IBM ra mắt các mô hình Granite được thiết kế để chống tấn công chèn chỉ dẫn vào prompt

Nhóm Granite của IBM đã ra mắt hai mô hình ngôn ngữ thử nghiệm vào ngày 12 tháng 11 năm 2026, được huấn luyện để phân biệt chỉ dẫn đáng tin cậy với dữ liệu không đáng tin cậy. IBM cho biết các bản xem trước 3B và 8B né tránh được nhiều hơn 47% số cuộc tấn công so với mô hình tiên tiến hàng đầu mà hãng thử nghiệm trên bộ đánh giá chuẩn OPI.

Hai mô hình Granite-4.1-3B-LLMON-preview và Granite-4.1-8B-LLMON-preview được tinh chỉnh từ các điểm kiểm tra nền tảng Granite 4.1, thay vì từ những mô hình hướng dẫn đã phát hành. Cả hai đều được cấp phép Apache 2.0 và dành cho mục đích nghiên cứu, đánh giá, không phải triển khai trong môi trường sản xuất. Công trình này kế thừa bài báo về ngôn ngữ LLMON, được gửi lần đầu vào ngày 23 tháng 3 năm 2026.

Chỉ dẫn trở thành các tham chiếu tường minh

LLMON, viết tắt của LLM Object Notation và đọc là “lemon”, là ngôn ngữ đánh dấu giống XML dùng để mô tả cấu trúc prompt cho mô hình. Chỉ dẫn, tài liệu, định nghĩa công cụ, yêu cầu và phản hồi được đặt trong các khối có thể tham chiếu riêng. Khối thực thi xác định chỉ dẫn nào cần chạy, những đầu vào và yêu cầu nào được áp dụng, cũng như câu trả lời cần được đưa vào đâu; nội dung không được gắn với khối nào vẫn nằm trong ngữ cảnh nhưng không được khối đó gọi đến.

Mục tiêu bảo mật là ngăn chặn tấn công chèn chỉ dẫn gián tiếp vào prompt, trong đó một chỉ dẫn độc hại bị giấu trong tài liệu được truy xuất, phản hồi từ công cụ hoặc dữ liệu do người dùng cung cấp. Các mô hình được huấn luyện để coi chỉ dẫn được tiếp cận thông qua khối thực thi là có thẩm quyền, trong khi nội dung được tiếp cận dưới dạng đầu vào chỉ được đọc chứ không được tuân theo. Các dấu phân cách cấu trúc là những token đặc biệt được dành riêng, còn mỗi ID khối gồm hai ký tự được lấy từ một tập hợp cố định gồm các token đơn, vì vậy một địa chỉ luôn tốn hai token.

Thông thường, nhà phát triển không tự viết ngôn ngữ đánh dấu đó. Họ có thể đặt tên cho các phần trong một danh sách messages thông thường và gọi apply_chat_template; mẫu đi kèm sẽ tạo ra LLMON mà vẫn giữ nguyên các vai trò quen thuộc như system, user và assistant. Kho lưu trữ LLMON đi kèm cung cấp các công cụ chuyển đổi JSON không mất dữ liệu, tiện ích hiển thị hội thoại và ví dụ; trong khi đó, bản minh họa attention được liên kết trực quan hóa cách attention phân bổ trên các khối chỉ dẫn, đầu vào và không được gắn kết.

Huấn luyện để chống các cuộc tấn công gián tiếp

Bài báo về giai đoạn huấn luyện sau, được gửi vào ngày 28 tháng 10 năm 2026, mô tả một kho ngữ liệu có cấu trúc gồm 4,6 tỷ token, bao quát dữ liệu tổng quát, dữ liệu tạo sinh tăng cường truy xuất và dữ liệu gọi công cụ. Các ví dụ gây nhiễu bổ sung những chỉ dẫn cạnh tranh và dữ liệu không liên quan nhưng không được tham chiếu, trong khi phản hồi mục tiêu vẫn giữ nguyên. Phương pháp này sử dụng tinh chỉnh có giám sát và học tăng cường mà không sửa đổi kiến trúc mô hình.

Tiếp đó, quy trình huấn luyện áp dụng năm giai đoạn học tăng cường tuần tự, bao quát suy luận đa lĩnh vực, căn chỉnh theo phản hồi của con người, hiệu chỉnh tri thức và toán học; sau đó là tối ưu hóa ưu tiên trực tiếp trên 1.000 cặp ưu tiên được tạo từ chính phản hồi của mô hình trước các nỗ lực chèn chỉ dẫn. Quy tắc phân quyền hình thành từ cách bố trí đã học này, chứ không phải từ một lớp bảo vệ được bổ sung.

OPI đưa chỉ dẫn chèn vào dữ liệu của các tác vụ NLP kinh điển. IBM đo độ vững vàng bằng một trừ đi tỷ lệ thành công của cuộc tấn công: tỷ lệ các cuộc tấn công mà mô hình không thực hiện chỉ dẫn được chèn vào.

Bài báo về giai đoạn huấn luyện sau cũng báo cáo riêng rằng tỷ lệ thành công của cuộc tấn công trong các đánh giá về tấn công chèn gián tiếp giảm từ 53%–100% xuống còn 0,02%–5,6%, đồng thời vẫn duy trì các năng lực tổng quát. Những so sánh chuẩn được công bố chỉ liên quan đến các cuộc tấn công chèn gián tiếp tĩnh, chứ không phải các cuộc tấn công thích ứng phát triển qua nhiều lượt trò chuyện; đây vẫn là lĩnh vực đang được nghiên cứu.

Kết quả về năng lực tổng quát

Thẻ mô hình 8B nêu mục tiêu đạt mức ngang bằng với Granite 4.1 Instruct trong các tác vụ tổng quát, nhưng kết quả không đồng nhất: GPQA đạt 35,05 ở bản xem trước so với 41,96 ở mô hình hướng dẫn, DeepMind Math đạt 70,86 so với 80,07, BigCodeBench đạt 44,04 so với 35,00 và MMLU đạt 74,20 so với 73,84. Kết quả này cho thấy bản phát hành là một phép thử về phương pháp nhắc lệnh có cấu trúc và khả năng chống chèn chỉ dẫn, chứ không phải một bản nâng cấp năng lực đồng đều.

LLMON cũng có thể được điều chỉnh để phù hợp với từ vựng chuyên ngành. IBM minh họa việc tạo thẻ tùy chỉnh và tinh chỉnh bộ chuyển đổi trên các quỹ đạo tham chiếu của ScienceWorld; mô hình được huấn luyện sẽ chơi các trò chơi không nằm trong dữ liệu huấn luyện và viết hành động tiếp theo bằng từ vựng mới. Mellea, một thư viện cấp cao hơn, tự động chuyển các lệnh gọi mô hình của ứng dụng sang LLMON, nhờ đó người dùng ứng dụng không cần thấy ngôn ngữ đánh dấu bên dưới.

Bản phát hành cung cấp cho nhà phát triển một cách cụ thể để đo lường cách thức ràng buộc thực thi tường minh hoạt động trong các quy trình sử dụng truy xuất và công cụ. Với những môi trường triển khai nhạy cảm, câu hỏi còn bỏ ngỏ là liệu quy tắc phân quyền đã học có đúng ngoài phạm vi các thử nghiệm được báo cáo hay không; thẻ mô hình cảnh báo rằng đây không phải là bảo đảm được thực thi và không nên là biện pháp phòng vệ duy nhất của một tác nhân.