IBM julkaisee prompt-injektioita vastustamaan suunniteltuja Granite-malleja

IBM:n Granite-tiimi julkisti kaksi kokeellista kielimallia 12. marraskuuta 2026. Mallit on koulutettu erottamaan luotetut ohjeet epäluotetusta datasta. IBM:n mukaan 3B- ja 8B-esiversiot torjuivat 47 % enemmän hyökkäyksiä kuin paras yhtiön testaama huippumalli OPI-vertailutestissä.

Molemmat mallit, Granite-4.1-3B-LLMON-preview ja Granite-4.1-8B-LLMON-preview, hienosäädettiin Granite 4.1:n perusmallien tarkistuspisteistä eikä julkaistuista ohjeistetuista malleista. Molemmat ovat Apache 2.0 -lisenssin alaisia, ja ne on tarkoitettu kokeiluun ja arviointiin, ei tuotantokäyttöön. Työ perustuu LLMON-kielijulkaisuun, joka toimitettiin ensimmäisen kerran 23. maaliskuuta 2026.

Ohjeista tulee eksplisiittisiä viittauksia

LLMON, lyhenne sanoista LLM Object Notation ja ääntämisasultaan ”lemon”, on XML:n kaltainen merkintäkieli, jolla kuvataan mallille kehotteen rakenne. Ohjeet, asiakirjat, työkalumäärittelyt, vaatimukset ja vastaukset sijoitetaan erikseen osoitettaviin lohkoihin. Suorituslohko määrittää, mikä ohje suoritetaan, mitä syötteitä ja vaatimuksia sovelletaan ja mihin vastaus sijoitetaan; sitomatta jätetty sisältö pysyy kontekstissa ilman, että kyseinen lohko kutsuu sitä.

Tietoturvatavoitteena on torjua epäsuoraa prompt-injektiota, jossa haitallinen ohje piilotetaan haettuun asiakirjaan, työkalun vastaukseen tai käyttäjän toimittamaan dataan. Mallit koulutetaan käsittelemään suorituslohkon kautta saavutettuja ohjeita auktoritatiivisina, kun taas syötteenä saavutettu aineisto luetaan eikä sitä totella. Rakenteelliset erottimet ovat varattuja erikoistokeneita, ja jokainen kaksimerkkinen lohkotunniste valitaan kiinteästä yhden tokenin joukosta, joten osoite vie aina kaksi tokenia.

Kehittäjät eivät tavallisesti kirjoita kyseistä merkintäkieltä itse. He voivat nimetä tavallisen messages luettelon osia ja kutsua apply_chat_template; mukana toimitettava mallipohja tuottaa LLMON-esityksen säilyttäen tutut järjestelmän, käyttäjän ja avustajan roolit. Mukana tuleva LLMON-tietovarasto sisältää häviöttömän JSON-muunnoksen, keskustelujen renderöintityökaluja ja esimerkkejä. Linkitetty huomion havainnollistus näyttää, miten huomio jakautuu ohje-, syöte- ja sitomattomien lohkojen kesken.

Koulutus kohdistuu epäsuoriin hyökkäyksiin

Jälkikoulutusta käsittelevässä julkaisussa, joka toimitettiin 28. lokakuuta 2026, kuvataan 4,6 miljardin tokenin rakenteinen korpus, joka sisältää yleistä dataa sekä hakutehostetun generoinnin ja työkalukutsujen dataa. Harhautus-esimerkeissä lisätään kilpailevia ohjeita ja epäolennaista dataa, joihin ei viitata, mutta tavoitevastaus pysyy ennallaan. Menetelmässä käytetään ohjattua hienosäätöä ja vahvistusoppimista muuttamatta mallin arkkitehtuuria.

Koulutusmenetelmässä käytetään sen jälkeen viittä peräkkäistä vahvistusoppimisen vaihetta, jotka kattavat monialueisen päättelyn, ihmispalautteeseen perustuvan linjauksen, tiedon kalibroinnin ja matematiikan. Niitä seuraa suora preferenssioptimointi 1 000 preferenssiparilla, jotka on muodostettu mallin omista vastauksista injektioyrityksiin. Tästä opitusta rakenteesta, ei erikseen lisätystä suojamekanismista, seuraa etuoikeussääntö.

OPI sijoittaa injektion klassisten luonnollisen kielen käsittelyn tehtävien dataan. IBM mittaa kestävyyttä kaavalla yksi miinus hyökkäysten onnistumisaste: osuutena hyökkäyksistä, joissa malli ei toteuta injektoitua ohjetta.

Jälkikoulutusta käsittelevässä julkaisussa raportoidaan erikseen, että epäsuoran injektion arvioinneissa hyökkäysten onnistumisaste laski 53–100 prosentista 0,02–5,6 prosenttiin samalla, kun yleiset kyvykkyydet säilyivät. Julkistetut vertailutulokset koskevat staattisia epäsuoria injektioita, eivät mukautuvia hyökkäyksiä, jotka kehittyvät useiden keskusteluvuorojen aikana ja joiden tutkimus on edelleen aktiivista.

Tulokset yleisissä kyvykkyyksissä

8B-mallin mallikortissa Granite 4.1 Instructin tasoista suoriutumista pidetään yleisten tehtävien tavoitteena, ja tulokset vaihtelevat: GPQA-tulos on esiversiolla 35,05 ja ohjeistetulla mallilla 41,96, DeepMind Math -tulos 70,86 ja 80,07, BigCodeBench-tulos 44,04 ja 35,00 sekä MMLU-tulos 74,20 ja 73,84. Tulosten perusteella julkaisu näyttäytyy rakenteisen kehotteen ja injektionkestävyyden testinä eikä yleisenä kyvykkyyspäivityksenä.

LLMON voidaan mukauttaa myös alakohtaisiin sanastoihin. IBM esittelee mukautettuja tunnisteita ja sovittimen hienosäätöä ScienceWorldin viiteratojen avulla. Koulutettu malli pelaa koulutuksessa käyttämättömiä pelejä ja kirjoittaa seuraavan toimintonsa uuden sanaston mukaisesti. Korkeamman tason Mellea-kirjasto muuntaa mallikutsunsa automaattisesti LLMON-muotoon, joten sovellusten käyttäjien ei tarvitse nähdä taustalla olevaa merkintäkieltä.

Julkaisu tarjoaa kehittäjille konkreettisen tavan mitata, miten eksplisiittinen suorituksen sidonta toimii haku- ja työkalupohjaisissa työnkuluissa. Arkaluonteisissa käyttöönottoympäristöissä avoimeksi kysymykseksi jää, päteekö opittu etuoikeussääntö raportoitujen testien ulkopuolella. Mallikorteissa varoitetaan, ettei kyse ole taatusta suojasta eikä sen pitäisi olla agentin ainoa puolustuskeino.