IBM、プロンプトインジェクションへの耐性を備えたGraniteモデルを公開

IBMのGraniteチームは2026年11月12日、信頼できる指示と信頼できないデータを区別するよう訓練した、実験的な言語モデルを2つ公開しました。IBMによると、3Bと8Bのプレビュー版は、OPIベンチマークで同社がテストした最高性能のフロンティアモデルと比べ、攻撃を47％多く回避しました。

2つのモデル、Granite-4.1-3B-LLMON-previewとGranite-4.1-8B-LLMON-previewは、公開済みの指示調整モデルではなく、Granite 4.1のベースチェックポイントからファインチューニングされました。どちらもApache 2.0ライセンスで提供され、探索と評価を目的としており、本番環境での利用は想定されていません。この取り組みは、2026年3月23日に初めて投稿されたLLMONに関する論文を基盤としています。

指示を明示的な参照にする

LLMONは「LLM Object Notation」の略称で、「レモン」と発音します。モデルにプロンプトの構造を伝えるための、XMLに似たマークアップ言語です。指示、文書、ツールの定義、要件、応答は、それぞれ個別に参照できるブロックに格納されます。実行ブロックは、どの指示を実行するか、どの入力と要件を適用するか、回答をどこに出力するかを指定します。実行ブロックに紐付けられていない内容は、そのブロックから呼び出されることなく、コンテキスト内に残ります。

対策の対象は間接的なプロンプトインジェクションです。これは、取得した文書、ツールの応答、またはユーザーが提供したデータの中に、悪意のある指示が隠されている攻撃です。モデルは、実行ブロックを通じて参照された指示を優先すべきものとして扱い、入力として参照された内容は従うのではなく読み取るよう訓練されています。構造を区切る記号には予約済みの特殊トークンが使われ、各2文字のブロックIDは、固定された単一トークンの集合から選ばれます。そのため、アドレスの表現には常に2トークンが必要です。

開発者が通常、そのマークアップを自分で記述することはありません。通常の messages リストの各部分に名前を付けて呼び出す apply_chat_template；同梱のテンプレートは、従来のsystem、user、assistantの役割を維持したまま、LLMONを生成します。付属のLLMONリポジトリには、情報を損なわないJSON変換機能、チャット描画ユーティリティ、サンプルが含まれています。また、関連するアテンションのデモでは、指示、入力、未紐付けの各ブロックにアテンションがどのように分配されるかを可視化します。

間接攻撃を想定した訓練

2026年10月28日に投稿された追加学習に関する論文では、一般データ、検索拡張生成データ、ツール呼び出しデータを含む、46億トークン規模の構造化コーパスについて説明しています。妨害例では、競合する指示や無関係なデータを追加しますが、それらは参照されず、目標とする応答は変わりません。この手法では、モデルのアーキテクチャを変更せずに、教師ありファインチューニングと強化学習を行います。

続く訓練手順では、複数の領域にまたがる推論、人間のフィードバックに基づくアラインメント、知識の較正、数学を対象とした5段階の強化学習を順に実施します。その後、インジェクションの試みに対するモデル自身の応答から生成した1,000組の選好ペアを用いて、直接選好最適化を行います。こうして得られる権限のルールは、後付けのガードレールではなく、学習された構造から生まれます。

OPIでは、従来型の自然言語処理タスクのデータ内にインジェクションを配置します。IBMは、攻撃成功率を1から差し引いた値を堅牢性として測定します。これは、モデルが注入された指示を実行しない攻撃の割合です。

追加学習に関する論文では、間接インジェクションの各種評価における攻撃成功率が、一般的な能力を維持しながら53％～100％から0.02％～5.6％に低下したと、別途報告されています。発表されたベンチマーク比較の対象は静的な間接インジェクションであり、複数回のチャットのやり取りを通じて進行する適応型攻撃は含まれていません。後者は現在も研究が続く分野です。

汎用能力の評価結果

8Bモデルのカードでは、汎用タスクでGranite 4.1 Instructと同等の性能を達成することを目標に掲げていますが、結果は一様ではありません。GPQAはプレビュー版が35.05、指示調整モデルが41.96、DeepMind Mathは70.86対80.07、BigCodeBenchは44.04対35.00、MMLUは74.20対73.84でした。この結果から、今回の公開は能力全般の一律な向上というより、構造化プロンプトとインジェクション耐性を検証する取り組みと位置付けられます。

LLMONは、特定の分野に固有の語彙に合わせて調整することもできます。IBMは、ScienceWorldの参照軌跡を使い、独自タグとアダプターのファインチューニングを実演しています。訓練済みモデルは、学習時に除外されたゲームをプレイし、新しい語彙で次の行動を記述します。より高水準のライブラリであるMelleaは、モデルへの呼び出しを自動的にLLMONに変換するため、アプリケーションのユーザーが基盤となるマークアップを見る必要はありません。

今回の公開により、開発者は、検索やツール利用のワークフローで、実行対象を明示的に紐付ける仕組みがどのように機能するかを具体的に測定できます。機密性の高い環境への導入にあたっては、学習された権限のルールが報告済みのテスト以外でも成り立つかどうかが未解決の問題です。モデルカードでは、この仕組みは強制力のある保証ではなく、エージェントの唯一の防御策にすべきではないと注意を促しています。