A injeção de prompt, em que uma instrução escondida num documento ou no resultado de uma ferramenta sequestra um agente de IA, continua sendo um dos problemas de segurança mais difíceis para quem constrói com modelos de linguagem. A equipe Granite da IBM publicou uma resposta incomum: em vez de mais um filtro, ela muda o formato que o modelo lê. O LLMON, sigla de LLM Object Notation e pronunciado como lemon, é uma linguagem de marcação feita para o modelo distinguir qual texto é uma ordem e qual é só material.
A ideia central é parar de codificar a estrutura com caracteres comuns. No JSON, as aspas que fecham um campo são o mesmo token que aspas dentro de um documento citado, e o aninhamento é acompanhado contando colchetes, algo que transformers fazem mal em trechos longos. O LLMON usa seis tokens especiais reservados como delimitadores, de modo que estrutura e conteúdo usam partes separadas do vocabulário. Cada componente, como uma instrução, um dado ou um requisito, recebe uma tag e um ID curto que custa dois tokens, e um bloco de execução no fim diz qual instrução rodar, sobre quais dados e para onde vai a resposta. O que não for referenciado ali deve ser ignorado.
A IBM está lançando dois modelos experimentais de prévia, granite-4.1-3b-LLMON-preview e granite-4.1-8b-LLMON-preview, treinados a partir dos modelos base do Granite 4.1 para que o comportamento seja aprendido no pós-treinamento. O treino usou um corpus de instruções reserializado com instruções-isca propositalmente sem vínculo, seguido de cinco etapas de reforço GRPO e uma etapa final de DPO com mil pares de preferência montados a partir das próprias respostas do modelo a tentativas de injeção. No benchmark OPI, a IBM relata que o LLMON evita 47% mais ataques que o melhor modelo de fronteira testado e 95% mais que o melhor modelo aberto, com tendências parecidas no ASB e no StruQ, enquanto as notas gerais ficam no nível do Granite 4.1 Instruct.
O apelo prático é o baixo atrito. Os modelos de prévia vêm com um template de chat, então os desenvolvedores nomeiam as partes de uma mensagem e marcam quais executar; conversores transformam JSON existente em LLMON e de volta sem perda. É uma abordagem diferente das hierarquias de instruções e dos classificadores usados pelos laboratórios de fronteira, e pode importar para agentes que leem e-mails ou páginas da web por você.
A IBM é franca sobre os limites. São prévias, não para produção. Os benchmarks testam injeções estáticas; ataques que se desenrolam ao longo de muitos turnos ainda estão em estudo. E a IBM ressalta que a separação é comportamento aprendido, não uma garantia imposta, então um atacante determinado ainda pode achar um jeito de contorná-la.