¿Qué es Llama Prompt Guard 2?
Llama Prompt Guard 2 es una pareja de pequeños clasificadores de texto de Meta que señalan intentos de inyección de prompts y jailbreaks. El modelo 86M se basa en mDeBERTa, la base multilingüe de Microsoft; el 22M, sobre DeBERTa-xsmall, es la opción rápida, y Meta dice que reduce la latencia y el coste de cómputo un 75% con una pequeña pérdida de precisión. Ambos devuelven una de dos etiquetas, benigno o malicioso, con una puntuación.
Leen 512 tokens cada vez, así que los documentos largos hay que dividirlos en fragmentos que se analizan en paralelo. Meta los evaluó en inglés, francés, alemán, hindi, italiano, portugués, español y tailandés, aunque solo el 86M tiene una base multilingüe. Un prompt se marca cuando intenta de forma explícita anular las instrucciones anteriores, cause daño o no, lo que lo convierte en un control para texto no fiable como páginas web y resultados de herramientas, además de los mensajes del usuario.
Los pesos están bajo la Llama 4 Community License y con acceso restringido en Hugging Face. Los modelos se publicaron con la colección Llama 4 en abril de 2025 y forman parte del marco LlamaFirewall de Meta. El modelo 86M se descargó 101,122 veces en el último mes.
¿Cuánto cuesta Llama Prompt Guard 2?
| Plan | Precio | Qué incluye |
|---|---|---|
| 86M | Free | Base multilingüe, mayor precisión |
| 22M | Free | Más rápido: 19.3 ms por 512 tokens en una A100 |
Pesos abiertos gratuitos bajo la Llama 4 Community License, con acceso restringido en Hugging Face; solo autoalojado, en tamaños 86M y 22M.
¿Merece la pena Llama Prompt Guard 2?
Prompt Guard 2 hace una sola cosa y apenas cuesta ejecutarlo. En el conjunto privado de jailbreaks de Meta, fuera de su distribución de entrenamiento, el modelo 86M detecta el 97.5% de los ataques con un 1% de falsos positivos, frente al 21.2% del primer Prompt Guard; el 22M detecta el 88.7%. La latencia en una A100 con 512 tokens es de 92.4 ms para el 86M y 19.3 ms para el 22M.
Los resultados con agentes son la cifra más útil. En AgentDojo, con un 3% de coste en tareas completadas, el 86M frena el 81.2% de los ataques y el 22M el 78.4%, mientras que detectores abiertos más antiguos de ProtectAI y Deepset frenan el 22.2% y el 13.5%. En el artículo de LlamaFirewall de Meta, poner el 86M delante de los resultados de herramientas bajó el éxito de los ataques del 17.6% al 7.5%.
Los límites figuran en la ficha. Ve 512 tokens, así que una página recuperada larga hay que trocearla y un ataque repartido entre fragmentos puede colarse. Marca texto con forma de instrucción, no el daño, así que una documentación que cite "ignore previous instructions" lo hará saltar. Meta advierte de que los atacantes se adaptan a los clasificadores y de que la precisión depende de cómo sea el tráfico normal de tu aplicación, y recomienda ajustarlo con tus propios datos. El modelo 22M es claramente más débil fuera del inglés.
Tampoco es código abierto en sentido estricto: la Llama 4 Community License añade condiciones y la descarga está restringida. Para un equipo que necesita pesos Apache o MIT, eso pesa más que el benchmark.
Dónde se gana su sitio
Un ingeniero de backend que añade búsqueda web a un bot de atención al cliente
Revisar cada página descargada en busca de instrucciones plantadas antes de que llegue al modelo
Divide cada página en fragmentos de 512 tokens, puntúalos en paralelo con el modelo 22M y descarta o aísla los marcados como maliciosos. Con unos 19 ms por fragmento en GPU, añade poco a una llamada de búsqueda.
Un equipo de plataforma de una aseguradora europea con usuarios en varios idiomas
Bloquear intentos de jailbreak en chats en francés, alemán, italiano y español
Ejecuta el modelo 86M, que tiene la base multilingüe, en cada turno del usuario; fija el umbral con unos cientos de mensajes benignos reales por idioma, ya que Meta advierte de que la precisión depende de tu tráfico.
Un ingeniero de ML con un conjunto etiquetado de ataques pasados contra su producto
Reducir los falsos positivos en contenido técnico que cita prompts
Ajusta el modelo 86M con tus propios ejemplos benignos y maliciosos, como recomienda la ficha, y compara la detección con un 1% de falsos positivos antes y después.
Antes de decidirte
- Puesta en marcha
- Acepta la licencia de Llama 4 en Hugging Face y carga meta-llama/Llama-Prompt-Guard-2-86M o -22M con el pipeline text-classification de Transformers; primer resultado en minutos.
- Integraciones
- Transformers; se usa como escáner PromptGuard dentro de LlamaFirewall, que trae ejemplos para OpenAI Agents SDK y LangChain.
- Datos y privacidad
- Autoalojado, así que el texto nunca sale de tus máquinas. Pesos bajo la Llama 4 Community License, con acceso sujeto a los términos de Meta.
- Coste a escala
- Sin tarifa de API. Ambos modelos son pequeños frente a cualquier LLM que protejan; un documento largo cuesta una pasada por cada fragmento de 512 tokens.
- Límites
- Solo etiqueta binaria benigno o malicioso; contexto de 512 tokens; vulnerable a ataques adaptativos; el modelo 22M es más débil fuera del inglés.
Lo bueno
- 97.5% de detección con un 1% de falsos positivos en el conjunto de jailbreaks de Meta (86M)
- 19.3 ms por 512 tokens en una A100 con el modelo 22M
- 81.2% de los ataques de AgentDojo frenados con un 3% de coste en utilidad (86M)
- Lo bastante pequeño para ejecutarlo junto a cada llamada a herramienta
Lo malo
- Ventana de 512 tokens; las entradas largas hay que trocearlas
- Marca texto con forma de instrucción, no contenido dañino
- Los benchmarks son de Meta, en parte sobre un conjunto privado
- Llama 4 Community License y descarga restringida
Ideal para
Equipos que quieren un control rápido y autoalojado contra instrucciones inyectadas en la entrada del usuario, los documentos recuperados y los resultados de herramientas.
Alternativas a Llama Prompt Guard 2
Llama Prompt Guard 2: preguntas frecuentes
- ¿Merece la pena Llama Prompt Guard 2?
- Un primer filtro barato contra instrucciones inyectadas que cualquier cadena de agentes puede permitirse, siempre que nadie lo confunda con la defensa completa. Le damos un 4.2 sobre 5.
- ¿Cuánto cuesta Llama Prompt Guard 2?
- Pesos abiertos gratuitos bajo la Llama 4 Community License, con acceso restringido en Hugging Face; solo autoalojado, en tamaños 86M y 22M.
- ¿Qué inconvenientes tiene Llama Prompt Guard 2?
- Ventana de 512 tokens; las entradas largas hay que trocearlas; marca texto con forma de instrucción, no contenido dañino; los benchmarks son de Meta, en parte sobre un conjunto privado; llama 4 Community License y descarga restringida.
- ¿Para quién es Llama Prompt Guard 2?
- Equipos que quieren un control rápido y autoalojado contra instrucciones inyectadas en la entrada del usuario, los documentos recuperados y los resultados de herramientas.
- ¿Cuánto cuesta Llama Prompt Guard 2 para un equipo o en producción?
- Sin tarifa de API. Ambos modelos son pequeños frente a cualquier LLM que protejan; un documento largo cuesta una pasada por cada fragmento de 512 tokens.
- ¿Es Llama Prompt Guard 2 seguro para los datos de la empresa?
- Autoalojado, así que el texto nunca sale de tus máquinas. Pesos bajo la Llama 4 Community License, con acceso sujeto a los términos de Meta.
- ¿Cuáles son las mejores alternativas a Llama Prompt Guard 2?
- Las alternativas más cercanas que hemos analizado son GLiNER2.5-Decide, Shieldstral 1.0 3B y Laya.
Respuestas comprobadas el 6 nov 2026.
¿Desarrollas Llama Prompt Guard 2? Muestra esta nota en tu web
