IBM 发布旨在抵御提示注入的 Granite 模型

IBM 的 Granite 团队于 2026 年 11 月 12 日发布了两款实验性语言模型，这些模型经过训练，能够区分可信指令与不可信数据。IBM 表示，在其测试的 OPI 基准测试中，3B 和 8B 预览版规避攻击的数量比表现最佳的前沿模型多 47%。

这两款模型分别是 Granite-4.1-3B-LLMON-preview 和 Granite-4.1-8B-LLMON-preview，它们是在 Granite 4.1 基础检查点上进行微调的，而非基于已发布的指令微调模型。两者均采用 Apache 2.0 许可证，旨在用于探索和评估，而非投入生产。此项工作以 LLMON 语言论文为基础，该论文最初于 2026 年 3 月 23 日提交。

将指令转化为明确引用

LLMON 是 LLM Object Notation（大型语言模型对象表示法）的简称，读作“莱蒙”，是一种类似 XML 的标记语言，用于向模型描述提示的结构。指令、文档、工具定义、要求和回复分别置于可单独寻址的区块中。执行区块会标明要运行哪条指令、适用哪些输入和要求，以及答案应放在哪里；未绑定的内容仍保留在上下文中，但不会被该区块调用。

其防护目标是间接提示注入：恶意指令被隐藏在检索到的文档、工具回复或用户提供的数据中。模型经过训练，会将通过执行区块访问的指令视为权威指令，而对通过输入访问的材料只作读取，不予执行。结构分隔符是保留的特殊标记；每个由两个字符组成的区块 ID 均取自一个固定的单标记集合，因此一个地址始终占用两个标记。

开发者通常无需亲自编写这种标记语言。他们可以为普通的 messages 列表中的部分内容命名并调用 apply_chat_template；随附的模板会生成 LLMON，同时保留熟悉的 system、user 和 assistant 角色。配套的 LLMON 代码库提供无损 JSON 转换、聊天渲染工具和示例；此外，相关的注意力演示会直观展示注意力如何分布在指令、输入和未绑定区块上。

训练针对间接攻击

一篇后训练论文于 2026 年 10 月 28 日提交，介绍了一个包含 46 亿个标记的结构化语料库，涵盖通用数据、检索增强生成数据和工具调用数据。干扰示例会加入相互竞争的指令和无关数据，这些内容不会被引用，而目标回复则保持不变。该方法采用监督微调和强化学习，不修改模型架构。

随后，训练方案依次采用五个强化学习阶段，涵盖多领域推理、人类反馈对齐、知识校准和数学；之后，再针对 1,000 对偏好样本进行直接偏好优化。这些偏好样本由模型对注入尝试作出的自身回复生成。由此形成的权限规则来自模型学到的布局，而非额外添加的防护措施。

OPI 将注入内容置于经典自然语言处理任务的数据中。IBM 将稳健性定义为 1 减去攻击成功率，即模型未执行注入指令的攻击所占比例。

后训练论文另行报告称，在各项间接注入评估中，攻击成功率从 53%–100% 降至 0.02%–5.6%，同时保持了通用能力。公布的基准测试对比针对的是静态间接注入，而非跨多轮对话逐步演化的自适应攻击；后者仍是当前研究领域的重点。

通用能力表现

8B 模型卡将通用任务上达到 Granite 4.1 Instruct 的水平设为目标，但其表现参差不齐：预览版的 GPQA 得分为 35.05，指令微调模型为 41.96；DeepMind Math 分别为 70.86 和 80.07；BigCodeBench 分别为 44.04 和 35.00；MMLU 分别为 74.20 和 73.84。这种表现说明，此次发布旨在检验结构化提示和抵御注入的能力，而不是全面提升模型能力。

LLMON 还可适配特定领域的词汇。IBM 展示了如何在 ScienceWorld 参考轨迹上使用自定义标签和适配器微调；经过训练的模型可以进行未参与训练的游戏，并用新词汇写出下一步行动。更高层级的库 Mellea 会自动将对模型的调用转换为 LLMON，因此应用程序用户无需接触底层标记语言。

此次发布为开发者提供了一种具体方法，用于衡量在检索和工具调用工作流中，明确绑定执行指令的表现。对于敏感部署，仍需关注的问题是：学到的权限规则能否在已报告的测试范围之外继续成立。模型卡提醒，这并非强制执行的保证，也不应成为智能体唯一的防护措施。