Llama Prompt Guard 2とは？
Llama Prompt Guard 2は、プロンプトインジェクションとジェイルブレイクの試みを見つける、Metaの小さなテキスト分類器2つの組です。86MモデルはMicrosoftの多言語ベースmDeBERTaを土台にしています。DeBERTa-xsmallを土台にした22Mモデルは速さ重視で、Metaによれば精度をわずかに落とす代わりに遅延と計算コストを75%減らします。どちらも無害か悪意ありかの2つのラベルのどちらかを、スコア付きで返します。
一度に読めるのは512トークンなので、長い文書は分割して並列に調べる必要があります。Metaは英語、フランス語、ドイツ語、ヒンディー語、イタリア語、ポルトガル語、スペイン語、タイ語で評価しましたが、多言語のベースを持つのは86Mだけです。害があるかどうかにかかわらず、以前の指示を明示的に覆そうとするプロンプトを検出するので、ユーザーのメッセージだけでなく、ウェブページやツール出力のような信頼できない文章のチェックにも向きます。
重みはLlama 4 Community Licenseで、Hugging Faceではアクセス申請が必要です。モデルは2025年4月にLlama 4のコレクションとともに公開され、MetaのLlamaFirewallフレームワークの一部です。86Mモデルの直近1か月のダウンロード数は101,122回です。
Llama Prompt Guard 2の料金は？
| プラン | 価格 | 内容 |
|---|---|---|
| 86M | Free | 多言語ベースで精度が高い |
| 22M | Free | 高速：A100で512トークンあたり19.3 ms |
Llama 4 Community Licenseの無料のオープンウェイトで、Hugging Faceではアクセス申請が必要です。自前ホストのみで、86Mと22Mの2サイズです。
Llama Prompt Guard 2は使う価値があるか？
Prompt Guard 2がすることは1つだけで、動かすコストはほとんどかかりません。学習時の分布から外れたMetaの非公開ジェイルブレイク評価セットで、86Mモデルは誤検知率1%のときに攻撃の97.5%を捉えます。初代Prompt Guardは21.2%でした。22Mモデルは88.7%です。A100で512トークンの場合の遅延は、86Mが92.4 ms、22Mが19.3 msです。
より役に立つのはエージェントでの結果です。AgentDojoで、タスク達成を3%犠牲にした場合、86Mは攻撃の81.2%を、22Mは78.4%を止めます。ProtectAIやDeepsetの古いオープンな検出器は22.2%と13.5%です。MetaのLlamaFirewallの論文では、ツール出力の前に86Mを置くと攻撃成功率が17.6%から7.5%に下がりました。
限界はモデルカードに書かれています。見えるのは512トークンなので、長い検索結果のページは分割が必要で、複数の断片にまたがる攻撃はすり抜けるおそれがあります。検出するのは害ではなく指示のような文章なので、"ignore previous instructions"を引用するドキュメントでも反応します。Metaは、攻撃者が分類器に適応してくること、精度はアプリの普段のトラフィックの姿に左右されることを警告し、自社データでの微調整を勧めています。22Mモデルは英語以外ではっきり弱くなります。
厳密な意味でのオープンソースでもありません。Llama 4 Community Licenseには追加の条件があり、ダウンロードには申請が必要です。ApacheやMITの重みが必要なチームにとっては、ベンチマークよりこちらのほうが重要です。
真価を発揮する場面
カスタマーサポートのボットにウェブ検索を加えるバックエンドエンジニア
取得したページが仕込まれた指示を含んでいないか、モデルに渡す前にすべて確認する
各ページを512トークンの断片に分け、22Mモデルで並列にスコアを付け、悪意ありとされた断片は捨てるか隔離します。GPUで1断片あたり約19 msなので、検索1回の負担はわずかです。
複数言語の利用者を抱える欧州の保険会社のプラットフォームチーム
フランス語、ドイツ語、イタリア語、スペイン語のチャットでジェイルブレイクの試みを止める
多言語ベースを持つ86Mモデルを各ユーザー発言に適用します。Metaが精度はトラフィック次第だと警告しているので、しきい値は言語ごとに数百件の実際の無害なメッセージから決めます。
自社製品への過去の攻撃をラベル付きで持つMLエンジニア
プロンプトを引用する技術的な内容での誤検知を減らす
モデルカードが勧めるとおり、自社の無害な例と悪意のある例で86Mモデルを微調整し、誤検知1%時の検出率を前後で比べます。
導入前に確認すること
- 導入
- Hugging FaceでLlama 4のライセンスに同意し、meta-llama/Llama-Prompt-Guard-2-86Mまたは-22MをTransformersのtext-classificationパイプラインで読み込みます。数分で最初の結果が出ます。
- 連携
- Transformers。LlamaFirewallの中でPromptGuardスキャナーとして使われており、LlamaFirewallにはOpenAI Agents SDKとLangChainの例があります。
- データとプライバシー
- 自前ホストなので、文章が自分のマシンの外に出ることはありません。重みはLlama 4 Community Licenseで、Metaの規約に同意して入手します。
- 大規模利用時のコスト
- API料金はありません。どちらのモデルも、守る対象のLLMと比べればごく小さいものです。長い文書は512トークンの断片ごとに1回の処理がかかります。
- 制限
- ラベルは無害か悪意ありかの2値のみ。コンテキストは512トークン。適応型の攻撃には弱い。22Mモデルは英語以外で弱くなります。
良い点
- Metaのジェイルブレイク評価で誤検知1%時に97.5%を検出（86M）
- 22MモデルはA100で512トークンあたり19.3 ms
- AgentDojoでは有用性3%の犠牲で攻撃の81.2%を阻止（86M）
- ツール呼び出しのたびに並べて動かせる小ささ
気になる点
- 512トークンの窓で、長い入力は分割が必要
- 検出するのは有害な内容ではなく指示のような文章
- ベンチマークはMeta自身のもので、一部は非公開データ
- Llama 4 Community Licenseで、ダウンロードには申請が必要
おすすめの人
ユーザー入力、検索した文書、ツール結果に注入された指示を、自前ホストで素早くチェックしたいチーム。
Llama Prompt Guard 2の代替
Llama Prompt Guard 2：よくある質問
- Llama Prompt Guard 2は使う価値があるか？
- どのエージェントのパイプラインでも負担できる、注入された指示に対する安価な最初のフィルターです。ただし、これで防御が完結すると考えてはいけません。 評価は5点満点中4.2点です。
- Llama Prompt Guard 2の料金は？
- Llama 4 Community Licenseの無料のオープンウェイトで、Hugging Faceではアクセス申請が必要です。自前ホストのみで、86Mと22Mの2サイズです。
- Llama Prompt Guard 2の欠点は？
- 512トークンの窓で、長い入力は分割が必要; 検出するのは有害な内容ではなく指示のような文章; ベンチマークはMeta自身のもので、一部は非公開データ; Llama 4 Community Licenseで、ダウンロードには申請が必要.
- Llama Prompt Guard 2は誰に向いているか？
- ユーザー入力、検索した文書、ツール結果に注入された指示を、自前ホストで素早くチェックしたいチーム。
- チームや本番環境でLlama Prompt Guard 2を使うと費用はいくらか？
- API料金はありません。どちらのモデルも、守る対象のLLMと比べればごく小さいものです。長い文書は512トークンの断片ごとに1回の処理がかかります。
- Llama Prompt Guard 2は企業データを扱っても安全か？
- 自前ホストなので、文章が自分のマシンの外に出ることはありません。重みはLlama 4 Community Licenseで、Metaの規約に同意して入手します。
- Llama Prompt Guard 2の代わりになるものは？
- 当サイトでレビューした中で最も近い代替はGLiNER2.5-Decide, Shieldstral 1.0 3B 、 Layaです。
回答確認日：2026年11月6日
Llama Prompt Guard 2の開発元の方へ：この評価をサイトに掲載できます
