IBM เปิดตัวโมเดล Granite ที่ออกแบบมาเพื่อต้านทานการโจมตีแบบแทรกคำสั่งในพรอมป์ต์

ทีม Granite ของ IBM เปิดตัวโมเดลภาษาทดลองสองรุ่น เมื่อวันที่ 12 พฤศจิกายน 2026 โดยฝึกให้แยกคำสั่งที่เชื่อถือได้ออกจากข้อมูลที่ไม่น่าเชื่อถือ IBM ระบุว่าโมเดลรุ่นตัวอย่างขนาด 3B และ 8B ป้องกันการโจมตีได้มากกว่าโมเดลแนวหน้าที่ดีที่สุดซึ่งนำมาทดสอบถึง 47% บนการทดสอบมาตรฐาน OPI

โมเดลทั้งสองรุ่น ได้แก่ Granite-4.1-3B-LLMON-preview และ Granite-4.1-8B-LLMON-preview ได้รับการปรับแต่งเพิ่มเติมจากจุดตรวจสอบพื้นฐานของ Granite 4.1 ไม่ใช่จากโมเดล instruct ที่เปิดตัวแล้ว ทั้งสองรุ่นใช้สัญญาอนุญาต Apache 2.0 และมีไว้สำหรับการสำรวจและประเมินผล ไม่ใช่การใช้งานจริง ผลงานนี้ต่อยอดจากบทความวิชาการเกี่ยวกับภาษา LLMON ซึ่งส่งครั้งแรกเมื่อวันที่ 23 มีนาคม 2026

คำสั่งกลายเป็นการอ้างอิงที่ชัดเจน

LLMON ซึ่งย่อมาจาก LLM Object Notation และออกเสียงว่า “เลมอน” เป็นภาษามาร์กอัปคล้าย XML สำหรับอธิบายโครงสร้างของพรอมป์ต์ให้โมเดลเข้าใจ คำสั่ง เอกสาร คำจำกัดความของเครื่องมือ ข้อกำหนด และคำตอบ จะอยู่ในบล็อกที่ระบุแยกกันและอ้างอิงถึงได้ บล็อกการดำเนินการจะระบุว่าต้องเรียกใช้คำสั่งใด ใช้ข้อมูลนำเข้าและข้อกำหนดใดบ้าง และควรส่งคำตอบไปที่ใด ส่วนเนื้อหาที่ไม่ได้ผูกไว้กับบล็อกใดจะยังคงอยู่ในบริบท แต่บล็อกนั้นจะไม่เรียกใช้เนื้อหาดังกล่าว

เป้าหมายด้านความปลอดภัยคือการโจมตีแบบแทรกคำสั่งในพรอมป์ต์ทางอ้อม ซึ่งเกิดขึ้นเมื่อมีการซ่อนคำสั่งที่เป็นอันตรายไว้ในเอกสารที่ดึงมา คำตอบจากเครื่องมือ หรือข้อมูลที่ผู้ใช้ป้อน โมเดลได้รับการฝึกให้ถือว่าคำสั่งที่เข้าถึงผ่านบล็อกการดำเนินการเป็นคำสั่งที่มีอำนาจ แต่จะอ่านข้อความที่เข้าถึงในฐานะข้อมูลนำเข้าโดยไม่ทำตาม ตัวคั่นโครงสร้างเป็นโทเค็นพิเศษที่สงวนไว้ และ ID ของบล็อกแต่ละรายการซึ่งมีสองอักขระจะเลือกจากชุดโทเค็นเดี่ยวที่กำหนดไว้ตายตัว ดังนั้นที่อยู่หนึ่งรายการจึงใช้โทเค็นสองตัวเสมอ

โดยปกติแล้ว นักพัฒนาไม่ต้องเขียนมาร์กอัปดังกล่าวด้วยตนเอง แต่สามารถตั้งชื่อส่วนต่าง ๆ ของ messages รายการทั่วไปและเรียกใช้ apply_chat_template; เทมเพลตที่มาพร้อมกันจะแสดงผล LLMON โดยยังคงบทบาทระบบ ผู้ใช้ และผู้ช่วยที่คุ้นเคยไว้ ส่วน คลังเก็บโค้ด LLMON ที่มาพร้อมกันมีเครื่องมือแปลง JSON โดยไม่สูญเสียข้อมูล ยูทิลิตีสำหรับแสดงผลแชต และตัวอย่าง ขณะที่การสาธิตการทำงานของ attention ที่เชื่อมโยงไว้จะแสดงภาพการกระจายของ attention ไปตามบล็อกคำสั่ง ข้อมูลนำเข้า และบล็อกที่ไม่ได้ผูกไว้

ฝึกโมเดลให้รับมือการโจมตีทางอ้อม

บทความเกี่ยวกับการฝึกเพิ่มเติมหลังการฝึก ซึ่งส่งเมื่อวันที่ 28 ตุลาคม 2026 อธิบายคลังข้อมูลแบบมีโครงสร้างขนาด 4.6 พันล้านโทเค็น ครอบคลุมข้อมูลทั่วไป การสร้างเนื้อหาเสริมด้วยการดึงข้อมูล และการเรียกใช้เครื่องมือ ตัวอย่างข้อมูลลวงจะเพิ่มคำสั่งที่แข่งขันกันและข้อมูลที่ไม่เกี่ยวข้องซึ่งยังคงไม่มีการอ้างอิงถึง ขณะที่คำตอบเป้าหมายยังคงเดิม วิธีการนี้ใช้การปรับแต่งแบบมีผู้สอนและการเรียนรู้แบบเสริมกำลัง โดยไม่แก้ไขสถาปัตยกรรมของโมเดล

จากนั้นกระบวนการฝึกใช้การเรียนรู้แบบเสริมกำลังห้าขั้นตอนต่อเนื่องกัน ครอบคลุมการให้เหตุผลในหลายโดเมน การปรับให้สอดคล้องกับข้อเสนอแนะจากมนุษย์ การปรับเทียบความรู้ และคณิตศาสตร์ ตามด้วยการปรับให้เหมาะสมโดยตรงจากความชอบ โดยใช้คู่ข้อมูลความชอบ 1,000 คู่ ซึ่งสร้างจากคำตอบของโมเดลเองต่อความพยายามแทรกคำสั่ง กฎการกำหนดสิทธิ์ที่ได้จึงเกิดจากรูปแบบที่โมเดลเรียนรู้ ไม่ใช่จากมาตรการป้องกันที่เพิ่มเข้ามา

OPI แทรกคำสั่งโจมตีไว้ในข้อมูลของงานประมวลผลภาษาธรรมชาติแบบดั้งเดิม IBM วัดความทนทานโดยใช้หนึ่งลบอัตราความสำเร็จของการโจมตี ซึ่งหมายถึงสัดส่วนของการโจมตีที่โมเดลไม่ทำตามคำสั่งที่ถูกแทรกเข้ามา

บทความเกี่ยวกับการฝึกเพิ่มเติมหลังการฝึกรายงานแยกต่างหากว่า อัตราความสำเร็จของการโจมตีในการประเมินการแทรกคำสั่งทางอ้อมลดลงจาก 53%–100% เหลือ 0.02%–5.6% ขณะที่ความสามารถทั่วไปยังคงเดิม การเปรียบเทียบเกณฑ์มาตรฐานที่ประกาศไว้ครอบคลุมการแทรกคำสั่งทางอ้อมแบบคงที่ ไม่ใช่การโจมตีแบบปรับเปลี่ยนได้ซึ่งพัฒนาต่อเนื่องตลอดการสนทนาหลายรอบ โดยการโจมตีประเภทหลังยังเป็นประเด็นที่กำลังศึกษาอยู่

ผลลัพธ์ด้านความสามารถทั่วไป

เอกสารข้อมูลโมเดลรุ่น 8B ระบุว่าเป้าหมายด้านงานทั่วไปคือการทำผลงานให้ทัดเทียมกับ Granite 4.1 Instruct แต่ผลลัพธ์ยังคละกัน ได้แก่ GPQA ได้ 35.05 สำหรับรุ่นตัวอย่าง เทียบกับ 41.96 สำหรับโมเดล instruct, DeepMind Math ได้ 70.86 เทียบกับ 80.07, BigCodeBench ได้ 44.04 เทียบกับ 35.00 และ MMLU ได้ 74.20 เทียบกับ 73.84 ผลลัพธ์ดังกล่าวทำให้การเปิดตัวครั้งนี้เป็นการทดสอบการพรอมป์ต์แบบมีโครงสร้างและความทนทานต่อการแทรกคำสั่ง มากกว่าจะเป็นการยกระดับความสามารถในทุกด้านอย่างสม่ำเสมอ

LLMON ยังปรับให้เข้ากับคำศัพท์เฉพาะทางได้ด้วย IBM สาธิตการใช้แท็กแบบกำหนดเองและการปรับแต่ง adapter โดยอาศัยเส้นทางอ้างอิงจาก ScienceWorld ซึ่งโมเดลที่ฝึกแล้วจะเล่นเกมที่กันไว้ไม่ให้เห็นระหว่างฝึก และเขียนการกระทำถัดไปด้วยคำศัพท์ชุดใหม่ ส่วน Mellea ซึ่งเป็นไลบรารีระดับสูงกว่า จะแปลงการเรียกใช้โมเดลให้เป็น LLMON โดยอัตโนมัติ ผู้ใช้แอปพลิเคชันจึงไม่จำเป็นต้องเห็นมาร์กอัปเบื้องหลัง

การเปิดตัวนี้มอบวิธีที่เป็นรูปธรรมให้นักพัฒนาใช้วัดพฤติกรรมของการผูกการดำเนินการไว้อย่างชัดเจนในเวิร์กโฟลว์ที่ใช้การดึงข้อมูลและเครื่องมือ สำหรับการใช้งานที่มีความอ่อนไหว คำถามที่ยังเปิดอยู่คือกฎการกำหนดสิทธิ์ที่โมเดลเรียนรู้จะยังคงใช้ได้เกินกว่าการทดสอบที่รายงานไว้หรือไม่ เอกสารข้อมูลโมเดลเตือนว่าเรื่องนี้ไม่ใช่การรับประกันที่บังคับใช้ได้ และไม่ควรเป็นแนวป้องกันเพียงอย่างเดียวของเอเจนต์