IBM ha pubblicato il 12 novembre 2026 due modelli linguistici sperimentali della famiglia Granite 4.1, progettati per distinguere le istruzioni autorizzate dai contenuti esterni non attendibili e migliorare la resistenza agli attacchi di prompt injection indiretta. I modelli, denominati Granite-4.1-3B-LLMON-preview e Granite-4.1-8B-LLMON-preview, dispongono rispettivamente di circa 3 e 8 miliardi di parametri e sono stati ottenuti mediante un processo di fine-tuning a partire dai checkpoint di base di Granite 4.1, anziché dalle versioni instruct già distribuite. Entrambi sono disponibili con licenza Apache 2.0 e vengono presentati come anteprime destinate alla sperimentazione e alla valutazione, non come sistemi pronti per l’impiego in produzione. Secondo le misurazioni comunicate da IBM sul benchmark OPI, le due versioni hanno evitato il 47% di attacchi in più rispetto al migliore modello di frontiera incluso nel confronto. Il risultato deriva dall’introduzione di una rappresentazione strutturata delle istruzioni e dei dati attraverso LLMON, un formato sviluppato per rendere esplicite le relazioni tra le parti di una richiesta e impedire che il contenuto di un documento, di una risposta proveniente da uno strumento o di una fonte esterna venga interpretato automaticamente come un comando da eseguire.
LLMON, acronimo di LLM Object Notation, è un linguaggio di marcatura simile a XML, il cui nome viene pronunciato come la parola inglese lemon. La proposta tecnica, descritta inizialmente in una pubblicazione scientifica presentata il 23 marzo 2026, organizza il contesto di elaborazione del modello in blocchi distinti e identificabili individualmente, dedicati a istruzioni, documenti, definizioni degli strumenti, requisiti e risposte. Un apposito blocco di esecuzione specifica quale istruzione debba essere eseguita, quali dati debbano essere considerati come input, quali vincoli debbano essere rispettati e dove debba essere collocato il risultato. I contenuti che non vengono esplicitamente associati a tale blocco rimangono presenti nel contesto, ma non vengono richiamati come istruzioni operative. Questa organizzazione consente di distinguere strutturalmente una richiesta formulata da una fonte autorizzata dalle informazioni presenti, ad esempio, all’interno di una pagina web recuperata durante una ricerca o di un documento analizzato mediante retrieval-augmented generation. Gli attacchi di prompt injection indiretta sfruttano proprio la possibilità che istruzioni malevole inserite in questi contenuti vengano eseguite dal modello come se provenissero dall’utente o dal sistema. Con LLMON, invece, il modello viene addestrato a riconoscere come autorevoli le istruzioni esplicitamente collegate al blocco di esecuzione, trattando i materiali forniti come input come informazioni da elaborare e non come comandi.
La rappresentazione utilizza delimitatori strutturali definiti attraverso token speciali riservati e identificatori di blocco composti da due caratteri, selezionati da un insieme prestabilito di token singoli. Ogni identificatore richiede quindi esattamente due token, offrendo una modalità di indirizzamento stabile delle diverse sezioni del contesto. L’adozione del formato non richiede necessariamente che gli sviluppatori scrivano manualmente la struttura di marcatura. Le applicazioni possono continuare a utilizzare le consuete sequenze di messaggi con ruoli system, user e assistant, assegnando nomi alle componenti rilevanti e applicando la funzione apply_chat_template per ottenere automaticamente la rappresentazione LLMON. IBM ha reso disponibili anche strumenti per la conversione senza perdita di informazioni da e verso JSON, utilità di rendering delle conversazioni ed esempi applicativi attraverso un repository dedicato. Una dimostrazione collegata permette inoltre di visualizzare la distribuzione dell’attenzione del modello tra blocchi contenenti istruzioni, dati richiamati e contenuti non associati all’esecuzione.
La procedura di addestramento viene descritta in un secondo lavoro scientifico presentato il 28 ottobre 2026, che documenta la costruzione di un corpus strutturato da 4,6 miliardi di token. Il materiale comprende attività linguistiche generali, scenari di recupero documentale e processi che richiedono chiamate a strumenti esterni. Durante l’addestramento vengono introdotti esempi contenenti istruzioni concorrenti, informazioni irrilevanti e contenuti deliberatamente fuorvianti, mantenuti all’interno del contesto ma non collegati al blocco di esecuzione. La risposta corretta deve rimanere invariata anche quando questi elementi vengono aggiunti, in modo che il modello apprenda a riconoscere quali parti della richiesta possiedano effettiva autorità operativa. Il procedimento combina supervised fine-tuning e reinforcement learning senza modificare l’architettura fondamentale del modello. La fase successiva comprende cinque stadi sequenziali di apprendimento per rinforzo, destinati a capacità di ragionamento multidominio, allineamento mediante feedback umano, calibrazione delle conoscenze e competenze matematiche. Il processo si conclude con una fase di direct preference optimization costruita su 1.000 coppie di preferenze generate a partire dalle risposte del modello a tentativi di prompt injection. La separazione tra istruzioni autorizzate e dati non attendibili viene quindi appresa durante l’addestramento, anziché essere imposta esclusivamente attraverso un filtro di sicurezza aggiunto all’esterno del modello.
Le valutazioni di robustezza comprendono il benchmark OPI, nel quale gli attacchi vengono inseriti nei dati utilizzati per attività tradizionali di elaborazione del linguaggio naturale. IBM misura la resistenza calcolando il complemento del tasso di successo dell’attacco, ossia la percentuale di tentativi nei quali il modello non esegue l’istruzione malevola incorporata nell’input. I risultati della ricerca sul post-training riportano, per diverse valutazioni di prompt injection indiretta, una diminuzione dei tassi di successo degli attacchi da valori iniziali compresi tra il 53% e il 100% a valori compresi tra lo 0,02% e il 5,6%, mantenendo le capacità generali del modello. Questi risultati devono tuttavia essere distinti dalle valutazioni contro attacchi adattivi, nei quali un aggressore modifica progressivamente la strategia attraverso più interazioni. I confronti pubblicati riguardano principalmente attacchi indiretti statici, mentre la resistenza a tentativi adattivi distribuiti su più turni rimane un ambito di ricerca ancora aperto.
IBM ha verificato anche l’impatto dell’addestramento sulle capacità generali dei modelli, confrontando la versione sperimentale da 8 miliardi di parametri con Granite 4.1 Instruct. Nel benchmark GPQA, la versione LLMON ottiene un punteggio di 35,05 contro 41,96 del modello instruct, mentre in DeepMind Math raggiunge 70,86 rispetto a 80,07. I risultati risultano invece superiori in BigCodeBench, con 44,04 contro 35,00, e leggermente migliori in MMLU, con 74,20 rispetto a 73,84. La distribuzione dei punteggi indica che il miglioramento della resistenza agli attacchi non corrisponde a un incremento uniforme delle prestazioni in tutte le attività linguistiche, matematiche e di programmazione. IBM ha inoltre mostrato la possibilità di adattare LLMON a vocabolari specifici di un dominio attraverso marcatori personalizzati e fine-tuning con adapter. Una sperimentazione condotta sulle traiettorie di riferimento di ScienceWorld ha previsto l’addestramento del modello a utilizzare un nuovo vocabolario di azioni, successivamente verificato su scenari non presenti nel materiale di addestramento. La libreria di livello superiore Mellea permette infine di convertire automaticamente le chiamate ai modelli nel formato LLMON, evitando che le applicazioni debbano gestire direttamente la sintassi sottostante.
I modelli Granite 4.1 LLMON costituiscono pertanto una sperimentazione sulla possibilità di incorporare nel comportamento del modello una distinzione esplicita tra autorità delle istruzioni e contenuti informativi. La soluzione è particolarmente pertinente per applicazioni che consultano documenti esterni, interrogano strumenti e utilizzano informazioni recuperate da repository non completamente controllati. IBM precisa tuttavia che il rispetto della gerarchia delle istruzioni rimane un comportamento appreso statisticamente e non una garanzia di sicurezza formalmente imposta. Le schede tecniche dei modelli ne sconsigliano quindi l’utilizzo come unica misura di difesa all’interno di agenti autonomi o applicazioni sensibili, per le quali continuano a essere necessari controlli indipendenti sulle autorizzazioni, sugli strumenti disponibili e sulle operazioni eseguibili.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)