El equipo de Granite de IBM ha publicado LLMON, un lenguaje de marcado para modelos de lenguaje, en el blog de Hugging Face, junto con dos modelos experimentales entrenados para leerlo y escribirlo: granite-4.1-3b-LLMON-preview y granite-4.1-8b-LLMON-preview. Acompaña el lanzamiento un repositorio en GitHub con un toolkit, ejemplos de flujos de trabajo y plantillas.
Qué hace LLMON
Según IBM, el contexto de un modelo reúne material de naturaleza muy distinta: prompts de sistema, turnos anteriores, documentos recuperados, salidas de herramientas, restricciones de formato y razonamiento. Gran parte de esa estructura queda implícita o se comprime en formatos como JSON, pensados para analizadores sintácticos. IBM relaciona esto con la fragilidad de los modelos pequeños y con su exposición a la inyección de prompts.
LLMON marca cada componente con una etiqueta con significado. Los delimitadores son tokens especiales reservados del vocabulario, de modo que la estructura y el texto normal nunca comparten caracteres. Cada bloque recibe un identificador corto y único. Al final, un bloque de ejecución indica qué instrucción se ejecuta, a qué datos se aplica, qué requisitos la condicionan y adónde va la respuesta. Lo que queda fuera de ese bloque el modelo lo sigue viendo, pero lo trata como material sin referencia.
Los modelos de la preview traen su propia plantilla de chat. Se construye la lista de mensajes habitual, se nombran las partes de cada turno (instrucción, datos, requisito) y se señala si cada una se ejecuta o no. La plantilla genera el marcado. IBM ofrece además conversores que pasan de JSON a LLMON y de vuelta sin pérdidas.
La afirmación sobre seguridad
La inyección indirecta de prompts esconde una instrucción maliciosa dentro del contenido que el modelo debe procesar, como un documento recuperado o la respuesta de una herramienta. IBM hizo las pruebas con el benchmark OPI, que introduce inyecciones en los datos de tareas estándar de NLP. Según su relato, los demás modelos que probó, abiertos y cerrados, ejecutaban las instrucciones inyectadas con alta probabilidad. Los modelos LLMON evitaron un 47% más de ataques que el mejor modelo de frontera probado y un 95% más que el mejor modelo de código abierto. IBM indica tendencias parecidas en los benchmarks ASB y StruQ.
Hay límites. Estos benchmarks cubren inyecciones estáticas, y IBM reconoce que los ataques que se despliegan a lo largo de varios turnos de chat siguen en estudio. También describe la regla de privilegios (las instrucciones del bloque de ejecución mandan y la entrada es solo material) como un comportamiento aprendido, sin garantía aplicada por el sistema.
Capacidad y entrenamiento
IBM afirma que el rendimiento general se mantiene a la par de los modelos Granite 4.1 Instruct en las categorías habituales de benchmarks. Los modelos parten de los checkpoints base de Granite 4.1. El entrenamiento reserializa un corpus corriente de ajuste por instrucciones a LLMON y añade instrucciones y datos señuelo que quedan sin vincular. Después viene el aprendizaje por refuerzo, en cinco etapas GRPO y una etapa final de DPO sobre mil pares de preferencias construidos con las propias respuestas del modelo ante intentos de inyección.
Los equipos también pueden definir sus propias etiquetas y ajustar un adaptador LoRA encima. IBM lo demuestra con el benchmark ScienceWorld y remite a un segundo notebook para agentes con llamadas a herramientas. Mellea, el proyecto relacionado de IBM, admite LLMON de forma nativa.
Estado
IBM presenta el lanzamiento como una preview experimental para explorar y evaluar, sin destino de producción, y pide comentarios en GitHub Discussions.