La inyección de prompts, en la que una instrucción oculta en un documento o en la respuesta de una herramienta secuestra a un agente de IA, sigue siendo uno de los problemas de seguridad más difíciles para quien construye con modelos de lenguaje. El equipo Granite de IBM ha publicado una respuesta poco habitual: en lugar de añadir otro filtro, cambia el formato que lee el modelo. LLMON, siglas de LLM Object Notation que se pronuncian como lemon, es un lenguaje de marcado pensado para que el modelo distinga qué texto es una orden y cuál es solo material.
La idea central es dejar de codificar la estructura con caracteres corrientes. En JSON, las comillas que cierran un campo son el mismo token que unas comillas dentro de un documento citado, y el anidamiento se sigue contando corchetes, algo que los transformers hacen mal en tramos largos. LLMON usa seis tokens especiales reservados como delimitadores, de modo que estructura y contenido usan partes distintas del vocabulario. Cada componente, como una instrucción, un dato o un requisito, recibe una etiqueta y un identificador corto que cuesta dos tokens, y un bloque de ejecución al final indica qué instrucción ejecutar, sobre qué datos y dónde va la respuesta. Lo que no se cite ahí debe ignorarse.
IBM publica dos modelos experimentales de vista previa, granite-4.1-3b-LLMON-preview y granite-4.1-8b-LLMON-preview, entrenados a partir de los modelos base de Granite 4.1 para que el comportamiento se aprenda en el posentrenamiento. El entrenamiento usó un corpus de instrucciones reescrito con instrucciones señuelo sin vincular a propósito, seguido de cinco etapas de refuerzo GRPO y una etapa final DPO con mil pares de preferencias construidos a partir de las respuestas del propio modelo a intentos de inyección. En el banco de pruebas OPI, IBM informa de que LLMON evita un 47% más de ataques que el mejor modelo de frontera que probó y un 95% más que el mejor modelo abierto, con tendencias parecidas en ASB y StruQ, mientras las puntuaciones generales se mantienen a la par de Granite 4.1 Instruct.
Su atractivo práctico es la poca fricción. Los modelos de vista previa incluyen una plantilla de chat, así que los desarrolladores nombran las partes de un mensaje y marcan cuáles ejecutar; unos conversores pasan JSON existente a LLMON y de vuelta sin pérdidas. Es un enfoque distinto de las jerarquías de instrucciones y los clasificadores que usan los laboratorios de frontera, y podría importar para agentes que leen correos o páginas web por ti.
IBM es franca sobre los límites. Son versiones preliminares, no para producción. Las pruebas miden inyecciones estáticas; los ataques que se desarrollan a lo largo de muchos turnos aún están en estudio. E IBM subraya que la separación es un comportamiento aprendido, no una garantía impuesta, así que un atacante decidido podría encontrar la forma de eludirla.