IBM lanza modelos Granite diseñados para resistir la inyección de instrucciones en prompts

El equipo Granite de IBM lanzó dos modelos experimentales de lenguaje el 12 de noviembre de 2026, entrenados para separar las instrucciones confiables de los datos no confiables. IBM informa que las versiones preliminares de 3B y 8B evitaron un 47 % más de ataques que el mejor modelo de vanguardia que probó en la prueba de referencia OPI.

Los dos modelos, Granite-4.1-3B-LLMON-preview y Granite-4.1-8B-LLMON-preview, se ajustaron a partir de puntos de control base de Granite 4.1, en lugar de los modelos de instrucciones publicados. Ambos cuentan con una licencia Apache 2.0 y están destinados a la exploración y la evaluación, no a la producción. El trabajo se basa en el artículo sobre el lenguaje LLMON, presentado por primera vez el 23 de marzo de 2026.

Las instrucciones se convierten en referencias explícitas

LLMON, abreviatura de LLM Object Notation y pronunciado «lemon», es un lenguaje de marcado similar a XML que describe la estructura del prompt para un modelo. Las instrucciones, los documentos, las definiciones de herramientas, los requisitos y las respuestas se organizan en bloques direccionables de forma individual. Un bloque de ejecución identifica qué instrucción ejecutar, qué entradas y requisitos se aplican y dónde debe ir la respuesta; el contenido que queda sin vincular permanece en el contexto, pero ese bloque no lo invoca.

El objetivo de seguridad es la inyección indirecta de instrucciones en prompts, en la que una instrucción maliciosa se oculta dentro de un documento recuperado, la respuesta de una herramienta o datos proporcionados por el usuario. Los modelos se entrenan para tratar como autoritativas las instrucciones a las que se llega mediante un bloque de ejecución, mientras que el material al que se llega como entrada se lee, pero no se obedece. Los delimitadores estructurales son tokens especiales reservados, y cada ID de bloque de dos caracteres se elige de un conjunto fijo de tokens individuales, por lo que una dirección siempre cuesta dos tokens.

Por lo general, los desarrolladores no escriben ese marcado por sí mismos. Pueden nombrar partes de una messages lista y llamar apply_chat_template; la plantilla incluida genera LLMON y conserva los roles familiares de sistema, usuario y asistente. El repositorio de LLMON que acompaña al lanzamiento incluye conversión JSON sin pérdida de información, utilidades para representar conversaciones y ejemplos; además, una demostración de atención vinculada muestra cómo se distribuye la atención entre los bloques de instrucciones, de entrada y sin vincular.

El entrenamiento apunta a los ataques indirectos

Un artículo sobre el posentrenamiento, presentado el 28 de octubre de 2026, describe un corpus estructurado de 4.600 millones de tokens que abarca datos generales, de generación aumentada por recuperación y de uso de herramientas. Los ejemplos distractores incorporan instrucciones en conflicto y datos irrelevantes que quedan sin referencias, mientras la respuesta objetivo permanece sin cambios. El método emplea ajuste fino supervisado y aprendizaje por refuerzo sin modificar la arquitectura del modelo.

A continuación, la receta de entrenamiento emplea cinco etapas secuenciales de aprendizaje por refuerzo que abarcan el razonamiento multidominio, la alineación con comentarios humanos, la calibración del conocimiento y las matemáticas; después, aplica optimización directa de preferencias a 1.000 pares de preferencias generados a partir de las propias respuestas del modelo a intentos de inyección. La regla de privilegios resultante proviene de esta estructura aprendida, no de una barrera de seguridad añadida.

OPI introduce la inyección en los datos de tareas clásicas de procesamiento del lenguaje natural. IBM mide la robustez como uno menos la tasa de éxito de los ataques: la proporción de ataques en los que el modelo no ejecuta la instrucción inyectada.

El artículo sobre el posentrenamiento informa por separado que, en las evaluaciones de inyección indirecta, las tasas de éxito de los ataques bajan del 53 %–100 % al 0,02 %–5,6 %, a la vez que se mantienen las capacidades generales. Las comparaciones de referencia anunciadas se refieren a inyecciones indirectas estáticas, no a ataques adaptativos que evolucionan a lo largo de varios turnos de conversación, los cuales siguen siendo un área de trabajo activa.

Resultados en capacidades generales

La ficha del modelo 8B presenta la paridad con Granite 4.1 Instruct como objetivo para las tareas generales, y sus resultados son dispares: en GPQA, la versión preliminar obtiene 35,05 frente a 41,96 del modelo de instrucciones; en DeepMind Math, 70,86 frente a 80,07; en BigCodeBench, 44,04 frente a 35,00; y en MMLU, 74,20 frente a 73,84. Este patrón sitúa el lanzamiento como una prueba de la resistencia a la inyección y del uso de prompts estructurados, más que como una mejora uniforme de las capacidades.

LLMON también puede adaptarse a vocabularios específicos de cada ámbito. IBM demuestra el uso de etiquetas personalizadas y el ajuste fino de adaptadores con trayectorias de referencia de ScienceWorld; el modelo entrenado juega a juegos que no se utilizaron durante el entrenamiento y expresa su siguiente acción con el nuevo vocabulario. Mellea, una biblioteca de nivel superior, convierte automáticamente sus llamadas al modelo a LLMON, de modo que los usuarios de las aplicaciones no necesitan ver el marcado subyacente.

El lanzamiento ofrece a los desarrolladores una forma concreta de medir cómo se comporta la vinculación explícita de la ejecución en flujos de trabajo que usan recuperación y herramientas. Para los despliegues sensibles, queda por determinar si la regla de privilegios aprendida se mantiene más allá de las pruebas publicadas; las fichas de los modelos advierten que no es una garantía exigible y que no debe ser la única defensa de un agente.