IBM lance des modèles Granite conçus pour résister aux injections de prompt

L’équipe Granite d’IBM a lancé deux modèles de langage expérimentaux le 12 novembre 2026, entraînés à distinguer les instructions fiables des données non fiables. Selon IBM, les versions préliminaires 3B et 8B ont évité 47 % d’attaques de plus que le meilleur modèle de pointe testé par l’entreprise sur le banc d’essai OPI.

Les deux modèles, Granite-4.1-3B-LLMON-preview et Granite-4.1-8B-LLMON-preview, ont été affinés à partir de points de contrôle de base de Granite 4.1 plutôt que des modèles Instruct publiés. Tous deux sont sous licence Apache 2.0 et destinés à l’exploration et à l’évaluation, et non à la production. Ces travaux s’appuient sur l’article sur le langage LLMON, soumis pour la première fois le 23 mars 2026.

Les instructions deviennent des références explicites

LLMON, abréviation de « notation d’objets pour LLM » et prononcée « lemon », est un langage de balisage de type XML qui sert à décrire la structure d’un prompt à un modèle. Les instructions, les documents, les définitions d’outils, les exigences et les réponses sont répartis dans des blocs adressables individuellement. Un bloc d’exécution indique quelle instruction exécuter, quels éléments d’entrée et quelles exigences s’appliquent, ainsi que l’emplacement où doit figurer la réponse ; les éléments qui ne sont pas associés à un bloc restent dans le contexte sans être appelés par celui-ci.

Le système vise à prévenir les injections indirectes de prompt, dans lesquelles une instruction malveillante est dissimulée dans un document récupéré, une réponse d’outil ou des données fournies par l’utilisateur. Les modèles sont entraînés à considérer comme faisant autorité les instructions auxquelles renvoie un bloc d’exécution, tandis que les éléments transmis comme données d’entrée sont lus, mais pas suivis. Les délimiteurs structurels sont des jetons spéciaux réservés, et chaque identifiant de bloc de deux caractères est choisi dans un ensemble fixe de jetons uniques, de sorte qu’une adresse coûte toujours deux jetons.

En règle générale, les développeurs n’écrivent pas eux-mêmes ce balisage. Ils peuvent nommer des parties d’une messages liste ordinaire et appeler apply_chat_template ; le modèle fourni génère LLMON tout en conservant les rôles familiers de système, d’utilisateur et d’assistant. Le dépôt LLMON associé fournit des outils de conversion JSON sans perte, des utilitaires de rendu des conversations et des exemples ; une démonstration liée de l’attention illustre la répartition de celle-ci entre les blocs d’instructions, d’entrées et non associés.

L’entraînement cible les attaques indirectes

Un article sur le post-entraînement, soumis le 28 octobre 2026, décrit un corpus structuré de 4,6 milliards de jetons, couvrant des données générales, de génération augmentée par récupération et d’utilisation d’outils. Les exemples leurres ajoutent des instructions contradictoires et des données non pertinentes qui restent sans référence, tandis que la réponse cible ne change pas. Cette approche repose sur l’affinage supervisé et l’apprentissage par renforcement, sans modifier l’architecture du modèle.

La méthode d’entraînement comporte ensuite cinq étapes séquentielles d’apprentissage par renforcement, portant sur le raisonnement dans plusieurs domaines, l’alignement sur les retours humains, l’étalonnage des connaissances et les mathématiques. Elles sont suivies d’une optimisation directe des préférences, appliquée à 1 000 paires de préférences générées à partir des réponses du modèle lui-même à des tentatives d’injection. La règle de privilège obtenue découle de cette structure apprise, plutôt que d’une protection ajoutée.

OPI insère l’injection dans les données de tâches classiques du traitement automatique du langage naturel. IBM mesure la robustesse comme étant égale à 1 moins le taux de réussite des attaques : la proportion d’attaques lors desquelles le modèle n’exécute pas l’instruction injectée.

L’article sur le post-entraînement indique séparément que, dans les évaluations d’injections indirectes, les taux de réussite des attaques passent de 53 %–100 % à 0,02 %–5,6 %, tout en préservant les capacités générales. Les comparaisons annoncées pour le banc d’essai portent sur des injections indirectes statiques, et non sur des attaques adaptatives qui évoluent au fil de plusieurs échanges, lesquelles restent un domaine de recherche actif.

Résultats en matière de capacités générales

La fiche du modèle 8B présente la parité avec Granite 4.1 Instruct comme l’objectif pour les tâches générales, mais les résultats sont mitigés : le score à GPQA est de 35,05 pour la version préliminaire contre 41,96 pour le modèle Instruct, celui à DeepMind Math de 70,86 contre 80,07, celui à BigCodeBench de 44,04 contre 35,00, et celui à MMLU de 74,20 contre 73,84. Ces résultats font de cette version une mise à l’épreuve du prompting structuré et de la résistance aux injections, plutôt qu’une amélioration uniforme des capacités.

LLMON peut également être adapté à des vocabulaires propres à un domaine. IBM présente des balises personnalisées et un affinage par adaptateur sur des trajectoires de référence de ScienceWorld ; le modèle entraîné joue à des jeux qu’il n’a pas vus pendant l’entraînement et rédige son action suivante dans le nouveau vocabulaire. Mellea, une bibliothèque de plus haut niveau, convertit automatiquement les appels de modèles au format LLMON, de sorte que les utilisateurs des applications n’ont pas besoin de voir le balisage sous-jacent.

Cette version offre aux développeurs un moyen concret de mesurer le comportement de l’association explicite entre exécution et instructions dans les processus de récupération d’informations et d’utilisation d’outils. Pour les déploiements sensibles, la question reste de savoir si la règle de privilège apprise tient au-delà des tests rapportés ; les fiches des modèles précisent qu’il ne s’agit pas d’une garantie imposée et qu’elle ne doit pas constituer l’unique défense d’un agent.