IBM lanserer Granite-modeller som er utviklet for å motstå prompt-injeksjon

IBMs Granite-team lanserte to eksperimentelle språkmodeller 12. november 2026. De er trent til å skille mellom pålitelige instruksjoner og data som ikke er til å stole på. IBM opplyser at forhåndsversjonene på 3B og 8B avverget 47 % flere angrep enn den beste frontier-modellen selskapet testet på OPI-benchmarken.

De to modellene, Granite-4.1-3B-LLMON-preview og Granite-4.1-8B-LLMON-preview, ble finjustert fra grunnleggende Granite 4.1-kontrollpunkter, ikke fra de lanserte instruksjonsmodellene. Begge har Apache 2.0-lisens og er ment for utforsking og evaluering, ikke produksjon. Arbeidet bygger videre på språkartikkelen om LLMON, som først ble sendt inn 23. mars 2026.

Instruksjoner blir eksplisitte referanser

LLMON, en forkortelse for LLM Object Notation, uttales «lemon» og er et XML-lignende markeringsspråk som beskriver strukturen i en ledetekst for en modell. Instruksjoner, dokumenter, verktøydefinisjoner, krav og svar ligger i blokker som kan adresseres hver for seg. En kjøringsblokk angir hvilken instruksjon som skal utføres, hvilke inndata og krav som gjelder, og hvor svaret skal plasseres. Innhold som ikke er bundet til en slik blokk, forblir i konteksten uten å bli kalt opp av blokken.

Sikkerhetsmålet er å motstå indirekte prompt-injeksjon, der en ondsinnet instruksjon skjules i et hentet dokument, et verktøysvar eller data fra brukeren. Modellene trenes til å behandle instruksjoner som nås via en kjøringsblokk, som autoritative, mens materiale som nås som inndata, leses i stedet for å bli fulgt. Strukturelle skilletegn er reserverte spesialtokener, og hver blokks ID på to tegn hentes fra et fast sett med enkelttokener. Dermed koster en adresse alltid to tokener.

Utviklere skriver vanligvis ikke denne markeringen selv. De kan navngi deler av en vanlig messages liste og kalle apply_chat_template; den medfølgende malen gjengir LLMON samtidig som den beholder de velkjente rollene for system, bruker og assistent. Den tilhørende LLMON-kodelageret inneholder tapsfri JSON-konvertering, verktøy for gjengivelse av samtaler og eksempler. En tilknyttet oppmerksomhetsdemonstrasjon viser hvordan oppmerksomheten fordeles mellom instruksjons-, inndata- og ubundne blokker.

Treningen retter seg mot indirekte angrep

En artikkel om ettertrening, sendt inn 28. oktober 2026, beskriver et strukturert korpus på 4,6 milliarder tokener med data innen generell bruk, generering med informasjonsinnhenting og verktøykall. Distraktoreksempler legger til konkurrerende instruksjoner og irrelevante data som forblir uten referanser, mens målsvaret ikke endres. Metoden bruker veiledet finjustering og forsterkende læring uten å endre modellarkitekturen.

Treningsopplegget bruker deretter fem sekvensielle stadier med forsterkende læring, som dekker resonnering på tvers av flere domener, tilpasning basert på menneskelig tilbakemelding, kunnskapskalibrering og matematikk. Til slutt brukes direkte preferanseoptimalisering på 1 000 preferansepar som er generert fra modellens egne svar på injeksjonsforsøk. Den resulterende privilegieringsregelen følger av den innlærte strukturen, ikke av et ekstra sikkerhetstiltak.

OPI plasserer injeksjonen i dataene for klassiske NLP-oppgaver. IBM måler robusthet som én minus angrepssuksessraten: andelen angrep der modellen ikke utfører den injiserte instruksjonen.

Artikkelen om ettertrening rapporterer separat at angrepssuksessratene i evalueringer av indirekte injeksjon faller fra 53–100 % til 0,02–5,6 %, samtidig som de generelle egenskapene bevares. De annonserte sammenligningene på referansetester gjelder statiske indirekte injeksjoner, ikke adaptive angrep som utvikler seg over flere samtalerunder. Slike angrep er fortsatt et aktivt forskningsområde.

Resultater for generelle egenskaper

Modellkortet for 8B-modellen angir at målet for generelle oppgaver er å oppnå resultater på nivå med Granite 4.1 Instruct, men resultatene spriker: GPQA-resultatet er 35,05 for forhåndsversjonen mot 41,96 for instruksjonsmodellen, DeepMind Math-resultatet er 70,86 mot 80,07, BigCodeBench-resultatet er 44,04 mot 35,00, og MMLU-resultatet er 74,20 mot 73,84. Dette mønsteret viser at lanseringen er en test av strukturert prompting og motstand mot injeksjoner, ikke en jevn forbedring av modellens egenskaper.

LLMON kan også tilpasses fagspesifikke ordforråd. IBM demonstrerer egendefinerte tagger og adapterfinjustering basert på referanseforløp fra ScienceWorld. Den trente modellen spiller spill den ikke har sett før, og skriver sin neste handling med det nye ordforrådet. Mellea, et bibliotek på høyere nivå, konverterer modellkallene automatisk til LLMON, slik at brukere av applikasjonen ikke trenger å se den underliggende markeringen.

Lanseringen gir utviklere en konkret måte å måle hvordan eksplisitt binding av kjøring fungerer i arbeidsflyter som bruker informasjonsinnhenting og verktøy. For sensitive utrullinger er det fortsatt et åpent spørsmål om den innlærte privilegieringsregelen holder utover testene som er rapportert. Modellkortene understreker at regelen ikke er en håndhevet garanti, og at den ikke bør være en agents eneste forsvar.