O que é Llama Prompt Guard 2?
Llama Prompt Guard 2 é um par de pequenos classificadores de texto da Meta que sinalizam tentativas de injeção de prompt e jailbreak. O modelo 86M é baseado no mDeBERTa, a base multilíngue da Microsoft; o 22M, sobre o DeBERTa-xsmall, é a opção rápida, e a Meta diz que ele corta a latência e o custo de computação em 75% com pequena perda de precisão. Os dois devolvem um de dois rótulos, benigno ou malicioso, com uma pontuação.
Eles leem 512 tokens por vez, então documentos longos precisam ser divididos em pedaços analisados em paralelo. A Meta os avaliou em inglês, francês, alemão, hindi, italiano, português, espanhol e tailandês, embora só o 86M tenha base multilíngue. Um prompt é sinalizado quando tenta explicitamente anular instruções anteriores, cause dano ou não, o que o torna uma checagem para texto não confiável como páginas web e saídas de ferramentas, além das mensagens dos usuários.
Os pesos estão sob a Llama 4 Community License, com acesso restrito no Hugging Face. Os modelos foram publicados com a coleção Llama 4 em abril de 2025 e fazem parte do framework LlamaFirewall da Meta. O modelo 86M teve 101,122 downloads no último mês.
Quanto custa Llama Prompt Guard 2?
| Plano | Preço | O que inclui |
|---|---|---|
| 86M | Free | Base multilíngue, maior precisão |
| 22M | Free | Mais rápido: 19.3 ms por 512 tokens numa A100 |
Pesos abertos gratuitos sob a Llama 4 Community License, com acesso restrito no Hugging Face; só auto-hospedado, nos tamanhos 86M e 22M.
Llama Prompt Guard 2 vale a pena?
O Prompt Guard 2 faz uma coisa só e quase não custa nada para rodar. No conjunto privado de jailbreaks da Meta, fora da distribuição de treino, o modelo 86M pega 97.5% dos ataques com 1% de falsos positivos, contra 21.2% do primeiro Prompt Guard; o 22M pega 88.7%. A latência numa A100 com 512 tokens é de 92.4 ms para o 86M e 19.3 ms para o 22M.
Os resultados com agentes são o número mais útil. No AgentDojo, com custo de 3% em tarefas concluídas, o 86M barra 81.2% dos ataques e o 22M 78.4%, enquanto detectores abertos mais antigos da ProtectAI e da Deepset barram 22.2% e 13.5%. No artigo do LlamaFirewall da Meta, colocar o 86M na frente das saídas de ferramentas reduziu o sucesso dos ataques de 17.6% para 7.5%.
Os limites estão no model card. Ele enxerga 512 tokens, então uma página recuperada longa precisa ser fatiada, e um ataque dividido entre pedaços pode passar. Ele sinaliza texto com cara de instrução, não dano, então uma documentação que cite "ignore previous instructions" vai dispará-lo. A Meta avisa que atacantes se adaptam a classificadores e que a precisão depende de como é o tráfego normal do seu aplicativo, e recomenda ajuste fino com seus próprios dados. O modelo 22M é bem mais fraco fora do inglês.
Também não é código aberto no sentido estrito: a Llama 4 Community License acrescenta termos e o download é restrito. Para uma equipe que precisa de pesos Apache ou MIT, isso pesa mais que o benchmark.
Onde ele se destaca
Um engenheiro de backend adicionando busca na web a um bot de atendimento
Checar cada página baixada em busca de instruções plantadas antes que ela chegue ao modelo
Divida cada página em pedaços de 512 tokens, pontue em paralelo com o modelo 22M e descarte ou isole os pedaços marcados como maliciosos. Com cerca de 19 ms por pedaço numa GPU, acrescenta pouco a uma chamada de busca.
Uma equipe de plataforma numa seguradora europeia atendendo usuários em vários idiomas
Bloquear tentativas de jailbreak em chats em francês, alemão, italiano e espanhol
Rode o modelo 86M, que tem a base multilíngue, em cada turno do usuário; defina o limiar com algumas centenas de mensagens benignas reais por idioma, já que a Meta avisa que a precisão depende do seu tráfego.
Um engenheiro de ML com um conjunto rotulado de ataques passados contra o produto
Reduzir falsos positivos em conteúdo técnico que cita prompts
Faça ajuste fino do modelo 86M com seus próprios exemplos benignos e maliciosos, como o model card recomenda, e compare a detecção com 1% de falsos positivos antes e depois.
Antes de decidir
- Configuração
- Aceite a licença do Llama 4 no Hugging Face e carregue meta-llama/Llama-Prompt-Guard-2-86M ou -22M com o pipeline text-classification do Transformers; primeiro resultado em minutos.
- Integrações
- Transformers; usado como scanner PromptGuard dentro do LlamaFirewall, que tem exemplos para OpenAI Agents SDK e LangChain.
- Dados e privacidade
- Auto-hospedado, então o texto nunca sai das suas máquinas. Pesos sob a Llama 4 Community License, com acesso sujeito aos termos da Meta.
- Custo em escala
- Sem tarifa de API. Os dois modelos são pequenos perto de qualquer LLM que protejam; um documento longo custa uma passada por pedaço de 512 tokens.
- Limites
- Só rótulo binário benigno ou malicioso; contexto de 512 tokens; vulnerável a ataques adaptativos; o modelo 22M é mais fraco fora do inglês.
O que é bom
- 97.5% de detecção com 1% de falsos positivos no conjunto de jailbreaks da Meta (86M)
- 19.3 ms por 512 tokens numa A100 com o modelo 22M
- 81.2% dos ataques do AgentDojo barrados com 3% de custo em utilidade (86M)
- Pequeno o bastante para rodar ao lado de cada chamada de ferramenta
O que não é
- Janela de 512 tokens; entradas longas precisam ser fatiadas
- Sinaliza texto com cara de instrução, não conteúdo nocivo
- Benchmarks da própria Meta, em parte num conjunto privado
- Llama 4 Community License e download restrito
Ideal para
Equipes que querem uma checagem rápida e auto-hospedada contra instruções injetadas na entrada do usuário, em documentos recuperados e em resultados de ferramentas.
Alternativas ao Llama Prompt Guard 2
Llama Prompt Guard 2: perguntas frequentes
- Llama Prompt Guard 2 vale a pena?
- Um primeiro filtro barato contra instruções injetadas que qualquer pipeline de agentes pode bancar, desde que ninguém o confunda com a defesa inteira. Damos nota 4.2 de 5.
- Quanto custa Llama Prompt Guard 2?
- Pesos abertos gratuitos sob a Llama 4 Community License, com acesso restrito no Hugging Face; só auto-hospedado, nos tamanhos 86M e 22M.
- Quais são as desvantagens de Llama Prompt Guard 2?
- Janela de 512 tokens; entradas longas precisam ser fatiadas; sinaliza texto com cara de instrução, não conteúdo nocivo; benchmarks da própria Meta, em parte num conjunto privado; llama 4 Community License e download restrito.
- Para quem Llama Prompt Guard 2 é indicado?
- Equipes que querem uma checagem rápida e auto-hospedada contra instruções injetadas na entrada do usuário, em documentos recuperados e em resultados de ferramentas.
- Quanto custa Llama Prompt Guard 2 para uma equipe ou em produção?
- Sem tarifa de API. Os dois modelos são pequenos perto de qualquer LLM que protejam; um documento longo custa uma passada por pedaço de 512 tokens.
- Llama Prompt Guard 2 é seguro para dados da empresa?
- Auto-hospedado, então o texto nunca sai das suas máquinas. Pesos sob a Llama 4 Community License, com acesso sujeito aos termos da Meta.
- Quais são as melhores alternativas ao Llama Prompt Guard 2?
- As alternativas mais próximas que analisamos são GLiNER2.5-Decide, Shieldstral 1.0 3B e Laya.
Respostas verificadas em 6 de nov. de 2026.
Você faz o Llama Prompt Guard 2? Mostre esta nota no seu site
