Qu’est-ce que Llama Prompt Guard 2 ?
Llama Prompt Guard 2 est une paire de petits classifieurs de texte de Meta qui signalent les tentatives d'injection de prompt et de jailbreak. Le modèle 86M repose sur mDeBERTa, la base multilingue de Microsoft ; le 22M, sur DeBERTa-xsmall, est l'option rapide, et Meta indique qu'il réduit la latence et le coût de calcul de 75% pour une petite perte de précision. Les deux renvoient l'une de deux étiquettes, bénin ou malveillant, avec un score.
Ils lisent 512 tokens à la fois, si bien que les documents longs doivent être découpés en morceaux analysés en parallèle. Meta les a évalués en anglais, français, allemand, hindi, italien, portugais, espagnol et thaï, mais seul le 86M a une base multilingue. Un prompt est signalé quand il tente explicitement d'annuler les instructions précédentes, qu'il soit nuisible ou non, ce qui en fait un contrôle pour le texte non fiable comme les pages web et les sorties d'outils autant que pour les messages des utilisateurs.
Les poids sont sous Llama 4 Community License et en accès restreint sur Hugging Face. Les modèles sont sortis avec la collection Llama 4 en avril 2025 et font partie du cadre LlamaFirewall de Meta. Le modèle 86M a été téléchargé 101,122 fois le mois dernier.
Combien coûte Llama Prompt Guard 2 ?
| Offre | Prix | Ce qui est inclus |
|---|---|---|
| 86M | Free | Base multilingue, meilleure précision |
| 22M | Free | Plus rapide : 19.3 ms pour 512 tokens sur une A100 |
Poids ouverts gratuits sous Llama 4 Community License, en accès restreint sur Hugging Face ; auto-hébergement uniquement, en tailles 86M et 22M.
Llama Prompt Guard 2 vaut-il le coup ?
Prompt Guard 2 fait une seule chose et ne coûte presque rien à faire tourner. Sur le jeu privé de jailbreaks de Meta, hors de sa distribution d'entraînement, le modèle 86M repère 97.5% des attaques pour 1% de faux positifs, contre 21.2% pour le premier Prompt Guard ; le 22M en repère 88.7%. La latence sur une A100 à 512 tokens est de 92.4 ms pour le 86M et de 19.3 ms pour le 22M.
Les résultats avec des agents sont le chiffre le plus utile. Sur AgentDojo, pour un coût de 3% en tâches accomplies, le 86M arrête 81.2% des attaques et le 22M 78.4%, quand des détecteurs ouverts plus anciens de ProtectAI et Deepset en arrêtent 22.2% et 13.5%. Dans l'article LlamaFirewall de Meta, placer le 86M devant les sorties d'outils a fait passer le succès des attaques de 17.6% à 7.5%.
Les limites figurent dans la fiche. Il voit 512 tokens, donc une longue page récupérée doit être découpée, et une attaque répartie sur plusieurs morceaux peut passer. Il signale le texte qui ressemble à une instruction, pas le préjudice, si bien qu'une documentation citant "ignore previous instructions" le déclenchera. Meta prévient que les attaquants s'adaptent aux classifieurs et que la précision dépend de l'allure du trafic normal de votre application, et recommande un affinage sur vos propres données. Le modèle 22M est nettement plus faible hors de l'anglais.
Ce n'est pas non plus de l'open source au sens strict : la Llama 4 Community License ajoute des conditions et le téléchargement est restreint. Pour une équipe qui a besoin de poids sous Apache ou MIT, cela compte davantage que le benchmark.
Là où il fait la différence
Un ingénieur backend qui ajoute la recherche web à un bot de support client
Vérifier chaque page récupérée à la recherche d'instructions cachées avant qu'elle n'atteigne le modèle
Découpez chaque page en morceaux de 512 tokens, notez-les en parallèle avec le modèle 22M et écartez ou isolez les morceaux jugés malveillants. À environ 19 ms par morceau sur GPU, cela ajoute peu à un appel de recherche.
Une équipe plateforme chez un assureur européen servant des utilisateurs en plusieurs langues
Bloquer les tentatives de jailbreak dans des chats en français, allemand, italien et espagnol
Faites tourner le modèle 86M, qui a la base multilingue, sur chaque tour utilisateur ; fixez le seuil à partir de quelques centaines de vrais messages bénins par langue, puisque Meta prévient que la précision dépend de votre trafic.
Un ingénieur ML disposant d'un jeu étiqueté d'anciennes attaques contre son produit
Réduire les faux positifs sur des contenus techniques qui citent des prompts
Affinez le modèle 86M sur vos propres exemples bénins et malveillants, comme le recommande la fiche, et comparez la détection à 1% de faux positifs avant et après.
Avant de vous engager
- Mise en route
- Acceptez la licence Llama 4 sur Hugging Face, puis chargez meta-llama/Llama-Prompt-Guard-2-86M ou -22M avec le pipeline text-classification de Transformers ; premier résultat en quelques minutes.
- Intégrations
- Transformers ; utilisé comme scanner PromptGuard dans LlamaFirewall, qui fournit des exemples pour OpenAI Agents SDK et LangChain.
- Données et confidentialité
- Auto-hébergé, le texte ne quitte donc jamais vos machines. Poids sous Llama 4 Community License, accessibles selon les conditions de Meta.
- Coût à grande échelle
- Aucun frais d'API. Les deux modèles sont petits face à n'importe quel LLM qu'ils protègent ; un long document coûte un passage par morceau de 512 tokens.
- Limites
- Étiquette binaire bénin ou malveillant uniquement ; contexte de 512 tokens ; vulnérable aux attaques adaptatives ; le modèle 22M est plus faible hors de l'anglais.
Les points forts
- 97.5% de détection pour 1% de faux positifs sur le jeu de jailbreaks de Meta (86M)
- 19.3 ms pour 512 tokens sur une A100 avec le modèle 22M
- 81.2% des attaques AgentDojo arrêtées pour 3% de coût en utilité (86M)
- Assez petit pour tourner à côté de chaque appel d'outil
Les points faibles
- Fenêtre de 512 tokens ; les entrées longues doivent être découpées
- Signale le texte en forme d'instruction, pas les contenus nuisibles
- Benchmarks de Meta, en partie sur un jeu privé
- Llama 4 Community License et téléchargement restreint
Idéal pour
Les équipes qui veulent un contrôle rapide et auto-hébergé des instructions injectées dans les entrées utilisateur, les documents récupérés et les résultats d'outils.
Alternatives à Llama Prompt Guard 2
Llama Prompt Guard 2 : questions fréquentes
- Llama Prompt Guard 2 vaut-il le coup ?
- Un premier filtre bon marché contre les instructions injectées, à la portée de toute chaîne d'agents, tant que personne ne le prend pour la défense entière. Nous lui donnons 4.2 sur 5.
- Combien coûte Llama Prompt Guard 2 ?
- Poids ouverts gratuits sous Llama 4 Community License, en accès restreint sur Hugging Face ; auto-hébergement uniquement, en tailles 86M et 22M.
- Quels sont les inconvénients de Llama Prompt Guard 2 ?
- Fenêtre de 512 tokens ; les entrées longues doivent être découpées; signale le texte en forme d'instruction, pas les contenus nuisibles; benchmarks de Meta, en partie sur un jeu privé; llama 4 Community License et téléchargement restreint.
- À qui s’adresse Llama Prompt Guard 2 ?
- Les équipes qui veulent un contrôle rapide et auto-hébergé des instructions injectées dans les entrées utilisateur, les documents récupérés et les résultats d'outils.
- Combien coûte Llama Prompt Guard 2 pour une équipe ou en production ?
- Aucun frais d'API. Les deux modèles sont petits face à n'importe quel LLM qu'ils protègent ; un long document coûte un passage par morceau de 512 tokens.
- Llama Prompt Guard 2 est-il sûr pour les données de l’entreprise ?
- Auto-hébergé, le texte ne quitte donc jamais vos machines. Poids sous Llama 4 Community License, accessibles selon les conditions de Meta.
- Quelles sont les meilleures alternatives à Llama Prompt Guard 2 ?
- Les alternatives les plus proches que nous avons testées sont GLiNER2.5-Decide, Shieldstral 1.0 3B et Laya.
Réponses vérifiées le 6 nov. 2026.
Vous éditez Llama Prompt Guard 2 ? Affichez cette note sur votre site
