IBM发布基于Granite 4.1的3B和8B LLMON实验预览模型，通过专用标记语言与后训练，帮助模型区分指令、数据和输出要求。官方静态间接提示注入测试显示攻击成功率明显下降，但模型不适用于生产环境，也不能替代权限限制等系统级防护。
IBM Granite 团队于2026年11月12日发布两款支持 LLMON 的实验预览模型，分别基于 Granite 4.1 的3B和8B基座训练。它们尝试解决的不是模型能否读懂更多文字，而是一个更基本的安全问题：哪些文字是应当遵循的指令，哪些只是需要处理的资料。
根据团队在 Hugging Face 发布的技术公告，新模型通过专门的标记语言和后训练，将指令、数据及输出要求显式分开，在其静态间接提示注入测试中显著降低了攻击成功率。但这仍是供探索和评估使用的预览版本，团队明确表示不适用于生产环境；学会区分指令与数据，也不等于获得不可突破的安全边界。
为什么“读资料”会变成“听命令”
当一个智能体检索网页、读取文件或接收工具返回结果时，外部资料中可能夹带恶意指令，诱导它偏离用户要求。这类攻击被称为间接提示注入。风险不在于用户直接发出危险请求，而在于本应作为材料阅读的内容，被模型误认为具有指挥权。
LLMON 的全称是 LLM Object Notation，读音类似英文“lemon”。它将语义完整的内容放进带有标签和唯一标识符的区块，再用一个执行区块明确关联：运行哪条指令、使用哪些输入、遵守什么要求，以及把结果写到哪里。
例如，要求模型概括一封邮件时，“概括邮件”是指令，邮件全文是数据，“不超过指定长度”则是输出要求。即使邮件正文里出现要求模型改变任务的句子，按照这一设计，它也应被当作邮件内容，而不是新的命令。这里描述的是模型被训练遵循的规则，并非程序解析器强制执行的权限隔离。
LLMON 也不是11月才首次提出。其设计论文最早于2026年3月23日提交，相关后训练论文于10月28日提交。此次发布的新增内容，是可供下载评估的两款 Granite 4.1 预览模型，以及配套工具和示例。
不只是给 JSON 换一套括号
IBM 团队认为，JSON 对程序解析器而言有清晰语法，但语言模型处理的是词元序列，结构符号也可能出现在普通文本中；长距离嵌套还要求模型持续追踪层级。因此，机器能够正确解析一段 JSON，并不代表模型一定能可靠理解每个字段的权限和用途。
LLMON 采用类似 XML 的标记形式，但结构分隔符是分词器保留的特殊词元，而非普通标点。团队为其设置了六个分隔符，用来标记区块边界、嵌套路径和标识符，让结构信息与正文内容在词表层面有所区别。
它并不取消对话模板。普通模板主要区分系统、用户和助手等角色，LLMON 进一步说明每一轮内部各部分的含义，以及不同区块之间的依赖关系。开发者可以通过模型自带模板，把指令、数据和要求分别提交，由模板生成相应结构。
这也不是在任意现成模型的输入外面加标签就能获得同样效果。两个预览模型从 Granite 4.1 基座开始后训练，而非仅给已发布的指令模型替换输入样式。官方工具仓库还提供 JSON 与 LLMON 的转换工具，使已有结构化数据能够作为带类型、可单独寻址的区块进入模型，而不是被压成一整段字符串。
抗注入效果应如何理解
按照发布公告，团队在 OPI 基准中把恶意指令藏进传统自然语言处理任务的数据部分，以“1减去攻击成功率”衡量稳健性。团队称，LLMON 模型在该基准上的部分攻击成功率接近零，并在 ASB、StruQ 等测试中观察到类似趋势。
这些是开发团队公布的测试结果，不是独立第三方对所有实际应用场景的安全认证。公告特别指出，所讨论的基准主要测试静态间接提示注入；会根据模型反应持续调整、跨多轮展开的自适应攻击，仍是后续改进方向。因此，“在既定测试中大幅减少受骗”不能被改写成“解决了提示注入”。
训练方法也解释了这种区别。团队将常规指令微调数据重新整理为 LLMON 格式，并加入出现在上下文中、却没有被执行区块引用的干扰指令和数据，让模型学习忽略无关内容。之后再进行强化学习，以及针对注入响应的偏好优化。边界意识由训练获得，而不是由一个外部安全机制保证每次都成立。
两份模型卡都明确警告：这种规则可以降低模型遵从资料中恶意指令的概率，但不能消除风险，不应成为能够访问敏感系统的智能体的唯一防线。
通用能力并非每项都没有代价
团队将总体目标描述为：增强指令与数据边界的同时，维持与常规 Granite 4.1 指令模型相近的通用能力。但逐项看官方评测，结果有升有降，不能理解为所有能力均保持不变或提升。
以8B版本模型卡为例，LLMON 版本的 MMLU 得分为74.20，对照指令模型为73.84；BigCodeBench 为44.04，对照为35.00。但 GPQA 为35.05，低于对照的41.96；Minerva Math 为72.20，低于对照的80.10。这些通用能力测试本身，也不衡量指令与数据边界是否可靠。
对于具体业务，选择模型仍需分别评估任务准确性、抗攻击表现和工作流兼容性。3B版本模型卡同样提醒，模型预期接收 LLMON 格式输入，直接使用常规对话格式会偏离训练分布、降低质量，应使用附带模板。两款模型均采用 Apache 2.0 许可证，列出的支持语言包括中文，但这不等于各语言和各类攻击下都已获得同等验证。
模型学会边界，系统仍要限制权限
这项工作的意义，在于把应用原本知道的结构信息传递给模型：开发者通常清楚哪部分是任务、哪部分来自网页、哪部分是工具结果，而传统纯文本提示往往让模型自行猜测这些关系。LLMON 将这些关系变成可训练的显式表示。
不过，提高模型识别边界的能力，与限制它越界后的后果，是两类互补措施。OpenAI 在2026年3月11日的抗提示注入设计文章中提出，即使不能完美识别恶意输入，也应通过限制智能体能力、约束信息外传和关键动作确认来控制损害。本站此前对智能体抗提示注入策略的报道，介绍的正是这一系统层面的思路。
对接入检索和工具的开发者而言，这两条路线并不冲突：模型可以学习不把资料当命令，应用仍需要决定它能够访问什么、发送什么，以及哪些操作必须获得确认。LLMON 预览模型提供了一个可评估的训练方向，但从实验结果走向可靠部署，仍须验证真实工作流、多轮对抗和失败后的权限边界。