IBM, İstem Enjeksiyonuna Direnmek Üzere Tasarlanan Granite Modellerini Piyasaya Sürüyor

IBM’in Granite ekibi, 12 Kasım 2026’da güvenilir talimatları güvenilmeyen verilerden ayırmak üzere eğitilmiş iki deneysel dil modelini piyasaya sürdü. IBM’in bildirdiğine göre 3B ve 8B önizleme modelleri, OPI kıyaslama testinde sınadığı en iyi öncü modele kıyasla saldırıların %47 daha fazlasını savuşturdu.

Granite-4.1-3B-LLMON-preview ve Granite-4.1-8B-LLMON-preview adlı iki model, piyasaya sürülen talimat izleme modelleri yerine Granite 4.1 temel kontrol noktalarından ince ayar yoluyla geliştirildi. Her ikisi de Apache 2.0 lisansına sahip ve üretim amacıyla değil, keşif ve değerlendirme için tasarlandı. Bu çalışma, ilk olarak 23 Mart 2026’da sunulan LLMON dil makalesini temel alıyor.

Talimatlar Açık Referanslara Dönüşüyor

LLM Object Notation’ın kısaltması olan ve “lemon” diye telaffuz edilen LLMON, bir modele istem yapısını tanımlamak için kullanılan XML benzeri bir biçimlendirme dilidir. Talimatlar, belgeler, araç tanımları, gereksinimler ve yanıtlar, ayrı ayrı adreslenebilen bloklarda yer alır. Bir yürütme bloğu, hangi talimatın çalıştırılacağını, hangi girdilerin ve gereksinimlerin geçerli olduğunu ve yanıtın nereye yazılması gerektiğini belirtir; herhangi bir bloğa bağlanmayan içerik ise o blok tarafından çağrılmadan bağlamda kalır.

Güvenlik hedefi, kötü amaçlı bir talimatın alınan bir belgenin, araç yanıtının veya kullanıcı tarafından sağlanan verilerin içine gizlendiği dolaylı istem enjeksiyonudur. Modeller, yürütme bloğu üzerinden erişilen talimatları yetkili kabul edecek, girdi olarak erişilen materyali ise uygulamak yerine okuyacak şekilde eğitilir. Yapısal ayraçlar, kullanımı bu amaçla sınırlandırılmış özel belirteçlerdir. Her iki karakterli blok kimliği, sabit bir tek belirteçli kümeden seçilir; bu nedenle bir adres her zaman iki belirteç gerektirir.

Geliştiriciler genellikle bu biçimlendirme dilini kendileri yazmaz. Sıradan bir messages liste bölümünü adlandırıp çağırabilirler apply_chat_template; birlikte sunulan şablon, alışıldık sistem, kullanıcı ve asistan rollerini koruyarak LLMON çıktısı oluşturur. Beraberindeki LLMON deposu, kayıpsız JSON dönüştürme, sohbet oluşturma araçları ve örnekler sunarken bağlantılı bir dikkat gösterimi, dikkatin talimat, girdi ve bağlanmamış bloklar arasında nasıl dağıldığını görselleştirir.

Eğitim, Dolaylı Saldırıları Hedefliyor

28 Ekim 2026’da sunulan bir eğitim sonrası makalesi, genel amaçlı, getirme destekli üretim ve araç çağırma verilerini kapsayan, 4,6 milyar belirteçlik yapılandırılmış bir derlemi açıklıyor. Dikkat dağıtıcı örnekler, atıfta bulunulmayan çakışan talimatlar ve ilgisiz veriler eklerken hedef yanıtı değiştirmiyor. Bu yaklaşım, model mimarisinde değişiklik yapmadan gözetimli ince ayar ve pekiştirmeli öğrenme kullanıyor.

Eğitim sürecinde daha sonra çok alanlı akıl yürütme, insan geri bildirimine göre hizalama, bilgi kalibrasyonu ve matematiği kapsayan beş ardışık pekiştirmeli öğrenme aşaması uygulanıyor. Ardından, modelin kendi enjeksiyon girişimlerine verdiği yanıtlardan üretilen 1.000 tercih çifti üzerinde doğrudan tercih optimizasyonu yapılıyor. Ortaya çıkan yetki kuralı, sonradan eklenmiş bir korumadan değil, öğrenilmiş bu yerleşim düzeninden kaynaklanıyor.

OPI’de enjeksiyon, klasik NLP görevlerinin verilerine yerleştiriliyor. IBM, sağlamlığı bir eksi saldırı başarı oranı olarak ölçüyor: modelin enjekte edilen talimatı yerine getirmediği saldırıların oranı.

Eğitim sonrası makalesi, genel yetenekler korunurken dolaylı enjeksiyon değerlendirmelerindeki saldırı başarı oranlarının %53–%100 aralığından %0,02–%5,6 aralığına düştüğünü ayrıca bildiriyor. Duyurulan kıyaslama karşılaştırmaları, birden fazla sohbet turuna yayılarak gelişen uyarlanabilir saldırıları değil, statik dolaylı enjeksiyonları ele alıyor. Uyarlanabilir saldırılar hâlâ üzerinde çalışılan bir alan.

Genel Yetenek Sonuçları

8B model kartında, genel görevlerde Granite 4.1 Instruct ile aynı düzeye ulaşmak hedef olarak belirtiliyor; sonuçlar ise karma: GPQA’da önizleme modelinin puanı 35.05, talimat izleme modelinin 41.96; DeepMind Math’te sırasıyla 70.86 ve 80.07; BigCodeBench’te 44.04 ve 35.00; MMLU’da ise 74.20 ve 73.84. Bu tablo, piyasaya sürülen modeli genel bir yetenek artışından ziyade yapılandırılmış istemlerin ve enjeksiyona direncin sınandığı bir çalışma olarak konumlandırıyor.

LLMON, alana özgü söz varlıklarına da uyarlanabilir. IBM, özel etiketleri ve ScienceWorld referans izleri üzerinde yapılan adaptör ince ayarını gösteriyor; eğitilen model, eğitimde görmediği oyunları oynuyor ve sonraki eylemini yeni söz varlığını kullanarak yazıyor. Daha üst düzey bir kütüphane olan Mellea, model çağrılarını otomatik olarak LLMON’a dönüştürüyor; böylece uygulama kullanıcılarının alttaki biçimlendirme dilini görmesi gerekmiyor.

Bu sürüm, geliştiricilere bilgi getirme ve araç kullanma iş akışlarında açık yürütme bağlamanın nasıl işlediğini ölçmek için somut bir yöntem sunuyor. Hassas dağıtımlarda yanıt bekleyen soru, öğrenilmiş yetki kuralının bildirilen testlerin ötesinde de geçerli olup olmadığı. Model kartları, bunun uygulanması güvence altına alınmış bir kural olmadığı ve bir ajanın tek savunma hattı olarak kullanılmaması gerektiği konusunda uyarıyor.