IBM presenta modelli Granite progettati per resistere all’iniezione di prompt

Il team Granite di IBM ha rilasciato due modelli linguistici sperimentali il 12 novembre 2026, addestrati per distinguere le istruzioni attendibili dai dati non attendibili. Secondo IBM, le versioni preliminari da 3B e 8B hanno evitato il 47% di attacchi in più rispetto al miglior modello di frontiera testato sul benchmark OPI.

I due modelli, Granite-4.1-3B-LLMON-preview e Granite-4.1-8B-LLMON-preview, sono stati sottoposti a messa a punto partendo dai checkpoint di base di Granite 4.1, anziché dai modelli instruct rilasciati. Entrambi sono distribuiti con licenza Apache 2.0 e sono destinati alla sperimentazione e alla valutazione, non all’uso in produzione. Il lavoro si basa sull’articolo sul linguaggio LLMON, presentato per la prima volta il 23 marzo 2026.

Le istruzioni diventano riferimenti espliciti

LLMON, abbreviazione di LLM Object Notation e pronunciato «lemon», è un linguaggio di markup simile a XML che descrive la struttura del prompt per un modello. Istruzioni, documenti, definizioni degli strumenti, requisiti e risposte sono organizzati in blocchi indirizzabili singolarmente. Un blocco di esecuzione specifica quale istruzione eseguire, quali input e requisiti applicare e dove inserire la risposta; i contenuti non associati restano nel contesto senza essere richiamati da quel blocco.

L’obiettivo di sicurezza è contrastare l’iniezione indiretta di prompt, in cui un’istruzione malevola viene nascosta in un documento recuperato, nella risposta di uno strumento o nei dati forniti dall’utente. I modelli vengono addestrati a trattare come autorevoli le istruzioni raggiunte tramite un blocco di esecuzione, mentre il materiale raggiunto come input viene letto, non eseguito. I delimitatori strutturali sono token speciali riservati e ogni ID di blocco, composto da due caratteri, è scelto da un insieme fisso di token singoli, così che un indirizzo costi sempre due token.

Di norma, gli sviluppatori non scrivono direttamente quel markup. Possono assegnare nomi alle parti di un normale messages elenco e richiamarle apply_chat_template; il modello incluso genera la rappresentazione LLMON mantenendo i consueti ruoli di sistema, utente e assistente. Il repository LLMON che accompagna il modello fornisce strumenti per la conversione JSON senza perdita di informazioni, utilità per la visualizzazione delle conversazioni ed esempi; una dimostrazione collegata dell’attenzione mostra come questa si distribuisce tra i blocchi di istruzioni, input e contenuti non associati.

L’addestramento mira a contrastare gli attacchi indiretti

Un articolo sul post-addestramento, presentato il 28 ottobre 2026, descrive un corpus strutturato di 4,6 miliardi di token, che comprende dati generali, di generazione aumentata dal recupero (RAG) e di chiamata agli strumenti. Gli esempi con elementi fuorvianti aggiungono istruzioni concorrenti e dati irrilevanti che restano senza riferimenti, mentre la risposta attesa non cambia. L’approccio utilizza la messa a punto supervisionata e l’apprendimento per rinforzo senza modificare l’architettura del modello.

La ricetta di addestramento prevede poi cinque fasi sequenziali di apprendimento per rinforzo, che coprono il ragionamento in più domini, l’allineamento tramite feedback umano, la calibrazione delle conoscenze e la matematica, seguite dall’ottimizzazione diretta delle preferenze su 1.000 coppie di preferenze generate a partire dalle risposte del modello ai tentativi di iniezione. La regola dei privilegi risultante deriva da questa struttura appresa, anziché da una protezione aggiunta.

OPI inserisce l’iniezione nei dati di compiti classici di elaborazione del linguaggio naturale (NLP). IBM misura la robustezza come uno meno il tasso di successo degli attacchi: la quota di attacchi in cui il modello non esegue l’istruzione iniettata.

L’articolo sul post-addestramento riporta separatamente che, nelle valutazioni delle iniezioni indirette, i tassi di successo degli attacchi scendono dal 53%–100% allo 0,02%–5,6%, preservando al contempo le capacità generali. I confronti con i benchmark annunciati riguardano le iniezioni indirette statiche, non gli attacchi adattivi che si sviluppano nel corso di più turni di conversazione, ancora oggetto di ricerca.

Risultati sulle capacità generali

La scheda del modello da 8B indica come obiettivo la parità con Granite 4.1 Instruct nei compiti generali, ma i risultati sono eterogenei: GPQA registra 35,05 per la versione preliminare contro 41,96 per il modello instruct, DeepMind Math 70,86 contro 80,07, BigCodeBench 44,04 contro 35,00 e MMLU 74,20 contro 73,84. Questo andamento presenta il rilascio come una prova della prompting strutturata e della resistenza alle iniezioni, non come un miglioramento uniforme delle capacità.

LLMON può anche essere adattato a vocabolari specifici di un dominio. IBM mostra tag personalizzati e la messa a punto di un adattatore su traiettorie di riferimento di ScienceWorld, facendo giocare al modello addestrato partite escluse dall’addestramento e scrivere la sua azione successiva usando il nuovo vocabolario. Mellea, una libreria di livello superiore, converte automaticamente in LLMON le chiamate ai modelli, così che gli utenti delle applicazioni non debbano vedere il markup sottostante.

Il rilascio offre agli sviluppatori un metodo concreto per misurare il comportamento dell’associazione esplicita delle istruzioni di esecuzione nei flussi di lavoro che utilizzano il recupero di informazioni e gli strumenti. Per le implementazioni sensibili, resta da capire se la regola dei privilegi appresa regga al di fuori dei test riportati; le schede dei modelli avvertono che non si tratta di una garanzia applicata e che non dovrebbe costituire l’unica difesa di un agente.