Il 12 novembre 2026 l’unità Granite di IBM ha pubblicato due nuovi modelli di linguaggio di grandi dimensioni (LLM), denominati Granite‑4.1‑3B‑LLMON‑preview e Granite‑4.1‑8B‑LLMON‑preview. Si tratta di versioni preliminari, rilasciate sotto licenza Apache 2.0, pensate per la sperimentazione e la valutazione, non per l’uso in produzione. L’obiettivo principale è migliorare la resistenza alle injection di prompt, cioè alle istruzioni malevole nascoste all’interno di dati di input.

LLMON: un linguaggio di markup per istruzioni esplicite

LLMON, acronimo di “notation d’objets pour LLM” (pronunciato “lemon”), è un linguaggio di markup simile a XML che struttura un prompt in blocchi identificabili. Ogni blocco può contenere una delle seguenti componenti:

    • istruzioni (instruction)
    • documenti o dati (input)
    • definizioni di tool (tool definition)
    • requisiti (requirements)
    • risposte (output)

Un blocco di esecuzione (<exec>) indica al modello quale istruzione eseguire, quali dati considerare e dove collocare la risposta. Gli elementi non associati a un blocco rimangono nel contesto senza essere eseguiti.

Come funziona la protezione contro le injection

Durante l’addestramento, i modelli imparano a considerare autoritari solo i blocchi referenziati da un <exec>. Qualsiasi altra informazione, anche se presente nel prompt, viene letta ma non seguita. I delimitatori strutturali sono token speciali riservati; ogni identificatore di blocco è costituito da due token scelti da un insieme fisso, garantendo che un indirizzo costi sempre due token.

Gli sviluppatori normalmente non scrivono manualmente il markup. Utilizzano una funzione chiamata applychattemplate che converte una normale lista di messaggi in LLMON, mantenendo i ruoli familiari di “sistema”, “utente” e “assistente”. Il repository LLMON fornisce strumenti per la conversione JSON senza perdita, utilità di rendering delle conversazioni e esempi pratici.

Metodo di addestramento e dataset

Un articolo di post‑training, inviato il 28 ottobre 2026, descrive il corpus usato: 4,6 miliardi di token strutturati, includenti dati generali, generazione aumentata da recupero (retrieval‑augmented generation) e utilizzo di tool. All’interno del dataset sono inseriti “esempi trappola” con istruzioni contraddittorie e dati irrilevanti che non hanno riferimento a un blocco di esecuzione; la risposta target rimane invariata.

L’addestramento combina affinamento supervisionato e reinforcement learning from human feedback (RLHF), senza modificare l’architettura di base del modello. Dopo la fase di supervisione, seguono cinque fasi sequenziali di apprendimento per rinforzo che coprono:

    • ragionamento in più domini
    • allineamento ai feedback umani
    • calibrazione della conoscenza
    • competenza matematica
    • ottimizzazione diretta delle preferenze

L’ultima fase utilizza 1 000 coppie di preferenze generate dalle risposte del modello stesso a tentativi di injection, permettendo al modello di apprendere una “regola di privilegio” interna piuttosto che dipendere da meccanismi di difesa aggiuntivi.

Valutazione della robustezza (OPI)

IBM impiega il benchmark OPI (Open Prompt Injection) per misurare la robustezza. La metrica è definita come 1 meno il tasso di successo delle attack, cioè la percentuale di volte in cui il modello non esegue l’istruzione injectata. I risultati mostrano che i modelli Granite‑4.1‑3B e 8B riducono il tasso di successo delle attack dal 53 %‑100 % al 0,02 %‑5,6 % nelle prove di injection indiretta.

Prestazioni sui task generali

Il modello da 8 billion parameters (8B) è stato confrontato con Granite 4.1 Instruct su diversi benchmark:

    • GPQA: 35,05 (Granite 8B) vs 41,96 (Instruct)
    • DeepMind Math: 70,86 vs 80,07
    • BigCodeBench: 44,04 vs 35,00
    • MMLU: 74,20 vs 73,84

Questi risultati indicano che, sebbene le capacità generali siano comparabili, la vera novità è la capacità di resistere alle injection di prompt, piuttosto che un miglioramento globale delle performance.

Adattamento a domini specifici

LLMON può essere esteso con balise personalizzate per domini specialistici. IBM ha mostrato un esperimento su ScienceWorld, dove il modello, attraverso un adattatore, ha generato azioni in un vocabolario nuovo, giocando a giochi non visti durante l’addestramento. La libreria Mellea automatizza la conversione delle chiamate di modello al formato LLMON, nascondendo il markup agli utenti finali.

Considerazioni per gli sviluppatori e le imprese

Questa versione di Granite offre uno strumento concreto per valutare come l’associazione esplicita tra esecuzione e istruzioni influisca su processi di recupero informazioni e uso di tool. Tuttavia, IBM avverte che la “regola di privilegio” appresa non costituisce una garanzia assoluta; le schede dei modelli specificano che non deve essere l’unica difesa per agenti in ambienti sensibili.

Le injection adattive, che evolvono attraverso più turni di conversazione, rimangono un’area di ricerca attiva. Le attuali valutazioni coprono solo injection indirette statiche, perciò le imprese dovrebbero combinare Granite‑LLMON con altre strategie di sicurezza (sandboxing, monitoraggio dei log, revisione umana) quando implementano LLM in contesti critici.

Prospettive future

IBM continuerà a perfezionare sia il linguaggio LLMON sia le tecniche di addestramento, esplorando:

    • l’integrazione di regole di privilegio dinamiche basate su feedback in tempo reale;
    • l’estensione delle balise a settori regolamentati (sanità, finanza);
    • benchmark più realistici che includano attacchi multi‑turno e scenari di apprendimento continuo.

In sintesi, i modelli Granite rappresentano un passo significativo verso LLM più sicuri, dimostrando che è possibile combinare capacità avanzate di ragionamento con meccanismi strutturali di difesa contro le injection di prompt.