IBM lança modelos Granite projetados para resistir à injeção de prompt

A equipe Granite da IBM lançou dois modelos experimentais de linguagem em 12 de novembro de 2026, treinados para separar instruções confiáveis de dados não confiáveis. Segundo a IBM, as versões preliminares de 3B e 8B evitaram 47% mais ataques do que o melhor modelo de fronteira que a empresa testou no benchmark OPI.

Os dois modelos, Granite-4.1-3B-LLMON-preview e Granite-4.1-8B-LLMON-preview, foram ajustados a partir de checkpoints-base do Granite 4.1, e não dos modelos de instrução lançados. Ambos têm licença Apache 2.0 e se destinam à exploração e à avaliação, não à produção. O trabalho dá continuidade ao artigo sobre a linguagem LLMON, enviado pela primeira vez em 23 de março de 2026.

As instruções passam a ser referências explícitas

LLMON, abreviação de LLM Object Notation e pronunciada como “lemon”, é uma linguagem de marcação semelhante a XML que descreve a estrutura de prompts para um modelo. Instruções, documentos, definições de ferramentas, requisitos e respostas ocupam blocos que podem ser endereçados individualmente. Um bloco de execução identifica qual instrução deve ser executada, quais entradas e requisitos se aplicam e onde a resposta deve ser inserida; o conteúdo que não está vinculado permanece no contexto, sem ser chamado por esse bloco.

O objetivo de segurança é combater a injeção indireta de prompt, na qual uma instrução maliciosa fica oculta em um documento recuperado, na resposta de uma ferramenta ou em dados fornecidos pelo usuário. Os modelos são treinados para tratar como autoritativas as instruções acessadas por meio de um bloco de execução, enquanto o material acessado como entrada é lido, não obedecido. Os delimitadores estruturais são tokens especiais reservados, e cada ID de bloco de dois caracteres é extraído de um conjunto fixo de tokens únicos, de modo que um endereço sempre custa dois tokens.

Em geral, os desenvolvedores não escrevem essa linguagem de marcação. Eles podem dar nomes às partes de uma lista comum messages lista e chamar apply_chat_template; o modelo incluído renderiza LLMON e preserva os conhecidos papéis de sistema, usuário e assistente. O repositório LLMON que acompanha o lançamento oferece conversão JSON sem perda, utilitários para renderizar conversas e exemplos, enquanto uma demonstração vinculada de atenção mostra como ela se distribui entre blocos de instrução, entrada e conteúdo não vinculado.

O treinamento tem como alvo ataques indiretos

Um artigo sobre o pós-treinamento, enviado em 28 de outubro de 2026, descreve um corpus estruturado de 4,6 bilhões de tokens, composto por dados gerais, de geração aumentada por recuperação e de uso de ferramentas. Exemplos distratores acrescentam instruções concorrentes e dados irrelevantes que permanecem sem referência, enquanto a resposta-alvo não se altera. A abordagem usa ajuste fino supervisionado e aprendizado por reforço sem modificar a arquitetura do modelo.

A receita de treinamento então aplica cinco etapas sequenciais de aprendizado por reforço, que abrangem raciocínio em vários domínios, alinhamento com feedback humano, calibração de conhecimento e matemática, seguidas por otimização direta de preferências com 1.000 pares de preferências gerados a partir das próprias respostas do modelo a tentativas de injeção. A regra de privilégios resultante decorre dessa estrutura aprendida, e não de uma proteção adicional.

O OPI insere a injeção nos dados de tarefas clássicas de PLN. A IBM mede a robustez como um menos a taxa de sucesso dos ataques: a proporção de ataques nos quais o modelo não executa a instrução injetada.

O artigo sobre o pós-treinamento relata separadamente que, nas avaliações de injeção indireta, as taxas de sucesso dos ataques caíram de 53%–100% para 0,02%–5,6%, com preservação das capacidades gerais. As comparações de benchmark anunciadas dizem respeito a injeções indiretas estáticas, não a ataques adaptativos que evoluem ao longo de várias interações de chat, os quais continuam sendo uma área de pesquisa ativa.

Resultados em capacidades gerais

O cartão do modelo 8B apresenta a paridade com o Granite 4.1 Instruct como objetivo para tarefas gerais, e os resultados são variados: no GPQA, a versão preliminar obteve 35,05, contra 41,96 do modelo instruct; no DeepMind Math, 70,86 contra 80,07; no BigCodeBench, 44,04 contra 35,00; e no MMLU, 74,20 contra 73,84. Esse padrão caracteriza o lançamento como um teste de prompts estruturados e resistência a injeções, e não como uma melhoria uniforme de capacidades.

A LLMON também pode ser adaptada a vocabulários específicos de cada domínio. A IBM demonstra o uso de tags personalizadas e o ajuste fino de adaptadores com trajetórias de referência do ScienceWorld, fazendo com que o modelo treinado jogue partidas que não viu durante o treinamento e escreva sua próxima ação no novo vocabulário. A Mellea, uma biblioteca de nível mais alto, converte automaticamente as chamadas ao modelo para LLMON, de modo que os usuários de aplicativos não precisam ver a linguagem de marcação subjacente.

O lançamento oferece aos desenvolvedores uma maneira concreta de medir o comportamento da vinculação explícita à execução em fluxos de trabalho que usam recuperação e ferramentas. Para implantações sensíveis, a questão em aberto é se a regra de privilégios aprendida se mantém além dos testes relatados; os cartões dos modelos alertam que ela não é uma garantia imposta e não deve ser a única defesa de um agente.