Команда IBM Granite опубликовала LLMON - язык разметки для языковых моделей - в блоге Hugging Face и вместе с ним две экспериментальные модели, обученные читать и писать эту разметку: granite-4.1-3b-LLMON-preview и granite-4.1-8b-LLMON-preview. К ним прилагается репозиторий на GitHub с набором инструментов, примерами рабочих процессов и шаблонами.
Что делает LLMON
IBM исходит из того, что в контексте модели лежит много разного материала: системные промпты, прошлые реплики, найденные документы, ответы инструментов, ограничения на формат ответа и рассуждения. Большая часть этой структуры задана неявно или упакована в форматы вроде JSON, которые создавались для парсеров. С этим IBM связывает хрупкость небольших моделей и уязвимость к prompt injection.
LLMON помечает каждый компонент осмысленным тегом. Разделители - это зарезервированные специальные токены словаря, поэтому структура и обычный текст никогда не используют одни и те же символы. Каждый блок получает короткий уникальный ID, а блок исполнения в конце указывает, какую инструкцию выполнять, к каким данным она относится, какие требования её ограничивают и куда направить ответ. Всё, что лежит вне этого блока, модель по-прежнему видит, но считает материалом без ссылки на него.
У превью-моделей свой шаблон чата. Вы собираете привычный список сообщений, называете части реплики (инструкция, данные, требование) и отмечаете, какие из них нужно исполнять. Шаблон сам рисует разметку. Ещё IBM предлагает конвертеры, которые превращают JSON в LLMON и обратно без потерь.
Что с безопасностью
Косвенная prompt injection прячет вредоносную инструкцию в контенте, который модель должна обработать, например в найденном документе или ответе инструмента. IBM проверяла модели на бенчмарке OPI: он подсовывает инъекции в данные стандартных задач NLP. По данным IBM, остальные испытанные модели, открытые и закрытые, с высокой вероятностью выполняли внедрённые команды. Модели на LLMON отразили на 47% больше атак, чем лучшая из проверенных frontier-моделей, и на 95% больше, чем лучшая open-source-модель. Похожие тенденции IBM отмечает на бенчмарках ASB и StruQ.
Есть ограничения. Эти бенчмарки охватывают статические инъекции, а атаки, развёрнутые на много реплик диалога, по словам IBM, ещё изучаются. Правило привилегий (инструкции из блока исполнения авторитетны, входные данные - только материал) IBM описывает как выученное поведение, а не гарантированно соблюдаемое.
Возможности и обучение
IBM заявляет, что общая производительность осталась на уровне моделей Granite 4.1 Instruct по стандартным категориям бенчмарков. За основу взяты базовые чекпоинты Granite 4.1. При обучении обычный корпус для инструктивной настройки пересобирают в LLMON и добавляют приманки - инструкции и данные, оставленные без привязки. Затем идёт обучение с подкреплением: пять этапов GRPO и финальный этап DPO на тысяче пар предпочтений, собранных из собственных ответов модели на попытки инъекций.
Команды могут задать собственные теги и дообучить поверх адаптер LoRA. IBM показывает это на бенчмарке ScienceWorld и отсылает ко второму ноутбуку для агентов с вызовом инструментов. Родственный проект IBM Mellea поддерживает LLMON из коробки.
Статус
IBM называет релиз экспериментальным превью для изучения и оценки, не для продакшена, и просит оставлять отзывы в GitHub Discussions.