Het Granite-team heeft LLMON gepresenteerd, een opmaaktaal ontworpen voor taalmodelmodellen, en publiceert twee experimentele preview-modellen: granite-4.1-3b-LLMON-preview en granite-4.1-8b-LLMON-preview. Volgens de makers maakt dit formaat de structuur en betekenis van de informatie die aan het model wordt verstrekt expliciet, wat de weerstand tegen promptinjecties versterkt.
Een groot taalmodel (LLM) genereert elke nieuwe token, dat wil zeggen elk tekstfragment, op basis van zijn context. Tijdens een lange interactie vult deze context zich met systeemprompts, conversatiegeschiedenissen, instructies voor documenten, tool-antwoorden, gebruikersgegevens, beperkingen en redeneerketens. Een groot deel van deze structuur blijft impliciet voor het model of is gecodeerd in formaten zoals JSON, die niet zijn ontworpen om door LLM’s te worden gelezen. Volgens de bron verklaart dit deels de kwetsbaarheid van modellen, vooral de kleinere, en sommig onverwacht gedrag. Dit gebrek aan structuur kan ook worden uitgebuit door aanvallers, bijvoorbeeld via promptinjecties.
LLMON, voor ‘LLM Object Notation’, wordt uitgesproken als ‘lemon’. De tags markeren semantisch samenhangende componenten, omlijst door gereserveerde speciale scheidingstekens. Unieke identificatoren maken het mogelijk om een instructie, die overal in de context kan staan, te koppelen aan de gegevens waarop deze moet worden toegepast, vergelijkbaar met een functieaanroep met zijn argumenten in programmeren.
Instructies en gegevens scheiden
Een indirecte promptinjectie bestaat uit het verbergen van een kwaadaardige instructie in een gegeven, zoals een opgehaald document, een tool-antwoord of een gebruikersinvoer. Volgens de bron negeren LLMON-modellen grotendeels deze verborgen instructies, dankzij de expliciete scheiding tussen instructies en gegevens. Op sommige benchmarks daalt het slagingspercentage van aanvallen bijna tot nul, terwijl klassieke instructie-afgestelde modellen met een hoge waarschijnlijkheid worden misbruikt.
De makers hebben de previews vergeleken met verschillende open-source en propriëtaire modellen op de OPI-benchmark, die de injectie plaatst in de gegevens van klassieke taalverwerkingstaken. Zij meten de robuustheid als ‘1 − slagingspercentage van aanvallen’. Volgens hen ‘elimineert LLMON het probleem vrijwel volledig’ in deze test, door 47% meer aanvallen te voorkomen dan het beste geteste state-of-the-art model, en 95% meer dan het beste open-source model. Soortgelijke trends worden waargenomen op de ASB- en StruQ-benchmarks. De bron preciseert dat deze tests betrekking hebben op statische injecties, en dat het team nog werkt aan adaptieve aanvallen, die zich over meerdere conversatierondes ontvouwen.
Algemene capaciteiten en training
Volgens de bron gaan de veiligheidswinsten niet ten koste van de algemene capaciteiten: op de grote categorieën van standaardbenchmarks behalen de LLMON-modellen vergelijkbare resultaten als de Granite 4.1 Instruct-modellen. Om het uit te proberen, volstaat het om de delen van een conversatieronde te benoemen, zoals instructie, data of requirement, waarbij de conversatiesjabloon ze omzet in LLMON-blokken. Een conversiebibliotheek maakt het ook mogelijk gestructureerde gegevens, zoals JSON, te verwerken als getypeerde en adresseerbare blokken.
De modellen vertrekken van de Granite 4.1 basis-checkpoints en niet van de gepubliceerde instruct-versies. De makers hebben een klassieke instructie-afstemmingscorpus herschreven naar het LLMON-formaat en vervolgens lokblokken toegevoegd, die wel in de context aanwezig zijn maar opzettelijk niet gekoppeld. Vervolgens hebben zij vijf stappen van GRPO-versterkingsleren toegepast, gevolgd door een DPO-stap op duizend voorkeursparen afkomstig van de modelantwoorden op injectiepogingen. Dit resulteert volgens de bron in een privilege-regel: een instructie die wordt aangeroepen door een uitvoeringsblok is gezaghebbend, terwijl gegevens, documenten of toolresultaten leeselementen blijven en geen bevelen zijn om op te volgen. De makers benadrukken dat dit aangeleerd gedrag is, geen opgelegde garantie.
De bron presenteert ook een voorbeeld van adaptatie op de ScienceWorld-benchmark, waar een agent elementaire wetenschappelijke taken uitvoert. Er is een taakspecifieke tag-vocabulaire gedefinieerd en vervolgens is een LoRA-adapter getraind op een LLMON-model. Teams worden uitgenodigd om hun feedback te delen op de GitHub Discussions, aangezien het project volgens de makers een experimentele preview blijft, niet bedoeld voor productie.
