IBM brengt Granite-modellen uit die zijn ontworpen om promptinjectie te weerstaan

Het Granite-team van IBM bracht op 12 november 2026 twee experimentele taalmodellen uit die zijn getraind om vertrouwde instructies te onderscheiden van niet-vertrouwde gegevens. Volgens IBM wisten de previews van 3B en 8B 47% meer aanvallen af te slaan dan het beste frontiermodel dat het bedrijf testte op de OPI-benchmark.

De twee modellen, Granite-4.1-3B-LLMON-preview en Granite-4.1-8B-LLMON-preview, zijn gefinetuned op basis van Granite 4.1-basischeckpoints, en niet op basis van de uitgebrachte instructiemodellen. Beide hebben een Apache 2.0-licentie en zijn bedoeld voor verkenning en evaluatie, niet voor productie. Het werk bouwt voort op het LLMON-artikel over de taal, dat voor het eerst werd ingediend op 23 maart 2026.

Instructies worden expliciete verwijzingen

LLMON, een afkorting van LLM-objectnotatie en uitgesproken als „lemon”, is een XML-achtige opmaaktaal waarmee de structuur van een prompt voor een model wordt beschreven. Instructies, documenten, tooldefinities, vereisten en antwoorden staan in afzonderlijke blokken waarnaar gericht kan worden verwezen. Een uitvoeringsblok geeft aan welke instructie moet worden uitgevoerd, welke invoer en vereisten van toepassing zijn en waar het antwoord terecht moet komen; inhoud die niet aan zo’n blok is gekoppeld, blijft in de context zonder dat het blok ernaar verwijst.

Het beveiligingsdoel is indirecte promptinjectie, waarbij een schadelijke instructie verborgen zit in een opgehaald document, een toolantwoord of door de gebruiker aangeleverde gegevens. De modellen zijn getraind om instructies waarnaar via een uitvoeringsblok wordt verwezen als gezaghebbend te behandelen, terwijl materiaal waarnaar als invoer wordt verwezen wel wordt gelezen, maar niet wordt opgevolgd. Structurele scheidingstekens zijn gereserveerde speciale tokens en elke blok-ID van twee tekens komt uit een vaste verzameling van afzonderlijke tokens. Daardoor kost een adres altijd twee tokens.

Ontwikkelaars schrijven die opmaak doorgaans niet zelf. Ze kunnen onderdelen van een gewone messages lijst benoemen en aanroepen apply_chat_template; de meegeleverde sjabloon geeft LLMON weer met behoud van de vertrouwde rollen van systeem, gebruiker en assistent. De bijbehorende LLMON-repository bevat voorzieningen voor verliesloze JSON-conversie, hulpmiddelen voor chatweergave en voorbeelden. Daarnaast visualiseert een gekoppelde aandachtsdemonstratie hoe de aandacht is verdeeld over instructie-, invoer- en niet-gekoppelde blokken.

Training richt zich op indirecte aanvallen

Een paper over post-training, ingediend op 28 oktober 2026, beschrijft een gestructureerd corpus van 4,6 miljard tokens met gegevens voor algemene taken, retrieval-augmented generation en toolaanroepen. Voorbeelden met afleidende informatie voegen concurrerende instructies en irrelevante gegevens toe waarnaar niet wordt verwezen, terwijl het beoogde antwoord ongewijzigd blijft. De aanpak gebruikt supervised fine-tuning en reinforcement learning zonder de modelarchitectuur aan te passen.

De trainingsmethode bestaat vervolgens uit vijf opeenvolgende fasen van reinforcement learning, gericht op redeneren in meerdere domeinen, afstemming op menselijke feedback, kenniscalibratie en wiskunde. Daarna volgt directe optimalisatie op basis van voorkeuren, met 1.000 voorkeurenparen die zijn gegenereerd uit de eigen reacties van het model op injectiepogingen. De resulterende privilege-regel komt voort uit deze aangeleerde indeling en niet uit een toegevoegde beveiligingsmaatregel.

Bij OPI wordt de injectie opgenomen in de gegevens van klassieke NLP-taken. IBM meet de robuustheid als één min het aanvalspercentage: het aandeel aanvallen waarbij het model de geïnjecteerde instructie niet uitvoert.

De paper over post-training vermeldt afzonderlijk dat de aanvalspercentages bij evaluaties van indirecte injecties dalen van 53%–100% naar 0,02%–5,6%, terwijl de algemene capaciteiten behouden blijven. De aangekondigde vergelijkingen met benchmarks betreffen statische indirecte injecties, niet adaptieve aanvallen die zich over meerdere chatbeurten ontwikkelen; die blijven een actief onderzoeksgebied.

Resultaten voor algemene capaciteiten

De modelkaart van het 8B-model noemt gelijkwaardigheid aan Granite 4.1 Instruct als doel voor algemene taken, maar de resultaten lopen uiteen: GPQA scoort 35,05 voor de preview tegenover 41,96 voor het instructiemodel, DeepMind Math 70,86 tegenover 80,07, BigCodeBench 44,04 tegenover 35,00 en MMLU 74,20 tegenover 73,84. Dit patroon laat zien dat deze release draait om het testen van gestructureerde prompts en weerstand tegen injecties, en niet om een algemene verbetering van de capaciteiten.

LLMON kan ook worden aangepast aan domeinspecifieke woordenschat. IBM laat aangepaste tags en adapter-finetuning zien op basis van referentietrajecten van ScienceWorld; het getrainde model speelt daarbij games die het tijdens de training niet heeft gezien en beschrijft zijn volgende actie met de nieuwe woordenschat. Mellea, een bibliotheek op een hoger abstractieniveau, zet de aanroepen van het model automatisch om naar LLMON, zodat gebruikers van applicaties de onderliggende opmaak niet hoeven te zien.

De release biedt ontwikkelaars een concrete manier om te meten hoe expliciete koppeling aan uitvoeringsblokken werkt in workflows met retrieval en tools. Voor gevoelige toepassingen blijft de vraag of de aangeleerde privilege-regel ook standhoudt buiten de gerapporteerde tests; de modelkaarten waarschuwen dat dit geen afgedwongen garantie is en niet de enige verdedigingslinie van een agent mag zijn.