεσες επιθέσεις

Μια δημοσίευση για τη μετεκπαίδευση, που υποβλήθηκε στις 28 Οκτωβρίου 2026, περιγράφει ένα δομημένο σώμα δεδομένων 4,6 δισεκατομμυρίων tokens, το οποίο καλύπτει γενικά δεδομένα, δεδομένα παραγωγής επαυξημένης ανάκτησης και δεδομένα κλήσης εργαλείων. Τα παραδείγματα περισπασμού προσθέτουν ανταγωνιστικές οδηγίες και άσχετα δεδομένα, στα οποία δεν γίνεται παραπομπή, ενώ η επιθυμητή απάντηση παραμένει αμετάβλητη. Η προσέγγιση χρησιμοποιεί εποπτευόμενη λεπτομερή ρύθμιση και ενισχυτική μάθηση, χωρίς να τροποποιεί την αρχιτεκτονική του μοντέλου.

Στη συνέχεια, η συνταγή εκπαίδευσης περιλαμβάνει πέντε διαδοχικά στάδια ενισχυτικής μάθησης, τα οποία καλύπτουν τη συλλογιστική σε πολλούς τομείς, την ευθυγράμμιση βάσει ανθρώπινης ανατροφοδότησης, τη βαθμονόμηση γνώσεων και τα μαθηματικά. Ακολουθεί βελτιστοποίηση άμεσων προτιμήσεων σε 1.000 ζεύγη προτιμήσεων, τα οποία δημιουργήθηκαν από τις ίδιες τις απαντήσεις του μοντέλου σε απόπειρες έγχυσης. Ο κανόνας προνομιακής μεταχείρισης που προκύπτει απορρέει από αυτή τη μαθημένη διάταξη και όχι από κάποιο πρόσθετο μέτρο προστασίας.

Το OPI ενσωματώνει την έγχυση στα δεδομένα κλασικών εργασιών επεξεργασίας φυσικής γλώσσας. Η IBM μετρά την ανθεκτικότητα ως ένα μείον το ποσοστό επιτυχίας των επιθέσεων: το μερίδιο των επιθέσεων κατά τις οποίες το μοντέλο δεν εκτελεί την οδηγία που έχει εισαχθεί.

Η δημοσίευση για τη μετεκπαίδευση αναφέρει ξεχωριστά ότι, στις αξιολογήσεις έμμεσης έγχυσης, τα ποσοστά επιτυχίας των επιθέσεων μειώθηκαν από 53%–100% σε 0,02%–5,6%, με διατήρηση των γενικών δυνατοτήτων. Οι συγκρίσεις επιδόσεων που ανακοινώθηκαν αφορούν στατικές έμμεσες εγχύσεις και όχι προσαρμοστικές επιθέσεις που εξελίσσονται σε πολλαπλές σειρές συνομιλίας, οι οποίες εξακολουθούν να αποτελούν ενεργό πεδίο έρευνας.

Αποτελέσματα γενικών δυνατοτήτων

Η κάρτα μοντέλου του 8B παρουσιάζει ως στόχο την ισοδυναμία με το Granite 4.1 Instruct στις γενικές εργασίες, αλλά τα αποτελέσματα είναι ανάμεικτα: στο GPQA η έκδοση προεπισκόπησης σημειώνει 35.05 έναντι 41.96 του μοντέλου οδηγιών, στο DeepMind Math 70.86 έναντι 80.07, στο BigCodeBench 44.04 έναντι 35.00 και στο MMLU 74.20 έναντι 73.84. Αυτή η εικόνα τοποθετεί την κυκλοφορία ως δοκιμή της δομημένης προτροπής και της ανθεκτικότητας στις εγχύσεις, όχι ως συνολική αναβάθμιση δυνατοτήτων.

Το LLMON μπορεί επίσης να προσαρμοστεί σε λεξιλόγια εξειδικευμένα για συγκεκριμένους τομείς. Η IBM παρουσιάζει προσαρμοσμένες ετικέτες και λεπτομερή ρύθμιση προσαρμογέα πάνω σε τροχιές αναφοράς του ScienceWorld, με το εκπαιδευμένο μοντέλο να παίζει παιχνίδια που δεν είχε συναντήσει κατά την εκπαίδευση και να γράφει την επόμενη ενέργειά του στο νέο λεξιλόγιο. Το Mellea, μια βιβλιοθήκη υψηλότερου επιπέδου, μετατρέπει αυτόματα τις κλήσεις του μοντέλου σε LLMON, ώστε οι χρήστες εφαρμογών να μη χρειάζεται να βλέπουν την υποκείμενη γλώσσα σήμανσης.

Η κυκλοφορία παρέχει στους προγραμματιστές έναν συγκεκριμένο τρόπο να μετρούν τη συμπεριφορά της ρητής σύνδεσης εκτέλεσης σε ροές εργασίας που χρησιμοποιούν ανάκτηση και εργαλεία. Για τις ευαίσθητες εφαρμογές, το ανοιχτό ερώτημα είναι αν ο μαθημένος κανόνας προνομιακής μεταχείρισης ισχύει πέρα από τις δοκιμές που αναφέρθηκαν· οι κάρτες των μοντέλων επισημαίνουν ότι δεν αποτελεί εγγύηση επιβολής και δεν πρέπει να είναι η μοναδική άμυνα ενός πράκτορα.